浅谈网闸在医院中的应用

邯郸市中心医院 信息科，河北 邯郸 056001

浅谈网闸在医院中的应用

赵妍，邵伟

邯郸市中心医院 信息科，河北 邯郸 056001

本文从目前医疗行业中的网络现状出发，系统介绍了网闸的发展历程、概念和工作原理。并结合网闸在我院的应用实践，提出了保障医院内部网络可靠、安全、高效运行的策略，实现与外网的数据交换。

网络安全；安全隔离网闸；数据交换

0 前言

随着医疗行业各项业务对Internet的依赖性日趋增强，医院对相关应用的安全性需求也日趋提高。在许多关键业务中，如何保证信息系统运行的安全性，促进信息化进程健康、有序的发展，对医院的信息管理人员提出了严峻的挑战，因此，对医院管理来说，保障计算机网络安全是一项极其重要的工作。

网络安全最大的威胁就是病毒，几乎每天都有新的病毒出现在Internet上，其传播速度极快。即使采取了杀毒软件、防火墙等安全措施，网络病毒、木马等对内网的攻击也不可能完全避免。为了保障医院网络和数据的安全性，必须采用物理技术将内外网完全隔离，但是这种策略在阻断网络的同时，也禁止了一切数据交换，是一种消极的防御。本文介绍采用隔离网闸技术实现既能够保障医院内网的数据安全，同时又能够高效地与外网进行数据交换。

1 安全隔离网闸的产生

20世纪90年代中期，俄罗斯人Ry Jones首先提出了“AirGap”隔离概念，简称“GAP”——安全隔离网闸。然后，以色列成功研制出物理隔离卡，实现网络之间的完全隔离；其后，美国Whale Communications公司和以色列SpearHead公司先后推出了e-Cap和NetGap产品，利用专有硬件实现了两个网络在不连通的情况下进行数据交换和资源共享[1]。

我国第一款安全隔离网闸产生于2000年，目前广泛应用于政府、金融、交通，医疗等行业。

2 安全隔离网闸的概念

安全隔离网闸简称网闸，又称安全隔离与信息交换系统，是模拟人工在两个隔离网络之间的信息交换，中断两个网络间的所有通信协议连接，包括TCP/IP、IPX/SPX、NetBEUI等，使之不能直接进行网络协议通信[2]。它是新一代高安全度的企业级信息安全防护设备，不仅使得信息网络的抗攻击能力大大增强，而且有效地防范了信息外泄事件的发生。

3 安全隔离网闸的原理

正常情况下，安全隔离网闸、外网和内网是完全断开的，当外网需要向内网传输数据时，外部的服务器立即发起对隔离设备的非TCP/IP协议的数据连接，隔离设备将所有的协议剥离，对数据包进行数据分析与病毒扫描，把经过检测后的安全原始数据写入存储介质中，当数据完全写入后，隔离设备立即中断与外网的连接，转而发起对内网的非TCP/IP协议的数据连接[3-4]。随后，数据被推向内网，并交给应用系统，在控制台收到完整的交换信号后，隔离设备立即切断与内网的直接连接；当数据需要由内网向外网传递时，也遵从相似过程。

综上所述，网闸是将数据包的协议剥离，还原为原始数据，并对其内容进行安全检测，即实现“协议落地、内容检测”，再将确认安全的数据“摆渡”到网络的另一侧，实现了内外网数据的动态交换，这样既保证了内外网数据永远不会直接相连，满足了内外网物理隔离的要求，又有效地抵御了各种黑客和木马病毒的攻击，为用户创造安全可靠的网络环境。

4 医院内外网数据交换的实际应用

我院是一家大型综合性三级甲等医院，是农村合作医疗、城镇居民和市居民医疗保险指定的报销单位，为了能够实现病人出院后的实时报销，必须保证我院内部网络与农合医保等外网相连，这需要在医院内部网络建立起有效的安全保护系统。以下介绍网闸在我院的具体应用。

4.1 网络现状

我院目前存在2个物理隔离的网络：内部网和外部网。内部网用于支撑医院日常业务的运行，其中包括医院信息系统（HIS）、实验室信息系统（LIS）、医学影像存档与通信系统（PACS）等医用工作系统，有上千台客户端和25台服务器；外部网主要包括医保和农合网络。医保网络能够实现与医保中心互联；农合网络能够实现与我市19个县区农合中心服务器的互联。

4.2 内外网隔离需求

医院内网涉及患者档案和病历数据，必须确保数据的安全性和保密性。一般情况下禁止其他任何网络访问内部网络，只有在必要的时候允许外部网络某些访问要求，例如：农合医保等外网需要提取住院病人在院的个人资料及费用信息。虽然内部网络有杀毒软件和防火墙等措施提供安全保护，但是仍然应当防范外网对内网可能造成的影响，内外网物理隔离的宗旨就是把内网的安全风险降到最低。

4.3 网闸实现安全隔离的解决方案

（1）具体解决方案，见图1。

图1 网闸实现安全隔离方案

（2）具体配置步骤。① 配置网闸的内网1口地址192.168.0.20/16，外网1口地址192.168.20.20/16。② 在隔离网闸配置从外网到内网的HIS的ORACLE数据库映射，配置192.168.20.20到192.168.0.10的映射，点击立即生效即可。

5 结束语

上述方案自2009年起已在我院运行了3年多，不仅保证了内外网的安全隔离，满足医院内网核心业务安全持续的运转需求，又能够实现内外网实时、高速的进行数据交换[5-6]，方便了患者就诊，提高了医院工作效率。

[1] 林达俊,任忠敏,干峰,等．隔离网闸在医疗行业中的应用[J]．医学信息学,2010,23(9):3284-3286．

[2] 苗元青,辛海燕,徐浩．网闸在医院网络安全管理中的应用[J]．中国数字医学,2009,4(9):67-68．

[3] 胡建理,李小华,周斌．一种基于安全隔离网闸技术的医院内部网络安全解决方案[J]．医疗卫生装备,2010,31(7):44-45,58．

[4] 张骁,李红信．信息安全建设中的隔离网闸技术应用研究[J]．山西师范大学学报(自然科学版),2010,(2):43-47．

[5] 路万里．内网安全管理系统在医院网络中的作用[J]．中国医疗设备,2010,25(4):73-74．

[6] 李秋甸,李初民,李军．医院区域医疗接口的网络安全设计与实现[J]．重庆医学,2011,40(35):3576-3577．

Discussion on Application of Gatekeeper in Hospitals

ZHAO Yan, SHAO Wei
Information Department, Handan Central Hospital, Handan Hebei 056001, China

Introduction of development process, concept and principle of GAP(gatekeeper) is made systematically in this paper based on the status quo of GAP in the medical feld. In view of practice of GAP in Handan Central Hospital, solutions are put forward in this paper to strengthen the reliability, security and high effciency of internal network in the hospital and realize data exchange with external network.

network security; gatekeeper; data exchange

R197.324；TP393.08

C

10.3969/j.issn.1674-1633.2013.05.032

1674-1633(2013)05-0092-02

2012-07-16

作者邮箱：646722183@qq．com