某市医院三级等保建设方案样本

某市三院医疗信息系统安全三级等保建设方案-09-25目录1、某市三院医疗信息系统现状分析 41.1拓扑图 41.2网站/BS应用现状 41.3漏洞扫描 51.4边界入侵保护 51.5安全配置加固 51.6密码账号统一管理 61.7数据库审计、行为审计 61.8上网行为管理 62、某市三院医疗信息系统潜在风险 62.1黑客入侵造成的破坏和数据泄露 62.2医疗信息系统漏洞问题 72.3数据库安全审计问题 82.4平台系统安全配置问题 82.5平台虚拟化、云化带来的新威胁 93、某市三院医疗信息系统安全需求分析 103.1医疗信息系统建设安全要求 103.2医疗等级保护要求分析 113.3系统安全分层需求分析 163.4虚拟化、云计算带来的安全问题分析 224、医疗信息系统安全保障体系设计 254.1安全策略设计 254.2安全设计原则 264.3等级保护模型 274.4系统建设依据 284.5遵循的标准和规范 295、安全管理体系方案设计 295.1组织体系建设建议 295.2管理体系建设建议 306、安全服务体系方案设计 326.1预警通告 326.2技术风险评估 326.3新上线系统评估 336.4渗透测试 336.5安全加固 336.6虚拟化安全加固服务 346.7应急响应 357、安全技术体系方案设计 357.1物理层安全 357.2网络层安全 367.3主机层安全 407.4应用层安全 437.5数据层安全 467.6虚拟化、云计算安全解决方案 488、平台安全建设方案小结 498.1安全产品汇总 508.2产品及服务选型 53、某市三院医疗信息系统现状分析1.1系统现状某市第三人民医院（如下简称某三院）作为三级甲等医院，已经建成全院网络覆盖，医院内网已覆盖行政楼、老病房1/2F、门诊一期、门诊二期以及门诊一期中心机房，医院外网与新农合、市社保机构互联。医院内网采用“核心-接入”二层互换架构，行政楼、病房、门诊通过接入互换机连接至中心机房核心互换机。HIS、LIS系统作为三院核心业务系统直接布置在中心机房，系统服务器直接挂载在中心机房核心互换机上。近期三院将在中心机房区域布置一套电子病历系统已完善三院医疗信息系统。在出口方向，医院有两条出口与外网互联，一条通过防火墙完毕与新农合、市医保机构互联，另一条通过ISA服务器接入互联网。、某市三院医疗信息系统潜在风险2.1黑客入侵导致破坏和数据泄露随着医疗信息化普及，个人信息逐渐以电子健康档案、电子病历和电子处方为载体，其中涉及了个人在疾病控制、体检、诊断、治疗、医学研究过程中涉及到肌体特性、健康状况、遗传基因、病史病历等个人信息。其中个人医疗健康信息秘密处在隐私权核心部位，而保障病人隐私安全是医院和医护人员职责。某市三院医疗信息系统某市三院中心机房汇集了大量病人隐私信息，而这些数据在传播过程中极易被窃取或监听。同步基于电子健康档案和电子病历大量集中存储状况，一旦系统被黑客控制，也许导致病人隐私外泄，数据恶意删除和恶意修改等严重后果。病人隐私信息外泄将会给公民生活、工作以及精神方面带来很大负面影响和损失，同步给平台所辖区域导致不良社会影响，严重损害机构公共形象，甚至也许引起法律纠纷。而数据恶意删除和篡改会导致电子健康档案和电子病历丢失以及病人信息错误，给医护人员工作导致影响，甚至也许引起医疗事故。另一方面，随着便携式数据解决和存储设备广泛应用，由于设备丢失而导致数据泄漏威胁也越来越严重。因而电子健康档案和电子病历数据作为卫生平台某市三院中心机房重要资产，必要采用有效办法以防止物理上丢失和黑客监听、入侵行为导致破坏，保证数据保密性，安全性和可用性。2.2医疗信息系统漏洞问题自计算机技术浮现以来，由于技术发展局限、编码错误等种种因素，漏洞无处不在并且已成为直接或间接威胁系统和应用程序脆弱点。操作系统和应用程序漏洞可以直接威胁数据完整性和机密性，流行蠕虫传播普通也依赖与严重安全漏洞，黑客积极袭击也往往离不开对漏洞运用。事实证明，99%以上袭击都是运用已发布并有修补办法但顾客未修补漏洞。某市三院医疗信息系统某市三院中心机房建设涉及到大量网络设备，服务器，存储设备，主机等，其中不可避免地存在着可被袭击者运用安全弱点和漏洞，重要体当前操作系统、网络服务、TCP/IP合同、应用程序（如数据库、浏览器等）、网络设备等几种方面。正是这些弱点给蓄意或无意袭击者以可乘之机，一旦系统漏洞运用成功，势必影响到系统稳定、可靠运营，更严重导致系统瘫痪和数据丢失，从而影响平台公众形象。因而可以及时发现和修补漏洞对于平台某市三院中心机房网络安全有着重要意义。另一方面，基于某市三院中心机房设备、系统、应用量大状况，通过人工进行漏洞发现和修补非常耗费人力和时间，因而有必要借助漏洞扫描设备和补丁服务器机制来实现自动化漏洞扫描和补丁下发。2.3数据库安全审计问题医疗行业信息化建设在带来各种便捷同步也引入了新隐患。随着病人信息和药物信息数据化，加之内部安全管理制度不够完善，医疗机构内部运维人员可以借助自身职权，运用数据库操作窃取药物统方信息，修改药物库存数据，修改医保报销项目等，来牟取个人私利。其中药物统方行为是医疗行业高度注重问题，其背后涉及药物和医用耗材灰色交易严重扰乱医疗行业秩序，败坏医德医风，影响医院公众形象，是医疗机构必要坚决制止和查处行为。另一方面修改药物库存信息和修改医保报销项目等行为也会给医疗机构和社会导致损失。某市三院医疗信息系统某市三院中心机房汇集两大应用系统（HIS、LIS）和即将建设电子病历数据库涉及医疗行业各方面信息，内部人员违规操作也许导致严重社会影响和给医疗机构导致重大损失。因而有必要通过有效手段对数据库各种操作进行审计，精确记录各种操作源、目、时间、成果等，及时发现各种业务上违规操作并进行告警和记录，同步提供详细审计记录以便事后进行追查。2.4平台系统安全配备问题随着公共卫生，医疗服务，医疗监管，综合管理，新农合五大业务应用系统不断发展，医疗信息系统应用不断增长，网络规模日益扩大，其管理、业务支撑系统网络构造也变得越来越复杂，各项系统使用和配备也变得十分复杂，维护和检查成为一项繁重工作。在医疗行业里，随着各类通信和IT设备采用通用操作系统、通用数据库，及各类设备间越来越多使用IP合同进行通信，其配备安全问题更为凸出。在黑客袭击行为中，运用系统缺省、未修改安全配备攻入系统已屡见不鲜，因而，加强对网元配备安全防护成为重点。其中，重要应用和服务器数量及种类日益增多，一旦发生维护人员误操作，或者采用一成不变初始系统设立而忽视了对于安全控制规定，就也许会极大影响系统正常运转。此外，为了维持整个业务系统生命周期信息安全，必要从入网测试、工程验收和运营维护等阶段，设备全生命周期各个阶段加强和贯彻信息安全规定，也需要有一种方式进行风险控制和管理。3、某市三院医疗信息系统安全需求分析3.1医疗信息系统建设安全规定基于医疗信息系统信息平台可靠安全运营不但关系到某市三院中心机房自身运营，还关系其她业务部门有关系统运营，因而它网络，主机，存储备份设备，系统软件，应用软件等某些应当具备极高可靠性；同步为保守公司和顾客秘密，维护公司和顾客合法权益，某市三院中心机房应具备良好安全方略，安全手段，安全环境及安全管理办法。