医院信息系统安全等级保护研究

季静静 何伟

江苏君立华域安全测评有限公司 江苏 南京 211100

引言

医院对信息系统的信任度是随着医院信息结构的发展而增加。但是，信息系统本身存在技术和管理安全性问题。因此，根据国家和行业制定的有关保护信息系统安全级别的相关辅助标准，本文制定了一项评估和保护三级医院信息系统的计划。通过测试[1]，对技术安全措施和信息系统安全管理进行了单独验证和综合分析，发现现有信息系统安全保护与国家行业要求之间的差距，这是医院计算机化建设的一步，为其提供了科学合理的依据[2]。

随着计算机化的发展，网络和信息安全问题一直引起人们的关注，当医院的计算机化设计越来越深入时，随之而来的安全性设计也变得越来越重要。近年来，维护和保护国家和政府中的信息安全已成为各国领导人之间的共识，并已提高到国家安全的战略水平。本文主要介绍评估医院信息安全的重要性，并与2014年的医院进行初步评估进行比较[3]。在2016年，他将情况与保福评估进行了比较，讨论了医院信息系统的运行情况，其他保险评估为医疗行业未来的信息安全提供了指南。

在医学的发展和建设中，保护医院信息系统中信息安全水平的重要性变得越来越重要，但是由于中国缺乏技术支持和技术人员以及对安全水平保护的认识不足，这项工作比国外开始晚了。几年过去了，但是近年来，从政治和技术的角度来看，政府越来越重视医院中信息技术的使用和信息安全[4]。

同时，安全信息管理人员的意识也在不断提高。医院有关部门严格遵守规范医疗行业信息安全的政策和规范[5]，继续从政治上实施信息保护政策，并根据发现的实际问题寻求解决方案。因此，有必要不断保证和促进医疗行业计算机化的顺利进行，与保护信息安全水平有关的综合工作对于医疗行业的发展是必然的。他的工作也不断详细，系统，科学和技术，所有工作都有特殊的信息安全保护。简而言之，极为重要的是要保护医学领域的信息安全水平。

1 信息安全等级保护简述以及测评流程

1.1 信息安全等级保护简述

信息安全级别的保护基于信息的重要性级别[6]，而信息安全级别的保护是根据信息重要性级别保护信息和信息载体的工作。其主要目的是集成，处理和保护某些私人和机密信息。信息通常是有关国家和重要公民的个人信息。信息安全保护包括对信息存储和传输的保护。此外，根据文件中信息安全管理的各个级别，它还包括进一步监视信息存储过程中的更改，以便在与信息安全有关的紧急情况下及时做出决定。它基于提供的基本信息安全性处理与安全性有关的事件，并实施长期信息保护以确保在信息安全级别上提供保护。当前，由于因特网的迅速发展和普及，几乎每个领域都通过网络传输和存储数据[7]，因此，在信息安全的背景下，网络中的信息泄漏正逐渐成为重要的问题。在这种情况下，信息安全级别的保护正逐渐引起各个领域的关注。作为此过程的一部分，与信息安全级别保护有关的工作也不断地，系统地，科学地和技术上详细地进行，并且在每个领域中都进行了与信息安全保护有关的特定工作。

1.2 信息系统安全等级保护测评流程

1.2.1 信息系统确定与定级。按照国家标准《关于保护全省卫生和医疗行业重要信息系统信息安全水平的说明》和《信息系统保护水平分类指南》的现状和发展需求，根据专家论证和合并原则，医院计算机化大致分为系统管理、业务用户、系统服务对象和操作环境等几类，见表1。

表1 医院重要信息系统分类

同时，对安全系统的评估取决于两个因素：一个是业务信息的安全级别，另一个是安全系统的服务级别。员工确定系统的分类级别，请参阅表2。例如，当门户系统的业务信息被破坏时，违规的对象是公共秩序和公共利益。主要违法行为的客观方面是：在网站上发布常规和当前信息，恶意篡改信息统计信息，这阻止了公众获得有关医院的准确信息[8]，从而降低了对医院的信心并破坏了医院的形象。结果级别显示严重损坏，因此将该级别定义为第三级别。同时，在站点系统服务被破坏后，违规的对象也是公共秩序和公共利益，违规的特别客观方面是：部分中断应用程序维护，完全瘫痪和其他违规行为。根据表2，第二级别可以将门户网站系统的安全级别确定为第三级别，具体取决于哪个级别更高。

