基于虚拟桌面技术对医院内外网逻辑隔离改造的探索

◆陈光

（天津市泰达医院信息部 天津 300457）

当前各级医院对数据管控要求越来越高，所以为了提升信息安全，并满足国家相关部门的监管要求，往往需要建设两套或多套网络，实现内外网物理或逻辑隔离。

目前内外网隔离技术大体分为物理隔离，逻辑隔离两种。物理隔离顾名思义，通过内网和外网，两张互不相通的物理网络隔绝内外网之间的信息传递。逻辑隔离则是在同一网络内，利用交换机、安全设备配置或其他技术手段，隔绝内外数据交换。两种隔离方式各有特点，也有各自的不足。物理隔离更彻底，无论安全防护能力、抗攻击能力、防范信息外泄能力上，都好于逻辑隔离。但同时，需要搭建两套网络系统。终端用户通过两台PC，分别连接两个网络，使用方便程度更低。建设时，网络搭建和终端投入高。逻辑隔离通过网络设备的配置实现内外网段不能互访，不需要另行组网，通过虚拟桌面技术，实现“一机双网”，降低终端投入，从而大幅降低建设成本，缩短建设时间，虽然防护效果不如物理隔离，但适合经费紧张的老旧网络改造。

我院于2007 年扩建开诊，网络拓扑及安全设计都是10 多年前规划，当时因为资金所限，没有采用双网隔离结构，使得内外网机器都处于同一网络内，只根据科室及用途进行了VLAN 划分，终端配置数量也不足，造成同一张网内，不仅有使用内网HⅠS 等医疗系统机器，也有能连接外网的机器，还包括同时可以访问内外双网的机器，例如行政科室、中层管理人员所使用的终端等。……