众所周知，信息系统完整安全体系涉及如下四个层次，最底层是物理级安全，其涉及计算机安全，硬件安全等,另一方面是网络级安全，重要涉及链路冗余，防火墙等等，再次是系统级安全涉及数据灾备，病毒防范等，最后是应用级安全涉及统一身份认证，统一权限管理等，而贯穿整个体系是安全管理制度和安全原则，以实现非法顾客进不来，无权顾客看不到，重要内容改不了，数据操作赖不掉。整个平台安全体系如下图：平台安全体系构造图3.2医疗级别保护规定分析医疗机构作为涉及国计民生重要构成某些，其安全保障事关社会稳定，有必要按照国家信息安全级别保护规定，全面实行信息安全级别保护。卫生信息平台核心数据区、应用服务区及系统运维参照公安部、国家保密局、国家密码管理局、国务院信息化办公室联合印发《信息安全级别保护管理办法》（公通字[]43号）规定，数据互换服务区参照二级信息安全级别保护规定建设、核心某些参照三级信息安全级别保护规定建设。信息系统名称安全保护级别业务信息安全级别系统服务安全级别某市第三人民医院医疗信息系统3333.2.2级别保护技术规定类别规定三级等保规定解决方案网络安全构造安全网络设备解决能管理和网络带宽冗余；网络拓扑图绘制；子网划分和地址分派；终端和服务器之间建立安全访问途径；边界和重要网段之间隔离；网络拥堵时对重要主机优先保护；依照高峰业务流量选取高品位设备，核心互换接入设备采用双机冗余；合理划分子网、VLAN、安全域，网络设备带宽优先级规划。访问控制布置访问控制设备，启用访问控制功能；依照会话状态提供容许/回绝访问能力，控制粒度为端口级；按访问控制规则进行资源访问控制，粒度到单个顾客；限制拨号访问顾客数量；网络信息内容过滤，应用层合同命令级控制；会话终结；网络流量数和连接数控制；重要网段防地址欺骗网络边界布置防火墙，制定相应ACL方略安全审计网络设备状况、网络流量、顾客行为日记记录；数据分析和报表生成；审计记录保护布置网络安全审计系统边界完整性检查安全准入控制和非法外联监控并进行有效阻断布置终端安全管理系统入侵防范袭击行为检测；袭击日记记录和告警布置入侵检测系统恶意代码防范网络边界病毒查杀；病毒库升级布置入侵保护系统网络设备防护身份鉴别；管理员登陆地址限制；顾客标记唯一；登陆失败解决；鉴别信息加密；身份鉴别采用2种或以上鉴别技术；特权权限分离布置级别保护安全配备核查系统主机安全身份鉴别操作系统和数据库顾客身份鉴别；登录失败解决；鉴别信息传播加密；顾客唯一性；身份鉴别采用2种或以上鉴别技术布置级别保护安全配备核查系统访问控制启用访问控制功能；操作系统和数据库特权顾客权限分离；默认账户配备修改；多余过期顾客删除；角色权限分派，权限分离和最小权限原则；重要信息敏感标记；强制访问控制布置堡垒机安全审计记录服务器和重要客户端系统顾客和数据库顾客重要安全有关行为、事件；审计记录保护；审计报表生成；审计进程保护布置堡垒机剩余信息保护鉴别信息再分派前清除，系统文献、目录、数据库记录再分派前清除操作系统及数据库加固入侵防范操作系统最小安装原则，定期升级；检测对重要服务器入侵行为；重要程序完整性检测和破坏后恢复。布置网络入侵检测系统、终端管理软件，漏洞扫描恶意代码防范安装防恶意代码软件，定期升级；恶意代码软件统一管理；主机和网络防恶意代码软件品牌异构布置终端杀毒软件资源控制终端登录控制；终端超时锁定；单个顾客资源限制安全加固应用安全身份鉴别启用身份鉴别机制；登录失败解决；身份鉴别采用2种或以上鉴别技术布置CA认证系统访问控制启用访问控制机制，控制顾客对文献、数据库表等访问；启用访问控制方略；账户最小权限原则和权限制约；重要信息敏感标记；重要信息强制访问控制布置CA认证系统安全审计启用安全审计机制，审计每个顾客、系统重要安全事件；审计报表生成布置应用防护系统剩余信息保护鉴别信息再分派前清除，系统文献、目录、数据库记录再分派前清除操作系统及数据库加固通信完整性应采用密码技术保障信息过程中数据完整性布置PKI体系通信保密性会话初始化验证，通信过程整个报文或会话过程加密布置PKI体系抗抵赖提供数据原发或接受证据布置PKI体系软件容错数据校验功能，故障时能继续提供一某些功能代码审核资源控制会话超时自动结束，限制最大并发连接数，单个账户多重会话限制安全加固数据安全与备份恢复数据完整性能检测到系统管理数据、鉴别信息和业务数据在传播和存储过程中受到破坏，并采用恢复办法VPN加密，数据库访问控制数据保密性采用加密或其她办法实现系统管理数据、鉴别信息、重要业务数据传播存储过程保密信息加密备份与恢复重要信息备份恢复，核心网络设备、线路、数据硬件冗余重要信息定期备份，设备冗余3.3系统安全分层需求分析依照《基于健康档案区域卫生信息平台建设指南》中安全规定某些，并参照级别保护三级技术规定，通过风险分析及信息安全建设状况调研，确认如下安全需求：3.3.1物理层安全需求某市三院中心机房是整个三级医疗信息系统平台核心节点，是系统运营基本，因而必要保证物理环境安全，重要涉及如下几种方面：信息基本设备应安顿在专用机房，具备良好电磁兼容工作环境，涉及防磁、防尘、防水、防火、防静电、防雷保护，抑制和防止电磁泄漏；机房环境应达到国家有关原则；核心设备应有冗余后备系统；具备足够容量UPS后备电源；电源要有良好接地。3.3.2网络层安全需求构造安全：应保证网络各个某些带宽满足业务高峰期需要；应在业务终端与业务服务器之间进行路由控制建立安全访问途径；应避免将重要网段布置在网络边界处且直接连接外部信息系统，重要网段与其她网段之间采用可靠技术隔离手段；应按照对业务服务重要顺序来指定带宽分派优先级别，保证在网络发生拥堵时候优先保护重要主机。访问控制：应在网络边界布置访问控制设备，启用访问控制功能；重要网段应采用技术手段防止地址欺骗；应按顾客和系统之间容许访问规则，决定容许或回绝顾客对受控系统进行资源访问，控制粒度为单个顾客；应限制具备拨号访问权限顾客数量。安全审计：应对网络系统中网络设备运营状况、网络流量、顾客行为等进行日记记录，并生成审计报表；应对审计记录进行保护，避免受到未预期删除、修改或覆盖等。边界完整性检查：应可以对非授权设备擅自联到业务网络行为进行检查，准拟定出位置，并对其进行有效阻断；应可以对业务网络顾客擅自联到外部网络行为进行检查，准拟定出位置，并对其进行有效阻断。入侵防范：应在网络边界处监视如下袭击行为：端口扫描、强力袭击、木马后门袭击、回绝服务袭击、缓冲区溢出袭击、IP碎片袭击和网络蠕虫袭击等；当检测到袭击行为时，记录袭击源IP、袭击类型、袭击目、袭击时间，在发生严重入侵事件时应提供报警。恶意代码防范：应在网络边界处对恶意代码进行检测和清除；应维护恶意代码库升级和检测系统更新。