• <tr id="yyy80"></tr>
  • <sup id="yyy80"></sup>
  • <tfoot id="yyy80"><noscript id="yyy80"></noscript></tfoot>
  • 99热精品在线国产_美女午夜性视频免费_国产精品国产高清国产av_av欧美777_自拍偷自拍亚洲精品老妇_亚洲熟女精品中文字幕_www日本黄色视频网_国产精品野战在线观看 ?

    淺談等保2.0評審和醫(yī)院信息化整改

    2019-01-13 20:37:39盧方建
    魅力中國 2019年51期

    盧方建

    (陽江市婦幼保健院,廣東 陽江 529500)

    一、醫(yī)院面臨的網(wǎng)絡安全威脅

    (一)醫(yī)療敏感信息泄露

    醫(yī)院內(nèi)部專用網(wǎng)絡每天收錄大量的病患信息,處理大量的錢款收支,為醫(yī)院的信息化日常工作提供必要的技術(shù)支撐。醫(yī)療敏感信息,包含了大量患者的真實重要資料,一旦這些信息被惡意分子所利用,將造成嚴重的后果。

    (二)病毒木馬攻擊

    醫(yī)院內(nèi)網(wǎng)之間數(shù)據(jù)共享程度高,查病殺毒措施不到位,一旦有病毒或者木馬入侵,將造成終端主機無法使用,如果發(fā)生交叉感染,將影響整個網(wǎng)絡的電腦使用,甚至波及服務器,造成極其嚴重的后果。

    (三)網(wǎng)絡中斷導致醫(yī)院發(fā)生群體事件

    前段時間,某市一家醫(yī)院中了勒索病毒,各科室的終端電腦無法正常使用,網(wǎng)絡中斷,服務器異常,HIS系統(tǒng)宕機,醫(yī)院緊急切換手工模式,但是效率低下的手工模式,讓大量醫(yī)患都擁擠在門診大廳中,秩序凌亂,無法正常開展業(yè)務工作,給醫(yī)院造成很大的影響。

    二、薄弱點分析

    為了避免上述各種不良事件的發(fā)生,我們要找到薄弱點,通常的薄弱點表現(xiàn)在下面這些地方:

    (一)弱口令:網(wǎng)絡設備、安全設備、操作系統(tǒng)、數(shù)據(jù)庫等存在空口令或弱口令帳戶。

    (二)高危端口開放:網(wǎng)絡設備、安全設備、操作系統(tǒng)等存在多余系統(tǒng)服務/默認共享/高危端口。

    (三)系統(tǒng)補丁漏打:互聯(lián)網(wǎng)直接能夠訪問到的網(wǎng)絡設備、安全設備、操作系統(tǒng)、數(shù)據(jù)庫等,存在重大安全漏洞未及時修補更新。

    (四)防惡意代碼軟件缺失:操作系統(tǒng)未安裝防惡意代碼軟件,未進行統(tǒng)一管理。

    (五)備份機制缺失:未提供任何數(shù)據(jù)備份措施,一旦遭受數(shù)據(jù)破壞,無法進行數(shù)據(jù)恢復。

    (六)單點故障:未采用熱冗余技術(shù)提高系統(tǒng)的可用性,核心處理節(jié)點存在單點故。

    (七)重要數(shù)據(jù)明文傳輸、明文存儲:用戶鑒別信息、個人敏感信息數(shù)據(jù)、重要業(yè)務數(shù)據(jù)等以明文方式在不可控網(wǎng)絡中傳輸和存儲。

    (八)違規(guī)采集、違規(guī)使用:未授權(quán)情況下,或超范圍采集、存儲用戶個人隱私信息;未授權(quán)情況下將用戶信息提交給第三方處理,未脫敏的情況下用于其他業(yè)務用途,未嚴格控制個人信息查詢以及導出權(quán)限。

    (九)設備性能不足、區(qū)域劃分不合理:重要業(yè)務系統(tǒng)使用的設備性能不足、網(wǎng)絡區(qū)域劃分隨意,沒用重點防護。

    (十)無線未限制:無線接入終端沒用進行嚴格的控制,如手機、筆記本等。

    (十一)無審計措施:未建立審計管理制度、未部署審計相關設備。

    (十二)缺少入侵防御手段:關鍵網(wǎng)絡節(jié)點未采取任何防護措施,無法檢測、阻止或限制互聯(lián)網(wǎng)或從內(nèi)部發(fā)起的攻擊行為。

    (十三)運行監(jiān)控措施缺失:無任何系統(tǒng)監(jiān)測措施,發(fā)生故障時難以及時對故障進行定位和處理。

    (十四)日志存儲不滿足要求:相關設備日志留存時長不滿足網(wǎng)絡安全法相關要求。

    (十五)事件發(fā)現(xiàn)處置措施缺失:未部署相關安全設備,識別并告警網(wǎng)絡中發(fā)生的安全事件。

    三、整改方向

    信息化整改是一個系統(tǒng)工程,要從多個方面多個維度來進行加強和改進,具體分為:訪問控制、入侵防范、系統(tǒng)脆弱性、惡意代碼、數(shù)據(jù)備份、架構(gòu)安全、數(shù)據(jù)保密性、個人隱私、網(wǎng)絡架構(gòu)、邊界防護、安全審計、入侵防范、系統(tǒng)管理、審計管理和集中管控等。每一個方面都有對應的改進策略,下面以等保2.0的標準為例。

