信息安全在县级医院信息化建设的应用课件.pptx
信息安全在县级医院信息化建设的应用,2014年10月,目 录,一、信息安全的基本概念,信息安全 指信息系统（包括硬件、软件、数据、人、物理环境及其基础设施）受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务不中断，最终实现业务连续性。,信息安全的基本要素,对出现的网络安全问题提供依据和手段,确保信息不暴露给未授权的实体或进程,只有得到允许的用户，才能修改数据，并能辨别数据是否被修改过,控制授权范围内的信息流向及行为方式,得到授权的实体在需要时可访问数据，即攻击者不能占用所有资源而阻碍授权者工作,可审查性,保密性,完整性,可用性,可控性,信息安全目的,信息安全效应,外看建设好安全却很差只因一板短努力也自溢,信息系统安全等级保护,信息系统安全等级保护 是对信息和信息载体按照重要性等级分级别进行保护的一种工作，对信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。,信息系统安全等级保护,目 录,信息安全的国家政策,标准与规范,GB17859-1999 计算机信息系统安全保护等级划分准则,GB/T 20270-2006 信息安全技术 网络基础安全技术要求GB/T 20271-2006 信息安全技术 信息系统通用安全技术要求GB/T 20272-2006 信息安全技术 操作系统安全技术要求GB/T 20273-2006 信息安全技术 数据库管理系统通用安全技术要求GB/T 20282-2006 信息安全技术 信息系统安全工程管理要求GB/T 20275-2006 信息安全技术 入侵检测系统技术要求和测试评价方法GB/T 20278-2006 信息安全技术 网络脆弱性扫描产品技术要求GB/T 20279-2006 信息安全技术 网络和终端设备隔离部件安全技术要求GB/T 20281-2006 信息安全技术 防火墙技术要求和测试评价方法GB/T 20282-2006 信息安全技术 信息系统安全工程管理要求,国家已出台80多个国标、行标以及报批标准，从基础、设计、实施、管理、制度等各个方面对信息安全等级保护提出了要求和建议。,GB/T 20269-2006 信息系统安全管理要求,标准与规范,GB/T 20984-2007 信息安全技术 信息安全风险评估规范,GB/Z 20985-2007 信息技术 安全技术 信息安全事件管理指南,GB/T 20988-2007 信息安全技术 信息系统灾难恢复规范GB/T 21028-2007 信息安全技术 服务器安全技术要求GB/T 21052-2007 信息安全技术 信息系统物理安全技术要求GB/T 22240-2008 信息安全技术 信息系统安全等级保护定级指南GB/T 22239-2008 信息安全技术 信息系统安全等级保护基本要求GB/T 25070-2010 信息安全技术 信息系统等级保护安全设计技术要求GB/T 28448-2012 信息安全技术 信息系统安全等级保护测评要求GB/T 28449-2012 信息安全技术 信息系统安全等级保护测评过程指南,GB/T 28453-2012 信息安全技术 信息系统安全管理评估要求,GB/Z 20986-2007 信息安全技术 信息安全事件分类分级指南,标准与规范,面向设计者 信息安全技术 信息系统等级保护安全设计技术要求（GB/T 25070-2010）计算机信息系统安全保护等级划分准则（GB 17859-1999）信息安全技术 信息系统安全等级保护基本配置（GA/T 710-2007）面向定级者 信息安全技术 信息系统安全等级保护定级指南（GB/T 22240-2008）,标准与规范,面向建设者 信息安全技术 信息系统安全等级保护基本要求（GB/T 