基于等保2.0的医院信息安全保障浅析

查正清

随着《“健康中国2030”规划纲要》、 《关于促进”互联网+医疗健康”发展的指导意见》的出台，互联网+医疗业务像雨后春笋蓬勃发展，但信息安全威胁随之增加。在互联网+医疗健康大背景下，醫院网络安全保障体系应该如何规划和建设？如何从以往的静态防御向监测预警、主动响应的深度防御转变？医院信息安全管理的范围包括哪些？

一、 重新定义医院网络边界

随着互联网+医疗的不断演变，医院网络形态不再是封闭隔离，云计算、物联网、5G等新技术的应用，网络边界变得模糊，传统的“一网一墙”和“内外网隔离”不再满足医院业务形态多样性下的信息安全保障要求。等保2 0要求网络按业务特性和安全需求划分不同的安全域，各安全域之间严格区分边界，这也是保护网络安全的基础手段。一般医院网络，常划为数据中心安全域、业务网安全域、办公网安全域。在新业务形态下，建议进一步细化网络内部边界，如关键业务服务区、安全管理服务区、对外业务区、第三方业务接人区、运维管理区、医疗设备区、数据备份专区、流量汇聚监控专区、无线网络专区等，安全域与安全域之间遵循严格的安全隔离措施，如防火墙、入侵防御等，同时利用全网威胁监控平台，对全网各区流量进行行为特征分析，感知全网威胁态势，从而实现网络内部安全问题“分而治之，合而御之”的效果。当然，各个安全区内，结合不同的VLAN划分来做进一步的逻辑隔离，可以更有效的提高网络的健壮性和安全性。

二、重点守好医院“互联网业务门户”安全

根据Gartner的调查显示，互联网信息安全攻击有75%都是发生在应用层面而非网络层面上。医院对外业务由于包含重要的患者信息，成为黑客最主要的攻击目标。因此， “互联网业务门户”的应用层威胁防护显得非常重要。医院互联网业务门户安全主要涉及应用服务器安全和应用层安全。首先，应用服务器需要部署在相对安全的环境中，前端的防火墙访问控制、入侵威胁检测过滤仅能实现服务器安全保护;其次，在应用层安全防护上，WEB防火墙必不可少，能够拦截大部分针对应用层的OWAS TOP 10攻击;此外，在脆弱性管理方面，应及时修复操作系统高危漏洞，尤其要注意口令安全。近几年不法分子对门户网站的攻击日益严重，尤其是政府机关及医疗事业单位的网站成为不法分子攻击的重要对象，这就对我们的网站防护提出了两点关键要求 一是篡改预警功能。一旦网站被篡改，可第一时间预警到网站管理员手机，为管理员赢得宝贵的应急处置时间;二是篡改还原功能。网站管理员不可能24小时守着服务器，一旦被篡改应具有快速自动还原或回滚到篡改前状态的机制。这两项功能目前新型的WAF或者一些安全厂商的安全服务中已经可以做到。

三、数据安全是最核心的一道防线

国内医疗行业是数据窃取的重灾区，曾有多家大型三甲医院中勒索病毒。尤其近期某国内信息化顶尖医院也被勒索病毒攻克，更是让大家谈虎变色。数据安全包括对内的数据安全和对外的数据安全，对内的可以通过数据库审计系统、防统方系统加强防护。如笔者所在的医院就制订了一套完备的防统方管理规定，所有系统查询均需通过审批，其中可能会触发防统方系统的需在纪检办备案。然后纪检办每月汇总防统方系统的报警，由信息部门逐条协助追踪处理。保证数据安全最重要的一个手段是容灾和备份，备份需要有在线备份和离线备份。在线备份是保证系统的高可用，如打补丁的时候能够有在线备用服务器实时服务。很多人认为如果有在线备份，离线备份就不重要了，其实离线备份才是防止勒索病毒的终极武器。甚至于离线备份设置的时间都应该是慎重选择的。笔者所在医院离线备份每24小时一次完整备份，每6小时一次差异备份。差异备份的时间设置在每天1点、7点、1 3点、19点，这几个时间节点都是系统非繁忙时段，对前台影响最小。

