医疗系统信息网络安全等级保护设计方案

近年来，随着网络的快速发展，各大医院也加强了自身网络与信息系统建设，逐步实现与医保、新农合、卫健委及银行等单位的互联互通，实现了医院内部办公网络化及自动化。同时在互联网方面，也面向患者开放了网上预约挂号、微信支付、医嘱服务及检查检验报告浏览服务等，方便患者就医就诊，提升医院的整体竞争力。然而，医院信息化快速发展的同时，也暴露出了很多信息安全问题，面临的安全形势非常严峻。
因此，2011年，卫生部结合卫生行业实际，研究制定了《卫生行业信息安全等级保护工作的指导意见》（卫办发〔2011〕85号）；2017年6月1日《中华人民共和国网络安全法》正式实施，其中第二十一条明确规定：国家实行网络安全等级保护制度；2019年5月，网络安全等级保护2.0标准正式发布，等级保护制度也从条例法规提高到了国家法律层面。所以，为了全面提高医院信息安全保障能力和水平，落实等级保护制度，满足国家法律要求，全国各大医院要全面开展信息网络安全等级保护工作，建立整体的安全防护体系，为医院内部信息系统保驾护航。

1. 需要根据网络安全等级保护的基本要求，从网络通信、边界安全、主机安全、Web应用安全、接入安全及系统管理安全等多方面考虑安全防护措施，实现对网络中蠕虫、木马、病毒、未知威胁、勒索软件及挖矿病毒等进行检测和拦截，保证医院内部信息系统的安全。
2. 需要根据网络安全等级保护的基本要求，结合医院网络的实际情况，建立起医院完整的安全技术体系、安全管理体系及安全运营体系，使得医院网络安全建设满足等级保护合规性要求，符合国家法律规定。
3. 需要根据医院自身业务系统的实际情况，构建预测、防御、监控、回溯的自适应安全防护体系，使得医院网络安全实现层层递进、纵深防御，实现从被动到主动的安全防御。

方案内容

安全防护体系架构图

三甲医院的信息系统安全保障体系是以“一个中心、三重防护、三个体系”为核心指导思想，构建集防护、检测、响应、恢复于一体的全面的安全保障体系。其中；“一个中心”是指安全运营管理中心，即构建先进高效的安全运营管理中心，实现针对系统、产品、设备、策略、信息安全事件、操作流程等的统一管理。
“三重防护”是指构建安全区域边界、安全计算环境、安全通信网络三维一体的技术防御体系。
“三个体系”是指形成安全技术体系、安全管理体系、安全运营体系三个体系，三个体系相互融合、相互补充，形成一个整体的安全防御体系。其中，安全管理体系是策略方针和指导思想，安全技术体系是纵深防御体系的具体实现，安全运营体系是支撑和保障。

网络安全技术体系设计

安全物理环境：

安全通信网络：

安全区域边界：

安全计算环境：

安全管理中心：

网络安全管理体系设计

网络安全运营体系设计

客户价值

本项目建成后，不仅可以提高医院IT安全管理水平，全面降低信息安全风险。同时可以帮助医院在全区三甲医院中树立良好的安全形象，还可以促进医院业务的发展，具有良好的经济效益和社会效益。
1. 协助医院满足等级保护2.0的合规性要求，符合国家法律法规的相关规定。
2. 统一规划、统一建设、统一运营，可以充分利用现有网络资源和安全资源，节省投资，减少重复建设。
3. 加强网络安全建设，提高医院的网络安全防御体系，减少由病毒及黑客攻击带来的间接损失。
4. 完善的网络安全防护体系，有效防范网络安全问题引发的社会不良影响；实现医院敏感数据的安全防护，降低网络安全问题可能引发的法律风险。

方案部署如下图所示：

方案部署图