网络设备防护：应对网络设备管理员登录地址进行限制；身份鉴别信息应具备不易被冒用特点，口令应有复杂度规定并定期更换；应具备登录失败解决功能，可采用结束会话、限制非法登录次数和当网络登录连接超时自动退出等办法；当对网络设备进行远程管理时，应采用必要办法防止鉴别信息在网络传播过程中被窃听；应实现设备特权顾客权限分离。3.3.3主机层安全需求身份鉴别：操作系统和数据库系统管理顾客身份标记应具备不易被冒用特点，口令应有复杂度规定并定期更换；应启用登录失败解决功能，可采用结束会话、限制非法登录次数和自动退出等办法；当对服务器进行远程管理时，应采用必要办法，防止鉴别信息在网络传播过程中被窃听；应采用两种或两种以上组合鉴别技术对管理顾客进行身份鉴别。访问控制：应启用访问控制功能，根据安全方略控制顾客对资源访问；应依照管理顾客角色分派权限，实现管理顾客权限分离，仅授予管理顾客所需最小权限；应严格限制默认帐户访问权限，重命名系统默认帐户，修改这些帐户默认口令，及时删除多余、过期帐户，避免共享帐户存在。应对重要信息资源设立敏感标记；应根据安全方略严格控制顾客对有敏感标记重要信息资源操作。安全审计：应实现主机系统安全审计，审计范畴应覆盖到服务器和重要客户端上每个操作系统顾客和数据库顾客；审计内容应涉及重要顾客行为、系统资源异常使用和重要系统命令使用等系统内重要安全有关事件；审计记录应涉及事件日期、时间、类型、主体标记、客体标记和成果等；应可以依照记录数据进行分析，并生成审计报表；应保护审计进程，避免受到未预期中断；应保护审计记录，避免受到未预期删除、修改或覆盖等。剩余信息保护：应保证操作系统和数据库系统顾客鉴别信息所在存储空间，被释放或再分派给其她顾客前得到完全清除，无论这些信息是存储在硬盘上还是在内存中；应保证系统内文献、目录和数据库记录等资源所在存储空间，被释放或重新分派给其她顾客前得到完全清除。入侵防范：应可以检测到对重要服务器进行入侵行为，可以记录入侵源IP、袭击类型、袭击目、袭击时间，并在发生严重入侵事件时提供报警；应可以对重要程序完整性进行检测，并在检测到完整性受到破坏后具备恢复办法；操作系统应遵循最小安装原则，仅安装需要组件和应用程序，并通过设立升级服务器等方式保持系统补丁及时得到更新。资源控制：应依照安全方略设立登录终端操作超时锁定；应对重要服务器进行监视，涉及监视服务器CPU、硬盘、内存、网络等资源使用状况；应限制单个顾客对系统资源最大或最小使用限度；应可以对系统服务水平减少到预先规定最小值进行检测和报警。3.3.4应用层安全需求（阐明：此某些内容需要在应用系统开发与维护过程中予以实现。）身份鉴别：应对同一顾客采用两种或两种以上组合鉴别技术实现顾客身份鉴别；应提供顾客身份标记唯一和鉴别信息复杂度检查功能，保证应用系统中不存在重复顾客身份标记，身份鉴别信息不易被冒用；应提供登录失败解决功能，可采用结束会话、限制非法登录次数和自动退出等办法；应启用身份鉴别、顾客身份标记唯一性检查、顾客身份鉴别信息复杂度检查以及登录失败解决功能，并依照安全方略配备有关参数。访问控制：应由授权主体配备访问控制方略，并严格限制默认帐户访问权限；应具备对重要信息资源设立敏感标记功能；应根据安全方略严格控制顾客对有敏感标记重要信息资源操作。安全审计：应提供覆盖到每个顾客安全审计功能，相应用系统重要安全事件进行审计；应保证无法单独中断审计进程，无法删除、修改或覆盖审计记录；审计记录内容至少应涉及事件日期、时间、发起者信息、类型、描述和成果等；应提供对审计记录数据进行记录、查询、分析及生成审计报表功能。剩余信息保护：应保证顾客鉴别信息所在存储空间被释放或再分派给其她顾客前得到完全清除，无论这些信息是存储在硬盘上还是在内存中；应保证系统内文献、目录和数据库记录等资源所在存储空间被释放或重新分派给其她顾客前得到完全清除。通信完整性：应采用密码技术保证通信过程中数据完整性。通信保密性：在通信双方建立连接之前，应用系统应运用密码技术进行会话初始化验证；应对通信过程中整个报文或会话过程进行加密。抗抵赖：应具备在祈求状况下为数据原发者或接受者提供数据原发证据功能；应具备在祈求状况下为数据原发者或接受者提供数据接受证据功能。软件容错：应提供数据有效性检查功能，保证通过人机接口输入或通过通信接口输入数据格式或长度符合系统设定规定；应提供自动保护功能，当故障发生时自动保护当前所有状态，保证系统可以进行恢复。资源控制：当应用系统通信双方中一方在一段时间内未作任何响应，另一方应可以自动结束会话；应可以对系统最大并发会话连接数进行限制；应可以对单个帐户多重并发会话进行限制；应可以对一种时间段内也许并发会话连接数进行限制；应可以对一种访问帐户或一种祈求进程占用资源分派最大限额和最小限额；应可以对系统服务水平减少到预先规定最小值进行检测和报警；应提供服务优先级设定功能，并在安装后依照安全方略设定访问帐户或祈求进程优先级，依照优先级分派系统资源。3.3.5数据及备份安全需求数据完整性：应可以检测到系统管理数据、鉴别信息和重要业务数据在传播过程中完整性受到破坏，并在检测到完整性错误时采用必要恢复办法；应可以检测到系统管理数据、鉴别信息和重要业务数据在存储过程中完整性受到破坏，并在检测到完整性错误时采用必要恢复办法。数据保密性：应采用加密或其她有效办法实现系统管理数据、鉴别信息和重要业务数据传播保密性；应采用加密或其她保护办法实现系统管理数据、鉴别信息和重要业务数据存储保密性。备份和恢复：应提供本地数据备份与恢复功能，完全数据备份至少每天一次，备份介质场外存储；应提供异地数据备份功能，运用通信网络将核心数据定期批量传送至备用场地；应采用冗余技术设计网络拓扑构造，避免核心节点存在单点故障；应提供重要网络设备、通信线路和数据解决系统硬件冗余，保证系统高可用性。3.4虚拟化、云计算带来安全问题分析为了区域卫生平台云计算应用健康发展，就不能忽视对云计算面临各类安全威胁研究和分析，从而制定和建立相应政策、技术体系，应对即将到来云浪潮。3.4.1法规遵从在不同国家和地区、公司或个人信息需要符合该国家和地区规定法规，但在云计算环境下，顾客也许主线无法懂得其数据存储位置，更不用说哪个国家或地区了。当前国家层面、行业层面对各类合规性规定，这些合规性规定IT部门必要全面控制核心信息自主可控性，而云计算依赖虚拟化技术提供服务，数据也许会在某市三院中心机房和物理主机之间移动，以保证负载均衡，如果合规规定必要找出数据精准位置实现可控目的时，公共云应用是一种值得考虑问题。并且所有数据放在公共云上，并且使用共享资源，就很难证明遵从了法规规定，云平台安全级别建设与否符合所服务业务和数据安全级别规定也是要考虑问题。3.4.2核心技术国产化问题面对云计算，咱们必要结识到：在国内建设云计算平台，并不能保证咱们就可以控制云平台中信息资源，也不能保证咱们就是唯一控制者。由于诸多技术依然控制在国外公司手中，大规模云计算平台也许增长了国外控制中华人民共和国手段，某些通过购买获得自主知识产权而不加以认真研究所谓自主产品，更在很大限度麻痹了国人，这种自主知识产权本质就是买下了推广她人产品权利。