表2 信息系统定级表

1.2.2 信息系统备案。根据《关于记录信息安全水平的规定实施细则》的要求，支持省卫生计划委员会和医疗机构的信息系统，联合的省级网络或远程网络[9]支持信息系统的运行。 省公安厅通过的医院应提供“信息系统安全”等信息级别注册表之类的信息，以及省卫生和计划委员会医疗和医疗部门的注册表摘要，以获取电子文档，评估工作的结果在本申请的结尾处进行了标记。

1.2.3 信息系统安全建设和整改。在完成备案后，有必要开始建立合规性并更正信息系统。一旦满足要求，就应该进行总体方案设计。遵循同等重视管理和技术的原则，实施信息安全责任制，建立和实施各种安全管理体系，按照“保护信息系统安全水平的基本要求”进行系统建设管理，系统运维管理和人员安全管理。

1.2.4 信息系统测评。医院的信息系统是根据平等保证的要求进行构建，更正和安装的，自我评估符合相关标准。纠正和自我评估医院的信息系统，以满足其他保证要求的相关标准之后，开始评估。

1.2.5 流程小结。信息安全水平的保护体系是基于信息系统的重要性以及受损害后的相关设施的合法权利，社会秩序，公共利益和对国家安全的损害程度[10]，将其从低到高分为5个级别。每个保护级别的信息系统必须满足该级别的基本安全要求，并实施适当的安全措施，以实现针对各种安全威胁的适当级别的安全保护功能。医院信息系统基于这套程序以及相关的法律要求，准则和其他安全评估准则。在分类，通知，整改/施工安全和评估评估的不同阶段[11]，请参见图纸以完成防护等级。信息系统的安全级别如图1所示。

图1 信息系统安全等级保护测评流程图

2 信息系统信息安全等级保护的重要性以及等级保护测评结果

2.1 信息系统信息安全等级保护的重要性

上面简要介绍了与保护信息安全级别有关的基本操作[12]。不同地区有自己的信息保护系统，医院也不例外。保护信息安全水平的工作对于确保医院的信息安全至关重要。首先，医院级的保护不仅是要确保医院产品的安全，而且还要管理医院信息的安全[13]和重要的工作内容。

它是保证医院信息安全的重要手段，是保证医院信息系统正常运行的有效方法。首先，保护信息安全可以有效地保证私人信息的安全。其次，它可以有效地监控信息传递过程中的风险因素，在管理信息时识别潜在的安全威胁，进行更规范的施工监督，并提高信息管理的有效性。可以说，分层保护是信息安全系统中最基本的管理方法。在信息时代，各种行业在系统管理中实现信息安全的分级保护中起着决定性的作用，这无疑在医疗行业中至关重要。

医疗行业中的信息量巨大，并且存储和传输信息的负担也很大。如果没有理想的信息管理策略，很容易在医疗信息中引起混乱甚至致命错误，从而影响医疗决策的准确性。

因此，在发送医疗数据的过程中，保护信息安全水平可以有效防止医院或患者泄漏私人信息，减少与网络传输相关的隐患，确保有关医院信息的安全性和机密性，并确保医疗信息系统的正常运行。在保护信息安全的同时促进医院的计算机化还可以有效减少医患之间的纠纷，并保护医院的经济利益和声誉。因此，医院高度重视保护信息安全水平，具有重要的现实意义。

2.2 医院在信息系统安全建设中存在的问题

2.2.1 信息安全保障资金投入不足。各级医院在整体信息安全方面没有足够的投资，这可能是由于以下事实：医院通常对基本的临床诊断和治疗活动过于关注，并且对计算机化缺乏了解，因此忽略了在这一领域的投资。