22239-2008）信息安全技术 网络基础安全技术要求（GB/T 20270-2006）信息安全技术 数据库管理系统安全技术要求（GB/T 20273-2006）信息安全技术 信息系统物理安全技术要求（GB/T 21052-2007）面向管理者 信息安全技术 信息系统安全管理要求（GB/T 20269-2006）信息安全技术 信息系统安全工程管理要求（GB/T 20282-2006）信息技术 安全技术 信息安全事件管理指南（GB/Z 20985-2007）,标准与规范,面向测评者 信息安全技术 信息系统安全等级保护测评要求（GB/T 28448-2012）信息安全技术 信息系统安全等级保护测评过程指南（GB/T 28449-2012）面向评估者 信息安全技术 信息安全风险评估规范（GB/T 20984-2007）信息安全技术 信息系统安全管理评估要求（GB/T 28453-2012）,国家信息化政策要求,“十二五”国家政务信息化工程建设规划需求分析报告和建设方案中，同步落实分级保护和等级保护要求，制定实施与业务应用紧密结合、技术上自主可控的信息安全和保密解决方案。试运行期间，按有关规定组织开展信息安全风险评估。,国家信息化政策要求,国务院关于促进信息消费扩大内需的若干意见构建安全可信的信息消费环境基础提升信息安全保障能力加强个人信息保护规范信息消费市场秩序,国家信息化政策要求,2012年4月20日，国家发展改革委员会和卫生部联合印发了基层医疗卫生机构管理信息系统建设项目指导意见(发改办2012991号)，是指导基层医疗卫生机构管理系统建设的框架性文件。,国家信息化政策要求,在第四章建设要求中，明确提出信息安全的具体要求,卫生系统电子认证服务管理办法（试行）(卫办发2009125号)适用于在全国卫生系统范围内管理、使用和提供电子认证服务的管理方、使用方和提供方。坚持合法性原则、应用导向原则、市场竞争原则、一证多用原则，依托第三方电子认证服务机构，建设卫生系统电子认证服务体系。,卫生行业信息安全要求,卫生行业信息安全要求,卫生行业信息安全等级保护工作的指导意见（卫办发201185号）建立信息安全等级保护工作联络员机制要求成立各级信息安全技术专家委员会对已确定安全保护等级的第二级以上（含第二级）卫生信息系统，按照国家信息安全等级保护工作规范和信息安全技术信息系统安全等级保护基本要求等国家标准，开展安全保护现状分析和建设整改工作。,关于全面开展卫生行业信息安全等级保护工作的通知（卫办综函20111126号）,2011年12月30日前确定信息安全等级保护工作联络员,2015年12月30日前完成信息安全等级保护建设整改工作，并通过等级测评,2012年4月30日前成立信息安全技术专家委员会,2011年12月30日前报送已定级备案的卫生信息系统情况,2012年5月30日前完成本单位信息系统的定级备案工作,卫生行业信息安全要求,关于加强卫生信息化建设的指导意见加强卫生信息安全保障体系建设，落实国家信息安全等级保护制度。加强卫生信息系统安全风险评估工作。继续完善居民电子健康档案、电子病历等涉及居民隐私的信息安全体系建设，建设以密码技术为基础的信息安全保障和网络信任体系，推广数字证书和电子签名应用，实现信息共享与隐私保护同步发展。,卫生行业信息安全要求,关于加快推进人口健康信息化建设的指导意见贯彻执行国家信息安全等级保护制度和信息安全审查制度，同步规划、同步设计、同步实施人口健康信息系统安全建设。完善安全管理机制和制度，加强信息安全防护体系建设，强化容灾备份工作。推行以电子认证技术为基础的网络信任体系建设，建立统一互认的CA认证体系。完善涉及居民隐私的信息安全体系建设，实现信息共享与隐私保护同步发展。