三级等保方案-市中医医院网络信息安全等级保护方案.doc

三级等保方案-市中医医院网络信息安全等级保护方案 导读：市中医院智慧医疗云等保三级测评方案市中医院信息系统网络安全等级保护三级建 设 方 案北京 XX 科技有限公司2020 年 2 月市中医院智慧医疗云等保三级测评方案目录第 1 章 方案概述 .h3c医院三级等保网络安全解决方案市中医院智慧医疗云等保三级测评方案市中医院信息系统网络安全等级保护三级建 设 方 案北京 XX 科技有限公司2020 年 2 月市中医院智慧医疗云等保三级测评方案目录第 1 章 方案概述 .51.1 背景 .5 1.2 方案设计目标 .8 1.3 方案设计原则 .8 1.4 方案设计依据 .9第 2 章 信息系统定级情况.12第 3 章 安全需求分析.133.1 安全指标与需求分析 .13第 4 章 信息安全体系框架设计.16第 5 章 管理体系整改方案.175.1 安全制度制定解决方案 .17 5.1.1 策略结构描述 .17 5.1.2 安全制度制定 .20 5.1.3 满足指标 .215.2 安全制度管理解决方案 .21 5.2.1 安全制度发布 .21 5.2.2 安全制度修改与废止 .22 5.2.3 安全制度监督和检查 .22 5.2.4 安全制度管理流程 .23 5.2.5 满足指标 .265.3 安全教育与培训解决方案 .27 5.3.1 信息安全培训的对象 .27 5.3.2 信息安全培训的内容 .28 5.3.3 信息安全培训的管理 .29 5.3.4 满足指标 .305.4 人员安全管理解决方案 .30 5.4.1 普通员工安全管理 .30 5.4.2 安全岗位人员管理 .32 5.4.3 满足指标 .375.5 第三方人员安全管理解决方案 .37 5.5.1 第三方人员短期访问安全管理 .38 5.5.2 第三方人员长期访问安全管理 .39 5.5.3 第三方人员访问申请审批流程信息表 .41 5.5.4 第三方人员访问申请审批流程图 .42 5.5.5 满足指标 .425.6 系统建设安全管理解决方案 .43 5.6.1 系统安全建设审批流程 .43 5.6.2 项目立项安全管理 .45 5.6.3 信息安全项目建设管理 .47 5.6.4 满足指标 .53I市中医院智慧医疗云等保三级测评方案5.7 等级保护实施管理解决方案 .57 5.7.1 信息系统描述 .59 5.7.2 等级指标选择 .68 5.7.3 安全评估与自测评 .71 5.7.4 方案与规划 .77 5.7.5 建设整改 .79 5.7.6 运维.84 5.7.7 满足指标 .875.8 软件开发安全管理解决方案 .88 5.8.1 软件安全需求管理 .89 5.8.2 软件设计安全管理 .91 5.8.3 软件开发过程安全管理 .96 5.8.4 软件维护安全管理 .99 5.8.5 软件管理的安全管理 .101 5.8.6 软件系统安全审计管理 .102 5.8.7 满足指标 .1035.9 安全事件处置与应急解决方案 .103 5.9.1 安全事件预警与分级 .104 5.9.2 安全事件处理 .110 5.9.3 安全事件通报 .116 5.9.4 应急响应流程 .118 5.9.5 应急预案的制定 .119 5.9.6 满足指标 .1335.10 日常安全运维管理解决方案 .135 5.10.1 运维管理 .135 5.10.2 介质管理 .137 5.10.3 恶意代码管理 .139 5.10.4 变更管理管理 .141 5.10.5 备份与恢复管理 .143 5.10.6 设备管理管理 .147 5.10.7 网络安全管理 .152 5.10.8 系统安全管理 .156 5.10.9 满足指标 .1605.11 安全组织机构设置解决方案 .168 5.11.1 安全组织总体架构 .168 5.11.2 满足指标 .1745.12 安全沟通与合作解决方案 .176 5.12.1 沟通与合作的分类 .176 5.12.2 风险管理不同阶段中的沟通与合作 .178 5.12.3 满足指标 .1795.13 定期风险评估解决方案 .180 5.13.1 评估方式 .181 5.13.2 评估内容 .182 5.13.3 评估流程 .184 5.13.4 