应当针对云计算所带来新安全需求进行技术研究和开发，预见到将来技术发展方向，积极摸索新形势下也许浮现信息安全新问题，在某些领域推出有自己特色云计算平台和云安全服务平台，满足国内信息服务对云计算应用需求和安全需求，实现对整个链条控制和管理。3.4.3大量迅猛涌现Web安全漏洞在云计算安全梯上仅采用老式网络安全技术是远远不够。云计算安全问题还必要考虑比网络安全更为复杂问题，例如应用层面安全。云计算服务推动了InternetWeb化趋势。与老式操作系统、数据库、C/S系统安全漏洞相比，多客户、虚拟化、动态、业务逻辑服务复杂、顾客参加等这些Web2.0和云服务特点对网络安全来说意味着巨大挑战，甚至是劫难。3.4.4回绝服务袭击服务和数据随时可用性自身不但是一项非常重要安全指标，并且其质量保证在一种存在恶意袭击环境里会导致其实行复杂度大大增长。如何防止以破坏正常应用DDOS袭击是一种很大挑战。由于云平台大规模与高性能，一旦遭受DDOS（抗回绝服务袭击），云平台服务商与否有能力提供应对技术手段，使正常应用不受影响，是评价一种云计算服务提供商重要指标。回绝服务袭击DoS和DDoS不是云服务所特有。但是，在云服务技术环境中，公司中核心核心数据、服务离开了公司网，迁移到了云服务中心。更多应用和集成业务开始依托互联网。回绝服务带来后果和破坏将会明显地超过老式公司网环境。3.4.5内部数据泄漏和滥用相对而言，安装在既有内部环境中应用更易于检查，并且咱们也拥有了完善检查技术，然而，对安装在外部云计算应用如果没有妥善保护，这些数据也许从外部云计算被非法泄露，并且对其进行检查难度非常大。当顾客敏感数据在云端解决时候，公司重要数据和业务应用处在云服务提供商IT系统中，顾客无法对风险进行直接控制，数据拥有者不能控制，甚至不懂得数据存储位置，计算任务也许在多台机器上运营，也许会在各种储存网络备份，也也许会在您不知情时导出。在多顾客环境中，云服务提供商很难提供与单独客户环境相似资源隔离级别和有关保障，该数据甚至也许与竞争对手应用和数据保存在相似资源上，如何保证云服务商自身内部安全管理和职责分离体系、审计保障等？如何避免云计算环境中多客户共存带来潜在风险？这些都成为云计算环境下顾客最严肃安全顾虑或挑战之一。3.4.6身份管理（身份鉴定、授权和审计）原先为了安全放在防火墙内数据，当前放在了外部云计算环境中，可以使用简朴顾客名/密码进行鉴定，访问单位付费计算资源，对穿插于各种服务中顾客账号提供及取消。如何在多项服务中应用角色/方略管理、各种身份有效管理、身份鉴定均面临着很大安全挑战。对员工、客户、参加者和工作负载身份鉴定、授权和审计是云计算安全性将来方向。3.4.7不同云之间互联互通（可移植性）最为云计算平台顾客关注是，应当可以无障、安全、合乎规则地获得完毕其工作所需所有计算服务，云计算应当保障平台安全、合规和可移植性。但当前云计算厂商各自未战，尚未在业界形成一种统一原则化体系，无论是云平台还是云服务统一原则都没有形成，这就给云计算产业发展带来了瓶颈，各个公司为了自己云服务发展推出各自平台和服务原则，使得众多云平台和顾客利益和长远发展得不到保证，更极大地阻碍着云计算通用性和代替性以及软件适合性和继承性发展。为争取国际竞争地位，国内应尽快建立云计算行业原则化组织，积极参加国际原则化组织活动，推动云计算国际原则化工作。3.4.8潜在合同纠纷和法律诉讼云服务合同、服务商SLA和IT流程、安全方略、事件解决和分析等都也许存在不完善。虚拟化带来物理位置不拟定性和国际有关法律法规复杂性都使得潜在合同纠纷和法律诉讼成为成功运用云服务重大威胁。如果云计算提供商违背了合同，并且涉及到安全问题，应当负多大限度法律责任，导致损失又如何评估，这些问题在法律和政策领域都尚有待解答。4、医疗信息系统安全保障体系设计4.1安全方略设计为应对上述所面临威胁和风险，实现某市三院医疗信息系统安全建设目的，安全建设应遵循如下总体安全方略和基本安全方略：总体安全目的：遵循国家有关政策、法规和原则；贯彻级别保护原则，特别是对不同类别核心业务单独保护。一手抓技术、一手抓管理；管理与技术并重，互为支撑，互为补充，互相协同，形成有效综合防止、追查及应急响应安全保障体系。总体安全方略：物理安全方略在既有物理安全办法基本上，从环境、设备、介质、配电故障切换、冗余等方面，完善物理安全保障办法，保障某市三院医疗信息系统免受因上述内容破坏导致服务停止或数据损失。网络安全方略明确级别保护办法；合理划分安全域，拟定各安全域物理边界和逻辑边界，明确不同安全域之间信任关系。在安全域网络边界建立有效访问控制办法。通过安全区域最大限度实行数据源隐藏，构造化和纵深化区域防御防止和抵抗各种网络袭击，保证某市三院医疗信息系统各个网络系统持续、稳定、可靠运营。系统安全方略对操作系统、数据库及服务系统进行漏洞修补和安全加固，对核心业务服务器建立严格审核机制。最大限度解决由操作系统、数据库系统、服务系统、网络合同漏洞带来安全问题，解决黑客入侵、非法访问、系统缺陷、病毒等安全隐患。应用安全方略针对某市三院医疗业务系统安全需求特点，解决服务发布内容更新和审核等方面权限控制、信息保密、数据完整性、责任认定、不可否认性等几种方面建立相应办法。安全管理方略针对某市三院医疗信息系统安全管理需求，在安全管理上需要在完善人员管理、资产管理、站点维护管理、劫难管理、应急响应、安全服务、人才管理等方面机制、制度同步，与管理技术紧密结合，形成一套比较完备某市三院医疗信息系统安全管理保障体系。4.2安全设计原则由于本方案内容涉及诸多方面，因而进行分析时要本着多层面、多角度原则，从理论到实际，从软件到硬件，从组件到人员，制定详细实行方案和安全方略，避免漏掉。为保证本方案可以在后期顺利推广和执行，绿盟科技将遵循如下原则：合规性原则安全体系建立必要遵循有关法规，不能与现行法规和原则产生任何冲突。重点遵循原则有：《信息安全技术信息系统安全级别保护基本规定》卫生部《基于健康档案区域卫生信息平台建设指南》实用性原则系统安全设计必要与某市三院医疗现实需求相一致，其采用安全办法必要针对突出、亟待解决安全问题。整体性原则安全产品必要能互相配套，并与既有网络与应用软件兼容，从而构成一种完整信息系统。可靠性和安全性原则系统设计要具备较高可靠性和安全性，保证安全办法尽量小地影响某市三院医疗内部业务系统。高扩展性原则系统设计所选取软硬件产品应具备一定通用性，采用原则技术、构造、系统组件和顾客接口，支持所有流行网络原则及合同，便于此后网络规模和业务扩展。先进性原则安全技术应具备一定先进性、前瞻性，以实现整个安全保障体系相对稳定性。可管理性原则保证整个信息系统应具备较高资源运用率并便于管理和维护。4.3级别保护模型为了提高网络安全系统防护能力，某市三院医疗网络安全系统在建设过程中充分考虑到整个系统安全性，将在本期建设中从信息安全管理体系、信息安全服务体系、信息安全技术体系三个方面着手建立统一安全保障体系，力保网络信息安全。