构建医院网络安全系统保障信息系统安全

苟文强

（凉山州第一人民医院 计算机中心，四川 西昌 615000）

[摘 要] 目的： 医院信息系统平台逐渐成为医院医疗业务的核心支撑平台，须加强医院信息系统安全；方法：通过网络安全的综合设计和实施，采用冗余设备、三层网络架构、统一网管中心控制、虚拟网络划分、核心防火墙及IPS、堡壘机统一管理设备、数据库和网络审计等多种技术，同时结合安全管理制度等；结果：构建较完备的医院网络安全体系，取得了良好的效果结果、结论 ：信息系统安全是系统工程，要从各方面着手，防止短板。

[关键词] 网络系统安全；安全管理；管理制度；木桶原理

doi ： 10 . 3969 / j . issn . 1673 - 0194 . 2017. 05. 088

[中图分类号] R197.3；TP309 [文献标识码] A [文章编号] 1673 - 0194（2017）05- 0164- 03

0 引 言

随着新医改的不断深入，作为其重要支柱之一的医院信息系统建设进入了高速发展的快车道，成为医院日常医疗工作和管理工作的基础平台。2013年，我院新建了医院信息系统项目，包括机房建设、网络建设、软件系统建设、硬件建设等部分。医院特点决定医院信息系统必须365*24小时不间断正常运行，网络、系统软硬件的损坏和故障，或者是数据信息泄露，都会医院带来不可估量的损失，影响患者正常就诊，甚至危及医院的生存和发展。因此，构建安全的医院网络系统，保障系统和信息系统安全，是各医院都很关心的问题。

医院网络安全系统是个系统工程，其符合“木桶原理”，系统的安全程度取决于最短的那块板，我院从硬件、网络、系统、审计监管、防病毒、安全制度等各个方面采取了多种措施，保障了信息系统安全、网络安全。

1 网络系统安全

1.1 链路安全

为避免核心网络系统单点故障，提高网络系统的健壮性、容错性和性能，我院在网络核心层采用了H3C的IRF2（Intelligent Resilient Framework，智能弹性架构）技术， IRF2将两台华三10508核心交换机通过IRF物理端口连接在一起，虚拟化成一台逻辑核心交换设备，集合了两台设备的硬件资源和软件处理能力，实现两台设备的统一简化管理和不间断维护，提高了网络对突发事故的自动容错能力，最大程序降低了网络的失效时间，提高了链路的利用率和转发效率。

在核心层10580交换机与会聚层5800交换机间采用万兆光纤交叉互联，线路间做链路聚合，增加链路带宽、实现链路传输弹性和冗余。同时，核心交换机与会聚层交换机全部配备双电源和双风扇组，双电源分别插两路不同PDU电源插痤，尽量避免单点故障。

1.2 网络层次分明，方便管理

数据中心服务器到所有的桌面终端计算机最多通过三层网络，即核心层、会聚层和接入层，三层网络交换机各师其职，层次分明。核心层是网络的高速交换主干，负责数据转发；汇聚层提供基于策略的连接，是网络接入层和核心层的“中介”，工作站接入核心层前须先做汇聚，实施策略、安全、工作组接入、虚拟局域网（VLAN）之间的路由、源地址或目的地址过滤等多种功能，减轻核心层设备的负荷；接入层提供工作站接入网络功能。同时，我院每栋业务楼都建设了网络设备间，安装了空调和不间断电源，统一管理该楼内所有的会聚层和接入层交换机，保证所有的设备都有良好的运行环境，同时便于管理和维护。

1.3 划分VLAN，提高性能和安全性

医院信息系统服务主要以访问数据库服务器为主，数据纵向访问多，横向少，同时，我院许多楼又都综合了门诊住院医疗系统、医技系统等，我们根据其特点，将网络按楼宇划分为10多个VLAN子网，并将有特殊需求的应用（如财务科账务专网等），单独划分VLAN。通过VLAN划分，控制广播范围，抑制广播风暴，提高了局域网的整体性能和安全性。

1.4 网络核心层安装防火墙板卡与IPS板卡，保证服务器区安全

医院服务器区是医院系统运行核心，一旦被侵入或感染病毒，将影响医院的正常医疗业务，影响病人就诊，我院每日门诊人次3 000多人，住院患者1 600多人，数据库出问题，将造成重大的社会影响和严重后果，故我们在核心层华三10 508交换机上安装了SecBlade FW Enhanced增强型防火墙业务处理板卡和PS插卡，设定了防入侵和攻击的规则，过滤非法数据，防范病毒确保服务器区安全。

1.5 智能网管中心

随着网络应用越来越复杂，网络安全控制、性能优化、运营管理等问题成为困扰用户的难题，并直接决定了医院核心业务能否顺利开展。我们采用了专门的网管系统，通过软件的灵活控制，与相应的硬件设备配合，建立了网络安全控制中心、性能优化中心和运营管理中心。通过网管系统，我们能实时监管网络的运行情况，监管网络的故障和报警，监管和分配网络流量，优化网络性能，使整个网络可管可控。我院网络管理员常用的网管功能有资源管理、拓扑管理和故障（告警/事件）管理等。