四、系统安全是基础

系统安全分为操作系统安全和应用系统安全。操作系统经常需要及时更新补丁，而更新补丁对应用系统来说也是非常危险的，有的补丁可能会导致系统部分功能失效甚至系统崩溃。这就需要在保证系统高可用的前提下严格制定补丁更新流程。应用系统上线前最好聘请专业公司做安全测评，上线后定期做渗透测试和漏洞扫描。

五、不能忽视的访问安全

访问安全主要包括弱口令问题、CA认证和运维人员访问安全。弱口令问题普遍存在，很多系统比较老旧，没有弱口令限制功能。这只能通过逐步整改慢慢实现，无法一蹴而就。但这也可以通过加强管理来应对，多宣传网络安全的重要性，让每个人都知道口令管理是自己的职责，一旦被攻克自己也要承担连带责任。CA认证是加强访问安全的有力保证。运维人员访问必须严格通过堡垒机，并且严格管控其访问的权限。

六、做好终端安全合规及入网控制

终端安全包括终端设备安全、网络端口安全。终端设备包括PC机、打印机、手持终端等设备，可通过终端管理等软件加以管理。网络端口可通过网络管理软件严格控制网络准入。应建立终端安全合规基线，明确终端安全需要采取的措施，充分结合网络准入控制，阻止非法终端或不安全终端的揍人，可大为减少威胁通过终端进入医院业务网，减少网络安全事件的发生。

七、医疗设备安全隔离

医院的医疗设备五花八门，配套系统也参差不齐。有些设备工作站要求不允许安装杀毒软件和终端管理软件，有些设备系统比较陈旧，笔者所在的医院还有WIN98系统的工作站，并且不支持更换系统。这些都大大增加了管理的难度。笔者在实践中主要采用网络隔离和白名单制度的方式进行管理，通过划分不同的网段、不同的VLAN来做网络隔离，把不安全的医疗设备单独隔离出来。通过白名单制度来设置医疗设备工作站允许通过的IP地址和协议端口，这样可以大范围降低安全风险。

八、管理是信息安全的催化剂

“三分技术、七分管理”，在整个安全体系建设中，安全管理是第一位的。如果没有安全管理那么就像是装备再精良的军队却没有纪律，大家都不服从指挥那也是没有办法上战场的。安全管理包括安全管理制度、安全应急预案。安全管理制度制定后不能束之高阁，制度中有信息部门人员需要遵守的，有管理运维人员的，有管理全院员工的。这就要通知到每一个人，让使用人员都知道自己需要注意的安全规范。定期组织学习，让每个人都把信息安全规范做为一种工作习惯。如前文所述的弱口令管理，如果宣传不到位，不知道的人很容易偷懒设置成弱口令造成安全隐患，而一些早期开发的系统做强密码改造成本也比较高昂。另外医院的职工是动态变化的，也需要定期宣传安全管理制度，尤其是有针对性的让大家时刻注意自己工作中的安全隐患。安全应急预案需要定期演练，让大家熟悉应急预案的流程细节，这样才能做到有事时按部就班、有条不紊。有条件的医院可建立全院性态势感知系统，使全院的信息安全实现可视化管理，及时发现和解决问题。

安全无小事，所有医院都将医疗质量和医疗安全放在第一位。和医疗安全一样，医院信息安全覆盖范围广，管理难度大，同样也是医院管理的重中之重。本文主要依据《GB/T 22239-2019信息安全技术网络安全等级保护基本要求》，基于“一个中心、三重防护”的信息安全保障框架，立足医院信息化现状及面临的安全挑战，详细分析和梳理医院安全保障的重心，共同探讨解决问题的可行方法，望对同行工作能够起到一点借鉴作用。