在整个系统安全规划和建设过程中，在级别保护指引下，规定以P2DR安全保障模型为基本建设思路，安全体系将按照事前防护、事中检测、事后审计方略来建设。结合安全管理、安全产品及安全服务等各种层次，保障某市三院医疗信息系统安全。P2DR安全保障模型图安全办法实行不是一种静态过程，它是变化，通过一次安全方略实行后，网络安全风险和有关安全漏洞会减少，在一定期期内，网络安全问题不再很突出，但是，随着网络应用和网络系统扩展和丰富，有关系统安全问题又会增长，并且，黑客袭击手段变化，更增长了网络安全威胁。这时候，就需要对网络资产和风险进行评估，实行相应安全方略，因而，本期网络安全保障系统建设也是一种循序渐进过程，规定在整体安全方略控制和指引下，综合运用安全防护、检测、响应以及其她辅助办法构成了一种完整、动态安全循环，在安全方略指引下保证信息系统安全。4.4系统建设根据《党中央、国务院关于深化医药卫生体制改革意见》；《国务院医药卫生体制改革近期重点实行方案（—）》；国家卫生部等5部委发布《关于公立医院改革试点指引意见》；卫生部《电子病历基本架构与数据原则（试行）》；卫生部《健康档案基本架构与数据原则（试行）》；卫生部《基于健康档案区域卫生信息平台建设指南》；卫生部《基于健康档案区域卫生信息平台建设技术解决方案（试行）》；《卫生部办公厅关于印发基于电子健康档案、电子病历、门诊统筹管理基层医疗卫生信息系统试点项目管理方案告知》；《基于电子健康档案、电子病历、门诊统筹管理基层医疗卫生信息系统试点项目技术方案》等。4.5遵循原则和规范《国家信息化领导小组关于加强信息安全保障工作意见》（27号文）公通字[]43号《信息安全级别保护管理办法》《信息安全技术信息系统安全级别保护基本规定》《信息安全技术信息安全级别保护定级指南》《信息安全技术信息系统安全级别保护实行指南》GB/T9387.2-1995开放系统互连基本参照模型第2某些：安全体系构造RFC1825 TCP/IP安全体系构造ISO10181:1996信息技术开放系统互连开放系统安全框架GB/T18237- 信息技术开放系统互连通用高层安全AS/NZS4360：1999《风险管理原则》GAO/AIMD-00-33《信息安全风险评估》IATF《信息保障技术框架》5、安全管理体系方案设计依照对某市三院医疗系统安全需求分析，下面针对某市三院医疗信息系统组织和管理体系安全问题提出信息安全管理建议方案。5.1组织体系建设建议5.1.1安全组织建设某市三院医疗信息系统组织体系应实行“统一组织、分散管理”方式，在平台内建立一种独立信息安所有门或以信息中心作为某市三院医疗信息安全管理机构，负责整个平台范畴信息安全管理和维护工作。这样在区域平台范畴内形成信息安全管理专一工作，从而各级信息技术部门也因而会较好配合安全履行工作。5.1.2安全岗位建设安全岗位是某市三院医疗信息系统安全管理机构依照系统安全需要设定负责某一种或某几种安全事务职位，岗位在系统内部可以是具备垂直领导关系若干层次一种序列，一种人可以负责一种或几种安全岗位，但一种人不得同步兼任安全岗位所相应系统管理员或详细业务岗位。因而岗位并不是一种机构，它由管理机构设定，由人事机构管理。5.1.3人员安全培训安全培训是保证信息系统安全前提。某市三院医疗信息安全培训内容应涉及：法律法规培训、内部制度培训、岗位操作培训、普遍安全意识和与岗位有关重点安全意识相结合培训、业务素质与技能技巧培训等。培训对象应涉及信息系统关于所有人员（不但仅是从事安全管理和业务人员），以提高她们安全意识和安全技术水平。5.2管理体系建设建议除了在某市三院医疗信息系统功能上增长安全技术手段外，安全管理是必要安全保障条件。安全管理建设强调通过管理手段实现管理方式安全保护，重要内容涉及安全制度管理、资产安全管理、物理安全管理、技术安全管理和安全风险管理五个某些。对这些方面规定有效执行，可以对上面所有风险进行影响，涉及减小、转移甚至避免某些风险。5.2.1安全制度管理安全管理制度是信息系统内部根据某市三院医疗信息系统必要安全需求制定一系列内部规章制度，重要内容涉及：安全管理和执行机构行为规范、岗位设定及其操作规范、岗位人员素质规定及其行为规范等。安全制度管理是法律管理形式化、详细化、法规与管理接口，是信息安全得以实现重要保证。5.2.2资产安全管理资产是构成某市三院医疗信息系统基本要素，它安全是整个信息系统安全直接因素，所有安全技术和安全管理办法都是环绕着资产安全为中心。资产安全管理内容涉及信息系统设备安全、软件安全、数据安全和文档安全。5.2.3物理安全管理物理安全管理是保护某市三院医疗信息系统网络设备、设施以及其他媒介免遭地震、水灾、火灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致破坏过程。它重要涉及机房安全管理、环境安全管理和物理控制管理等方面内容。5.2.4技术安全管理建设某市三院医疗技术安全管理目的是通过各种管理办法实现对网络、系统、应用生命周期过程管理，做到如下两个方面：有效运用已有安全技术和专用安全产品；使用既有网络设备、主机和应用自身安全特性进行寻常安全管理。5.2.5安全风险管理风险管理是安全管理体系中相称重要一种某些，只有通过有效风险管理，才干持续性发现安全问题并能进行防止性保护。缺少安全风险管理机制组织，经常会遇到发生安全问题后来才进行弥补状况。依照国际信息安全原则规定，风险管理需要对资产、威胁和脆弱性状况进行管理。风险管理对于如何提供安全性，在那些方面提供安全性以及所应采用安全控制类型和力度等方面均有着重要意义。6、安全服务体系方案设计6.1预警告示安全问题当前正以每周新增几十甚至几百例速度在全世界得到反馈，同步涉及信息技术众多领域，安全管理员所掌握安全知识更新速度所受到压力非常大。某市三院医疗信息系统范畴内系统种类非常多，涉及众多操作系统和应用系统。这些系统中每一种新增长安全漏洞，如果不能得到及时修补，都也许导致一系列安全事件发生。某市三院医疗由于业务范畴限制，需要将各种资源涉及人力资源投放在提高区域卫生平台核心竞争力方面，不也许有太多时间关注数十个不同厂商不定期发布漏洞信息，更不也许时刻关注整个安全界技术发展。绿盟科技从1999年就开始稳定维护着国内最早，也是最大中文安全资料库。绿盟科技安全研究院作为国内领先安全技术研究中心，在世界范畴内对某些流行袭击手段方面研究走到了袭击者前面，几年来始终负责为绿盟科技和客户收集整顿分析来源于全球各类安全信息，并且这个信息库每天还在不断增长。绿盟科技以安全告示形式为您提供最新安全动态、技术和定制安全信息，涉及实时安全漏洞告知、定期安全告示汇总、暂时安全解决方案和安全知识库更新等。6.2技术风险评估在网络安全体系建设中，安全扫描工具耗费低、效果好、见效快、与网络运营相对独立、安装运营简朴，可以大规模减少安全管理员手工劳动，有助于保持全网安全政策统一和稳定，是进行风险分析有力工具。安全扫描工作重要是通过评估工具以远程扫描方式对评估范畴内系统和网络进行安全扫描，发现网络构造、网络设备、服务器主机、数据和顾客账号/口令等安全对象目的存在安全风险、漏洞和威胁。