2.2.2 信息安全保护尚处于建设初期，应急演练的比例较低。研究发现，实施二级保护，明确信息安全级别，制定完善的紧急计划和进行抢救演习的医院的比例相对较低，特别是在中型医院中。 这表明该地区没有医院管理部门，保护信息安全级别的工作仍处于建设初期，要建立信息安全级别还需要做大量工作。

2.2.3 没有全职员工，并且经常发生信息安全事件。大多数医院都感染了病毒，蠕虫，特洛伊木马和其他网络安全事件。根据“保护信息系统安全级别的基本要求”，应该在“安全管理员”的“三个成员”下创建在信息安全级别提供保护的单元，必须在计算机安全环境和预防安全事件的措施，例如边界安全，入侵防护和恶意代码防护领域的安全审核。但是，研究数据表明，处于“三级”位置的各级医院所占的比例要低得多，并且经常发生信息安全事件。在未来的发展中，我们必须继续培训或引进合适的专家，并采取有效措施减少信息安全事件的发生。

2.3 信息系统安全等级保护测评评估

2.3.1 评估的主要方法包括访谈、考试。访谈的主要内容是“安全管理”类型的管理组织，安全管理系统，人员安全管理，系统建设管理，运营管理和维护系统和其他管理系统。通过详细阅读各种管理系统并与安全主管一起，其中包括人员负责人、系统负责人、财产管理员、操作和维护管理员等，并一起讨论描述和实施各种系统的问题。

访谈的宽度反映在人们交谈的方式上，访谈的深度反映在他们讨论和研究管理系统问题的方式上。

ITestTest是对所有评估指标的功能级别、机制和操作文档进行的详尽而全面的分析，进而观察和研究。根据获得的数据，证明当前的安全机制，系统配置和实现，以及是否经过测试可以满足要求。

检查所有测试内容的评估指标。对功能级别文件，机制和操作检查方法的评估级别进行详细、彻底的分析，观察和研究，以反映检查内容的深度。测试是在通过手动测试，工具扫描和模拟攻击进行测试，测试网络设备和业务系统的功能，研究其安全性和其他方面。

手动测试方法，工具扫描和模拟攻击反映了测试的深度。对服务器、网络设备和业务系统的功能，安全性和其他方面的进行测试，其可以反映各种各样的测试结果。

2.3.2 风险分析方法。基于安全事件的可能性和安全事件的后果，评估和分析信息系统面临的风险。其分析过程包括：当医院信息系统缺乏安全保护或者受到威胁时，将使用安全事件的可能性以及可能的程度高、中和低，评估业务信息安全系统和系统服务安全的效率水平，影响值范围从高、中到低。

将以上的结果进行综合，以汇总和排序信息系统面临的风险。风险级别范围为高，中和低。结合信息系统的安全保护级别，评估风险分析的结果，即国家安全、社会秩序、公共利益和适当权益的风险公民、法人和其他组织的法律。

该信息系统被评为三级信息系统。根据三级信息系统的评估强度要求，在测试中，必须基本涵盖所有安全机制，并且可以获取样本的数量和范围。在测试的深度中，样品应进行功能测试和渗透测试。功能测试可能涉及诸如机构功能规格，高级设计和操作程序之类的文件。渗透测试可能涉及该机制的所有可用文档，并试图渗入信息系统等。因此，要对其进行评估，需要许多测试工具，例如漏洞扫描工具和渗透测试工具：Nessus是全球上用于扫描和分析系统漏洞的最佳集成的软件。

绿盟科技远程安全评估系统，可以实现漏洞预警，漏洞检测，风险管理，漏洞修复，漏洞检查等功能。绿盟科技的安全组织绿盟科技到目前为止已独立发现了关于制造商的缺陷，绿盟科技拥有关于中国漏洞的最大知识库。

