浅谈等保2.0评审和医院信息化整改

卢方建

（阳江市妇幼保健院，广东 阳江 529500）

一、医院面临的网络安全威胁

（一）医疗敏感信息泄露

医院内部专用网络每天收录大量的病患信息，处理大量的钱款收支，为医院的信息化日常工作提供必要的技术支撑。医疗敏感信息，包含了大量患者的真实重要资料，一旦这些信息被恶意分子所利用，将造成严重的后果。

（二）病毒木马攻击

医院内网之间数据共享程度高，查病杀毒措施不到位，一旦有病毒或者木马入侵，将造成终端主机无法使用，如果发生交叉感染，将影响整个网络的电脑使用，甚至波及服务器，造成极其严重的后果。

（三）网络中断导致医院发生群体事件

前段时间，某市一家医院中了勒索病毒，各科室的终端电脑无法正常使用，网络中断，服务器异常，HIS系统宕机，医院紧急切换手工模式，但是效率低下的手工模式，让大量医患都拥挤在门诊大厅中，秩序凌乱，无法正常开展业务工作，给医院造成很大的影响。

二、薄弱点分析

为了避免上述各种不良事件的发生，我们要找到薄弱点，通常的薄弱点表现在下面这些地方：

（一）弱口令：网络设备、安全设备、操作系统、数据库等存在空口令或弱口令帐户。

（二）高危端口开放：网络设备、安全设备、操作系统等存在多余系统服务/默认共享/高危端口。

（三）系统补丁漏打：互联网直接能够访问到的网络设备、安全设备、操作系统、数据库等，存在重大安全漏洞未及时修补更新。

（四）防恶意代码软件缺失：操作系统未安装防恶意代码软件，未进行统一管理。

（五）备份机制缺失：未提供任何数据备份措施，一旦遭受数据破坏，无法进行数据恢复。

（六）单点故障：未采用热冗余技术提高系统的可用性，核心处理节点存在单点故。

（七）重要数据明文传输、明文存储：用户鉴别信息、个人敏感信息数据、重要业务数据等以明文方式在不可控网络中传输和存储。

（八）违规采集、违规使用：未授权情况下，或超范围采集、存储用户个人隐私信息；未授权情况下将用户信息提交给第三方处理，未脱敏的情况下用于其他业务用途，未严格控制个人信息查询以及导出权限。

（九）设备性能不足、区域划分不合理：重要业务系统使用的设备性能不足、网络区域划分随意，没用重点防护。

（十）无线未限制：无线接入终端没用进行严格的控制，如手机、笔记本等。

（十一）无审计措施：未建立审计管理制度、未部署审计相关设备。

（十二）缺少入侵防御手段：关键网络节点未采取任何防护措施，无法检测、阻止或限制互联网或从内部发起的攻击行为。

（十三）运行监控措施缺失：无任何系统监测措施，发生故障时难以及时对故障进行定位和处理。

（十四）日志存储不满足要求：相关设备日志留存时长不满足网络安全法相关要求。

（十五）事件发现处置措施缺失：未部署相关安全设备，识别并告警网络中发生的安全事件。

三、整改方向

信息化整改是一个系统工程，要从多个方面多个维度来进行加强和改进，具体分为：访问控制、入侵防范、系统脆弱性、恶意代码、数据备份、架构安全、数据保密性、个人隐私、网络架构、边界防护、安全审计、入侵防范、系统管理、审计管理和集中管控等。每一个方面都有对应的改进策略，下面以等保2.0的标准为例。

四、以等保2.0为标准的医院信息化改进

（一）等保2.0对比1.0的主要变化

1.名称的变化：1.0是信息系统安全等级保护基本要求，2.0是网络安全等级保护基本要求。

2.定级对象变化：1.0只针对信息系统，而2.0针对信息系统、基础信息网络、云计算平台、大数据平台、物联网系统、工业控制系统、采用移动互联技术的网络等。

3.安全要求变化：1.0的安全要求和2.0的安全通用要求+安全扩展要求。

4.安全控制措施的分类结构变化：1.0的技术（物理、网络、主机、应用、数据）+管理，和2.0技术一个中心三重防护（安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心)+管理。

5.等保工作内容变化：1.0等保工作五个环节变为2.0等保工作五个环节+新七项。新七项包含：安全检测、通报预警、案事件调查、数据防护、灾难备份、应急处理、风险评估。

（二）等保合规建设步骤：定级、备案、建设整改、等级测评和监督检查。

（三）建设整改，从多个方面入手：

1.物理安全防护整改：严格按照国家机房建设标准的要求，基本设施要做到位，电力供应要有双路供电，市电和UPS都不可或缺；防盗窃和防破坏，门禁系统和摄像头要安装到位；防雷击、防火、防水和防潮、防静电、温湿度控制，温湿度控制系统以及精密空调要有；电磁防护、物理访问控制和物理位置选择都要达标；消防设备要重视，定期检查不可少。

2.信息系统整体架构整改：要为整个信息架构画出一张整体网络拓扑图，分区域模块化，互联网和内网之间要设立各种保障安全通信的设备，包括防火墙，VPN，入侵防御等，医院内的内外网之间也要设立网闸，服务器放在核心应用区内，与外部进行物理隔离，需要连接外网的前置机服务器放在DMZ区，既能联通，又保障安全。存放HIS等服务器的核心应用区采用双防火墙双交换机模式，双机双活提供可用性。医保、公安等专线接入，也要通过防火墙才能进入内网。设立安全运维审计区，安全设备包括病毒防护服务器、终端安全管理、统一安全管理平台、漏洞扫描系统等，以及运维设备的统一运维管理平台，还有审计设备的数据库审计和日志审计等，都在这个区域中。日志审计强制要求保留6个月历史数据。对于数据备份，要求有数据备份和恢复功能，以及异地实时备份。

这样就从多维度上，构造了一个满足等保2.0的信息系统整体架构了。

五、结语

《网络安全法》明确提出，国家实行网络安全等级保护制度，网络运营者应当按照网络安全等级保护制度的要求，履行安全保护义务。达到等保2.0的新标准新要求，既是义务也是信息化进步的一次契机。