前言：中文期刊网精心挑选了医院网络安全建设范文供你参考和学习，希望我们的参考范文能激发你的文章创作灵感，欢迎阅读。
医院网络安全建设范文1
现在，随着网络的不断发达使得我们的生活产生了很大的改变，很大程度上提升了我们的生活质量。随着无线网络的普遍，不仅极大程度上的丰富了我们的生活，而且也极大程度上推动了医疗体系的发展。和有线网络相比，无线网络有着很多的优势，具有安装方便、信号强等优点，通过无线电波进行数据传播，更加的快速有效。但是，随之也产生各种各样安全问题，在无线网络的安全建设中，还是存在着一定的安全威胁。所以，现在所面临的最大的挑战就是安全问题。医院当中的工作区域或者是休息区域部署无线网络，更大程度上的方便了医疗工作者还有来就医的患者，从而使医疗工作更加方便的进行。
1无线网络安全建设措施
1.1概述现在在我国很多医院都已经大规模的实施，无线医疗技术方面的应用十分活跃，无论是大城市还是一些偏远城市都很大程度上的普及了这项技术。但是，和其他的医疗体系发达的国家相比还是存在着很多的不足之处。所以，我们如何加快的普及和推广这一项技术成为我们现在所面临的重要问题，而且，在发展无线网络的过程当中，排在第一位的还是安全问题，甚至还是一个社会道德与法律法规的问题。因此，我们要寻求一个相对合适的手段和采用一种独特的技术来进行管理，通过无线网络，利用高科技的设备，在医院可以实现现代化的发展，实现一种高端的医疗服务，从而能够提高病人对于本医院的满意程度，提升工作效率，美化病区环境。网络安全是现在很重要的一个部分，对于整个网络体系来说，在具有标准的安全体系之外，还要有相对应的安全策略。安全建设措施主要体现在几个方面，设备安全、连接安全、网络本身的安全和管理层面的安全。无线网络的组成由控制层、接入层和管理层三个方面。所以，我们要根据无线网络的特点来制定特定的安全建设措施。1.2安全策略集中控制所谓安全策略集中控制就是指将所有的安全策略都集中在统一的控制器上面，来进行数据的传递，是一种固定的网络构架。控制主要有几个方面，登记用户身份、管控上网的行为、安全加密、制定病毒的对策等。网络主要的管理员在主控制器上制定与之相匹配的安全策略，进而提升安全系数。1.3病毒入侵防护在访问网络时，病毒是一个需要我们要阻拦的东西，在无线网络访问互联网的时候，操作系统中可能就会出现病毒软件。所以，在用户认证之前，无线网络的终端就应该制作出相应的防病毒定义码对其进行检查。若是检查的结果并没有通过，那么就应该考虑到禁止访问互联网。在访问网络之后，可能会产生一些病毒性的网络残留，某些用户很有可能沾染病毒的一些数据，应该在防病毒设备上对其进行全面检查。检查的结果为通过时，就能够允许通过，若是结果显示的情况是不允许通过，那么则是要丢弃这些数据，用来保证系统没有被病毒入侵。
2应用实践
2.1无线网络的设计与部署无线网络在设计的过程中，主要是以太网来进行连接的，无线AP和一些主要的接入点构成了主要的无线网络。通过POE交换机进行网络交换，使用千兆以上的网链进行交换和传输。通过固定的分配器和一些必要的天线进行无线网络覆盖。相对来说比较大的室内则是通过放装的形式进行信号覆盖。2.2非法电磁信号检测对于非法电磁信号的检测主要是通过智能无线AP，那么现在主要有两种方法来进行检测：一种就是在一段时间内，通过AP自动进行扫描；第二种就是将AP设定成能够持续监视的模式来进行不断的刷新扫描，进行检测。选择非法的电磁信号进行屏蔽，并且按照所需要的频率进行扫描检测，并且在周围环境中进行信号的检测。通过这样的方式，自动识别并且检测非法的电磁信号，用来避免造成网络的系统崩溃。另外，在相对重点的区域更是要注重安全检测，避免潜在的危险。2.3双重认证鉴别为了保障网络的安全，需要对对接人的设备进行准入认证。通常包括几个方法来进行认证，有Web和MAC认证两个方面。两个不同的方法也对应着不同的系统问题，系统操作的差异化也会导致结果的不同，所以，对于不同种类的移动终端Web存在着很多的局限性，可以采用MAC双重鉴定方法来实现。在安装了相应的证书之后，并且所对应的地址一致，之后能够接入无线网络。这种双重认证鉴别的方式，能够更加安全的进行身份识别，从而使医院系统更加的安全。
3结束语
综上所述，很多医院的实践都证明了网络安全的重要性，无线网络的实施确实为医院工作者和来就医的人员带来了很多的方便，而且让医院的安全系统更加安全。通过无线网络的技术，医疗信息系统也大部分都是由无线网络所支持的。随着移动医疗设备在医院的普及，会有包括无线网络在内的更多更新的技术和理论的出现，那么为了保证网络的安全性，在新的网络形式之下，我们要做到的就是保障无线网络的安全问题，适应当下的安全形势管理需要，让无线网络能够更好的为人民服务。
参考文献
[1]徐金建，孙震，王浩.基于“互联网+”及无线应用安全问题探讨[J].中国数字医学，2015（07）：98-100.
