医疗行业信息系统整体安全解决方案江苏巨鸿电子信息技术有限公司 董邦达 13851776264 dongbdjsjhkj.com.cn 前言医疗信息化建设是行业信息化建设过程中的重要组成部分。目前正是医疗信息化的大发展时期。未来几年中，我国将有超过70%的医院实现信息化管理。根据医疗系统的信息化水平划分，医院信息化发展要经历三个阶段：医院管理信息化(HIS)阶段、临床管理信息化(CIS)阶段、局域医疗卫生服务(GMIS)阶段。医院能否为病人提供方便、快捷的优质服务？这不仅是百姓关心的问题，也是医院所重视的问题。医院对信息化的要求是很迫切的，对他们来说，信息化带来的不仅是便捷，更把医院管理带向现代化轨道。在HIS系统上，不仅护士和药品管理部门的人员能看到医生的医嘱信息，医生也能看到药品的报价情况，这彻底改变了以往各个部门之间信息沟通不畅的问题，真正实现了业务透明化。据不完全统计，这种全新的管理方式每年为医院至少节约1000万元。医院管理信息系统在20多年的发展中，历经了单机单任务、PC机Foxbase局域网部门级信息系统，直到C/S、B/S结构的一体化医院信息系统。网络也正在经历院内局域网扩展为医疗城域网，直至将来的全国联网的网络形态变化，其原因是：一方面医院需要为患者提供更多的服务，需要为内部移动用户提供VPN接入，为病人提供网上预约挂号，为专家提供远程会诊等；另一方面由于医院是整个社会保障体系中必不可少的一环，又肩负着教、科、研的重任，要求医院信息化系统逐步从封闭走向开放。因此，医院信息系统正变成医疗体系结构中不可或缺的基础架构，该架构的网络安全和数据可用变得异常重要。任何的系统停机或数据丢失都会轻则降低患者的满意度、损害医院的信誉，重则引起医患纠纷、法律问题或社会问题。和其他行业一样，医疗信息系统在日常运行中面临各种风险带来的应用服务停机和数据丢失或泄密，例如：l 网络病毒、攻击造成停机与数据丢失l 黑客入侵造成信息泄密l 人为错误造成数据删除l 存储损坏造成应用停机和数据丢失l 服务器故障或交换机故障导致应用意外停机l 不可抗因素如火灾、地震等造成信息中心毁坏随着医疗信息系统的深入发展，IT环境也变的越来越复杂。不仅有不同厂家的存储、服务器、网络等硬件平台，还会有Oracle、SQL Server、中间件等异构的软件平台。虽然异构为医院带来低成本和高适应性，但同时也会带来复杂性，引起性能和高可用性问题。因此无论是医疗制度改革带给医院的压力，还是政府疾病防治和控制给医院信息化建设带来的机会，医院信息系统在发展过程中首当其冲要解决的问题是：因外部及内部原因引起的网络安全问题，数据安全问题，保证信息系统的扩展性和高效连续运行。本方案将从医疗信息系统的安全现状出发，讨论如何建立适应未来发展的信息系统安全和可用性架构。第一部分 医疗行业信息系统网络安全解决方案一、医疗行业结构特点及信息安全需求分析随着医疗行业信息化建设的不断完善，目前绝大多数的医院已经部署了网络防火墙，客户端防病毒等产品，但医院网络依然会不断遭受蠕虫病毒，木马等威胁的攻击，现有的技术和防范手段已经不足以应对日益猖狂的各种新型威胁。另外，医院内部发生的安全事件是医院信息资产流失的一个主要因素，越来越多的医院也着手开始实施内网的安全控制措施。图1：医院信息系统的典型网络拓扑医疗行业信息系统结构的安全威胁主要来自以下下几个方面：1、医院数量庞大的固定及移动终端安全和管理难题：操作系统补丁不能及时更新、安全软件不能及时升级，造成威胁侵入、继而整个网络病毒泛滥。 2、 医院的邮件系统逐渐成为医院日常管理的工具，垃圾邮件泛滥不仅造成IT资产浪费、系统效率下降，而且各种利用邮件的网络攻击会给网络带来极大的风险：信息泄漏、病毒传播。 3、 医院绝大部分的病人和医疗信息，如病人的病例|、 药品采购、财务信息等，是以电子信息的形式存在医院的内部网络中，据统计，医院知识产权信息经常以电子邮件，文件传输，web 邮件等形式轻而易举地流出。因此医院需要一定的保护措施，避免信息泄漏造成的各种形式的纠纷。通过上述分析可以看出，医院信息系统的安全防护必须是多层次，全方位的。赛门铁克根据医疗行业的实际情况，设计了完整的、先进的信息系统主动安全防护体系，它主要包括： 医院端点标准化管理方案 端点安全策略管理 Symantec NAC/Endpoint Protection IT 资产标准管理 Symantec Altiris 医院邮件系统安全管理方案 邮件安全网关 Symantec Mail Security 邮件归档管理 Symantec Enterprise Vault 医院机密数据安全管理方案 防止机密数据泄漏方案 Symantec Vontu DLP二、医疗行业网络安全整体方案1 医院端点标准化管理方案医院网内的终端数量庞大，各自归属的管理网段不一。归纳端点管理的目标： 医院全面建立主动式的端点防护体系，即能够有效包含端点本身，又能够对端点上的不规范行为进行监督。 端点保护需要集成多种安全技术，如防病毒，防火墙、IPS,程序管理、设备控制等。 在网络上部署实时的审核手段，对违规的客户端限制或禁止其网络接入权限。做到发现问题，即时解决问题。不感染网络中其它的工作设备。 减少IT 维护终端的工作量，自动收集网络中的IT资产信息，定期统计其变更量，为医院IT 规划提供依据。 统一分发医院所需要的系统补丁、应用程序等，减少终端用户的干预程度。赛门铁克的端点标准化管理方案从技术和管理两方面出发，可以很好的解决上述医院面临的端点管理问题。