解决医院信息网络安全问题的体会

解决医院信息网络安全问题的体会

汤建军

汤建军（江苏省扬州市江都人民医院225200）

【中图分类号】R197.32【文献标识码】A【文章编号】2095-1752（2013）35-0039-02

随着医院的信息化程度不断提高，医院的各项核心业务工作也越来越依靠于信息化、网络化。医院网络系统如果出现部分甚至全部中断，将无法保证医院业务的正常运行和有效管理，同时也会对医院的形象和服务质量造成极大的影响。因此，保障医院网络安全，是医院信息化建设所要考虑的首要问题[1]。

网络安全主要是指当用户通过网络访问应用服务器和数据库服务器时如何保证服务器的安全。从各个层次的用途和安全性分析。需要特别保护的是数据层，不能让用户直接访问。同时，应用服务器层也要进行保护，需要控制用户的访问权限。目前我院拥有HIS、LIS、PACS、RIS、EMR、PEIS等信息化系统，为保证信息网络正常安全运行，我院制定了相关管理措施，使用了防火墙、杀毒软件、桌面管理软件，针对医院信息网络中影响安全的因素及我院的具体情况实施了医院信息网络安全策略。经过几年来的摸索和实践，有几点解决医院信息网络安全问题的体会，与同仁们共享。

一、医院信息网络中影响安全的几个方面

为了保障核心业务安全、稳定运行，很多医院采用内外网物理隔离，部署了地址绑定、防火墙、桌面管理、ACL等安全策略，但安全问题仍然得不到有效解决，主要影响因素如下：

1、医院部分主机要连接打印机必须开放U口。但又会造成因为使用U盘而传染病毒。

2、医院大部分工作人员对计算机终端只负责使用，对机器的基本安全和维护没有概念。

3、外来人员接入内网。利用IP欺骗或攻击软件直接攻击网络。导致网络中断、IP冲突、数据窃取、数据篡改、个人隐私泄漏、账号被盗用。

4、无桌面管理软件等安全措施的内部主机或个人电脑连入网络，传染病毒，造成业务中断。

5、医院部署众多安全软件，终端需要安装众多客户端(桌面管理、网络准入等)，占用终端资源，影响医护人员使用，网络管理人员维护也不方便。

6、随着医院信息系统的增多，中心机房的负载和管理难度加大，一旦出现故障，将使整个系统发生中断。

二、医院信息网络安全解决方案

1、医院信息网络安全与网络的应用体系结构紧密相关。根据我院的网络应用体系结构，网络安全实施策略见下图。

2、医院要进行信息安全防护就需要从全局考虑，构建一套整体的安全防御体系，从源头解决安全隐患。我院通过MSAC(安全管理平台控制系统)，实现基于802.IX、WEBPortal的用户身份网络准人，基于用户的网络访问权限控制，策略下发、终端自助修复等功能，通过MSAC桌面管理组件，两者相结合的统一部署、统一管理的方式，实现终端的安全的管理，有效控制U口、控制终端进程黑白名单、终端软硬件资产管理、终端远程控制与协助。通过两者相融合的方式简化网管人员的管理，简化医护人员的操作，保障医院内网的信息安全与业务稳定运行。

2.1终端用户的安全管理

2.1.1USB口的控制。

USB口只支持打印机、鼠标、扫描枪等非移动存储设备的连接，不能接存储介质。医院每个U盘进行授权使用，并支持对U盘的数据加密，防止数据外泄。

2.1.2进程黑白名单。

针对不同部门的需要制定终端进程的黑白名单有效控制非授权软件的运行.包括绿色软件。

2.1.3多重的权限控制管理。

医院网络用户特点是分散处理、高度共享、用户涉及医生，护士、医疗技术、管理人员等。根据这一特点.采用操作系统，数据库级用户权限和应用程序运行权限的三重控制机制，提供统一的基于角色用户管理手段.使每个用户在系统中有唯一的账号密码.且给予不同级别的权限，用户只能操作自己的程序和调用相关的数据，不能提取不需要的数据。同时，设有用户监控程序。通过这些措施可有效地防止非法用户侵入网络，确保网络安全运行。

2.1.4资产管理。

自动采集、分类汇总终端的硬件、软件资产信息，并实时告警记录软、硬件的变更。防止终端用户随意改变终端电脑的软硬件配置。

2.1.5补丁下发、软件更新。

实现终端统一的补丁强制安装、病毒库更新、软件的统一下发。

2.2网络准入

2.2.1基于802.1X的准入控制。

每个用户连入网络时进行身份的验证，只有授权用户才能接入网络：对系统进行监控，并建立和实施有效的用户口令和访问控制等制度。

2.2.2网络准入、终端安全相融合。

终端安全管理与网络准人统一客户端，网络准入除对用户身份进行验证外.对终端也进行灵活的安全检测(IP、MAC、硬盘ID、VLAN、交换机IP交换机端口、桌管运行状态等)，确保只有安全的主机才能接入网络。