[2]杨眉，潘晓雷，彭仕机.医院无线网络安全建设措施及应用实践[J].医学信息学杂志，2015（02）：41-44.
[3]自动化技术、计算机技术[J].中国无线电电子学文摘，2010（04）：167-247.
[4]韩雪峰.浅析医院无线网络的实施[J].医疗卫生装备，2010（01）：61-63.
[5]朱俊.无线网络安全问题及其防范措施[J].计算机与网络，2013（21）.
[6]李林，刘毅，杨骏.无线网络安全风险评估方法的应用研究[J].计算机仿真，2011（09）.
医院网络安全建设范文2
一、 基本网络的搭建。
由于校园网网络特性(数据流量大,稳定性强,经济性和扩充性)和各个部门的要求(制作部门和办公部门间的访问控制),我们采用下列方案:
1. 网络拓扑结构选择:网络采用星型拓扑结构(如图1)。它是目前使用最多,最为普遍的局域网拓扑结构。节点具有高度的独立性,并且适合在中央位置放置网络诊断设备。
2.组网技术选择:目前,常用的主干网的组网技术有快速以太网(100Mbps)、FDDI、千兆以太网(1000Mbps)和ATM(155Mbps/622Mbps)。快速以太网是一种非常成熟的组网技术,它的造价很低,性能价格比很高;FDDI也是一种成熟的组网技术,但技术复杂、造价高,难以升级;ATM技术成熟,是多媒体应用系统的理想网络平台,但它的网络带宽的实际利用率很低;目前千兆以太网已成为一种成熟的组网技术,造价低于ATM网,它的有效带宽比622Mbps的ATM还高。因此,个人推荐采用千兆以太网为骨干,快速以太网交换到桌面组建计算机播控网络。
二、网络安全设计。
1.物理安全设计 为保证校园网信息网络系统的物理安全,除在网络规划和场地、环境等要求之外,还要防止系统信息在空间的扩散。计算机系统通过电磁辐射使信息被截获而失密的案例已经很多,在理论和技术支持下的验证工作也证实这种截取距离在几百甚至可达千米的复原显示技术给计算机系统信息的保密工作带来了极大的危害。为了防止系统中的信息在空间上的扩散,通常是在物理上采取一定的防护措施,来减少或干扰扩散出去的空间信号。正常的防范措施主要在三个方面:对主机房及重要信息存储、收发部门进行屏蔽处理,即建设一个具有高效屏蔽效能的屏蔽室,用它来安装运行主要设备,以防止磁鼓、磁带与高辐射设备等的信号外泄。为提高屏蔽室的效能,在屏蔽室与外界的各项联系、连接中均要采取相应的隔离措施和设计,如信号线、电话线、空调、消防控制线,以及通风、波导,门的关起等。对本地网 、局域网传输线路传导辐射的抑制,由于电缆传输辐射信息的不可避免性,现均采用光缆传输的方式,大多数均在Modem出来的设备用光电转换接口,用光缆接出屏蔽室外进行传输。
2.网络共享资源和数据信息安全设计 针对这个问题,我们决定使用VLAN技术和计算机网络物理隔离来实现。VLAN(Virtual LocalArea Network)即虚拟局域网,是一种通过将局域网内的设备逻辑地而不是物理地划分成一个个网段从而实现虚拟工作组的新兴技术。
IEEE于1999年颁布了用以标准化VLAN实现方案的802.1Q协议标准草案。VLAN技术允许网络管理者将一个物理的LAN逻辑地划分成不同的广播域(或称虚拟LAN,即VLAN),每一个VLAN都包含一组有着相同需求的计算机工作站,与物理上形成的LAN有着相同的属性。
但由于它是逻辑地而不是物理地划分,所以同一个VLAN内的各个工作站无须放置在同一个物理空间里,即这些工作站不一定属于同一个物理LAN网段。一个VLAN内部的广播和单播流量都不会转发到其它VLAN中,即使是两台计算机有着同样的网段,但是它们却没有相同的VLAN号,它们各自的广播流也不会相互转发,从而有助于控制流量、减少设备投资、简化网络管理、提高网络的安全性。VLAN是为解决以太网的广播问题和安全性而提出的,它在以太网帧的基础上增加了VLAN头,用VLANID把用户划分为更小的工作组,限制不同工作组间的用户二层互访,每个工作组就是一个虚拟局域网。虚拟局域网的好处是可以限制广播范围,并能够形成虚拟工作组,动态管理网络。从目前来看,根据端口来划分VLAN的方式是最常用的一种方式。许多VLAN厂商都利用交换机的端口来划分VLAN成员,被设定的端口都在同一个广播域中。例如,一个交换机的1,2,3,4,5端口被定义为虚拟网AAA,同一交换机的6,7,8端口组成虚拟网BBB。这样做允许各端口之间的通讯,并允许共享型网络的升级。
但是,这种划分模式将虚拟网络限制在了一台交换机上。第二代端口VLAN技术允许跨越多个交换机的多个不同端口划分VLAN,不同交换机上的若干个端口可以组成同一个虚拟网。以交换机端口来划分网络成员,其配置过程简单明了。