网管系统的资源管理可管理网络设备、接口，显示设备的详细信息和接口详细信息和实时性能状态； 拓扑管理可自动发现全网设备的拓扑视图，通过拓扑图能够清晰地看到医院网络的状态，包括运行是否正常、网络带宽、连通等。

故障（告警/事件）管理，是网管系统的核心功能之一，包括设备告警、网管站告警、网络性能监视告警、终端安全异常告警等，告警事件可通过手机短信或E-mail邮件的方式，及时通知管理员，实现远程网络的监控和管理。

1.6 医院内网、外网间隔离和访问通道

医院内部的网络分为医院办公外网（用于日常办公，可上互联网）和业务内网，为保证医院内部网络业务系统安全，防止非法入侵、病毒攻击等医院业务网与互联网必须物理隔离，同时，因医院内部众多软件厂商、服务器厂商、网络设备、安全厂商，需要远程维护内网设备，业务网和互联网之间须有个能访问的通道，我们采用了SSL VPN+网闸+堡垒机的方式实现了远程安全登录和物理隔离。

（1）在医院外网防火墙和医院内网防火墙之间安装了网神SecSIS 3600网闸，利用其“数据摆渡”的工作方式，开放须访问的端口，实现物理隔离。

（2）遠程用户通过SSL VPN接入到医院外网。利用SSL 的私密性、确认性、可靠性、易用性特性，在远程用户和我院外网间建立起专用的VPN加密隧道。在SSL VPN中，将用户的登录设定为自动跳转到堡垒机，通过堡垒机再访问相关的设备和电脑，实现远程访问有监管有记录有审计，可管可控。

2 服务器和存储备份安全

系统服务器双机备份常用的是采用双机冷备份或通过心跳线热备份的方式实现。我院结合自身设备特点，采用了赛门特克Veritas Cluster Server技术，在IBM刀片机上建了一个N+1 VCS集群，即多台服务器对应一台备份机，当其中一台出现问题，都会自动切换到备机，实时快速，同时节约了备份机。两套IBM DS5020存储阵列（一台在主机房、一台在备份机房）通过光纤直连，采用remote mirror远程镜像备份技术，将主机房存储的实时数据复制到备份存储系统，提供于业务连续性和灾难恢复的复制功能。

3 保证操作系统安全

操作系统是软件系统基础，保证其安全是必须的。我们对服务器进行了主机加固，关闭了不必要的服务，安装了赛门铁克防火墙、赛门铁克网络版杀毒软件，莱恩塞克内网安全管理系统等来保证内网服务器和工作站操作系统安全。其中内网管理系统控制和监管了移动介质的使用，屏蔽了未经授权的移动介质接入网络，避免了医院数据的外泄及感染病毒，同时，还能对内网中每一个计算机进行远程的桌面管理、资产管理、配置管理和系统管理等。

4 核心设备配置修改和访问安全

服务器在注册表中关闭了远程访问功能， 网络交换机都关闭了TELNET功能，关闭命令： undo telnet server enable通过网络堡垒机可视化的web管理界面统一配置和管理所有服务器和交换机，利用堡垒机可控制、可审计、可记录、可追溯的特性，保证对服务器和交换机的安全管理，避免配置和修改服务器、交换机时不慎造成故障。

5 数据库和网络安全审计系统

为了保障网络和数据不受来自外部和内部用户的入侵和破坏，我院通过旁挂模式接入了数据库和网络安全审计系统，实时收集和监控网络、数据库中的系统状态、安全事件、活动，以便集中报警、记录、分析、处理，实现“事前评估—事中监控—事后审计”，对数据库和网络中的操作和更改进行追溯和还原。

6 健全安全管理制度，加强执行

建立了严格的规范的规章制度，规范网络管理、维护人员的各种行为，保障网络安全。如建立了“中心机房管理制度”“机房设备操作制度”“机房出入制度”“设备巡查制度”“工作站操作制度”等。

我们规定网管人员每天必须查看智能网管系统、堡垒机、数据库审计、网络审计、中心服务器、杀毒软件等的日志，做好记录。通过日志，及时发现网络和设备故障隐患，发现非法入侵和使用，不正确的配置和修改。

7 结 语

随着医院信息化建设的不断深入和扩大，信息系统的安全性日益重要，但医院信息系统的安全保障是个系统工作，只有采用多种技术和措施，才能保障。我院从网络安全、设备安全、操作系统安全，系统配置安全，安全审计管理等方面加强保护，健全安全管理制度，切实落实和执行，取得了良好的效果。下一步，我们将逐步建立数据级、应用级的灾备中心，进一步保障医院业务系统的连续可用性及数据安全性。