医院信息网络安全建设讨论

【摘要】    随着社会的发展，技术的进步，医院信息化程度越来越高，加强医院信息网络安全尤为重要。本文以东南大学附属中大医院为例，讨论医院信息网络安全的建设。

【关键词】    网络    网络安全    网络安全管理

随着社会的发展，技术的进步，医院信息化程度越来越高，医院的日常业务越来越依赖医院信息系统。因此，在新环境下加强医院信息网络安全尤为重要。本文以东南大学附属中大医院为例，分网络架构、网络安全、信息网络安全管理三个部分来讨论医院信息网络安全的建设。

一、网络架构

网络架构是医院信息网络安全建设的基础，下面是以东南大学附属中大医院为例，讨论医院网络的架构。

合理的网络架构是成功的一半，大中型网络通常由核心层、汇聚层、接入层三层结构组成，网络结构较为清晰，便于以后扩展。但是基于性能、价格以及单点故障等多方面考虑，目前医院网络结构的选择越来越倾向于核心层、接入层组成的二层结构星型网络。

1.1网络结构选择

網络结构上减少汇聚层，主体选择星型扁平化网络。以东南大学附属中大医院为例，整个网络除个别老楼有汇聚层之外，其余都是核心层、接入层组成的二层结构的星型网络。

1.2桌面交换机选择

接入交换机通常是低端的交换机，价格便宜，性能与稳定性稍差，组网简单。通常不支持多vlan，这样管理和业务往往会共用一个vlan，不利于管理，适合于较小的网络环境。东南大学附属中大医院接入层桌面交换机选择三层交换机，支持多vlan管理。在中型和大型网络建设中，星型网络结构与全三层网络设备都是成功的关键。接入层桌面三层交换机配置时每台交换机只设置两个VLAN，其中一个业务vlan、一个管理VLAN，业务vlan只分配交换机接口，不配置路由以及访问控制列表，管理VLAN只设置交换机管理ip地址和网关，不为分配交换机接口。接入层三层桌面交换机配置功能尽量精简，这样稳定性会得到增强，对于这一点在医院应用中尤为重要。

1.3主干三层网络

接入层三层桌面交换机其业务vlan不配置三层路由，只对端口进行二层配置，所有业务数据转发都集中到核心三层交换机。尽可能每台接入层三层桌面交换机都使用双路光纤直连核心三层交换机。有条件在每幢楼的每一层都配备一个网络配线间，每一个网络配线间内每种业务网络单独分配一个VLAN。保障每台接入层三层桌面交换机都拥有足够的IP地址，IP地址按设定规则分配，便于管理。而光纤两端连接的接入层三层桌面交换机与核心三层交换机的光口配置为Trunk模式，光口的Trunk模式设置只允许接入层三层桌面交换机的业务vlan和管理VLAN这两个VLAN通过，提高了数据转发效率，限制广播风暴。

1.4网络管理

东南大学附属中大医院将所有交换机都纳入管理，统一进行AAA认证，通过网络管理软件使用大屏幕实时展示医院网络拓扑图。通过网络准入管理系统实时监控和管理医院全网所有网络连接的终端，配合医院实时网络拓扑图可以及时发现网络故障情况，快速获取故障信息、锁定故障点。所有交换机均实现统一的自动备份，将每台交换机的配置文件按照日期一一保存，方便随时查验和使用。东南大学附属中大医院信息中心常备接入层桌面交换机的备机，必要时及时导入相应配置及时现场更换。

两台核心三层主交换机双机运行、接入层三层桌面交换机双光纤组成双链路分别连接两台核心三层主交换机，组成的二层结构的星型网络，配合AAA认证、准入管理、实时网络拓扑图大屏展示、网络管理软件等组成了医院网络的架构。

二、网络安全

网络简单来说，可以看作是一台扩大了的计算机，可以实现运算、存储、数据传输等功能。例如英特网既是全球通讯系统、是海量存储器、也是超级运算体。网络数据通讯需要数据传输双方遵守共同的协议，这些通讯协议往往具有简单、开放的特性，在开放性网络中传输信息，信息容易被截获，网络安全的概念也就应运而生。以东南大学附属中大医院为例，讨论提升网络安全性的具体措施。

东南大学附属中大医院的网络安全结构由入侵检测、网闸、堡垒机、防火墙、路由器、准入管理、三层交换机、接入层交换机（或AP、AC）、虚拟服务器、VPN虚拟终端、杀毒软件、终端台式电脑、移动终端等组成。现在医院信息化开放性发展往往带来各种安全隐患。各种外部开放式网上查询、挂号、付费等服务，各种医疗工作使用的移动平板电脑、移动工作站、移动医疗仪器等无线设备的使用，各种点餐app、移动护理、移动电子病历、移动查房等信息系统的复杂应用，各种医院联合体、医保单位、医疗单位以及政府单位的互联互通等都会给医院网络安全很大压力。

2.1医院内部网络安全防护

医院内部网络结构明了，其安全通常使用医院内部网络中防火墙、网络管理软件、路由策略、准入管理、杀毒软件、桌面管理软件等来实现。医院内部业务网络的安全，以网络的物理隔离为主，以人员的网络安全培训、操作规范培训等网络安全管理为辅。以路由策略为例，医院内部网络不通设备的访问。可以在交换机接口上设置IP地址，通过路由配置，实现某一个IP地址或者几段IP地址对另外某一个IP地址或者几段IP地址进行访问，如HIS网络与PACS网络的互相连通。HIS网络通过路由与PACS网络的连接，可以在保障网络访问的情况下，规避PACS网络的大量数据包的影响、规避网络风暴。

