醫(yī)院信息安全等級保護建設(shè)整改流程

1、醫(yī)院信息安全等級保護建設(shè)整改流程醫(yī)院信息安全等級保護建設(shè)整改流程1等級保護建設(shè)過程核心 信息安全等級保護建設(shè)思路思路一：需求驅(qū)勱，加固改造，測評思路（差什么補什么）；思路二：進行總體安全建設(shè)整改觃劃，系統(tǒng)化、體系化設(shè)計思路；思路三：信息系統(tǒng)全生命周期安全管理思路（開發(fā)前、開發(fā)中、開發(fā)后，即三同步）；利用信息安全等級保護綜合工作平臺，使等級保護工作常態(tài)化；全天候全方位感知網(wǎng)絡(luò)安全態(tài)勢。管理制度建設(shè)和技術(shù)措施建設(shè)同步戒分步實施。 等保工作開展思路可控安全保障體系主線業(yè)務(wù)需求風(fēng)險控制需求行業(yè)監(jiān)管等級保護設(shè)計建設(shè)維護自下而上自上而下 關(guān)注國家安全、行業(yè)政策、落實 等級保護基本要求，結(jié)果體現(xiàn)： 通過測評

2、幵得高分 彌補漏洞，加強風(fēng)險控制，結(jié)果 體現(xiàn)：切實控制風(fēng)險 以風(fēng)險管理為抓手，提升用戶對 安全工作的重規(guī)程度安全工作有序開展，避免“亡羊補牢” 木桶原理信息安全：系統(tǒng)化、綜 合類工作，提供合理觃劃建議 做好“對標”工作，實現(xiàn)安全體系合觃性。適度整體安全安全業(yè)務(wù) 安全1. 系統(tǒng)定級及審批2.方案觃劃、設(shè)計不論證3.工程實施5. 安全運行維護6.測評不檢查4.系統(tǒng)測試不評估信息系統(tǒng)測評指卓評估指卓測評指卓管理觃范定級指卓基本要求技術(shù)設(shè)計指卓實施指卓形象的說，我們就像醫(yī)生，用戶就好像是我們的病人。整個等 級保護實施流程就像一次診治。定級等級保護評估整改實施評審備案運行維護系統(tǒng)終止掛號身體檢查病情診斷

3、 開具藥方抓藥治療完成治療保健調(diào)養(yǎng)康復(fù) 信息安全、貫穿信息系統(tǒng)生命周期開發(fā)前期：明確系統(tǒng)安全等級明確業(yè)務(wù)安全需求明確數(shù)據(jù)安全分類開發(fā)中期：依據(jù)安全等級和數(shù)據(jù)安全需求迚行設(shè)計通過第三方測試開發(fā)后期：立項階段安全風(fēng)險評估通過等級保護測評按規(guī)范迚行安全運維需求規(guī)格說明書階 段系統(tǒng)設(shè)計 階段系統(tǒng)開發(fā) 階段應(yīng)用與數(shù) 據(jù)集成階段試點部署 階段整體部署 階段試運行階 段運維階段開發(fā)前期開發(fā)中期開發(fā)后期信息系統(tǒng)定級流程XXX系統(tǒng)安全等級保護定級報告信息系統(tǒng)定級評審與家意見 應(yīng)用系統(tǒng)開發(fā)安全規(guī)范業(yè)應(yīng)務(wù)用數(shù)系據(jù)統(tǒng)信開息發(fā)安安全全需規(guī)求范調(diào)研表通需過求第規(guī)三格方說測明試書：安全評審-代碼安全檢查-安全合規(guī)性檢查-逡

4、輯檢查-設(shè)計文檔審查等應(yīng)用環(huán)境安全配置：Oracle數(shù)據(jù)庫安全配置規(guī)范 mysql安全配置規(guī)范Apache安全配置規(guī)范TongLINK/Q安全配置規(guī)范weblogic安全配置規(guī)范應(yīng)用負載均衡安全配置規(guī)范安全檢查：應(yīng)用系統(tǒng)上線風(fēng)險評估報告應(yīng)用系統(tǒng)等級保護測評報告（做為驗收重要依據(jù)）立項階段需求規(guī)格說系統(tǒng)設(shè)計階 明書階段段試點部署階段整體部署階段試運行階段運維階段系統(tǒng)開發(fā)階應(yīng)用與數(shù)據(jù) 段集成階段安全服務(wù)機構(gòu)主管使用運行卑位測評機構(gòu)與家組l支持測評l提供技術(shù)、工程和加固文檔 l整改實施的配合公安網(wǎng)監(jiān)部門l測評工作組織協(xié)調(diào)l確保技術(shù)、工程和質(zhì)量文檔、提供運營相關(guān)文檔 的提供 l評審實施方案等相關(guān)文檔l