3.计算机病毒、黑客以及电子邮件应用风险防控设计 我们采用防病毒技术,防火墙技术和入侵检测技术来解决相关的问题。防火墙和入侵检测还对信息的安全性、访问控制方面起到很大的作用。
第一,防病毒技术。病毒伴随着计算机系统一起发展了十几年,目前其形态和入侵途径已经发生了巨大的变化,几乎每天都有新的病毒出现在INTERNET上,并且借助INTERNET上的信息往来,尤其是EMAIL进行传播,传播速度极其快。计算机黑客常用病毒夹带恶意的程序进行攻击。
为保护服务器和网络中的工作站免受到计算机病毒的侵害,同时为了建立一个集中有效地病毒控制机制,天下需要应用基于网络的防病毒技术。这些技术包括:基于网关的防病毒系统、基于服务器的防病毒系统和基于桌面的防病毒系统。例如,我们准备在主机上统一安装网络防病毒产品套间,并在计算机信息网络中设置防病毒中央控制台,从控制台给所有的网络用户进行防病毒软件的分发,从而达到统一升级和统一管理的目的。安装了基于网络的防病毒软件后,不但可以做到主机防范病毒,同时通过主机传递的文件也可以避免被病毒侵害,这样就可以建立集中有效地防病毒控制系统,从而保证计算机网络信息安全。形成的整体拓扑图。
第二,防火墙技术。企业防火墙一般是软硬件一体的网络安全专用设备,专门用于TCP/IP体系的网络层提供鉴别,访问控制,安全审计,网络地址转换(NAT),IDS,VPN,应用等功能,保护内部局域网安全接入INTERNET或者公共网络,解决内部计算机信息网络出入口的安全问题。
医院网络安全建设范文3
关键词：医院信息化建设；网络；安全防护
随着我国医院信息化建设速度越来越快，HIS、LIS、PACS、EMR等信息系统的应用，既提升了医院医疗信息化水平和医生工作效率，也方便了病人的就诊，同时医院也更加地依赖于网络。由于人员的不规范上网行为、病毒、木马等安全隐患，给医院网络带来了巨大的威胁。对此医院要清晰地意识到网络安全隐患所造成的危害，切实提高思想意识，高度重视网络安全防护，对网络安全隐患要进行有效的防范，促进医院信息化建设的健康发展。
1医院信息化建设中网络安全的重要性
近年来我国信息化进程越来越快，医院信息化建设也取得了一系列显著成果，如银行事务、电子邮件、电子商务和自动化办公等应用，在为社会、企业、个人带来方便的同时，由于互联网具备较强的开放性、互联性、匿名性等特征，也将引起网络应用安全隐患。对医院来说，在应用网络通信技术、计算机技术以后，将从整体上促使自身运行效率的提升。但是因为医院业务流程非常繁琐，以门诊系统为例，在挂号、就诊及化验等流程来看，显得过于复杂，而应用先进的信息技术手段，能够在医保卡上准确、完全记录各方面信息，医务工作者也只需要通过相关证号就能够将患者信息调出来，非常方便。由于医院信息化建设中需要与互联网进行连接，因而也容易受到各种外部威胁，产生很多网络安全隐患，这点需要医院注意。
2医院信息化建设中的网络安全隐患
医院中心机房是医院信息的核心，也是医院网络的汇总。一旦出现问题，轻者部分服务开启不了，重者网络瘫痪，将严重影响整个医院的正常运行与管理，为医院与患者造成巨大损害。主要存在以下几个问题：（1）中心机房出入人员太多而且人员比较杂，特别是机房设备上架、维护等，相关工作需要人员参差不齐，没有统一管理；（2）工程师在中心机房维护时，会应用到各种外接设备（如：移动硬盘、U盘），这样会引起网络安全隐患，可能导致病毒侵入现象，对医院各项数据、信息造成威胁[1]；（3）中心机房无环境监控系统，信息中心人员只有在出问题的时候才会去中心机房检查，导致中心机房无实时监管，而中心机房的配电系统、温湿度检测、UPS机组监控系统等都会对各设备的正常运行产生影响。医院网络分为内网和外网，其中内网主要分为无线和有线：许多医院院内无线网络存在长期弱密码，且长期不更新密码，IP动态获取等安全隐患。而有线虽然划分了VLAN，但存在IP与MAC地址未绑定，缺少上网认证等安全隐患。而外网主要包括医院OA、网站、医院质控上报及院内人员上网浏览查资料等。存在的安全隐患有：一是医院网站存在被黑客攻击的风险，如果医院网站被黑后，就会泄漏病人信息、药品信息、费用信息等重要数据；二是由于医院许多医护人员缺乏上网安全意识，随意在网络系统中上传或下载文件资料等，容易感染病毒、木马等安全问题，为黑客、病毒等非法入侵创造了可乘之机，会让医院系统网络出现断开，服务器变得瘫痪，病人信息被盗，数据出现丢失等。严重影响医院网络安全、稳定的运行。
3医院信息化建设中的网络安全防护策略
3.1完善网络安全管理制度