如上所述，医院系统按照其组成可以划分为“基本支持系统”、“面向患者的服务系统”、“门户网站”以及“合作办公室系统”等四个子系统，以《信息系统安全防护等级分类指南》为测评依据， 在2014年的首次保修评估的过程中把“基本支持系统”和“面向患者的服务系统”定义为第三等级的网站系统，另外“协作办公系统”等级定义为第二等级。经过两年多时间在公共业务信息上的纠正和扩展，2016年重新对其进行安全评估时，此时医院在原有的基础之上产生了两套辅助系统，其分别是“门户系统”与“协作办公系统”，以实现平等保护以及提升安全为分析宗旨，根据保护的强度和要求进行分析论述。

2014年相关评价我们是基于系统分类的基础，那是测评时采用的系统有“基本支持系统”和“患者护理系统”这两套系统都属于三级系统，三级系统的主要特征有“ GB / T22239-2008信息技术、安全技术、安全级别、安全系统、基本要求”，标准S3A3G3（总共76个控制点），此次测评时用作支持系统的有门户系统和联合办公室系统，该系统的特征是“GB / T 22239-2008。信息安全技术、系统安全技术、基本安全级别要求”，该支持系统作为评估系统的基础，其按照标准S2A2G2前后反复进行了69次检查，事实是安全管理系统与第三级基本支持系统S3A3G3一起使用，并且选择了标准S3A3G3作为根据高原则评估系统的基础（总共74个控制点）。实际上，我们基于“基本支持系统”和“ Zori”。 “患者护理系统”用作评估系统级别的指标（其他控制点不适用）。其中，同意“基本支持系统”的34个控制点，部分合格的20个控制点，不合格的3个控制点，“以患者为中心的服务体系”：合格的34个控制点，部分合格的29个控制点，合格的5个控制点。不相容。同样，我们选择了“办公室系统”，将59个控制点和74个控制点用作评估系统级别的指标（不应用其他控制点）。其中，“门户”对应于39个控制点，部分对应于两个检查的“控制点”和“不一致”。一个点，“合作办公系统”对应于41个控制点，部分对应于28个控制点，而不对应于5个控制点。通过分析评估结果，这四个系统的评估结论“基本一致”。

2016年主要是整体测评两年的建设和整顿，这四个系统在2016年均被评为三个。测评时我们根据4个系统的分类，针对安全系统的安全级别（总共76个控制点）采用标准S3A2G3“信息安全技术的基本要求GB / T 22239-2008”作为评估所有系统的基础。在评估了基本支持系统的39个控制点后，他们被合格，16个控制点被部分合格，2个控制点不合格。“系统” 35个遵从性控制点，29个局部控制点，4个失配点，“ 门户系统” 39个遵从性控制点，21个局部遵从性控制点，如果不遵守9个控制点，则“联合办公系统”具有40个遵从性控制点， 28个控制点（部分合规）和8个控制点（不合规）。分析重估结果后，在系统级别执行的四组重估结果“基本一致”。

两次测评对比评价与分析：在2014年评估的初始阶段，发现医院的信息系统中存在许多安全问题，这也普遍缺乏对医疗单位的保护，例如：从物理安全的角度来看，内部和外部网络之间没有物理隔离设备，并且没有提供媒体存储介质；在网络端，基本设备和聚合设备均未打开以进行访问控制：为了实现主机安全性，未打开密码复杂性，未设置用于限制登录失败的规则，未设置系统超时，并且在应用程序安全方面未设置审核内容。从性别上讲，没有两步验证，这是最无效的。同时连接的数量和同时连接的数量受到限制，既没有远程备份功能，也没有使用加密技术来确保数据交换期间的数据完整性和机密性。使用预期的评估报告，评估报告和评估报告可以得出结论，医院有理由采取相对安全的策略。经过两年的系统维护和建设，包括与医院信息安全相关的技术和产品的研究与创新，以及安全策略的添加和调整，在2016年进行评估和更新后，我们发现了“基本系统”的组合。支持的控制点和面向患者的系统的数量已大大增加，违规点的数量已减少。同样，由于门户网站门户和联合办公室系统的级别更改，要求得到了显著改善，但是合并的控制点和部分通信元素仍然保持较高的成本，并且初始成本没有减少。估计和比较。可以看出，安全和纠正策略的效果是显著的。