满足指标 .186第 6 章 技术整改方案设计.188II市中医院智慧医疗云等保三级测评方案6.1 设计原则 .188 6.2 安全保障体系构成 .1916.2.1 安全技术体系 .192 6.2.2 安全管理体系 .197 6.2.3 安全运维体系 .197 6.3 安全技术方案详细设计 .198 6.3.1 信息安全拓扑设计 .199 6.3.2 安全计算环境设计 .213 6.3.3 安全区域边界设计 .225 6.3.4 安全通信网络设计 .230 6.3.5 安全管理中心设计 .234 6.4 安全管理体系详细设计 .239 6.4.1 安全管理建设设计指导思想 .239 6.4.2 建立安全管理制度及策略体系的目的 .240 6.4.3 设计原则 .240 6.4.4 安全方针 .241 6.4.5 信息安全策略框架 .242 6.4.6 总体策略 .242 6.4.7 安全管理组织机构 .244 6.4.8 服务交付物 .247 6.5 安全运维体系详细设计 .251 6.5.1 门户网站安全监控 .251 6.5.2 应急响应服务 .256 6.5.3 安全通告服务 .259 6.5.4 网络及安全设备维护 .260 6.5.5 系统安全维护 .262 6.5.6 网络防护 .263 6.5.7 系统加固 .263第 7 章 技术体系符合性分析.2707.1 物理安全 .270 7.2 网络安全 .275 7.3 主机安全 .283 7.4 应用安全 .290 7.5 数据安全与备份恢复 .297第 8 章 工程建设 .3008.1 工程一期建设 .300 8.1.1 区域划分 .300 8.1.2 网络环境改造 .301 8.1.3 网络边界安全加固 .301 8.1.4 网络及安全设备部署 .302 8.1.5 安全管理体系建设服务 .339 8.1.6 安全加固服务 .357 8.1.7 应急预案和应急演练 .364 8.1.8 安全等保认证协助服务 .3648.2 工程二期建设 .365III市中医院智慧医疗云等保三级测评方案8.2.1 安全运维管理平台（soc）.365 8.2.2 APT 高级威胁分析平台.369 8.3 系统施工组织设计 .371 第 9 章 本期采购安全产品清单.428IV市中医院智慧医疗云等保三级测评方案第1章 方案概述1.1 背景为了保障基于“健康云”、“智慧云”的 XX 中医院，我公司依据 公安部关于开展信息系统等级保护安全建设整改工作的指导意见 公信安20091389 号)的要求，贯彻“通过组织开展信息安全等级保 护安全管理制度建设、技术措施建设和等级测评，落实等级保护制度 的各项要求，使信息系统安全管理水平明显提高，安全防范能力明显 增强，安全隐患和安全事故明显减少，有效保障信息化健康发展，维 护国家安全、社会秩序和公共利益”的方针，为市中医院需要在规划、 建设和使用相关信息系统的同时对信息安全也要同步建设，全面开展 信息安全等级保护建设整改工作。医院是一个信息和技术密集型的行业，其计算机网络是一个完善 的办公网络系统，作为一个现代化的医疗机构网络,除了要满足高效 的内部自动化办公需求以外,还应对外界的通讯保证畅通。结合医院 复杂的 HIS、LIS、PACS 等应用系统，要求网络必须能够满足数据、 语音、图像等综合业务的传输要求，所以在这样的网络上应运用多种 高性能设备和先进技术来保证系统的正常运作和稳定的效率。同时医 院的网络系统连接着 Internet、医保网和高校等，访问人员比较复 杂，所以如何保证医院网络系统中的数据安全问题尤为重要。在日新 月异的现代化社会进程中，计算机网络几乎延伸到了世界每一个角落， 它不停的改变着我们的工作生活方式和思维方式，但是，计算机信息5市中医院智慧医疗云等保三级测评方案网络安全的脆弱性和易受攻击性是不容忽视的。由于网络设备、计算 机操作系统、网络协议等安全技术上的漏洞和管理体制上的不严密， 都会使计算机网络受到威胁。我们可以想象一下，对于一个需要高速 信息传达的现代化医院，如果遭到致命攻击，会给社会造成多大的影 响。为了保障我国关键基础设施和信息的安全，结合我国的基本国情， 制定了等级保护制度。并将等级保护制度作为国家信息安全保障工作 的基本制度、基本国策，促进信息化、维护国家信息安全的根本保障。 