医院信息平台建设中的信息安全管理问题研究论文.doc

医院信息平台建设中的信息安全管理问题研究论文 0引言 随着信息技术的快速发展新医改的逐步深入人们对卫生信息化的要求不断提高建立区域卫生信息平台成为卫生医疗系统迫在眉睫的重要工作作为医院层次为了配合区域卫生信息平台建设的要求实现以人为本、提高服务水平建立医院信息平台将医院内部应用系统互联互通形成全院级的病人主索引和电子病历并在此基础上实现对医院信息资源的二次利用为患者提供公众服务建立与外部系统互联的统一接口满足区域的信息共享与协同 1信息安全的重要性 对医院信息资源的整合实现全院全体病人电子病历的共享是医院发展的必然趋势但是在网络化的过程中信息安全若不能被维持一旦受到威胁或者崩溃不但会对医院的日常工作造成很大的影响还会产生一系列问题诸如：不良的医疗服务、造成医疗纠纷、失去民众信任、医院声誉损害、巨额赔偿等因此保障信息的安全是医院信息平台建设的重要工作 由于因特网的方便性使得民众可以在网络上进行各种交易与查询数据但网络是开放的结构在网络上传送数据时安全性是最为重要的考虑在方便医疗的同时病人隐私的保护也成了信息平台安全建设的重中之重 2信息安全体系 2.1安全管理 安全管理建设需要基于电子病历的医院信息平台所服务对象为基础来建立完善的安全管理体系即建立相应的信息安全管理机构、制定相应的信息安全管理制度、设置平台运行所需的人员、岗位建立对系统在运行开发过程中的制度同时通过日常巡检、咨询、评估等运行管理来发现安全隐患并予以改进与提升 同時还应该完善系统活动记录内部稽核机制与程序、健全不同用户的用户权力等级政策及程序文件记录、授权具备安全管理知识的人员负责权限管理并应保留完整授权记录、确保授予使用者适当的权限、建立员工离职后移除授权程序、建立并维护员工安全策略及程序、确保系统用户接受与安全常识有关的培训等 2.2技术安全服务 2.2.1安全计算环境 安全计算环境解决基于电子病历的医院信息平台的计算机系统硬件和系统软件以及外部设备及其连接部件的系统安全问题包括用户身份有效、资源的访问控制、主机安全审计、重要数据的完整和可用性及数据的存储与备份恢复方面的安全问题同时需确定医院信息平台所在的安全计算环境与安全通信网络之间部件的安全包括网络结构、边界的访问控制、协议过滤、安全审计、恶意代码防护及边界的入侵监控等 2.2.2网络通信的安全 安全通信网络解决基于电子病历的医院信息平台所在的安全计算环境、用于信息传输实施安全保护的部件的安全包括数据传输的完整性和保密性、网络可信接入等问题 为了保障信息在网络上传输的安全性需要对原有技术落后且可靠性与安全性都较差的网络结构进行改造借助相关技术对医院内部局域网扩展和延伸实现资源共享结合目前的应用主流可通过VPN、SDH、建立医院专网等方式实现 （1）VPN虚拟专用网络是在公众网络上所建立的企业网络且此企业网络拥有与专用网络相同的安全、管理及功能等特点以SSL安全传输协议为技术核心结合USBKEY、网络协议转换等实现VPN传输网络的可靠性SSL安全通道是在客户到所访问的资源之间建立的确保端到端的真正安全无论在内部网络还是在因特网上数据都不是透明的且采用了认证、存取控制、机密性、数据完整性等措施以保证信息在传输中不被偷看、篡改、复制 （2）SDH同步数字体系是一个将复接、线路传输及交叉功能结合在一起并由统一网管系统进行管理操作的综合信息网络技术系统采用“无单点故障”设计当光纤发生中断或单点故障时不会造成网络其他部分的业务受到影响可靠性大大提高 （3）自行建立本医院的专网这就需要有完备的安全设备与技术相配套如高性能的数据中心防火墙、运用隔离闸等技术保证局域网与互联网的物理隔离、绑定MAC地址、安装网络监控系统等 2.2.3数据安全 医院信息平台中的数据在传输过程中主要依靠VPN系统来保障数据包的数据完整性、保密性、可用性目前VPN的组建主要采用两种方式基于IPSec协议的VPN以及基于SSL协议的VPNIPSecVPN适用于组建sitetosite形态的虚拟专有网络IPSec协议提供的安全服务包括：保密性、完整性、性、防重放SSLVPN适用于远程接入环境例如：移动办公接入它和IPSecVPN适用于不同的应用场景可配合使用 数据是最重要的系统资源数据丢失将会使系统无法连续正常工作；数据错误则意味着不准确的事务处理；可靠的系统要求能立即访问准确信息这势必要求对数据进行备份与恢复数据备份系统应该遵循稳定性、全面性、自动化、高性能、操作简单、实时性等原则广泛的选件和代理能将数据保护扩展到整个系统并提供增强的功能其中包括联机备份应用系统和数据文件选进的设备和介质管理快速、顺利的灾难恢复以及对光纤通道存储区域（SAN）的支持本地完全数据备份至少每天一次且备份介质要场外存放提供能异地数据备份功能利用通信网络将关键数据定时批量传送至异地备用场地 2.3人员安全管理 对相关人员的规范管理在信息安全建设中也是不可忽视的内容需要建设完善可行的方案可以从下面几方面考虑： （1）对各级使用人员建立规范依使用者或职务区分必要时对账号数据进行加密；授权控制包括身份确认、自动注销账号及使用者唯一标识符；确认为避免数据遭受未授权的变动或删除可建立数据确认机制；避免冒名顶替情况发生建立身份确认机制以防授予不恰当的权限 （2）对包括管理阶层人员的所有员工进行安全培训倡导安全管理理念训练用户加强其防毒与个人密码管理知识及意识确保其账号与密码不被偷窥窃用 （3）对于员工离职也应有相应的管理程序诸如更换门禁密码、移除该员工的系统权限、移除该员工的使用者账号等 3结语 有效可行的安全管理规范对于医院信息平台的建设有着极为重要的作用要确保医院数字化网络的安全性、可靠性和保密性必须制备完善的网络安全保密和应急方案这不仅仅是技术的问题同时还需要采取必要的行政手段需要相关部门的共同努力 主要参考文献 1卫生部.基于电子病历的医院信息平台建设技术解决方案（1.0版）S. 2刘涛.区域卫生平台信息安全设计J.消费电子（8X）：76. 3王龙宝