互联网医院、医联体环境下医院信息系统网络安全保护探索

邵京

摘 要：在分析当前互联网医院网络安全管理建设存在的威胁与挑战的基础上，提出应对的管理防范措施，确保今后互联网医院、医联体业务顺利开展。

关键词：互联网医院业务；内外网；网络安全

ABSTRACT： Based on the analysis of the threats and challenges in the construction of network security management in Internet hospitals， this paper puts forward management precautions to ensure the smooth development of Internet hospitals and medical consortia in the future.

Key words： Internet hospital business； Intranet and extranet； Network security

一、现状

从2018年以来，国家正式发布《关于促进“互联网+医疗健康”发展的意见》等相关政策。允许依托医疗机构发展互联网医院，医疗机构可以使用互联网医院作为第二名称，允许在线开展部分常见病、慢性病复诊。在此之前2015年国家发布了《关于推进分级诊疗制度建设的指导意见》 提出部署加快分级诊疗制度建设，形成科学有序的就医格局提高人民健康水平，进一步提高和改善民生。在这个趋势下各医院都开始探索互联网医院和医联体网络建设工作。目前互联网医院和医联体系统主要的应用模式是：利用互联网为患者和医院之间提供一条信息传输通道，从而实现患者在线上就医，网络远程门诊、医联体上下级医生共同对患者诊疗、上级医生远程会诊，开具处方及各种检验申请单等等功能。

如此众多的功能通过互联网实现，造成医院信息系统网络面临着比以往更复杂，更严峻的安全威胁。

二、 互联网环境下出现的新威胁

（1）病毒威胁。2017年5月勒索病毒在全球爆发，中国大陆也是重灾区，医疗卫生行业也屡屡遭受勒索病毒攻击，由于勒索病毒主要通过网络传播，在互联网医院，医联体迅猛发展趋势下，医院的信息管理系统暴露在互联网环境下，更容易遭受勒索病毒及其变种的攻击。

（2）网络黑客攻击威胁。网络黑客利用各种技术手段对互联网医院，医联体网络系统的ip地址，服务端口，系统漏洞进行攻击，造成部分或全部应用宕机，严重情况下甚至会导致医院内部网络上运行的业务宕机。

（3）拒绝服务攻击威胁。利用网络系统中存在的漏洞，向互联网医院，医联体网络系统发送大量的无效报文，造成整个系统瘫痪。

（4）管理意识跟不上时代的发展。在互联网+时代下，由于存在巨大的利益诱惑和技术进步，黑客们非法入侵的冲动和手段都史无前例的提高，各种新的入侵方法层次不穷，原有的管理方法已经不能适应目前的安全威胁。

三、应对措施

（1）合理规划网络连接方案

医院在条件允许的情况下分别建设办公外网和互联网医院业务外网，不要将这两个网络混在一起使用。因为办公外网安全防护等级要求较低，容易被病毒攻击，增加了互联网医院业务外网暴露在病毒攻击下的概率，同理也增加了被网络黑客攻击的概率。另外可以将医院办公外网设置为互联网医院业务外网的备用网络线路，这样一旦互联网医院外网发生网络运营商故障，可以切换到备用线路上，尽快恢复互联网医院业务正常运行。

（2）重视边界之间防火墙和网闸的防护

在网络防护安全防护措施中，防火墙是最基本的防护手段也是最有效的防护手段，在互联网医院外网上配置性能最强的防火墙，设置最高的安全防护级别，关闭目前已知所有的易受攻击的网络端口，各种服务要想对应的端口，将防火墙安全策略颗粒度由IP地址限制，提升为IP地址+服务端口限制，原则上不开辟FTP和远程桌面这些高风险的服务。在内外网之间部署网闸，实现完全隔离网段之间的数据交换，设置好数据交换策略，在确保安全的基础保证数据传输通畅。

（3）规划建设服务器安全区

服务器是互联网医院系统的关键所在，做好互联网医院系统下的服务器网络安全防护是应对新威胁的重要手段，为服务器所在业务网段里部署入侵检测设备，网络势态感知设备，网络负载均衡设备，防病毒设备等安全设备，强壮整个区域的安全性能，设置好相应防护策略，及时更新系统固件，打好补丁。另外安全区内所有安全设备和网络设备的系统管理密码要进行更改，并且符合密码最小复杂度要求，设定密码多次输入错误锁定账户策略。

（4）做好网络流量分析

利用网络流量分析工具，对网络设备、接口、应用、主機、会话等流量数据进行详细分析，出具分析报告，找出网络中存在的异常流量，确认是否属于病毒或黑客攻击，并且根据实际情况利用白名单黑名单方式进行管控。

（5）建立健全网络安全管理制度

根据医院网络设施情况的现状，逐级完善各级网络安全责任制。贯彻执行“谁使用，谁管理”、“谁主管、谁负责”的安全工作原则。从医院管理者的角度确立网络安全的重要意识，制定出针对性较强的安全管理措施，做好管理制度执行的监督措施。在日常巡查管理中，对所有网络安全设备产生的日志要进行认真检查，发现异常及时上报，处理。在网络系统更新，参数调整的等维护工作中，事先做好测试、备份工作，修改更新内容详细记录，操作完成后观察使用效果，确保正常后再移交给相关使用部门。

四、结语

构建符合信息系统网络安全等级保护要求的安全体系，关键要从基础架构、网络设施、安全策略，管理措施等方面多管齐下，-6+保证医院信息系统网络安全，为互联网医院这一新鲜事物提供安全稳定的网络环境，促进优质医疗资源合理利用，改善患者就医体验。

参考文献：

[1]李金苗，王晓丽，陈浩 等.大型公立医院建设互联网医院的探索 [J] 医学信息学杂志 2018年第39卷第2期

[2]叶庆裕 .新时期医院内外网络安全建设探索 [J]医学信息学杂志 2017年第38卷第6期

[3]沈超 .医院信息安全管理[J] 医疗装备2017年10月第30卷第20期

[4]孟晓阳，朱卫国，李连磊 .“互联网+”对医院信息系统安全的挑战与对策 [J]医学信息学杂志 2016年第37卷第12期