医院信息安全保障建设措施研究分析

1 / 7 医院信息安全保障建设措施研究分析 摘要 :随着计算机技术的发展，信息化时代的到来，信息系统在各行各业都得到很好的运用，在医学上，信息系统也得到了长足的发展。这就要涉及到信息安全的保障，结合医院实际，主要探讨医院信息安全保障系统的建设，并进行相关的对策分析。 关键词 :医院信息安全系统保障 从信息系统安全的角度来看，信息安全系统包括的许多技术、技巧都是在网络的各个层面上实施的，离开网络，信息系统的安全就失去意义。信息系统的安全包括了安全机制和安全服务两项内容，安全机制可以理解成为提供某些安全服务、利用各种 安全技术和技巧，所形成的一个较为完善的结构体系，安全服务就是从网络中各个层次提供给信息应用系统所需要的安全服务支持。随着网络的逐层扩展，安全的内涵也更加丰富，达到了具有认证、权限完整、加密和不可否认五大要素。从目前医院信息系统的发展状况以及对医疗信息系统数据的安全性要求来看，在医院中如何做到从物理、网络、系统主机以及应用层面来确保 IT 系统中各种信息的保密性、完整性、可用性，提高整体防护能力，规范安全管理流程，保障信息系统的平稳运行，是医院信息系统安全的关键所在。但是从目前医院信息系统的发展状况，资金投人2 / 7 等方 面来看实施全面的医院信息安全系统是不现实的。既然实现全面的信息安全系统是不现实的，只有先抓主要矛盾，首先在医院信息系统的关键环节实施信息安全系统，那么医院信息安全系统应该包含哪些关键环节，每个环节又应该采取什么样的策略，先详述如下。 1 医院信息安全系统的关键环节 1.1 中心机房、服务器、数据库的安全 医院中心机房作为医院信息系统的心脏，安全稳定运行应该包括稳定的电源，专用的空调设备，安全的防雷、防静电措施，灵敏的监控报警系统，安全的防火墙、最新的安全补丁以及规范的机房管理措施。 服务器的安全运行首先 应该是建立在机房安全运行的基础上，其次应该是自身软硬件的安全运行，最后应该是防止各种非法的网络入侵。 数据库的安全运行应该建立在服务器安全运行的基础上，不仅仅是数据库软件的安全运行，更重要的是数据库中数据的安全备份、保护与及时恢复等。 1.2 网络设备及其连接线路 网络设备中的核心交换机就像人体的供血枢纽，各级交换机就像中转站，连接医院各种信息设备的网线，就像人体通向各个地方的血管，其重要性不言而喻。 1.3 终端机器的稳定运行 3 / 7 医院大多数系统采用 C/S 或 B/S 结构，各种信息系统的使用主要是在终端机器 运行，只有终端机器的稳定运行才可以保证医院信息系统得到充分应用。 1.4 应用软件的健壮性 应用软件的健壮性、稳定性也是医院信息系统安全的重要环节，因为所有软硬件都是为应用系统的运行创造条件、搭建环境，如果应用系统本身存在安全问题，其它环节的安全将失去意义。 1.5 人的因素 在医院信息系统安全的关键环节中，人的因素是最重要的因素，因为信息系统安全中存在的主要风险应该是人的因素占有很大比例。 2 医院信息安全系统关键环节的主要策略 2.1 中心机房、服务器、数据库的安全运行策略 医院中心机房应该在 温度、湿度、电磁、噪声、防尘、静电和震动等方面做好安全策略，温度波动控制在 24 士 1 一2 之内，相对湿度波动控制在 50%士 5%RH 之内，每升的空气中，大于等于 0.5um 的颗粒应小于 18,000 个，换气次数/h30，中心机房机房与其它房间、走廊间的压差不应小于4.9Pa，与室外静压差不应小于 9.8Pa。机房中应具有报警系统，并具备发手机短信报警功能。中心机房应采取双路供电，4 / 7 配有满足要求的 UPS 设备，做好防雷措施。 定期对服务器进行安全评估、安全加固，是保证服务器正常运行的必要手段，内容至少包括对服务器定期进 行硬件检查，操作系统、应用软件的补丁升级，做好系统备份，安装杀毒软件并及时升级病毒库，重要业务服务器要做好双机备份。对于医院互连网业务用服务器要单独放到 DMZ 区域，并配备 IPS，以防止互连网黑客或病毒的攻击，并尽量使得在受到攻击后不影响内部服务器的使用。 对服务器及核心交换机要做好入侵检测、审计、网管等相应的安全系统，以便实时检测核心设备及整个网络的状况，如果出现问题可以及时通过审计系统查到问题的根源。数据库应该做好增量备份、全备份及异地备份，以保证信息系统的数据万无一失。 2.2 网络设备及其线路的安全策略 网络设备应该根据设备的重要程度对硬件进行定期的维护检查，软件进行定期升级，网络设备中应该根据业务的具体需要进行安全域的划分，网络设备的连接线路应该具有明确的标志，以便在系统出现问题时可准确及时的定位。 2.3 终端机器的安全策略 终端机器由于医院使用者计算机水平的限制，对系统的维护及保护意识比较差，而且终端机器往往又是业务系统的直接运行设备，所以对终端机器的管理显得尤为重要。对终端5 / 7 机器至少应该根据业务的不同将其划分到不同的安全域中，通过网络设备做好访问控制，系统一定要打最新的 补丁，安装杀毒软件并及时升级病毒库，因为病毒目前来看仍然是医院信息系统安全的 “ 第一杀手 ” 。另外，终端机器应做好准入控制，防止外来笔记本电脑等移动设备直接进入网络，业务用终端机器最好禁用 USB 设备。在条件允许的情况下，业务系统和办公系统使用的终端机器最好做到物理隔离。 2.4 应用软件的安全性策略 应用软件的安全应从系统级安全、程序资源访问控制安全、功能性安全和数据域安全四个层次去考虑，在医院信息系统中，由于涉及到的业务类型比较多，部门间职能划分差异比较大，因此程序资源访问控制及数据域安全显得尤为重要， 程序的授权模型需考虑组织、岗位和用户等各个层面。另外，应用软件在安装使用之前一定要按照软件测试的标准流程进行测试，对软件中身份认证部分的数据一定要进行必要的加密，软件系统中一定要记录软件使用者的具体信息，保留使用痕迹。 2.5 人员管理培训策略 医院信息安全系统中人的因素占有很大比重，包括管理水平、技术水平、职业道德等。 医院信息系统的管理水平具有决定性的作用，因为医院信6 / 7 息系统中主要以应用现有计算机技术为主，主要是计算机技术在医院信息系统中的应用，可以说是 “ 三分技术、七分管理 ” ，管理水平将直接决定信息系 统的安全性、稳定性。 信息系统发展快、更新快的特点决定了从事信息技术工作的人员必须经常学习，才可以跟上计算机技术的不断更新，所以对于从事信息技术的人员要进行定期的培训，最好能具备专业的信息安全知识，对于业务系统的使用者也要进行定期培训，具备必要的安全知识。 加强信息从业人员的职业道德培训，信息工作人员的职业道德对信息系统的安全具有非常重要的作用，信息系统的安全问题有很大一部分是由于内部人员造成的，很大程度与内部人员的职业道德有直接关系，因此对于信息技术从业人员应该加强企业道德培训。新晨范文网： 3 结束语 数字化医院网络安全是一个系统工程，安全管理已成为人们关注的热点，只有高度重视数字化医院信息安全问