该方案主要由两大部分组成： Symantec Network Access Control/Symantec Endpoint Protection:提供集成的端点安全防护技术和网络准入控制，帮助医院提高端点自身的安全防护能力。同时又在网络上实时审核端点的符合安全规范的程度。一旦发现违规终端，立即限制或取消其访问网络的权利，从而达到规范终端操作，统一策略的主动防护目的。 Symantec Altiris：给医院提供IT 资产生命周期的管理架构，从IT 资产的信息收集、登记、系统分发，软件分发、故障排错等全面的自动化的管理，大大减少IT 管理员的维护工作量。下面将阐述这两部分方案如何对医院端点标准化管理。（一）Symantec Network Access Control/Symantec Endpoint Protection（以下简称SNAC/SEP） SNAC/SEP 是赛门铁克端点安全管理方案，它的核心思想是通过网络准入控制和端点安全保护屏蔽一切不安全的设备和人员接入医院内部网络，从而规范终端用户接入网络的行为，铲除对医院重要网络威胁的源头，避免事后处理的高额成本。SEP提供了世界一流、业界领先且基于特征的防病毒和反间谍软件防护。它具备先进的威胁防御能力，能够保护端点免遭目标性攻击以及之前没有发现的未知攻击侵扰。包括主动防护技术以及管理控制功能；主动防护技术能够自动分析应用程序行为和网络通信，以检测并阻止可疑活动，而管理控制功能使医院能够拒绝对医院来说被视为高风险的特定设备和应用程序活动。甚至可以根据用户位置阻止特定操作。SEP不仅可以增强防护，而且可以通过降低管理成本以及管理多个端点安全性产品引发的成本来降低总拥有成本。它提供一个代理，通过一个管理控制台即可进行管理。从而不仅简化了端点安全管理，而且还提供了出色的操作效能。SEP 功能结构示意图如下：图2：SEP功能结构示意图在端点安全管理设计中，网络准入控制是把对用户的管理需求通过技术手段贯彻下去的唯一可行办法。SANC 正是这样一个解决方案，它为医院创建了终端接入的可信尺度。常见检查策略为：强制验证操作系统补丁是否更新，反病毒软件是否在运行及病毒库是否更新，端点防火墙软件是否在运行及被适当的配置。同时，SNAC也可以让管理员进一步执行更多高级策略，检查特定安全软件或特殊安全配置是否存在。一旦SNAC检查策略创建完成，就有了在终端连入网络时可参照的安全基线。它通过提前的“准入扫描”，来确保终端可信状态并授权。SNAC的网络访问控制流程包括以下四个步骤：1. 发现和评估端点。此步骤在端点连接到网络访问资源之前执行。通过与现有网络基础架构相集成，同时使用智能代理软件，网络管理员可以确保按照最低 IT 策略要求对连接到网络的新设备进行评估。2. 设置网络访问权限。只有对系统进行评估并确认其遵从 IT 策略后，才准予该系统进行全面的网络访问。对于不遵从 IT 策略或不满足医院最低安全要求的系统，将对其进行隔离，限制或拒绝其对网络进行访问。3. 对不遵从的端点采取补救措施。对不遵从的端点自动采取补救措施使管理员能够将这些端点快速变为遵从状态，随后再改变网络访问权限。管理员可以将补救过程完全自动化，这样会使该过程对最终用户完全透明；也可以将信息提供给用户，以便进行手动补救。4. 主动监视遵从状况。必须时刻遵从策略。因此，Symantec Network Access Control 11以管理员设置的时间间隔主动监视所有端点的遵从状况。如果在某一时刻端点的遵从状态发生了变化，那么该端点的网络访问权限也会随之变化。SNAC 提供多种准入控制方式： 局域网准入控制（基于802.1x 标准）LAN Enforcer 网关准入控制 Gateway Enforcer DHCP 准入控制 自我强制 图3：SNAC 网络准入控制（二）Symantec Altiris Symantec的Altiris资产管理致力于IT管理，以其服务导向架构(SOA) 下提供模块化的服务导向解决管理方案(SOM)为客户提供完整的IT 生命周期管理(IT Lifecycle Management )，并在业界公认的成熟的IT管理最佳实践（IT基础架构库）的基础上为客户提供完全的流程化管理。它帮助医院实现IT 资产生命周期的管理。图4：Symantec Altiris IT 资产生命周期管理Altiris IT生命周期管理解决方案具有多重系统管理功能，医院能随着新的要求或新的系统管理需求部署新的功能，随着医院的发展而不断扩充。每个解决方案以模块化的方式集中安装在Altiris服务器上，通过安装在客户端的Agent（代理）的交互式来实现所有功能。在端点标准化管理的方案中，我们建议使用Altiris Client Management Suite( CMS) 来实现对端点资产的自动化管理。Altiris CMS 套件是一种非常简单易用的客户端管理解决方案，它帮助医院降低PC、笔记本、手持设备等的管理维护成本。专为拥有大量IT设备管理者设计的。这个方案帮助医院实现从任何地点对系统和设备的管理，包括部署、管理、配置、解决问题等功能。它包括如下解决方案： Inventory Solution for Clients, IT资产管理（动态资产统计、资产监控） Deployment Solution for Clients,部署和迁移（系统、应用、个性化设置的部署和升级） Patch Management Solution for Clients,补丁包管理（自动、安全安装补丁程序） S