醫(yī)院信息化安全建設(shè)項(xiàng)目安全需求分析

1、醫(yī)院信息化安全建設(shè)項(xiàng)目安全需求分析1.1等級(jí)保護(hù)技術(shù)要求分析物理層安全需求物理安全是信息系統(tǒng)安全運(yùn)行的基礎(chǔ)和前提，是系統(tǒng)安全建設(shè)的重要組成部分。在等級(jí)保護(hù)中將物理安全劃分為技術(shù)要求的第一部分，從物理位置選擇、物理訪問控制、防盜竊防破壞、防雷擊、防火、防水防潮、防靜電、溫濕度控制、電力供應(yīng)、電磁防護(hù)等方面對(duì)信息系統(tǒng)的物理環(huán)境進(jìn)行了規(guī)范。物理層考慮因素包括機(jī)房環(huán)境、機(jī)柜、電源、服務(wù)器、網(wǎng)絡(luò)設(shè)備和其他設(shè)備的物理環(huán)境。該層為上層提供了一個(gè)生成、處理、存儲(chǔ)和傳輸數(shù)據(jù)的物理媒體。物理層主要考慮如下方面的內(nèi)容：物理位置的選擇物理訪問控制防盜竊和防破壞防雷擊防火防水和防潮防靜電溫濕度控制電力供應(yīng)電磁防護(hù)網(wǎng)絡(luò)層

2、安全需求網(wǎng)絡(luò)層指利用路由器、交換機(jī)和相關(guān)網(wǎng)絡(luò)設(shè)備建成的、可以用于在本地或遠(yuǎn)程傳輸數(shù)據(jù)的網(wǎng)絡(luò)環(huán)境，是應(yīng)用安全運(yùn)行的基礎(chǔ)設(shè)施之一，是保證應(yīng)用安全運(yùn)行的關(guān)鍵，也是實(shí)現(xiàn)內(nèi)部縱向交互、與其它單位橫向交流的重要保證。在安全模型中，網(wǎng)絡(luò)層中進(jìn)行的各類傳輸活動(dòng)的安全都應(yīng)得到關(guān)注?，F(xiàn)有的大部分攻擊行為，包括病毒、蠕蟲、遠(yuǎn)程溢出、口令猜測等攻擊行為，都可以通過網(wǎng)絡(luò)實(shí)現(xiàn)。網(wǎng)絡(luò)層主要考慮如下方面的內(nèi)容：結(jié)構(gòu)安全與網(wǎng)段劃分網(wǎng)絡(luò)訪問控制撥號(hào)訪問控制網(wǎng)絡(luò)安全審計(jì)邊界完整性檢查網(wǎng)絡(luò)入侵防范惡意代碼防范網(wǎng)絡(luò)設(shè)備防護(hù)系統(tǒng)層安全需求系統(tǒng)層包括各類服務(wù)器、終端和其他辦公設(shè)備操作系統(tǒng)層面的安全風(fēng)險(xiǎn)。系統(tǒng)層面臨的安全風(fēng)險(xiǎn)主要來自兩個(gè)方面

3、，一方面來自系統(tǒng)本身的脆弱性，另一方面來自對(duì)系統(tǒng)的使用、配置和管理。這導(dǎo)致系統(tǒng)存在隨時(shí)被黑客入侵或蠕蟲爆發(fā)的可能。系統(tǒng)層主要考慮如下方面的內(nèi)容：身份鑒別自主訪問控制強(qiáng)制訪問控制安全審計(jì)系統(tǒng)保護(hù)剩余信息保護(hù)入侵防范惡意代碼防范資源控制應(yīng)用層安全需求應(yīng)用層是在前面層次的基礎(chǔ)之上，可以提供給最終用戶真正辦公功能的層次，應(yīng)用層是用戶與前面層次的接口。這個(gè)層次包括Web應(yīng)用、文件處理、文件傳輸、文件存儲(chǔ)和其他辦公應(yīng)用等，這些功能依靠相應(yīng)的IE瀏覽器、FTP應(yīng)用軟件、公文處理系統(tǒng)、數(shù)據(jù)庫訪問控制系統(tǒng)等實(shí)現(xiàn)。應(yīng)用層主要考慮如下方面的內(nèi)容：身份鑒別訪問控制安全審計(jì)剩余信息保護(hù)通信完整性通信保密性抗抵賴軟件容錯(cuò)

4、資源控制代碼安全數(shù)據(jù)層安全需求數(shù)據(jù)層是用戶真正的數(shù)據(jù)，對(duì)于用戶而言，數(shù)據(jù)才是真正至關(guān)重要的。數(shù)據(jù)安全需求包括數(shù)據(jù)庫安全需求、數(shù)據(jù)傳輸安全需求、數(shù)據(jù)存儲(chǔ)安全需求等構(gòu)成。數(shù)據(jù)層主要考慮如下方面的內(nèi)容：數(shù)據(jù)完整性數(shù)據(jù)保密性數(shù)據(jù)備份和恢復(fù)1.2等級(jí)保護(hù)管理要求分析安全管理制度安全管理制度是企業(yè)或單位安全管理的根本，它需要制定信息安全工作的總體方針和安全策略，說明機(jī)構(gòu)安全工作的總體目標(biāo)、范圍、原則和安全框架，并對(duì)安全管理活動(dòng)中的各類管理內(nèi)容建立安全管理制度，嚴(yán)格規(guī)定安全管理制度的授權(quán)和制定，使之能完全符合企業(yè)或單位的實(shí)際情況。安全管理制度主要考慮如下方面的內(nèi)容：管理制度制定和發(fā)布評(píng)審和修訂安全管理機(jī)構(gòu)安全管理機(jī)構(gòu)是信息安全管理職能的執(zhí)行者，該職能部門應(yīng)該是獨(dú)立的，同時(shí)設(shè)定相關(guān)的管理職責(zé)，實(shí)現(xiàn)信息安全管理工作有效進(jìn)行的目標(biāo)。加強(qiáng)各類管理人員之間、組織內(nèi)部