（1）建立和完善相关的安全管理制度，保证其具备较强的可操作性，如：信息系统管理制度、中心机房管理制度、网络安全管理制度、人员值班备班制度及其他相关制度等。必须要严格执行这些规章制度，实行有效的奖惩措施。对于网络维护要明确责任，谁操作谁负责，同时每年至少演练一次，保证安全。（2）制定科学合理的网络应急预案，建立网络安全应急小组，从事件严重程度出发，采用相应的处理办法。同时信息中心人员也应定期或不定期进行巡检，发现问题，及时解决问题。（3）加强培训，不仅仅是信息中心人员培训，还要对全院每个职工进行培训，提高全院人员对网络安全的意识。要定期对网络管理人员作出考核，保证其具备胜任本职工作的能力。（4）对上网用户进行认证，特别是上医院外网时更要做好认证，避免出现风险。
3.2加大网络边界安全防护力度
为避免医院信息化建设中出现网络安全问题，应该采取如下措施：（1）从医院网络架构出发，内外网要进行物理隔离，访问外网的计算机只能访问外网。同时搭建上网行为安全管理器，屏蔽除安全网站外的所有网站，如需要访问必须向信息中心备案，并对网络攻击行为要有预警和短信提醒功能。而对内网的安全应要有更高要求，应该部署相关的杀毒软件和桌面管理器。（2）防火墙。对内外网数据通信进行扫描，在发生恶意Javascript攻击、拒绝服务攻击等网络攻击后，能够有效进行过滤，将无关端口关闭，禁止来自于非法站点的访问请求。（3）入侵检测系统。根据安全策略库相关内容严格监控通信状况，在发现有与安全策略不符的疑似入侵行为后，将第一时发出告警提示，且入侵检测系统能够与防火墙进行联动，对各种攻击行为进行组织[2]。（4）局域网划分。通过科学合理地划分医院内部员工对信息资源的划分，能够最大限度降低维护与管理的工作量，避免受到广播风暴影响。（5）边界恶意代码防范。从数据中心业务风险分析与等级保护三级对边界恶意代码防范的要求出发，将防病毒产品设置在互联网边界，防病毒产品能够检查HTTP、FTP、SMTP、POP3、IMAP以及MSN协议的内容，并对存在的病毒进行消除，支持查杀引导区病毒、文件型病毒、宏病毒、蠕虫病毒、特洛伊木马、后门程序、恶意脚本等各种恶意代码，同时能够定期升级病毒库版本。
3.3加强网络安全监测管理
（1）网络实时监测。监测医院网络中实时数据传输状况，相关监测结果通过数字压缩功能传输至监控中心，当出现网络安全问题则立即发送报警，确保第一时间处理，为医院网络安全提供可靠保证，提升网络安全监测效果。（2）日志文件查询。通过查询监控对象统计和分析，确保能够及时、准确、全面了解医院网络整体状况，对于出现的安全隐患可以尽快采取解决措施，避免发生故障与问题[3]。（3）中心机房监控系统。医院信息中心要对中心机房配电系统、UPS机组监控系统、温湿度检测等系统的实时监控。提高机房管理工作效率并提供安全舒适的工作环境，提升网络的安全性。（4）医院网站托管第三方。网站的应用服务与数据库分离（应用服务器在第三方，数据库在医院，通过接口连接），同时与第三方签定各项保密协议。（5）云安全管理平台。通常要利用虚拟化平台，集中管理所有的安全措施，主要包括数据防丢失、安全信息与事件管理及终端保护方案等，可以提供相关的云服务，通过虚拟化的形式为医院节省维护成本。
3.4数据库安全管理
（1）涉及到数据库的主要硬件有服务器和存储设备。对于数据库服务器可以使用集群方式，防止因一台服务器停用而导致整个医院信息系统瘫痪，同时也防止医院系统使用高峰时，出现系统响应不及时等情况。而存储设备可以使用磁盘阵列（如：RAID5、RAID6），磁盘阵列上配备有热备盘，提高数据传输速率与系统的稳定性。（2）细分数据库访问权限，可以分成超级用户、管理用户、各系统用户等。对超级用户来说，可以访问整个网络数据库，并由医院信息科主管负责，定期更新数据库密码。对管理用户来说，负责管理数据库中的数据，包括备份数据、库锁管理和数据库内所需的表样式等。对各系统用户来说，只可以对自用数据库进行访问。若是管理员数量较多，要以基本用户设定为基础，为所有管理员设置一个自用用户。（3）医院还要部署相应的审计软件与防统方软件，监管并记录每个用户对数据库的各类操作行为与该计算机的IP地址[4]。对重要的业务数据库进行异地备份，可采取完全备份或增量备份，如果发生业务数据丢失或人为破坏，可以尽快地恢复相关数据，保证业务数据的完整性。只有这样才能进一步提升医院信息系统的安全性。
4结语
在网络信息时代下，医院信息化建设步伐也逐步加快，但是也出现了很多安全隐患，只有保证网络的顺利运行，才有利于医院各项业务与服务工作的开展。医院要高度重视网络安全防护的重要性，既要采用先进的技术手段，还要建立完善的规章制度，各级领导与普通医务工作者都要提高警惕，共同参与到网络安全维护工作中，为医院信息化建设铺平道路。
参考文献
[1]牛永亮.浅谈医院信息化建设中的网络安全与防护措施[J].经济师,2018,(01):234-235.
