大型公立医院信息安全管理实践与思考

大型公立医院信息安全管理实践与思考

蔡亮

江南大学附属医院 江苏省无锡市 214000

摘要：本文根据作者长期工作实践，对大型公立医院所面对的信息安全威胁、信息安全的管理、信息安全应对策略等提出了个人的建议与思考。

关键词：信息安全 公立医院 安全策略

一、当今信息安全背景

1、十年以前各级管理部门对信息安全的指导监督工作形式大于内容，多以强调其重要性、传达精神为主，并无切实可操作的手段来有效推动信息安全建设，各种培训讲座和安全检查也流于形式；随着信息安全上升为国家安全高度，没有网络安全就没有国家安全，以我国正式出台《网络安全法》为标志，各管理部门开始实质性的采取硬核行动切实加固信息安全监管，以医院为例，形成了市网信办、公安网络安全支队、市卫生健康委三部门从不同的侧重点共同管理监督网络安全工作，从行政管理和技术手段两方面入手，网信办和公安网安支队多次组织攻防演练，并不定期、不提前告知的组织实战渗透，以技术手段发现各单位存在的信息安全问题，发现问题立马通报并限期整改，极大的改善了信息安全现状，并从根本上扭转了各单位信息安全管理人员的固有思路，使得各单位始终主动高度关注信息安全变成了现实。

2、随着中国的全方位崛起，中美两国在多领域出现利益冲突，两国陷入了多方面的竞争态势，美国继续秉承霸权主义思维，以国家信息安全为借口无端打压华为，并伙同其盟友共同针对华为等中国公司，使得信息安全话题不断暴露在公众面前，全世界从未像现在这样高频次的提起信息安全。随着中美关系恶化，西方反华反共势力借助网络不断散播虚假言论，甚至传播反共标语，社会正常秩序收到严重影响。

二、大型公立医院信息安全方面威胁

1、医疗数据安全受到威胁。

我国大部分医院的信息化建设始于上世纪末，经过二十多年的发现，大多数的三甲医院信息系统比较完善，都已存储了由诸多公民健康数据为基础组成的医疗大数据，这些数据是国家公共资源的一部分，有着非常重要的作用，医疗大数据对于公民健康评估、疾病预防、诊断、治疗等都有着非常重要的作用，除此之外，医疗大数据在科研和教学方面更是不可或缺；同时，医疗大数据有着极高的商业价值，各销售人员在掌握医疗大数据后，使得销售更加有的放矢，高额的商业利润导致违法犯罪活动，媒体频频曝光买卖医疗数据的违法犯罪活动，部分数据甚至卖到了国外；医院所记录的患者医疗数据并非医院所有，医疗大数据作为一种国家基础公共资源不允许被篡改、被损毁、被窃取、被盗卖，这些数据的主管单位必须保障数据的完整性、私密性、可用性，通过合法合规渠道发挥大数据价值。

2、互联网+业务太多，风险增加

随着医院信息化应用的多样性不断增加，医院信息系统的互联网+业务逐渐增多，医院由原来的封闭的局域网已经延升至整个互联网，不断有主机和服务端口暴露于互联网中，传统的网络边界被打破，由此给患者带来方便的同时，医院的信息安全工作压力陡增，再加上医疗业务的特殊性必须保证全天二十四小时保持业务畅通，从上线开始就不允许掉线，给管理带来更大困难。

图1 江南大学附属医院信息安全示意图

三、信息安全管理策略

1、信息安全产品分类

安全产品种类繁多，各种新名词产品层出不穷。在应用仲可根据其安全原理可以分为以下几类：

1.1终端安全类

包括桌面管理、准入系统、杀毒系统、补丁升级、防攻击等，终端安全类产品是信息安全的最后一道防线，终端设备本身的安全加固对于整个系统有着重要的、基础性的作用。目前终端安全产品功能不断完善，已经从最开始的杀毒功能拓展到了准入认证、桌面管理、补丁漏洞升级等诸多功能，终端安全产品是整个信息系统里必不可少。

1.2特征库匹配文件或行为类

此类安全产品一般部署于网络层，多为串接于网络设备之中，通过网络流量的过滤可阻止病毒的传播止攻击行为，如入侵防御系统、WAF等，该类设备有强大完整的特征库，特征库需要不断升级到最新，

1.3隐藏真实IP地址和端口类

此类安全设备是网络安全设备最有效性的防御工具，其基本思路是在无边无垠浩如烟海的网络中隐藏自己的IP地址和服务端口，使得未经允许的设备很难发现它保护的系统，包括数据库防火墙、网络防火墙、网闸等大名鼎鼎的安全保护设备都可以算作该类安全设备。

1.4安全审计类

安全审计类产品本身不阻止病毒或攻击，却有着非常强大的潜在威胁发现能力，这些设备一般旁路接入网络中通过镜像交换机数据而获得整个网络流量数据，这些设备本身有着庞大的知识库，对镜像到的流量进行分析，诸如漏洞扫描系统、深度威胁扫描、网络审计、数据库审计设备等，这些设备不仅可以提前预知风险，而且在发生网络安全事故后的追钟溯源方面有明显作用。此类安全审计类设备是分析评估网络安全风险必不可少的设备。

图二某品牌漏扫设备报告

2、配置安全策略原则

2.1按需配置

信息安全设备功能繁多，部分功能重复冗余，为避免对业务系统造成卡顿、响应速度慢等明显影响，策略配置时应该需要根据业务系统的安全需要配置，

2.2灵活配置

策略配置应该可紧可松灵活配置，例如做访问控制策略，应该尽量做到最小分组，给不同分组分配最小的访问权限，对于某些威胁等级高的做严格访问控制，对某些威胁等级较小可适当放开访问控制权限。

2.3从严配置

对于某些未知的风险应该按照从严策略配置，宁可信其有不可信其无的态度对待各种网络风险，比如全网严格封禁例如139、445等高危端口，重视安全审计类设备的风险预警，必须分析漏洞扫描设备和深度威胁扫描设备等的风险报告。

3、安全策略与应用系统之间的关系

3.1、原则上业务系统应该为安全让路

在工作中网络安全与业务系统之间往往表现出诸多的矛盾之处，越是严格的网络安全限制越会对业务系统的部署和运维带来不便捷，为某个业务系统开一扇门的时候也为他人入侵开了一扇窗，而信息安全最本质的目的是保障各业务系统的可用性和数据的完整性，正确处理好信息安全和业务系统直接的关系非常重要，作为信息安全管理人员应该在原则上坚持信息安全不为业务系统让路，在实际中可根据情况反复调试直到满意为止。

3.2、必须在理清业务系统需求基础上配置

医院业务系统多且杂，部分软件上线时间久远，在软件代码方面漏洞百出无法满足信息安全要求，信息安全管理必须理清各业务系统的来龙去脉，有的防矢的配置保护策略，不到万不得已不应采取一刀切的粗暴做法。

3.3举一反三，使安全策略与业务系统达到最佳搭配

在工作中应该做到举一反三，善于横向和纵向的发散思维，在做到保护业务系统的同时对业务系统的使用干扰减少到最小。

四、总结

做好信息安全工作需要持久的投入和关注，从来都没有一步到位，宏观上需要合理的设计网络安全架构，微观上要对各业务系统有较为深刻的认识，并且需要有敏锐的洞察力和判断力。