2.2.3终端的自助安全修复

终端不符合安全要求时，自动提示用户，用户根据提示自助完成修复，简单网管工作。

2.2.4网络准入与IDS联动

IDS对网络中的应用数据进行安全检测，当发现异常数据(如多次尝试数据库账号等)，将告警信息直接转化为安全策略，下发至该用户的接入交换机.对该用户进行安全控制。

2.2.5网络准入与防火墙联动

通过防火墙对业务系统进行安全隔离，并针对不同科室的用户分配访问不同区域的权限，实现基于用户，基于业务的网络权限控制。

3、基于防火墙的安全管理

防火墙是不同网络或安全域之间，安全策略的有机组成部分，通过控制和检测网络的信息交换和访问实现对网络安全的有效管理[2]。是控制进、出两个通信方向的门槛。针对我院情况，我们使用了锐捷科技的RG-WALL1600防火墙，其可以协同中央控管与报表功能的架构，被布署在软件系统中，成为从网关到客户端计算机关键部分。同时还提供较多的细项设定，可以实时了解安全记录的事件，降低了管理复杂度。在融合了入侵检测，身份验证等多种安全解决方案，并通过与IDS等安全产品相配合，构建了一个安全高效，易于管理和扩展的网络防火墙，通过访问控制，VPN入侵检测和QOS管理等多种安全技术有效的保护了医院网络。

4、杀毒软件的布署

杀毒软件，也称反病毒软件或防毒软件，是用于消除电脑病毒、特洛伊木马和恶意软件等计算机威胁的一类软件。杀毒软件通常集成监控识别、病毒扫描和清除和自动升级等功能，有的杀毒软件还带有数据恢复等功能，是计算机防御系统（包含杀毒软件，防火墙，特洛伊木马和其他恶意软件的查杀程序，入侵预防系统等）的重要组成部分[3]。基于我院网络架构和协议的情况。我院使用了卡巴斯基杀毒软件，其提供了病毒扫描、驻留后台的病毒防护程序、脚本病毒拦截器以及邮件检测程序，时刻监控一切病毒可能入侵的途径。采用第二代启发式代码分析技术、iChecker实时监控技术和独特的脚本病毒拦截技术等多种最尖端的反病毒技术，能够有效查杀“冲击波”、“Welchia”、“Sobig.F”等病毒及其其他8万余种病毒，并可防范未知病毒。另外，该软件的界面简单、集中管理、提供多种定制方式，自动化程度高，而且几乎所有的功能都是在后台模式下运行，系统资源占有低。

三、信息部门做好医院信息网络规划管理

信息部门作为医院的信息化管理部门，为确保各个系统、设备之间通讯的标准化，应该积极的参与到相关设备采购、软件选择当中去。特别是在设备采购的前期，信息部门应该介入制定相关技术标准，协调设备厂商与软件厂商间的沟通，确保医院的各类资源能够在一个标准化的平台上集成。系统建设完成后，信息部门作为运营的技术保障部门，还要在使用科室与厂商之间进行充分沟通。以确保系统的可靠运行和健康发展。

四、结语

医院信息网络安全通过以上管理策略，并结合我院制定的有关计算机使用的各项规章制度，同时定期对所有科室进行计算机安全督查，有效防止了病毒的传播和数据泄密；防止了医护人员随意安装不必要的应用软件；防止了外来人员接入网络；防止了用户强行卸载终端安全客户端，避免病毒传播、外来入侵；简化医护人员的操作，简化网管人员的管理；从而保证了信息网络系统的安全。

信息共享与信息安全始终是一对矛盾，医院要进行网络互连和信息共享必定会带来网络安全问题[4]。因为安全和稳定问题是集操作者、硬件、软件、环境为一体的全局综合问题。我们做的任何一个环节的工作，都只是迈向安全的步骤之一。我们要在现有的资源下定出合理的全局安全策略.找出并补全整个系统的薄弱环节，还要注意不断发展的安全趋势，不断地做出适应。虽然不可能做到绝对的安全系统.但我们可以让它更安全。

参考文献

[1]陈振峰.信息网络建设中的安全保密问题[J].计算机安全，2002，2（1）：23

[2]蔡立军.计算机网络安全技术[M].北京：中国水利水电出版社.2005：28-30

[3]蔡皖东.网络与信息安全[M].西安：西北工业大学出版社，2004：16-20

[4]张晓娟,李哲成.医院信息系统信息安全的管理[J].中国医疗设备,2008.23(3)：83-84