,卫生行业信息安全要求,中医药行业信息安全要求,国家中医药管理局办公室关于加强信息系统安全工作的通知（国中医药办综发201049号）中医药行业信息系统信息安全等级保护建设研究,目 录,卫生信息化建设现状,全面建成全国传染病和突发公共卫生事件报告网络以电子病历为核心的医院信息化建设在提高医疗服务效率和质量方面发挥了越来越重要的作用。远程医疗系统初具规模，促进了优质医疗资源向基层延伸居民健康卡应用稳步推进，覆盖13亿人口的人口信息资源库150余项信息标准和安全规范初步满足当前人口健康信息化建设需求,卫生信息化建设现状,全国已有3700多家医疗机构开展以电子病历为核心的医院信息化建设，实现医疗机构内部信息共享。江苏、浙江、河南、重庆等6省份建立全省电子病历数据库。天津、上海、江苏、浙江、安徽、福建、山东、河南、湖南、重庆等10省份已建成省级信息平台，实现部分人口健康信息实时采集与共享交换，支持跨区域业务协同，服务综合管理与科学决策。,卫生信息化建设现状,上海、天津等17个省份采取依托政务外网，租用电信、联通等虚拟专用网及独立建设等多种方式，建立了省级人口健康信息专用网络。全国已有22家第三方电子认证机构通过国家卫生计生委电子认证监管平台的符合性测试，遵循统一的证书格式标准、接口标准，实现全行业跨地域、跨信息系统的一证通用、互认互信。,医院信息安全建设现状,本章数据来源于2012-2013中国医院信息化状况调查报告,医院信息安全建设现状,本章数据来源于2012-2013中国医院信息化状况调查报告,医院信息安全建设现状,本章数据来源于2012-2013中国医院信息化状况调查报告,医院信息安全建设现状,本章数据来源于2012-2013中国医院信息化状况调查报告,医院信息安全建设现状,本章数据来源于2012-2013中国医院信息化状况调查报告,医院信息化建设现状,本章数据来源于2012-2013中国医院信息化状况调查报告,中医医院信息安全建设现状,2012年，国家中医药管理局组织对中西部地区592家县级中医医院信息化服务保障能力进行调查。82.25%的中医医院建立了医院信息系统94.98%建立药品管理系统87.24%建立财务管理系统76.38%建立护士工作站64.70%建立病案统计系统42.41%建立医生工作站53.70%建立电子病历,中医医院信息安全建设现状,中医医院信息安全建设现状,县级医院信息安全的主要威胁,物理层,县级医院信息安全的主要威胁,网络层,县级医院信息安全的主要威胁,系统层,县级医院信息安全的主要威胁,应用层,县级医院信息安全的主要威胁,数据层,县级医院信息安全的主要威胁,网 络,内部、外部泄密,拒绝服务攻击,逻辑炸弹,特洛伊木马,黑客攻击,计算机病毒,后门、隐蔽通道,蠕虫,县级医院信息安全面临的挑战,行业应用的要求区域医疗和系统整合的压力信息泄露的压力网络安全漏洞病毒、木马的威胁,县级医院信息安全问题的危害,业务中断患者隐私泄露医院内部数据流失法律纠纷财务损失造成社会不良影响对其他组织和个人造成损失,目 录,县级医院信息安全策略的思考,Page 48,信息集中访问,医院信息化应用特点,响应要及时,多业务融合,县级医院信息安全策略的思考,管理制度,人员组织,技术手段,县级医院信息安全策略的思考,县级医院信息系统安全保护等级：第二级信息系统受到破坏后，会对公民、法人和其他组织的合法权益产生严重损害,或者对社会秩序和公共利益造成损害，但不损害国家安全。信息系统运营、使用单位应当依据国家有关管理规范和技术标准进行保护。国家信息安全监管部门对该级信息系统信息安全等级保护工作进行指导。,县级医院信息安全策略的思考,县级医院信息系统安全保护工作主要流程,县级医院信息安全策略的思考,县级医院信息系统定级流程,县级医院信息安全策略的思考,业务信息安全保护等级矩阵表,县级医院信息安全策略的思考,县级医院信息系统安全等级保护备案,编写信息系统安全等级保护定级报告填写信息系统安全等级保护备案表,县级医院信息安全策略的思考,基本安全要求结构,县级医院信息安全策略的思考,信息安全体系总体框架,县级医院信息安全策略的思考,信息安全建设的具体措施,（一）信息安全组织机构,在医院信息化领导小组基础上，成立信息安全领导小组。