本项服务中咱们将借助绿盟科技漏洞扫描系统对某市三院医疗信息系统进行全面扫描，严格按照某市三院医疗规定扫描范畴和扫描时间实行，在获得成果后及时提交扫描成果、汇总表和报告。此外，每次扫描结束后，绿盟科技技术人员将现场协助某市三院医疗技术人员对扫描成果进行分析，并提供相应技术建议。6.3新上线系统评估新系统上线评估服务即在新系统上线前对其进行安全评估，检查其与否达到级别保护安全规定，同步配合代码级审计和整治，对某市三院中心机房重要医疗业务系统代码进行离线分析。从渗入测试角度对源代码进行审计，找出编码中存在安全漏洞和安全隐患地方，提出相应漏洞修补和安全优化建议，保证新系统合规性同步减少上线后维护成本。6.4渗入测试渗入测试过程重要根据安全专家已经掌握安全漏洞信息，模仿黑客真实袭击办法对系统和网络进行非破坏性质袭击性测试。发现区域卫生平台信息系统网络中潜在脆弱点，测试其可被运用价值以及也许对信息系统导致破坏，最后给出完整入侵过程和技术细节，并提供相应加固建议。6.5安全加固系统安全是信息安全中基本构成某些，核心数据和信息直接由系统平台提供。支持分布式计算环境中不断增长系统平台面临各种安全威胁，涉及数据窃取、数据篡改、非授权访问等。这时就需要专业安全服务以保障运营和存贮在这些系统平台上数据机密性、完整性和可用性。绿盟科技系统安全加固服务运用各种技术手段对您信息系统中操作系统平台和重要网络设备提供安全加固和配备优化，同步将其集成到客户已有环境中。系统安全加固是指通过一定技术手段，提高操作系统或网络设备安全性和抗袭击能力，普通这些技术手段，只能为实行这项技术这一台主机服务。常用安全加固服务手段有：1． 基本安全配备检测和优化2． 密码系统安全检测和增强3． 系统后门检测4． 提供访问控制方略和工具5． 增强远程维护安全性6． 文献系统完整性审计7． 增强系统日记分析8． 系统升级与补丁安装通过良好配备系统或设备抗袭击性有极大增强。在对系统作相应安全配备后，结合定期安全评估和维护服务就使得系统保持在一种较高安全线之上。6.6虚拟化安全加固服务1、虚拟化某市三院中心机房（VDC）加固要素虚拟化某市三院中心机房（VDC）面临各种威胁与挑战，相应解决办法可形成一种技术体系，涉及Hypervisor自身加固、虚拟化防火墙、虚拟IDS/IPS、VM镜像加固和配备优化等，它们自动构成了VDC加固要素。2、Hypervisor自身加固Hypervisor中各种漏洞袭击是虚拟机逃逸根源，因而反虚拟机逃逸、或者漏洞袭击防御技术，则成为当前研究者关注问题。Hypervisor加固归根究竟仍是软件安全问题，只要是软件就无法从主线上制止漏洞产生，因而安全加固重点是对漏洞袭击或漏洞运用防御上。依照信息安全工程理论及经验，凡是对某软件层进行加固时候，在其下一层软件做文章普通是最可靠办法。3、VM镜像加固虚拟某市三院中心机房管理员普通负责维护成百上千VM，因而VM镜像（IMG）加固便显得极其核心。VM镜像加固，重要是通过技术手段，从VM外围增强VM镜像自身或VM中系统安全性，重要考虑VM镜像完整性保护、补丁技术、反病毒/恶意软件和配备优化等几种环节。6.7应急响应当前许多卫生平台自身尚没有足够资源和能力对安全事故作出反映，甚至在当今信息社会，更多组织还没有准备面对信息安全问题挑战。网络安全发展日新月异，谁也无法实现一劳永逸安全服务，因此当紧急安全问题发生，普通技术人员又无法迅速解决时候，及时发现问题、解决问题就必要依托紧急响应来实现。绿盟科技紧急响应服务提供高效信息安全事故反映体系以协助客户尽快对万一信息安全破坏事故作出反映。在安全事件发生后，依照您需求以电话->远程支持->现场支持方式提供服务，涉及事故解决及恢复、事后事故描述报告以及后续安全状况跟踪。当主机或网络正遭到袭击或发现入侵成功痕迹，而又无法当时解决和追查来源时。咱们将依照客户规定，以最迅速度赶到现场，协助客户解决问题，查找后门，保存证据和追查来源。此项紧急响应服务由绿盟科技响应安全技术服务小组负责。可以与客户自己网络安全中心以及反映体系配合协作，共同完毕对客户网络安全事件紧急响应和解决。作为一种规范网络安全服务商，绿盟科技有一整套完整紧急响应机制，也有大量具备解决应急事务经验专业安全工程师。7、安全技术体系方案设计7.1物理层安全物理安全重要涉及：物理位置选取、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应、电磁防护。该某些内容参照《信息系统安全级别保护基本规定》三级原则规定进行建设。建设过程中可以参照原则重要涉及：GB50174－93《电子计算机机房设计规范》GB50057－1994《建筑物防雷设计规范》GB2887-88《计算站场地安全规定》GB2887-89《计算站场地技术条件》BMB4-《电磁干扰器技术规定和测试办法》7.2网络层安全网络层安全重要涉及方面涉及构造安全、访问控制、安全审计、入侵防范、恶意代码防范、网络设备防护几大类安全控制。7.2.1安全域划分某市三院医疗信息平台某市三院中心机房规划以两台核心互换机作为某市三院中心机房网络核心，通过二条专线接入区域农合以及市医保机构，网络边界通过二台防火墙设备实现内部网络与区域外网之间安全隔离与访问控制。业务网内部依照业务类型及安全需求划分为如图所示各种安全区域：外联区：与某市三院中心机房核心互换机互联，在区域卫生平台外网接入处布置防火墙，通过防火墙进行访问控制，实现安全隔离。数据互换区：用于布置某市三院中心机房测试服务器、互换服务器及总线服务器等数据互换服务器。应用服务器区：用于布置某市三院中心机房核心业务应用系统，依照有关规定通过布置防火墙来与其他网络进行安全隔离，同步布置WEB应用防火墙对基于WEB应用系统进行防护。核心数据区：重要布置各业务系统所需核心数据库及后台服务器，该区域依照等保规定架设网络环境。安全管理运维区域及办公服务器区域之间通过合理VLAN划分及互换机访问控制列表来加以隔离。并通过布置审计系统对数据操作进行安全审计。安全管理区：用于布置信息系统安全管理及网络管理有关服务器及软硬件系统，依照等保规定架设网络环境。与业务服务器区域及互联网远程接入区域之间通过合理VLAN划分及互换机访问控制列表来加以隔离。依照重点业务重点保护原则，将核心互换区、应用服务区和核心数据区划分为三级安全区域，根据级别保护三级原则进行相应安全建设；数据互换区划分为二级安全区域，根据级别保护二级原则进行相应安全建设。7.2.2边界访问控制在网络构造中，需要对各区域边界进行访问控制，对于区域卫生平台外网边界、数据互换区边界、应用服务区域边界及核心数据区边界，需采用布置防火墙方式实现高档别访问控制，各区域访问控制方式阐明如下：外联区：通过布置高性能防火墙，实现某市三院中心机房网络与区域卫生平台外网之间访问控制；数据互换区：通过核心互换机VLAN划分、访问控制列表以及在出口处布置防火墙实现对数据互换区访问控制。