对网络安全等级保护中高风险问题整改的探讨

卢方建 阳江市妇幼保健院

一、项目背景

阳江市妇幼保健院作为三级市妇幼保健院，在信息系统的发展上紧跟时代的步伐，医疗主要的系统包括HIS、LIS、PACS、EMR、信息集成平台以及自助机、微信预约挂号等，为了更好地保证医疗业务的安全持续运作，阳江市妇幼保健院申请对核心系统和微信预约挂号系统进行网络安全等级保护三级评审。通过对高风险问题进行整改，能有效提升信息系统的安全水平，接下来结合阳江市妇幼保健院实际情况，对高风险问题整改方案进行探讨。

二、具体的高风险问题和建议整改方法

（一）针对专线区域边界方面

网络层未采取违规外联行为监控和阻断措施，且管理控制不满足安全要求，整改方法：

1.网络、服务器设备人为封闭不必要的设备插口（如：pci 插卡、usb 接口）；

2.能够发现内部网络用户私自使用电话拨号、adsl 拨号、手机、pda、无线网卡等连接方式将内网设备连接到外部网络；

3.监控设备连接异常情况，一旦连接变更，产生报警记录；

4.物理的访问控制，包括设备连接方面变更的严格审批制度；

5.要定期检查网络连接日志；

6.采用域控方式，禁止改变IP；

7.定期对网络层流量开展行为审计；

8.拒绝除允许的所有通信的情况，需要更改配置的设备包括网闸、防火墙、WAF、路由器和交换机。

（二）针对服务器的口令和身份方面

服务器操作系统用户的身份鉴别和登录口令不满足安全要求：

1.对登录操作系统的用户进行身份鉴别。

2.配置勾选“要使用本机，用户必须输入用户名和密码”。……