5、配合等級測評實施l測評過程中的風(fēng)險管理和應(yīng)急管理l制定測評計劃和方案等相關(guān)文檔l在相關(guān)卑位支持下實施等級測評l提交測評報告l監(jiān)督方案評審和系統(tǒng)測評l監(jiān)督確保遵守公正的測評原則和方法l對評估結(jié)論進行評審l測評工作組織不監(jiān)管角色和職責(zé)關(guān)系等級保護相關(guān)管理機構(gòu)不分工等保實施流程相關(guān)單位產(chǎn)品廠商安全集成系統(tǒng)使用單位等級保護測評56主管部門系統(tǒng)定級技術(shù)支撐（測評）方案整改信息安全服務(wù)機構(gòu)差距測評監(jiān)管單位服務(wù)定級：確定等級，提交等級報告和自檢表。等級保護評估：進行差距分析，提交差距報告和受評機構(gòu)提交整改方案，幵對整改方案及整改 結(jié)果進行評審。規(guī)劃整改實施依照評審?fù)ㄟ^的整改方案，從技術(shù)和管理兩個方面進行合觃

6、性整改（如采販安 全產(chǎn)品、制定安全管理制度等方式）。評審備案完成整改實施后進行等級保護測評評審，評審?fù)ㄟ^后完成備案，證明符合前期 安全等級的定義的標準要求。等級保護測評流程S類業(yè)務(wù)信息安全保護類關(guān)注的是保護數(shù)據(jù)在存儲、傳輸、處理過程中不 被泄漏、破壞和免受未授權(quán)的修改。A類系統(tǒng)服務(wù)安全保護類關(guān)注的是保護系統(tǒng)連續(xù)正常的運行，避免因?qū)ο到y(tǒng)的未授權(quán)修改、破壞而導(dǎo)致系統(tǒng)不可用。G類通用安全保護類既關(guān)注保護業(yè)務(wù)信息的安全性，同時也關(guān)注保護系統(tǒng) 的連續(xù)可用性。測評標準確認，安全保護等級信息系統(tǒng)基本保護要求的組合第一級S1A1G1第二級S1A2G2，S2A2G2，S2A1G2第三級S1A3G3，S2A3G3

7、，S3A3G3，S3A2G3，S3A1G3第四級S1A4G4，S2A4G4，S3A4G4，S4A4G4，S4A3G4，S4A2G4，S4A1G4第亐級S1A5G5，S2A5G5，S3A5G5，S4A5G5，S5A5G5，S5A4G5，S5A3G5S5A2G5，S5A1G559例如：根據(jù)“XXXX定級建議書”，信息系統(tǒng)1被定為3級，保護類型為S3A3G3， 選擇的測評指標類如下：指標類技術(shù)/管理層面類數(shù)量項數(shù)量S類(3級)A類 (3級)G類(3級)小計小計安全技術(shù)物理安全1181032網(wǎng)絡(luò)安全107833主機安全413932應(yīng)用安全5231031數(shù)據(jù)安全21038安全管理安全管理制度G類(3級)

8、311安全管理機構(gòu)520人員安全管理516系統(tǒng)建設(shè)管理1145系統(tǒng)運維管理1360合計75（類）290（項）2醫(yī)院信息安全等級保護實施要點醫(yī)院信息安全等級保護實施的意義1、等級保護是完善醫(yī)院信息系統(tǒng)安全的一個持續(xù)的、 長期的過程。2、通過等級保護會發(fā)現(xiàn)工作中的不足，是對系統(tǒng)安全 進行重新梳理的過程。3、等級保護是對我們現(xiàn)有的工作方式進行觃范的過程。4、等級保護是提高我們信息工作人員的安全意識、處理安全事件能力的過程。落實安全目標設(shè)計好建設(shè)好運維好某醫(yī)院信息系統(tǒng)定級示例業(yè)務(wù)信息安全被破 壞時所侵害的客體對相應(yīng)客體的侵害程度一般損害嚴重損害特別嚴重損害公民、法人和其他組織的合法權(quán)益第一級第二級第三

9、級社會秩序、公共利益第二級第三級第四級國家安全第三級第四級第亓級HIS、PACS、 LIS、電子病歷、OA、門戶網(wǎng)站系統(tǒng)服務(wù)被破壞時 所侵害的客體對相應(yīng)客體的侵害程度一般損害嚴重損害特別嚴重損害公民、法人和其他組織的合法權(quán)益第一級第二級第三級社會秩序、公共利益第二級第三級第四級國家安全第三級第四級第亓級HISPACSLIS電子病歷OA門戶網(wǎng)站第三級第二級第二級第二級第二級第二級醫(yī)院信息安全等級保護實施的四大體系信息安全建設(shè)是醫(yī) 院信息化建設(shè)中的 “短板”也是“保底”工程電力供應(yīng)防盜竊和防破壞物理訪問控制物理位置選擇電磁防護防雷擊、防火、防水和防潮、防靜電、溫濕度控制醫(yī)院信息安全等級保護實施的要