[2]鲍怀东.医院信息化建设中的网络安全防护[J].电子技术与软件工程,2017,(05):221.
医院网络安全建设范文4
商城县公安局网监大队：
我院在接到贵单位发来的《信息系统安全等保限期整改通知书》后，院领导高度重视，责成信息科按照要求进行整改，现在整改情况报告如下。
一、我院网络安全等级保护工作概况
根据上级主管部门和行业主管部门要求，我院高度重视并开展了网络安全等级保护相关工作，工作内容主要包含信息系统梳理、定级、备案、等级保护测评、安全建设整改等。我院目前运行的主要信息系统有：综合业务信息系统。综合业务信息系统是商城县人民医院核心医疗业务信息系统的集合，系统功能模块主要包括医院信息系统(HIS)、检验信息系统(LIS)、电子病历系统(EMRS)、医学影像信息系统(PACS)，其中医院信息系统(HIS)、检验信息系统(LIS)、电子病历系统(EMRS)由福建弘扬软件股份有限公司开发建设并提供技术支持，医学影像信息系统(PACS)由深圳中航信息科技产业股份有限公司开发建设并提供技术支持。
我院已于2018年11月完成了综合业务信息系统的定级、备案、等级保护测评、专家评审等工作，系统安全保护等级为第二级（S2A2G2），等级保护测评机构为河南天祺信息安全技术有限公司，等级保护测评结论为基本符合，综合得分为76.02分。在测评过程中，信息科已根据测评人员建议对能够立即整改的安全问题进行了整改，如：服务器安全加固、访问控制策略调整、安装防病毒软件、增加安全产品等。目前我院正在进行门户网站的网络安全等级保护测评工作。
二、安全问题整改情况
此次整改报告中涉及到的信息系统安全问题是我院于2018年11月委托河南天祺公司对医院信息系统进行测评反馈的内容，主要包括应用服务器、数据库服务器操作系统漏洞和Oracle漏洞等。针对应用服务器系统漏洞，我院及时与安全公司进行沟通，沟通后通过关闭部分系统服务和端口，更新必要的系统升级包等措施进行了及时的处理。针对Oracle数据库存在的安全漏洞问题，我们与安全公司和软件厂商进行了沟通，我院HIS系统于2012年底投入使用，数据库版本为Oracle 11g，投入运行时间较早，且部署于内网环境中未及时进行漏洞修复。
经过软件开发厂商测试发现修复Oracle数据库漏洞会影响HIS系统正常运行，并存在未知风险，为了既保证信息系统安全稳定运行又降低信息系统面临的安全隐患，我们主要采取控制数据库访问权限，切断与服务器不必要的连接、限制数据库管理人员权限等措施来降低数据库安全漏洞造成的风险。具体措施为：第一由不同技术人员分别掌握数据库服务器和数据库的管理权限；第二数据库服务器仅允许有业务需求的应用服务器连接，日常管理数据库采用本地管理方式，数据库不对外提供远程访问；第三对数据库进行了安全加固，设置了强密码、开启了日志审计功能、禁用了数据库默认用户等。
我院高度重视网络安全工作，医院网络中先后配备了防火墙、防毒墙、入侵防御、网络版杀毒软件、桌面终端管理等安全产品，并正在采购网闸、堡垒机、日志审计等安全产品，同时组建了医院网络安全小组，由三名技术人员负责网络安全管理工作，使我院网络安全管理水平大幅提升。
“没有网络安全，就没有国家安全”。作为全县医疗救治中心，医院始终把信息网络安全和医疗安全放在首位，不断紧跟医院发展和形势需要，科学有效的推进网络安全建设工作，并接受各级主管部门的监督和管理。
医院网络安全建设范文5
关键词：医院信息系统；信息安全；信息管理；等级保护
一、引言
随着医院对信息化建设不断深入渗透医院的医疗、科研、教学、后勤保障，医院信息系统不仅是保证医院的正常运转，还是医院财务管理等方面的巨大支撑，并且安全的医疗信息数据才能有效地保护病人的权益、提高治疗效果。因此加强医院信息系统安全建设是医院良好有序发展的前提及客观要求[1]。
二、医院现状及信息安全状况
