医疗机构信息系统安全等级保护基本要求

医疗机构信息系统安全等级保护基本要求 上海市卫生局信息中心 上海市信息安全测评认证中心 二 八 年 十 月 2 目 录 1 前言 . 7 2 范围 . 7 3 一般模型 . 7 3.1 技术模型 . 8 3.2 管理模型 . 9 3.3 应用模型 . 10 4 定级指导 . 15 5 威胁分析 . 15 6 安全目标 . 18 6.1 技术目标 . 18 6.2 管理目标 . 21 7 安全要求（要素表） . 23 8 安全基本要求 . 28 8.1 二级（一般）安全要求 . 28 8.1.1 技术要求 . 28 8.1.1.1 物理安全 . 28 8.1.1.1.1 物理位置的选择 . 28 8.1.1.1.2 物理访问控制 . 28 8.1.1.1.3 防盗窃 和防破坏 . 29 8.1.1.1.4 防雷击 . 29 8.1.1.1.5 防火 . 29 8.1.1.1.6 防水和防潮 . 29 8.1.1.1.7 防静电 . 30 8.1.1.1.8 温湿度控制 . 30 8.1.1.1.9 电力供应 . 30 8.1.1.1.10 电磁防护 . 30 8.1.1.2 网络安全 . 31 8.1.1.2.1 结构安全 . 31 8.1.1.2.2 访问控制 . 31 8.1.1.2.3 边界完整性检查 . 31 8.1.1.2.4 网络设备防护 . 31 8.1.1.2.5 网络可用性 . 32 8.1.1.3 主机系统安全 . 32 8.1.1.3.1 身份鉴别 . 32 8.1.1.3.2 访问控制 . 32 8.1.1.3.3 安全审计 . 33 8.1.1.3.4 恶意代码防范 . 33 8.1.1.3.5 资源控制 . 33 8.1.1.3.6 主机可用性 . 33 8.1.1.4 应用安全 . 33 8.1.1.4.1 身份鉴别 . 33 3 8.1.1.4.2 访问控制 . 34 8.1.1.4.3 安全审计 . 34 8.1.1.4.4 通信完整性 . 35 8.1.1.4.5 通信保密性 . 35 8.1.1.4.6 软件容错 . 35 8.1.1.4.7 资源 控制 . 35 8.1.1.5 数据安全 . 35 8.1.1.5.1 完整性 . 35 8.1.1.5.2 数据保密性 . 35 8.1.1.5.3 备份和恢复 . 36 8.1.2 管理要求 . 36 8.1.2.1 安全管理制度 . 36 8.1.2.1.1 管理制度 . 36 8.1.2.1.2 制定和发布 . 36 8.1.2.1.3 评审和修订 . 37 8.1.2.2 安全管理机构 . 37 8.1.2.2.1 岗位设置 . 37 8.1.2.2.2 人员配备 . 37 8.1.2.2.3 授权和审批 . 37 8.1.2.2.4 沟通和合作 . 37 8.1.2.2.5 审核和检查 . 38 8.1.2.3 人员安全管理 . 38 8.1.2.3.1 人员录用 . 38 8.1.2.3.2 人员离岗 . 38 8.1.2.3.3 人员考核 . 38 8.1.2.3.4 安全意识教育和培训 . 38 8.1.2.3.5 外部人员访问管理 . 39 8.1.2.4 系统建设管理 . 39 8.1.2.4.1 系统定级 . 39 8.1.2.4.2 安全方案设计 . 39 8.1.2.4.3 产品采购 . 40 8.1.2.4.4 自行软件开发 . 40 8.1.2.4.5 外包软件开发 . 40 8.1.2.4.6 工程实施 . 40 8.1.2.4.7 测试验收 . 41 8.1.2.4.8 系统交付 . 41 8.1.2.4.9 安全服务商 选择 . 41 8.1.2.5 系统运维管理 . 41 8.1.2.5.1 环境管理 . 41 8.1.2.5.2 资产管理 . 42 8.1.2.5.3 介质管理 . 42 8.1.2.5.4 设备管理 . 42 8.1.2.5.5 监控管理 . 43 8.1.2.5.6 网络安全管理 . 43 4 8.1.2.5.7 系统安全管理 . 43 8.1.2.5.8 恶意代码防范管理 . 44 8.1.2.5.9 密码管理 . 44 8.1.2.5.10 变更管理 . 44 8.1.2.5.11 备份与恢复管理 . 44 8.1.2.5.12 安全事件处置 . 45 8.1.2.5.13 应急预案管理 . 45 8.2 二级（增强）安全要求 . 46 8.2.1 技术要求 . 46 8.2.1.1 物理安全 . 46 8.2.1.1.1 物理位置的选择 . 46 8.2.1.1.2 物理访问控制 . 46 8.2.1.1.3 防盗窃和防破坏 . 46 8.2.1.1.4 防雷击 . 47 8.2.1.1.5 防火 . 47 8.2.1.1.6 防水和防潮 . 47 8.2.1.1.7 防静电 . 47 8.2.1.1.8 温湿度控制 . 47 8.2.1.1.9 电力供应 . 48 8.2.1.1.10 电磁防护 . 48 8.2.1.2 网络安全 . 48 8.2.1.2.1 结构安全 . 48 8.2.1.2.2 访问控制 . 49 8.2.1.2.3 安全 审计 . 49 8.2.1.2.4 边界完整性检查 . 49 8.2.1.2.5 入侵防范 . 49 8.2.1.2.6 网络设备防护 . 49 8.2.1.2.7 网络可用性 . 50 8.2.1.3 主机系统安全 . 50 8.2.1.3.1 身份鉴别 . 50 8.2.1.3.2 访问控制 . 50 8.2.1.3.3 安全审计 . 51 8.2.1.3.4 入侵防范 . 51 8.2.1.3.5 恶意代码防范 . 51 8.2.1.3.6 资源控制 . 51 8.2.1.3.7 主机可用性 . 51 8.2.1.4 应用安全 . 52 8.2.1.4.1 身份鉴别 . 52 8.2.1.4.2 访问控制 . 52 8.2.1.4.3 安全审计 . 53 8.2.1.4.4 剩余信息保护 . 53 8.2.1.4.5 通信完整性 . 53 8.2.1.4.6 通信保密性 . 53 8.2.1.4.7 软件容错 . 53 5 8.2.1.4.8 资源控制 . 54 8.2.1.5 数据安全 . 54 8.2.1.5.1 完整性 . 54 8.2.1.5.2 数据保密性 . 54 8.2.1.5.3 备份和恢复 . 54 8.2.2 管理要求 . 55 8.2.2.1 安全管理制度 . 55 8.2.2.1.1 管理制度 . 55 8.2.2.1.2 制定和发布 . 55 8.2.2.1.3 评审和修订 . 55 8.2.2.2 安全管理机构 . 56 8.2.2.2.1 岗位设置 . 56 8.2.2.2.2 人员配备 . 56 8.2.2.2.3 授权和审批 . 56 8.2.2.2.4 沟