    四、以等保2.0為標準的醫(yī)院信息化改進

    (一)等保2.0對比1.0的主要變化

    1.名稱的變化:1.0是信息系統(tǒng)安全等級保護基本要求,2.0是網(wǎng)絡安全等級保護基本要求。

    2.定級對象變化:1.0只針對信息系統(tǒng),而2.0針對信息系統(tǒng)、基礎信息網(wǎng)絡、云計算平臺、大數(shù)據(jù)平臺、物聯(lián)網(wǎng)系統(tǒng)、工業(yè)控制系統(tǒng)、采用移動互聯(lián)技術(shù)的網(wǎng)絡等。

    3.安全要求變化:1.0的安全要求和2.0的安全通用要求+安全擴展要求。

    4.安全控制措施的分類結(jié)構(gòu)變化:1.0的技術(shù)(物理、網(wǎng)絡、主機、應用、數(shù)據(jù))+管理,和2.0技術(shù)一個中心三重防護(安全物理環(huán)境、安全通信網(wǎng)絡、安全區(qū)域邊界、安全計算環(huán)境、安全管理中心)+管理。

    5.等保工作內(nèi)容變化:1.0等保工作五個環(huán)節(jié)變?yōu)?.0等保工作五個環(huán)節(jié)+新七項。新七項包含:安全檢測、通報預警、案事件調(diào)查、數(shù)據(jù)防護、災難備份、應急處理、風險評估。

    (二)等保合規(guī)建設步驟:定級、備案、建設整改、等級測評和監(jiān)督檢查。

    (三)建設整改,從多個方面入手:

    1.物理安全防護整改:嚴格按照國家機房建設標準的要求,基本設施要做到位,電力供應要有雙路供電,市電和UPS都不可或缺;防盜竊和防破壞,門禁系統(tǒng)和攝像頭要安裝到位;防雷擊、防火、防水和防潮、防靜電、溫濕度控制,溫濕度控制系統(tǒng)以及精密空調(diào)要有;電磁防護、物理訪問控制和物理位置選擇都要達標;消防設備要重視,定期檢查不可少。

    2.信息系統(tǒng)整體架構(gòu)整改:要為整個信息架構(gòu)畫出一張整體網(wǎng)絡拓撲圖,分區(qū)域模塊化,互聯(lián)網(wǎng)和內(nèi)網(wǎng)之間要設立各種保障安全通信的設備,包括防火墻,VPN,入侵防御等,醫(yī)院內(nèi)的內(nèi)外網(wǎng)之間也要設立網(wǎng)閘,服務器放在核心應用區(qū)內(nèi),與外部進行物理隔離,需要連接外網(wǎng)的前置機服務器放在DMZ區(qū),既能聯(lián)通,又保障安全。存放HIS等服務器的核心應用區(qū)采用雙防火墻雙交換機模式,雙機雙活提供可用性。醫(yī)保、公安等專線接入,也要通過防火墻才能進入內(nèi)網(wǎng)。設立安全運維審計區(qū),安全設備包括病毒防護服務器、終端安全管理、統(tǒng)一安全管理平臺、漏洞掃描系統(tǒng)等,以及運維設備的統(tǒng)一運維管理平臺,還有審計設備的數(shù)據(jù)庫審計和日志審計等,都在這個區(qū)域中。日志審計強制要求保留6個月歷史數(shù)據(jù)。對于數(shù)據(jù)備份,要求有數(shù)據(jù)備份和恢復功能,以及異地實時備份。

    這樣就從多維度上,構(gòu)造了一個滿足等保2.0的信息系統(tǒng)整體架構(gòu)了。

    五、結(jié)語

    《網(wǎng)絡安全法》明確提出,國家實行網(wǎng)絡安全等級保護制度,網(wǎng)絡運營者應當按照網(wǎng)絡安全等級保護制度的要求,履行安全保護義務。達到等保2.0的新標準新要求,既是義務也是信息化進步的一次契機。

    吴川市| 任丘市| 富源县| 长寿区| 吉林市| 无棣县| 明溪县| 连平县| 中宁县| 九台市| 呼伦贝尔市| 密云县| 耿马| 卢龙县| 石门县| 祁门县| 旬邑县| 芒康县| 崇左市| 湄潭县| 象州县| 凤凰县| 德钦县| 平利县| 仁怀市| 阳西县| 长宁区| 溆浦县| 五常市| 尚志市| 吉木萨尔县| 垫江县| 黎川县| 宣汉县| 盘山县| 遂昌县| 平谷区| 景宁| 临城县| 新化县| 公安县|