应用服务区：通过核心互换机VLAN划分、访问控制列表以及在出口处布置防火墙实现相应用服务区访问控制，通过布置WEB应用防火墙保护基于WEB应用服务器。核心数据区：通过核心互换机VLAN划分、访问控制列表以及在出口处布置防火墙实现对核心数据区访问控制。7.2.3网络审计网络安全审计系统重要用于监视并记录网络中各类操作，侦查系统中存在既有和潜在威胁，实时地综合分析出网络中发生安全事件，涉及各种外部事件和内部事件。在某市三院中心机房核心互换机处旁路布置网络行为监控与审计系统，形成对全网网络数据流量检测并进行相应安全审计，同步和其她网络安全设备共同为集中安全管理提供监控数据用于分析及检测。网络行为监控和审计系统将独立网络传感器硬件组件连接到网络中数据汇聚点设备上，对网络中数据包进行分析、匹配、记录，通过特定合同算法，从而实现入侵检测、信息还原等网络审计功能，依照记录生成详细审计报表。网络行为监控和审计系统采用旁路技术，不用在目的主机中安装任何组件。同步玩了个审计系统可以与其她网络安全设备进行联动，将各自监控记录送往安全管理安全域中安全管理服务器，集中对网络异常、袭击和病毒进行分析和检测。7.2.4网络入侵防范依照某市三院中心机房业务安全需求和级别保护三级对入侵防范规定，需要在网络中布置入侵检测产品。入侵检测和产品通过对计算机网络或计算机系统中若干核心点收集信息并对其进行分析，从中发现网络或系统中与否有违背安全方略行为和被袭击迹象。入侵检测产品应支持深度内容检测、技术。配合实时更新入侵袭击特性库，可检测网络袭击行为，涉及病毒、蠕虫、木马、间谍软件、可疑代码、探测与扫描等各种网络威胁。当检测到袭击行为时，记录袭击源IP、袭击类型、袭击目、袭击时间，在发生严重入侵事件时应提供报警。同步基于某市三院中心机房对网络袭击行为可控性，入侵检测产品有限响应方式以及和防火墙联动延迟和兼容性问题，这里推荐布置入侵保护产品，实当前入侵检测基本上对袭击行为进行阻断，实现对入侵行为实时有效防范。入侵检测/保护产品布置于外联区防火墙之后，是某市三院中心机房继防火墙边界访问控制后第二道防线。7.2.5边界恶意代码防范依照某市三院中心机房业务风险分析和级别保护三级对边界恶意代码防范规定，需要在互联网边界布置防病毒产品。防病毒产品应具备针对HTTP、FTP、SMTP、POP3、IMAP以及MSN合同内容检查、清除病毒能力。支持查杀引导区病毒、文献型病毒、宏病毒、蠕虫病毒、特洛伊木马、后门程序、恶意脚本等各种恶意代码。并定期提供对病毒库版本升级。这里推荐在入侵保护产品上集成防病毒功能，一方面减少网络出口串联设备布置数量，减少网络中单点故障几率。另一方面在同一台设备上同步实现入侵检测和恶意代码防范，减少对数据包二次解决，减少网络时延。同步要保障网络防病毒产品与主机防病毒产品来自不同品牌，由两类病毒防护产品共同构成立体病毒防护体系。7.2.6网络设备保护对于网络中核心互换机、路由器设备，也需要采用一定安全设立及安全保障手段来实现网络层控制。重要是依照级别保护基本规定配备网络设备自身身份鉴别与权限控制，涉及：登录地址、标记符、口令复杂度、失败解决、传播加密、特权顾客权限分派等方面对网络设备进行安全加固。由于不同网络设备安全配备不同、配备维护工作繁杂，且信息安全是动态变化，因而这里推荐通过自动化配备核查设备，对网络层面和主机层安全配备进行定期扫描核查，及时发现不满足基线规定有关配备，并依照级别保护安全配备规定提供相相应安全配备加固指引。7.3主机层安全主机层安全重要从身份鉴别、访问控制、安全审计、剩余信息保护、入侵防范、恶意代码防范、资源控制等方面来进行防护。7.3.1身份鉴别为提高主机系统安全性，保障各种应用正常运营，对主机系统需要进行一系列加固办法，涉及：对登录操作系统和数据库系统顾客进行身份标记和鉴别，且保障顾客名唯一性。某市三院医疗信息系统所有顾客应当具备独一无二标记符以便跟踪后续行为，从而可以将责任相应到人。顾客ID不得表达顾客权限级别，例如经理或主管等等。依照基本规定配备顾客名/口令，口令必要具备采用3中以上字符、长度不少于8位并定期更换。启用登录失败解决功能，登录失败后采用结束会话、限制非法登录次数和自动退出等办法，重要主机系统应对与之相连服务器或终端设备进行身份标记和鉴别。远程管理时应启用SSH等管理方式，加密管理数据，防止被网络窃听。对主机管理员登录采用双因素认证方式，采用USBkey+密码进行身份鉴别。7.3.2强制访问控制应在主机层启用强制访问控制功能，根据安全方略控制顾客对资源访问，对重要信息资源设立敏感标记，安全方略严格控制顾客对有敏感标记重要信息资源操作。强制访问控制重要是对核心数据区文献、数据库等资源访问进行控制，避免越权非法使用。采用办法重要涉及如下几种方面。启用访问控制功能：制定严格访问控制安全方略，依照方略控制顾客相应用系统访问，特别是文献操作、数据访问等，控制粒度主体为顾客级，客体为文献或者数据库表级别。权限控制：对于制定访问控制规则要能清晰覆盖资源访问有关主题、客体及它们之间操作。对于不同顾客授权原则是进行可以完毕工作最小化授权，避免授权范畴过大，并在它们之间形成互相增援关系。账号管理：严格限制默认账户访问权限，重命名默认账户，修改默认口令，及时删除多余、过期账户，避免共享账户存在。访问控制实现重要是采用两种方式：采用安全操作系统，或对操作系统进行安全改造，且使用效果要达到以上规定。对于强制访问控制中权限分派和账号管理某些可以通过级别保护配备核查产品进行定期扫描核查，及时发现与基线规定不符配备并进行加固。同步账号管理和权限控制某些还可以通过堡垒机产品来进行强制管控，满足强制访问控制规定。7.3.3主机入侵防范依照级别保护三级规定，需要对主机入侵行为进行防范。针对主机入侵防范，可以从如下各种角度进行解决：布置入侵检测/保护系统，在防范网络入侵同步对核心主机操作系统提供保护，提供依照入侵事件风险限度进行分类报警。布置漏洞扫描进行安全性检测，及时发现主机漏洞并进行修补，减少袭击者可运用对象。操作系统安全遵循最小安装原则，仅安装需要组件和应用程序，关闭多余服务等，减少组件、应用程序和服务中也许存在漏洞。依照系统类型进行安全配备加固解决。7.3.4主机审计主机层审计记录系统顾客和数据库顾客重要安全有关事件。系统顾客审计重要涉及重要顾客行为、系统资源异常使用和重要程序功能执行等；还涉及数据文献打开关闭，详细行动，诸如读取、编辑和删除记录，以及打印报表等。对于系统顾客审计建议可以通过堡垒机来实现，堡垒机是集账号权限管控以及顾客行为审计与一体安全运维产品，可以通过录屏，记录命令行等方式记录顾客对重要服务器访问行为以及所做各种操作。数据库顾客审计重要涉及顾客各种数据库操作，如插入、更新、删除、修改等行为。对于某些对数据可用性、保密性和完整性方面十分敏感应用，规定可以捕获到每个所变化记录事前和事后状况。对于数据库顾客审计建议可以通过网络审计产品来实现，网络审计产品以旁路方式接入网络，不会对网络导致影响，可以对所有数据库操作行为进行细粒度记录，以便事后追查。