而针对医疗卫生行业，卫生部于 2011 年 11 月分别发布卫生部办公 厅关于全面开展卫生行业信息安全等级保护工作的通知（卫办综函 20111126 号），卫生部关于印发卫生行业信息安全等级保护工 作的指导意见的通知（卫办发201185 号），85 号文规定了主要 工作内容：1.定级备案（规定了定级范围及级别） 2.建设与整改（规定了二级（含）以上系统需进行差距分析与整 改） 3.等级测评（规定了三级（含）以上需进行等保测评） 4.宣传培训（规定了各类卫生机构需进行信息安全培训，提高安 全意识） 5. 监督检查（规定了信息化工作领导小组对各医疗机构等级保6市中医院智慧医疗云等保三级测评方案护工作进行督导） 全面开展等级保护建设，对医院特别是三级甲等医院的信息化建设提出了更高的要求，其核心业务信息系统的建设应按照不低于等级 保护三级的标准进行。市中医院位是一所集医疗、科研、教学、预防、保健、康复于一 体的三级乙等综合性公立医院。医院先后被部、省、市、卫生行政主 管部门表彰为“全国卫生工作先进集体”、“全国计划生育工作先进集 体”、“我省文明医院”、“我省文明单位”、“我市最佳文明单位”等光 荣称号。办院理念：突出中心，病人第一；奉献社会，服务第一；奋力攀 登，发展第一。办院目标：一流的管理，一流的技术，一流的质量，一流的服务， 一流的环境。办院方针：科技兴院，质量立院，管理强院，从严治院。 办院办法：人尽其才，财尽其效，物尽其用，地尽其利。 为了保障市中医院的医疗信息化业务的高效运行，以政策性信息 安全等级保护建设为指导，根据GB/T 22240-2008 信息安全技术 信 息系统安全等级保护定级指南和GB/T 22239-2008 信息安全技术 信息系统安全等级保护基本要求，进行三级实施保护的优化设计， 让市中医院的网络系统达到信息安全的三级等级保护要求。7市中医院智慧医疗云等保三级测评方案1.2 方案设计目标中医院的信息安全等级保护建设工作的总体目标是： “遵循国家信息安全等级保护有关法规规定和标准规范，通过全 面开展信息安全等级保护定级备案、建设整改和等级测评工作，进一 步实现对整个新建医疗云平台的信息系统安全管理体系和技术防护 体系，增强信息安全保护意识，明确信息安全保障重点，落实信息安 全责任，切实提高系统信息安全防护能力，为整个医疗云平台的顺利 建设和信息化健康发展提供可靠保障。” 具体目标包括 （1）体系建设，实现按需防御。通过体系设计制定等级方案， 进行安全技术体系、安全管理体系和安全运维体系建设，实现按需防 御。 （2）安全运维，确保持续安全。通过安全监控、安全加固等运 维手段，从事前、事中、事后三个方面进行安全运行维护，实现持续 性按需防御的安全需求。 （3）通过合规性建设，提升中医院医疗云平台安全防护能力， 保障系统信息安全，同时满足国家等级保护的合规性要求，为信息化 工作的推进保驾护航。1.3 方案设计原则“全面保障”原则：信息安全风险的控制需要多角度、多层次， 从各个环节入手，全面的保障。8市中医院智慧医疗云等保三级测评方案“整体规划，分步实施”原则：对信息安全建设进行整体规划， 分步实施，逐步建立完善的信息安全体系。“同步规划、同步建设、同步运行”原则：安全建设应与业务系 统同步规划、同步建设、同步运行，在任何一个环节的疏忽都可能给 业务系统带来危害。“适度安全”原则：没有绝对的安全，安全和易用性是矛盾的， 需要做到适度安全，找到安全和易用性的平衡点。“内外并重”原则：安全工作需要做到内外并重，在防范外部威 胁的同时，加强规范内部人员行为和访问控制、监控和审计能力。“标准化”原则：管理要规范化、标准化，以保证在能源行业庞 大而多层次的组织体系中有效的控制风险。“技术与管理并重”原则：网络与信息安全不是单纯的技术问题， 需要在采用安全技术和产品的同时，重视安全管理，不断完善各类安 全管理规章制度和操作规程，全面提高安全管理水平。1.4 方案设计依据本方案的设计主要依据以下等级保护政策： n 公安部、国家保密局、国际密码管理局、国务院信息化工 作办公室联合转发的关于信息安全等级保护工作的实施意见 （公通字200466 号）9市中医院智慧医疗云等保三级测评方案n 公安部、国家保密局、国家密码管理局、国务院信息化工 作办公室制定的信息安全等级保护管理办法（公通字2007