2.1基本情况。我院现为国家三级甲等医院，是华南地区医疗、教学、科研、保健和康复的重要基地，设有31个大科，100个专科，其中5个国家重点学科、28个国家临床重点专科。医院信息系统自开始建设，经历三代HIS系统的更迭，至今在线服务器和存储近百台，网络设备300余台；业务模块近100个；终端数量近2000台。核心系统包括HIS，CPOE、EMR、PACS、LIS。
2.2安全等保建设前信息系统安全状况。网络采用物理网络隔离的方式，即业务网和互联网物理隔离，但随着医院业务的不断开展，与医保网互联、开通微信平台、通过支付宝微信支付、移动终端接入，业务网不可避免地要跟外网互联，且人为加入无线网卡等连接外部网络等，面临安全风险。安全防范意识上面，未形成有效的安全等级保护的规章制度和领导小组或安全管理手册。
三、医院安全建设规划和实施
3.1规划和原则。国家立法“对信息服务、公共服务、等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害公共利益的关键信息基础设施，实行重点保护”[2]。卫计委要求各医院完成安全等级保护建设。具体提出定级备案、安全整改建设、等级测评、监督检查等工作要求[3]。根据以上指定及实际情况，我院制定出“规划先行、指导为重、分期实施”的总体指导方针。整体上，安全等级保护建设工作分为四个阶段1）自我认知阶段，了解面临的风险，可能的威胁。2）基础改进的阶段，包括根据资产价值治理控制环境。3）规划管理阶段，定义业务内控流程，加强合规管理。4）安全运营阶段，IT风险集中管理与监控。最后达到自行驱动完善信息系统安全。
3.2医院信息系统安全定级。我院对HIS、LIS、PACS、电子病历、OA以及门户网站进行安全等保定级、备案、差距测评以及整改。HIS系统定为3级，PACS、LIS、电子病历、OA以及门户网站定位了2级。
3.3安全建设实施。我院信息安全建设采用安全域划分的方式，采用国内一流的安全产品，与原有的信息系统和网络设备实现无缝衔接，统一管理，快速响应，运行稳定。核心安全产品包括核心UTM、安全域的FW、日志审计、IDS以及终端安全。
四、信息安全建设收益
4.1提高了系统的安全防范能力。如下图所示，体现为四方面1）服务器以及存储只对外提供指定端口，非业务端口流量严禁进入。2）重要业务数据库做操作审计。3）服务器操作系统进行漏洞扫描并及时修补。4）业务软件系统漏洞扫描以及安全检查并修正。
4.2数据中心实现安全域管理划分。新增业务系统按照其等相应的等级加入相应的安全域，快速部署，统一管理，并节省安全建设成本。
4.3信息安全技能提升。通过信息安全建设，技术人员的专业水平显著提高，安全意识增强。完成数次渗透测试与安全加固。应对供电故障，建立了机房双路供电加UPS；应对设备故障，核心设备双活负载均衡，次重要设备硬件冷备份，可在预见时间内恢复网络；应对线路故障，建立备用线路；应对网络攻击，常规化网络监控以及人工网络巡查，攻击出现时可迅速定位攻击来源。
五、安全一体化运维平台建设的新要求
移动互联和物联网，对医院的信息安全提出新的要求，具体做到：认证、加密以及定位，即为：进不来，拿不走，留痕迹（审计）。这三点中最难的是认证，认证必然造成医院临床使用的不便，而部分设备较难实施认证，如一些手持终端、摄像头等。对此，应对的管理方式可以是安装终端管控系统，无感知认证，移动终端只允许在指定区域进行无线接入等。总体上看，持续的安全建设应该是向安全一体化运维平台的方向发展。而这个方向需要管理人员安全管理组织、决策、执行，需要流程化运维，需要一套监控中心、预警中心、事件处理平台、考核中心、知识管理中心、流程驱动的引擎。最终到达的目标是自驱动的管理与技术相融合。即安全管理制度流程化，安全可视化、动态化，形成PDCA风险优化处理闭环。
六、结语
信息安全是动态的，随着技术的发展而变化。信息安全防护没有完全单一而又绝对保险的措施。安全也是适度安全，没有绝对的安全。信息安全应该是管理与技术并重，安全管理制度落地运作，通过信息化手段来实现信息安全管理工作，并随着外界风险的变化进行调整，信息安全应该是持续改进的过程。
参考文献
[1]黄娓娓,刘涛.大家健康,2014,5,8(10):4-5.
