医疗机构信息安全探析

周 毅 潘 敢 殷 鸣

(湘潭市中心医院信息科 湘潭 411100)

1 引言

迅速发展的网络[1]通讯技术在带给人们极大便利的同时也隐藏着种种危机。2017年6月国家正式实施网络安全法，其中明确规定实行网络安全等级保护制度，要求按照网络安全等级保护制度履行安全保护义务，保障网络免受干扰、破坏或未经授权的访问，防止网络数据泄露或被窃取、篡改。

2018年2月湖南省某医院由于受到勒索病毒[2]的攻击，系统瘫痪1天。2016年7月香港卫生署信息系统遭黑客入侵，近10万人受影响。2015年美国第2大医疗保险公司Anthem遭黑客入侵，8 000万用户数据遭泄露，同年美国UCLA医院遭黑客入侵，450万份医疗记录遭泄露。医疗行业逐渐成为黑客入侵的高危行业，信息安全[3]必须引起高度重视，做好信息安全工作是医疗行业安全工作的重中之重。三甲医院核心业务保护等级应不低于3级。

2 现状及存在的问题

针对信息安全和等保评级，为更清楚地了解信息安全工作现状和最新动态，邀请有专业资质的评测公司对医院信息安全工作进行彻底全面的评估。经评估在安全管理和安全技术[4]方面存在不足，在信息安全方面与3级等保要求和自身业务安全需求还在一定差距。第一，安全管理方面，只有普通的信息化相关制度，缺乏专门、体系化制度，包括顶层信息安全管理策略[5]方针、细化的管理制度和流程、外包服务安全管理制度，外包开发系统上线前未进行安全评测。第二，安全技术方面，信息安全基础设施投入不足，没有入侵检测系统、日志审计系统等安全防护设备，多个服务器、中间件、数据库及应用系统存在弱口令，存在入侵攻击风险、服务器补丁更新不及时、漏洞等隐患[6]。

3 整改措施

3.1 概述

针对评测结果给予高度重视，湘潭市中心医院组织科室全体人员学习上级整改意见，参照《信息安全技术 网络安全等级保护基本要求》[7]，见图1，结合自身实际进行全面整改。

图1 信息安全技术 网络安全等级保护要求

3.2 安全策略和管理制度

明确“统一领导，责权明确，技管并重，重点防护”的思想。新增和修订《系统管理规定》、《数据管理规定》、《网络管理规定》、《用户管理规定》、《信息系统应急预案》、《外包项目管理规定》，这些制度和章程的确立使管理更加规范。

3.3 安全管理机构和人员

成立以主管院长为组长的信息安全管理领导小组，涵盖部门，见图2。小组制定信息安全工作总体方针和安全策略，全面负责信息网络安全建设和重大信息网络安全突发事件的应急处理。通过设置该机构能够协调和调动全院资源实施信息网络安全规划，组织应急演练和处置。领导小组配备专职安全、系统、网络、数据库管理员，由专职安全管理员[8]加强与公安网监和市网信办的联络。对人员权限进行清理，对长期闲置账号予以注销，对权限过大的账户进行变更，与关键岗位人员签署岗位责任和保密协议。

图2 信息安全管理领导小组

3.4 安全建设管理

根据使用系统的不同和重要性分别划分各部门的保护边界和安全等级并向主管部门和公安机关报批和备案，将等保工作细化。对购入的信息安全产品要求供应商出具权威测评机构的测试报告给院方，要求软件开发单位提供源代码，以审查[9]软件中是否存在已知的后门和隐蔽信道，在上线前进行安全测试。

3.5 安全运维管理

对机房安装门禁，严格机房出入管理并加装监控摄像头，对机房人员活动实时监控。对官方发布的漏洞和风险即时采取必要措施并记录在案。将全院所有计算机进行交换机端口的绑定并将计算机地理位置登记造册，录入自主研发的IP登记系统以便于管理，任何没有在交换机上绑定的计算机不能接入内网。所有需开通互联网的计算机应出具书面报告，交领导签字认可并纳入上网行为管理范畴。重新清理网络设备，对设备具体型号、软件组件、版本信息建立科室台账，重新绘制网络拓扑结构图。对原有的备份方法进行优化处理，增加备份方式以提高数据安全性。细化《信息系统应预案》中启动预案的条件、处理流程、恢复流程、事后总结和培训规定，规定每半年举行1次多部门合作应急演练[10]。

3.6 物理和环境安全

对现有机房设施进行整改，对机柜、服务器、UPS等设备加装防雷保护器。将物联网技术加入到药品和试剂冷链系统平台上，实时采集温湿度数据形成报表，超过设定阀值立即发送短信至机房管理员。将原来3 000伏安的UPS换成10 000伏安，达到接入更多设备和供电更长时间的目的。

3.7 网络和通讯安全

在原来HP 3层核心交换机基础上增加迈普核心交换机形成网络核心冗余。根据服务器角色的重要性对网络进行安全域划分，在内外网的安全域边界设置访问控制策略，配置到具体端口，禁用不必要的端口。在交换机上添加策略，禁止使用3 389和445端口。防火墙按照第1层基于IP的访问控制，第2层基于用户身份的访问控制[11]。设置策略控制非法登录次数和超时退出。远程管理使用加密协议SSH。定期升级特征库。设置字母、数字、符号相叠加的复杂口令并定期更换。在网络边界处部署入侵防护手段，防御并记录入侵行为，对网络中的用户行为日志和安全事件信息进行记录和审计，对安全设备、网络设备和服务器进行集中管理。

3.8 设备和计算安全

实行系统分级管理，操作系统和数据库系统特权用户分离，由不同管理员管理特权。重命名系统默认账户，对权限严格限制并修改口令。采用旁路接入的方式部署数据库审计系统，深度解析访问行为，记录操作人用户名、操作时间、主机名、IP地址、客户端软件名称等，便于追溯。旁路阻断非授权访问，灵活识别可疑操作并即时短信告警，确保日志安全存储、稳定可靠。操作系统遵循最小安装原则，仅开启需要的服务，安装需要的程序和组件，最大限度降低系统遭受攻击[12]的可能性。建设信息集成平台，监控服务器的CPU、内存、硬盘和网络资源使用情况。

3.9 应用和数据安全

应用安全策略限制单用户不能同时多点登录，配置应用根据不同用户的资源使用优先级分配系统资源[13]。利用校验和加密技术保证数据在传输和存储过程中的完整性和保密性。对重要信息系统在原来IBM双机的基础上再加上DG实现异地容灾。

4 结语

习总书记指出“没有网络安全就没有国家安全”，网络安全已经上升为国家战略高度。针对网络安全需要树立动态的综合防护理念。从最初的收费管理到当前的临床大数据，越来越多的医院业务[14]正依靠信息网络技术运行。内外网的融合加大医疗信息的潜在威胁，来自于内外网的大量信息[15]交互使医院信息系统面临日益严重的安全威胁。医院信息系统等级保护测评提供一种良好、具有标准化参考价值的依据，通过定级、备案、建设整改、等级评测以及策划-实施-检查-改进(Plan-Do-Check-Adjust，PDCA)循环迭代的改造，使医院的安全边界更加牢固、安全策略更加可靠。等保是功能的要求，不是设备的罗列，医院信息系统整体安全目标的实现除必要的安全技术手段外还需有相适应的安全管理体系，只有管理和技术并重才能不断提升医院安全管理水平，从而实现为公众提供安全、高效的医疗卫生服务这一目标。