2.2外联型网络常规安全防护

医院外联网络情况复杂，如医院联合体等医疗单位以及政府单位下的互联就有：合作医疗、社区系统、远程会诊、区域PACS、政务网、医疗网等等不同的情况，网络安全实现难度大。

1.在没有专线网络的条件下，使用数据加密技术，保障网络安全。数据加密（Data Encryption）技术是指将一个信息（或称明文，plain text）经过加密钥匙（Encryption key）及加密函数转换，变成无意义的密文（cipher text），而接收方则将此密文经过解密函数、解密钥匙（Decryption key）还原成明文。加密技术是网络安全技术的基石。

2.外联服务端口层面的点对点路由，通过路由来最大程度限定网络的访问。

3.通过防火墙，实现常见攻击的防御，实现通讯端口级防护，实现对访问路径方向的控制。

4.在内部网络实现精确路由，最大程度限定路由路径，尽可能限定到IP地址，提升网络安全性，也为安全监控与安全分析提供便捷。

5.在不影响网络性能的情况下有条件地使用地址访问列表，控制网络访问规则，提升网络安全性。方便网络安全分析。

6.使用杀毒软件、准入管理、桌面管理软件、防病墙等安全软件或硬件，监控业务服务器，保障业务网络安全。

7.经常日志分析，分析安全状态

2.3外联型网络动态安全防护

网络系统在众多的安全挑战中，有一种具有组织性、特定目标性以及长时间持续性的网络攻击危害极大，国际上常称之为APT（Advanced Persistent Threat），APT攻击者攻击前往往进行时间跨度可长达数月甚至数年的长时间的准备，其攻击具有极强的隐蔽性和针对性，这对医院集团化、交互式发展有着很大的威胁，医院这些外围的节点往往是防护脆弱的。我们从以下三点来应对：

1.建立多维度的协同防御体系，从而能够从不同的角度防护可能的APT攻击。

2.对网络进行长期检测、分析日志的工作，重点监测网络流量是否异常，重点分析客户端和服务器的各种状态参数是否异常。

3.利用大数据分析技术实现信息共享，共同关联分析、综合预警。

2.4医院网络安全的策略应用与总结

随着医院内部网络的复杂化、庞大化，随着医院医疗层面的业务联合化，医院网络安全也需要联合化，政府、公安、各医疗组织联合起来，所有单位的网络及安全设备、安全软件，组成一个庞大的安全触角，联动管理、联动分析。安全日志共享、联动，加强对服务器和客户端运行环境的监控与预警，联合起来针对通讯协议、针对网络数据，使用大数据进行宽时间域数据关联分析、宽应用域事件关联分析，尽可能攻击溯源或增加攻击者的攻击成本并加强脆弱方面的安全措施、监控和行政管理，最大程度保障医院网络的安全。

以东南大学附属中大医院某个独立实验室网站外部访问为例，实验室网络所有外部访问都需要严格审核，进行授权管理，严格把控外部通讯端口的开启。网络内外访问尽可能使用NAT，如无必要，及时关闭所有外部访问，尽可能保持网络内外隔离，保障内部网络的安全。

医院实验室因联合各单位科研方面的需求，实验室网站与外部相关科研单位的Internet相互访问不可缺少。在满足需求的同时，尽可能最大程度考虑网络安全，实验室每日汇集各种日志信息進行安全分析并与医院网络中心对接，上报每日安全分析资料。实验室内部网络是实验室内建立的独立局域网，不与医院内部网络互连，保障医院内部网络的安全。

三、医院信息网络安全管理

医院网络的安全漏洞有很大一部分是由于管理制度不够完善造成的。因此，建立一套完善的信息网络安全管理制度是医院建设所必不可少的。以东南大学附属中大医院为例，通过加强网络管理，定期完成操作系统安全策略的维护与检查、应用程序及数据的备份、防火墙和路由器的安全检查、系统日志的分析与备份等方面的制度，弥补了医院的安全漏洞，提升了信息网络的安全性，保障了医院的医疗服务、科研服务和管理决策。具体的信息网络安全管理做法如下：

1.加强院内培训与学习，避免网络安全中常见的人为威胁。

2.机房管理人员，保障机房服务器与网络设备等硬件设备的安全使用，进出机房需要登记，保障机房的电源、UPS、防雷系统、温度、湿度等各种状态的良好，做好每日机房日志记录。

3.网络管理员保障网络硬件设备的使用状态良好，保障其配置策略安全。做好交换机、路由器、堡垒机、防火墙、入侵检测、vpn等设备的日常状态分析和日志记录。

4.服务器管理人员，保障服务器系统运行安全，保障服务器中各应用服务权限的安全分配与控制，做好服务器的操作系统、数据库、存储、应用服务的每日安全分析与日志记录。

5.建立完备的医院信息网络安全预案，保障医院信息网络的安全。

为及时处理医院信息系统的各种故障，保障门诊、病房信息系统的正常工作，保障医院科研工作，保障医院管理决策，我们需要不断地提升医院信息网络的安全。

参  考  文  献

[1]王晓丽，丁月红，陆昊. 等保2.0要求下医疗网络安全建设与管理研究[J]. 中国数字医学.2020（12）

[2]杨瑾.医院信息系统的网络安全建设分析[J].  数字技术与应用.2016（11）

张云磊（1980-），男，汉族，江苏南京，硕士研究生，工程师，研究方向：医院网络信息软硬件维护和安全管理。