[2]《中华人民共和国网络安全法》第三十一条
医院网络安全建设范文6
关键词：等级保护；网络安全；信息安全；安全防范
中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2014）19-4433-03
随着我国国际地位的不断提高和经济的持续发展，我国的网络信息和重要信息系统面临越来越多的威胁，网络违法犯罪持续大幅上升，计算机病毒传播和网络非法入侵十分猖獗，犯罪分子利用一些安全漏洞，使用木马间谍程序、网络钓鱼技术、黑客病毒技术等技术进行网络诈骗、网络盗窃、网络赌博等违法犯罪，给用户造成严重损失，因此，维护网络信息安全的任务非常艰巨、繁重，加强网络信息安全等级保护建设刻不容缓。
1 网络信息安全等级保护
信息安全等级保护是指对国家重要信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。网络信息安全等级保护体系包括技术和管理两大部分，如图1所示，其中技术要求分为数据安全、应用安全、网络安全、主机安全、物理安全五个方面进行建设。
图1 等级保护基本安全要求
1） 物理安全
物理安全主要涉及的方面包括环境安全（防火、防水、防雷击等）设备和介质的防盗窃防破坏等方面。
2） 主机安全
主机系统安全是计算机设备（包括服务器、终端/工作站等）在操作系统及数据库系统层面的安全；通过部署终端安全管理系统（TSM），准入认证网关（SACG），以及专业主机安全加固服务，可以实现等级保护对主机安全防护要求。
3） 网络安全
网络是保障信息系统互联互通基础，网络安全防护重点是确保网络之间合法访问，检测，阻止内部，外部恶意攻击；通过部署统一威胁管理网关USG系列，入侵检测/防御系统NIP，Anti-DDoS等网络安全产品，为合法的用户提供合法网络访问，及时发现网络内部恶意攻击安全威胁。
4） 应用安全
应用安全就是保护系统的各种应用程序安全运行，包括各种基本应用，如：消息发送、web浏览等；业务应用，如：电子商务、电子政务等；部署的文档安全管理系统（DSM），数据库审计UMA-DB，防病毒网关AVE等产品。并且通过安全网关USG实现数据链路传输IPSec VPN加密，数据灾备实现企业信息系统数据防护，降低数据因意外事故，或者丢失给造成危害。
5） 数据安全
数据安全主要是保护用户数据、系统数据、业务数据的保护；通过对所有信息系统，网络设备，安全设备，服务器，终端机的安全事件日志统一采集，分析，输出各类法规要求安全事件审计报告，制定标准安全事件应急响应工单流程。
2 应用实例
近年来卫生行业全面开展信息安全等级保护定级备案、建设整改和等级测评等工作，某医院的核心系统按照等级保护三级标准建设信息系统安全体系，全面保护医院内网系统与外网系统的信息安全。
医院网络的安全建设核心内容是将网络进行全方位的安全防护，不是对整个系统进行同一等级的保护，而是针对系统内部的不同业务区域进行不同等级的保护；通过安全域划分，实现对不同系统的差异防护，并防止安全问题扩散。业务应用以及基础网络服务、日常办公终端之间都存在一定差异，各自可能具有不同的安全防护需求，因此需要将不同特性的系统进行归类划分安全域，并明确各域边界，分别考虑防护措施。经过梳理后的医院网络信息系统安全区域划分如图2所示，外网是一个星型的快速以太交换网，核心为一台高性能三层交换机，下联内网核心交换机，上联外网服务器区域交换机和DMZ隔离区，外联互联网出口路由器，内网交换机向下连接信息点（终端计算机），外网核心交换机与内网核心交换机之间采用千兆光纤链路，内网交换机采用百兆双绞线链路下联终端计算机，外网的网络安全设计至关重要，直接影响到等级保护系统的安全性能。
图 2 医院网络信息系统安全区域划分图
2.1外网网络安全要求
系统定级为3级，且等级保护要求选择为S3A2G3，查找《信息系统安全等级保护基本要求》得到该系统的具体技术要求选择，外网网络安全要求必须满足如下要求：边界完整性检查（S3） 、入侵防范（G3） 、结构安全（G3） 、访问控制（G3） 、安全审计（G3） 、恶意代码防范（G3） 和网络设备防护（G3） 。
2.2网络安全策略
根据对医院外网机房区域安全保护等级达到安全等级保护3级的基本要求，制定相应的网络安全策略
1） 网络拓扑结构策略
要合理划分网段，利用网络中间设备的安全机制控制各网络间的访问。要采取一定的技术措施，监控网络中存在的安全隐患、脆弱点。并利用优化系统配置和打补丁等各种方式最大可能地弥补最新的安全漏洞和消除安全隐患。
2） 访问控制策略
访问控制为网络访问提供了第一层访问控制，它控制哪些用户能够连入内部网络，那些用户能够通过哪种方式登录到服务器并获取网络资源，控制准许用户入网的时间和准许他们在哪台工作站入网。
3） 网络入侵检测策略
系统中应该设置入侵检测策略，动态地监测网络内部活动并做出及时的响应。
4） 网络安全审计策略
系统中应该设置安全审计策略，收集并分析网络中的访问数据，从而发现违反安全策略的行为。
5） 运行安全策略
运行安全策略包括：建立全网的运行安全评估流程，定期评估和加固网络设备及安全设备。
2.3网络安全设计