2.4 医院信息化安全建设的建议

2.4.1 合理规划，增加对信息安全工具的投资。为了保证医院信息安全的有效发展，各级医院必须设立专项资金以保证信息安全。增加资金以通过各种渠道（例如，高级财务部门的支持和医院的自营职业）来确保信息安全。同时，应为建筑物制定合理的信息安全计划，并应为建筑物制定实用的信息安全计划以确保专项资金的分配。根据施工方案，制定适当的投资策略，合理调整投资结构，注意合理分配设备，人员建设费用，咨询培训。

2.4.2 履行信息安全责任，提高信息安全意识各级医院必须严格按照“医疗行业信息安全学位保护指南”和“新闻发布须知”严格履行信息安全义务。“谁负责，谁负责，谁负责运营和谁负责”的要求增强了对信息安全的责任感。指派专人负责信息安全管理，创建专人信息安全机构，并解释各部门和信息安全部门的职责。加强设备和人员的设计，保障信息安全水平，医院有关部门和工作人员应当指导单位的全体人员更好地了解信息安全，提高信息安全领域的普遍意识。

2.4.3 定期执行紧急演习以加强信息安全措施。 医院应建立完整的信息安全体系和应急预案，并对相关人员进行针对性的培训，定期进行抢救演习，总结演习中出现的问题，并及时进行改进。 并根据IT系统的实际情况，划分安全区域，实施特殊的安全产品，并在相关的安全区域中配置安全策略，加强信息安全措施，最大限度地减少信息安全事件的发生。

2.4.4 加强信息安全管理，不断改进人才团队的设计。在医疗保健领域，创建信息安全系统有两个重要的概念，即：技术手段和产品是必要和重要的，但是管理更重要，网络安全是面向人才的。无论是技术还是管理，我们都需要专业人才，因此我们需要不断提高团队中的人才水平，积极引进或培训信息安全专家，并定期派遣信息安全专家来教授业务知识。

2.5 医院信息系统信息安全等级保护的改善措施

从当前与医院信息系统中信息安全级别保护有关的工作效率来看，在管理员意识，管理员技术和政府管理政策方面，对安全级别的保护已大大提高。因此，根据医院信息系统中保护信息安全水平的现状，有必要讨论提高对信息系统中信息安全水平的保护措施。

3 结束语

医院的计算机化领域发展迅速，信息技术极大地帮助了临床医院的实践，但也带来了许多难以克服的缺点。当今互联网的快速发展，特别是随着智能移动终端的普及和社交媒体的发展，导致内部和外部网络之间的数据连接问题，信息爆炸了，用户越来越依赖互联网。与移动互联网紧密集成，同时更多地参与网络信息，从而减少了个人数据的隐私低，增加泄漏的风险，并很容易导致严重的社会事件。诸如医院急诊系统之类的医院安全评估系统提供了具有标准化参考值的良好基础，从而使医院安全设计具有更好的控制标准。可以对其进行评估，组装、纠正/建造、评估/重新评估，这种循序渐进的转变加强了医院的安全边界，并且安全策略更加可靠。当然，并非每个具有相同保证的评估检查点都与医院管理过程兼容，因此医院还必须进行实际的安全性转换，以区分管理，不断增加网络边界的安全性并改进过程策略。提高您的管理水平。

因此，创建医院信息系统不仅需要管理员的意识，管理员在技术和公共管理政策领域的努力，而且还需要不断总结实践经验以实现进一步的改进。当不断引入医疗行业对信息安全的要求并不断引入医疗活动中的风险管理系统时，在大数据阵列时代，技术不断渗透信息结构，因此医院必须保持最新状态并与全国各地同步。这是同时规划和制定安全计划的计划，以建设，重建和扩展信息系统，引入确保信息安全的集成机制，促进我们自己的安全系统的创建和中国医疗行业的健康发展。遵守保护信息安全水平，进一步改善信息系统和安全措施以及确保医院信息安全的原则是医疗行业信息安全保护发展的主要领域。