对网络安全等级保护中设备身份鉴别方面整改的探讨

卢方建 阳江市妇幼保健院

一、项目背景

我院作为三级市妇幼保健院，在信息系统的发展上紧跟时代的步伐，医疗主要的系统包括HIS、LIS、PACS、EMR、信息集成平台以及自助机、微信预约挂号等，为了更好地保证医疗业务的安全持续运作，我院对核心系统和相关设备进行网络安全等级保护三级评审。通过对网络设备和安全设备进行整改，能有效提升信息系统的安全水平，接下来结合我院实际情况，对网络设备和安全设备整改方案进行探讨。

二、对照与措施

网络设备和安全设备要处理好身份鉴别方面的设置，这是有效防止网络攻击的重点，下面从四个评测项进行对照和采取相应措施：

1.应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；对照设置，发现问题如下：

（1）设备未对所有登录模式启用身份鉴别，缺乏Console认证、缺乏VTY认证和缺乏Web认证。

（2）设备对登录管理的用户仅进行密码认证。

（3）设备未能确保其相关标识的唯一性，包括设备名标识未具有唯一性和登录用户设置的身份标识未具有唯一性。

（4）设备存在明文口令用户。

（5）设备未配置合规的密码长度策略，包括：未配置密码复杂度、密码复杂度要求不满足、未配置密码有效期和密码有效期长度要求不满足。

上述问题的存在，使恶意用户能够较为容易的访问系统并实施恶意操作，对相关系统的正常运行造成影响，存在系统被未授权访问、操作的可能性。……