根据对医院外网安全保护等级达到安全等级保护3级的基本要求，外网的网络安全设计包括网络访问控制，网络入侵防护，网络安全审计和其他安全设计。
1） 网络访问控制
实现以上等级保护的最有效方法就是在外网中关键网络位置部署防火墙类网关设备，采用一台天融信网络卫士猎豹防火墙、一台CISCO公司的PIX515和一台网络卫士入侵防御系统TopIDP。
①外网互联网边界防火墙：在局域网与互联网边界之间部署CISCO公司的PIX515百兆防火墙，该防火墙通过双绞线连接核心交换区域和互联网接入区域，对外网的互联网接入提供边界防护和访问控制。
②对外服务区域边界防火墙：对外服务区域与安全管理区域边界部署一台千兆防火墙（天融信NGFW4000-UF），该防火墙通过光纤连接核心交换机和对外服务区域交换机，通过双绞线连接区域内服务器，对其他区域向对外服务区域及安全管理区域的访问行为进行控制，同时控制两个区域内部各服务器之间的访问行为。
③网络入侵防御系统：在托管机房区域边界部署一台网络入侵防御系统，该入侵防御系统通过双绞线连接互联网出口设备和区域汇聚交换机，为托管机房区域提供边界防护和访问控制。
2） 网络入侵防护
外网局域网的对外服务区域，防护级别为S2A2G2，重点要实现区域边界处入侵和攻击行为的检测，因此在局域网的内部区域边界部署网络入侵检测系统（天融信网络入侵防御系统TopIDP）；对于外网托管机房的网站系统，防护级别为S3A2G3，由于其直接与互联网相连，不仅要实现区域边界处入侵和攻击行为的检测，还要能够有效防护互联网进来的攻击行为，因此在托管机房区域边界部署网络入侵防御系统（启明星辰天阗NS2200）。
①网络入侵防御系统：在托管机房区域边界部署一台采用通明模式的网络入侵防御系统，该入侵防御系统通过双绞线连接互联网出口设备和区域汇聚交换机，其主要用来防御来自互联网的攻击流量。
②网络入侵检测系统：在外网的核心交换机上部署一台千兆IDS系统，IDS监听端口类型需要和核心交换机对端的端口类型保持一致；在核心交换机上操作进行一对一监听端口镜像操作，将对外服务区域与核心交换区域之间链路，以及互联网接入区域与核心交换区域之间链路进出双方向的数据流量，镜像至IDS监听端口；IDS用于对访问对外服务区域的数据流量，访问安全管理区域的数据流量，以及访问互联网的数据流量进行检测。
3） 网络安全审计
信息安全审计管理应该管理最重要的核心网络边界，在外网被审计对象不仅仅包括对外服务区域中的应用服务器和安全管理区域的服务器等的访问流量，还要对终端的互联网访问行为进行审计；此外重要网络设备和安全设备也需要列为审计和保护的对象。
由于终端的业务访问和互联网访问都需要在网络设备产生访问流量，因此在外网的核心交换机上部署网络行为审计系统（天融信网络行为审计TopAudit），交换机必需映射一个多对一抓包端口，网络审计引擎通过抓取网络中的数据包，并对抓到的包进行分析、匹配、统计，从而实现网络安全审计功能。
①在外网的核心交换机上部署一台千兆网络安全审计系统，监听端口类型需要和核心交换机对端的端口类型保持一致，使用光纤接口；
②在核心交换机上操作进行一对一监听端口镜像操作，将对外服务区域与核心交换区域之间链路，以及互联网接入区域与核心交换区域之间链路进出双方向的数据流量，镜像至网络安全审计系统的监听端口；
③网络安全审计系统用于对访问对外服务区域的数据流量，访问安全管理区域的数据流量，以及访问互联网的数据流量进行安全审计；
④开启各区域服务器系统、网络设备和安全设备的日志审计功能。
4） 其他网络安全设计
其他网络安全设计包括边界完整性检查，恶意代码防范，网络设备防护，边界完整性检查等。
①边界完整性检查：在托管机房的网络设备上为托管区域服务器划分独立VLAN，并制定严格的策略，禁止其他VLAN的访问，只允许来自网络入侵防御系统外部接口的访问行为；对服务器系统进行安全加固，提升系统自身的安全访问控制能力；
②恶意代码防范：通过互联网边界的入侵防御系统对木马类、拒绝服务类、系统漏洞类、webcgi类、蠕虫类等恶意代码进行检测和清除；部署服务器防病毒系统，定期进行病毒库升级和全面杀毒，确保服务器具有良好的防病毒能力。
③网络设备防护：网络设备为托管机房单位提供，由其提供网络设备安全加固服务，应进行以下的安全加固：开启楼层接入交换机的接口安全特性，并作MAC绑定； 关闭不必要的服务（如：禁止CDP（Cisco Discovery Protocol），禁止TCP、UDP Small服务等）， 登录要求和帐号管理， 其它安全要求（如：禁止从网络启动和自动从网络下载初始配置文件，禁止未使用或空闲的端口等）。
3 结束语
信息安全等级保护是实施国家信息安全战略的重大举措，也是我国建立信息安全保障体系的基本制度。作为国家信息安全保障体系建设的重要依据，在实行安全防护系统建设的过程中，应当按照等级保护的思想和基本要求进行建设，根据分级、分域、分系统进行安全建设的思路，针对一个特定的信息系统（医院信息管理系统）为例，提出全面的等级保护技术建设方案，希望能够为用户的等级保护建设提出参考。
参考文献：
[1] 徐宝海.市县级国土资源系统信息网络安全体系建设探讨[J].中国管理信息化，2014（4）.
[2] 李光辉.全台网信息安全保障体系初探[J].电脑知识与技术，2013（33）.