医院信息中心设置信息安全专岗，安排人员专门负责。明确系统管理员、安全保密管理员、安全审计员三员职责。,信息安全建设的具体措施,（二）建立健全信息安全制度,信息安全管理人员守则信息安全产品策略机房安全管理规定网络安全管理规定安全监控管理制度密码管理规定备份与恢复管理规定,外包软件开发管理规定业务系统开发管理规定信息产品采购管理规定业务系统测试验收规定风险评估管理规定安全事件报告及处理规定应急响应管理规定,信息安全建设的具体措施,（三）机房安全建设,机房出入口视频监控系统，记录保存3个月以上进出机房的来访人员履行审批程序具有防水功能，特别是冷凝水采取防静电措施设置温湿度自动调节设备，温度22-24，湿度40-55%双绞线和电源线水平距离保持在30CM以上,信息安全建设的具体措施,（四）网络安全建设,医院网络拓扑结构清晰，具有对应的网络配置表（如VLAN划分、IP地址）不同VLAN之间的访问规则（方便管理与控制）IP与MAC地址、端口绑定等措施网络设备的身份鉴别（默认用户、口令）定期维护和管理网络访问控制粒度、络监控审计平台,信息安全建设的具体措施,访问控制粒度、权限访问 医院用户特点是分散处理、高度共享，涉及到医生、护士、医技、管理等人员，设定相应的权限控制用户对数据的特定访问，每个用户在整个系统具有唯一账号，禁止用户对无关数据进行读写。,信息安全建设的具体措施,信息安全建设的具体措施,（五）服务器安全,双机容错服务器备份数据备份与恢复（磁盘阵列等）安装最新补丁，定期查看和分析服务器日志操作系统安全策略，关闭不必要的服务（默认共享等）关闭Guest用户，禁止访问日志，不显示上次登录名，禁止建立空连接关闭不必要的端口、开启审核策略（账户管理、对象访问、策略更改等）,信息安全建设的具体措施,（六）工作站安全维护,不安装光驱，关闭USB端口安装远程桌面监控系统，监控用户行为统一安装杀毒软件，并做到集中升级采用Ghost软件做镜像文件，快速恢复系统,信息安全建设的具体措施,（七）信息安全设备选择,信息安全产品资质（公安部、工信部、国家保密局等）了解信息安全产品特性（杀毒软件、上网行为管理、防火墙、入侵检测、漏洞扫描、主机监控审计、网络监控审计、安全管理平台等）对比产品防护类型、工作方式、内部配置、管理功能等,信息安全建设的具体措施,（八）电子签名与CA认证的应用,信息安全建设的具体措施,电子病历信息安全,电子签名,加盖基于权威时间的时间戳，时间准确、公正、可信,可信时间,各业务环节进行电子签名/签章，数据完整可信，责任可追溯,数字证书,基于数字证书的统一登录认证，可信身份鉴别,统一身份认证,为医护人员发放数字证书，可信身份凭证,肖勇,信息安全建设的具体措施,信息安全建设的具体措施,（九）VPN应用,加 密 隧 道,加密隧道,真实性,完整性,机密性,隧道,客户端连接隧道后不允许访问互联网,信息安全建设的具体措施,SAG,加密隧道,互联网,客户端连接隧道后不允许访问互联网,总结,接受政策指导完整化建设,合规建设（外审驱动）落实国家等级保护标准落实卫生信息安全等级保护建设文件通过国家等级保护测评,遵照业务发展系统化建设,系统建设（内部驱动）主动防御外部入侵威胁，防范内部不规范操作带来的影响降低日常信息化管理，提高运管效率，有法可依，有技可行合理规划设计，规范信息安全,实践应用检验完善建设,完善建设（长效检验）切合自身条件特点，分步骤建设落实开展信息安全风险评估，查找问题，落实整改改进持续化，监管常态化,构建县级医院信息安全防护体系,切实提升医院自身信息安全防护水平,实现县级医院信息安全长效机制,汇报完毕，谢谢！,