10、點一（機房安全）物理位置的選擇基本防護能力不能選擇高層、地下室物理訪問控制基本出入控制分區(qū)域管理在機房中的活動電子門禁防盜竊和防破壞存放位置、標記標識監(jiān)控報警系統(tǒng)防雷擊建筑防雷、機房接地設(shè)備防雷防火滅火設(shè)備、自動報警自動消防系統(tǒng)區(qū)域隔離措施防靜電關(guān)鍵設(shè)備主要設(shè)備防靜電地板電力供應(yīng)穩(wěn)定電壓、短期供應(yīng)主要設(shè)備冗余/并行線路備用供電系統(tǒng)電磁防護線纜隔離接地防干擾防水和防潮溫濕度控制醫(yī)院信息安全等級保護實施的要點一（機房安全）訪問控制結(jié)構(gòu)安全惡意代碼防范安全審計入侵防范網(wǎng)絡(luò)邊界安全防護網(wǎng)絡(luò)設(shè)備防護醫(yī)院信息安全等級保護實施的要點二（網(wǎng)絡(luò)安全）醫(yī)院信息安全等級保護實施的要點二（網(wǎng)絡(luò)安全） 核心業(yè)務(wù)區(qū)（三級

11、系統(tǒng)區(qū)域）HISOA、LIS、PACS、電子病歷普通服務(wù)器區(qū)（二級系統(tǒng)區(qū)域）辦公區(qū)核心區(qū)域虧聯(lián)網(wǎng)接入?yún)^(qū)Interne t醫(yī)保網(wǎng)與線接入?yún)^(qū)安全管理區(qū) 堡壘機數(shù)據(jù)庫審計日志審計終端安全FWFW分院專線 FW遠程會診 其他單位UTMIDS醫(yī)院信息安全等級保護實施的要點二（網(wǎng)絡(luò)安全）醫(yī)院信息安全等級保護實施的要點三（終端安全）醫(yī)院信息安全等級保護實施的要點四（數(shù)據(jù)安全）醫(yī)院信息安全等級保護實施的要點四（數(shù)據(jù)安全）數(shù)據(jù)備份系統(tǒng)數(shù)據(jù)備份數(shù)據(jù)弻檔醫(yī)院信息安全等級保護實施的要點五（應(yīng)用安全）醫(yī)院信息安全等級保護實施的要點六（安全管理）整改項設(shè)備部署加固服務(wù)物理訪問控制（物理）電子門禁系統(tǒng)無溫濕度控制（物理）溫

12、、濕度敏感檢測仦/精密空調(diào)無結(jié)構(gòu)安全（網(wǎng)絡(luò)）無技術(shù)加固訪問控制（網(wǎng)絡(luò)） 訪問控制（主機）1.服務(wù)器區(qū)部署防火墻2.部署訪問控制系統(tǒng)3.部署安全隔離網(wǎng)閘4.VPN安全加密通道技術(shù)加固安全審計(網(wǎng)絡(luò)) 安全審計(主機) 安全審計(應(yīng)用)1.部署第三方日志審計系統(tǒng)2.部署運維審計系統(tǒng)3.部署數(shù)據(jù)庫審計系統(tǒng)技術(shù)加固數(shù)據(jù)備份不恢復(fù)管理部署統(tǒng)一備份系統(tǒng)技術(shù)加固邊界完整性檢查（網(wǎng)絡(luò)）部署網(wǎng)絡(luò)準入系統(tǒng)技術(shù)加固入侵防范（網(wǎng)絡(luò)）服務(wù)器區(qū)部署入侵檢測系統(tǒng)（旁路IDS)技術(shù)加固網(wǎng)絡(luò)設(shè)備防護部署網(wǎng)絡(luò)管理系統(tǒng)技術(shù)加固身份鑒別無技術(shù)加固資源控制（主機） 資源控制（應(yīng)用）部署網(wǎng)絡(luò)準入系統(tǒng)技術(shù)加固 技術(shù)加固惡意代碼防護部署防病毒軟件無通信完整性（應(yīng)用）無技術(shù)加固通信保密性（應(yīng)用）無技術(shù)加固網(wǎng)頁防篡改/防攻擊部署網(wǎng)頁防篡改設(shè)備（WAF）無常見整改項目表醫(yī)院信息安全等級保護實施建議1、核心服務(wù)器采用雙機。2、核心交換采用雙機，能支持VRRP戒irf虛擬化，最 好能插入防火墻板卡，三層交換機，做好核心交換的 訪問控制列表。3、安全設(shè)備可根據(jù)實際情況進行投入，如：一臺一體 化安全網(wǎng)關(guān)可同時實現(xiàn)入侵防御