7.3.5恶意代码防范针对病毒风险，应在某市三院中心机房所有服务器和终端主机上布置防病毒系统，加强终端主机病毒防护能力并及时升级恶意代码软件版本以及恶意代码库。同步布置防病毒服务器，负责制定终端主机防病毒方略，进行防病毒系统统一管理。终端防病毒系统应与网络防病毒系统为不同品牌，以构成立体防护体系。7.3.6剩余信息保护为实现剩余信息保护，达到客体安全重用，应及时清除剩余信息存储空间，建议通过对操作系统及数据库系统进行安全加固配备，使得操作系统和数据库系统具备及时清除剩余信息功能，从而保证顾客鉴别信息、文献、目录、数据库记录等敏感信息所在存储空间（内存、硬盘）被及时释放或者再分派给其她顾客前得到完全清除。7.3.7资源控制对主机层面资源控制可以通过如下几种方面来实现：登录条件限制：在互换、路由设定终端接入控制，或使用主机防护软件设定终端接入限制，对网络地址范畴等条件限制顾客终端登录。顾客可用资源阈值：限制单个顾客对系统资源最大最小使用限度，保障正常合理资源占用。设定安全方略对在终端登录超时顾客进行锁定，使用主机监控产品对重要服务器进行监视，涉及监视服务器CPU、硬盘、内存、网络等资源使用状况，并对顾客资源使用状况做出大小使用度限制。当系统服务水平减少到预先规定最小值进行检测和报警。通过内网终端管理系统实现对顾客接入方式、登陆超时锁定、主机资源、网络资源等进行告警及控制。建议依照基本规定通过安全加固办法对主机资源进行限定，还可以通过布置监控管理系统进行资源监控。7.4应用层安全7.4.1身份鉴别为提高应用服务安全性，保障各种业务正常运营，应在应用系统开发过程中进行相应身份鉴别功能开发，涉及：依照基本规定配备顾客名/口令，口令必要具备采用3中以上字符、长度不少于8位并定期更换。保证系统顾客名具备唯一性。启用登录失败解决功能，登录失败后采用结束会话、限制非法登录次数和自动退出等办法。对顾客登录采用双因素认证方式，采用USBkey+密码进行身份鉴别或者通过CA系统进行身份鉴别。7.4.2访问控制应用层访问控制可以通过如下几种方面实现：依照级别保护基本规定进行访问控制配备，涉及：权限定义、默认账号权限管理、控制粒度拟定等。通过安全加固办法制定严格顾客权限方略，保证账号、口令等符合安全方略规定。通过防火墙制定符合基本规定ACL方略。7.4.3安全审计应用层安全审计是对业务应用系统行为审计，需要与应用系统紧密结合，此审计功能应与应用系统统一开发。某市三院中心机房业务系统审计应记录系统重要安全时间日期、时间、发起者信息、类型、描述和成果等，并保护好审计成果，制止非法删除、修改或覆盖审计记录。同步可以对记录数据进行记录、查询、分析及生产审计报表。同步可以布置数据库审计系统对顾客行为、顾客事件及系统状态加以审计、范畴覆盖到每个顾客，从而把握数据库系统整体安全性。7.4.4剩余信息保护为实现剩余信息保护，达到客体安全重用，应及时清除剩余信息存储空间，建议通过对操作系统及数据库系统进行安全加固配备，使得操作系统和数据库系统具备及时清除剩余信息功能，从而保证顾客鉴别信息、文献、目录、数据库记录等敏感信息所在存储空间（内存、硬盘）被及时释放或者再分派给其她顾客前得到完全清除。7.4.5通信完整性对于信息传播和存储完整性校验可采用消息摘要机制保证完整性校验，应在应用系统开发过程中进行数据完整性校验功能开发。对于信息传播完整性校验应由传播加密系统完毕，可以通过布置VPN系统以保证远程数据传播数据完整性。对于信息存储完整性校验应由应由系统和数据库系统完毕。7.4.6通信保密性应用层通信保密性重要由应用系统完毕，应在应用系统开发过程中进行数据加密开发。在通信双方建立连接之前，应用系统应运用密码技术进行绘画初始化验证，并对通信过程中敏感信息字段进行加密。对于信息传播通信保密性应由加密系统完毕。可以通过布置VPN系统以保证远程数据传播数据机密性。7.4.7抗抵赖性抗抵赖性可以通过数字签名技术实现，通过数字签名及签名验证技术，可以判断数据发送方与否是真是存在顾客。数字签名是不对称加密算法典型应用。数字签名应用过程是：数据源发送方是用自己四月对数据校验和对其她与数据内容关于便利进行加密解决，完毕对数据合法“签名”，数据接受方则运用对方公钥来解读收到“数字签名”，并将解读成果用于对数据完整性检查，以确认签名合法性同步，通过对签名验证，可以判断数据在传播过程中与否被更改。从而，可以实现数据发送方不能对发送数据进行抵赖，发送数据是完整，实现系统抗抵赖性和完整性需求。7.4.8软件容错对于软件容错应在应用系统开发过程中进行相应容错功能开发，并在上线之迈进行代码审核，对输入数据进行校验，保证复核规定；且应具备自动保护功能设计，故障后可以恢复。7.4.9资源控制应用层面资源控制可以通过系统安全加固办法进行系统资源限定来实现：会话自动结束：当应用系统通信双方中一方在一段时间内未作任何响应，另一方应可以自动结束会话，释放资源；会话限制：相应用系统最大并发会话连接数进行限制，对一种时间段内也许并发会话连接数进行限制，对单个帐户多重并发会话进行限制，设定有关阈值，保证系统可用性。超时锁定：依照安全方略设立应用会话超时锁定。应可以对一种访问帐户或一种祈求进程占用资源分派最大限额和最小限额；应可以对系统服务水平减少到预先规定最小值进行检测和报警；应提供服务优先级设定功能，并在安装后依照安全方略设定访问帐户或祈求进程优先级，依照优先级分派系统资源。7.5数据层安全7.5.1数据完整性某市三院中心机房中传播重要数据，其安全规定较高，特别是血液系统中数据信息和精神卫生管理系统中隐私信息，建议采用消息摘要机制来保证完整性校验。其办法是：发送方使用散列函数，如（SHA，MD5等）对要发送信息进行摘要计算，得到信息鉴别码，联通信息一起发送给接受方，将信息也信息摘要进行打包后插入身份鉴别标记，发送给接受方。接受方对接受到信息，一方面确认发送方身份信息，解包后，重新计算，将得到鉴别码与收到鉴别码进行比较，若两者相似，则可以鉴定信息未被篡改，信息完整性没有受到破坏。在传播过程中可以通过VPN系统来保证数据包是完整性、保密性和可用性。数据存储过程中完整性可以通过数据库访问控制来实现。(1) 读访问控制必要制定相应控制办法，以保证获准访问数据库或数据库表个体，可以在数据库数据信息分类级别适当级别得到验证。通过使用报表或者查询工具提供读访问必要由数据所有人控制和批准，以保证可以采用有效控制办法控制谁可以读取哪些数据。(2) 读取/写入访问控制对于那些提供读访问数据库而言，每个访问该数据自然人以及/或者对象或进程都必要确立相应账户。该ID可以在数据库内直接建立，或者通过那些提供数据访问功能应用予以建立。这些账户必要遵从本原则规定计算机账户原则。顾客验证机制必要基于防御性验证技术（例如顾客ID/密码），这种技术可以应用于每一次登录尝试或重新验证，并且可以依照登录尝试被回绝状况指定保护办法。为了保证数据库操作不会绕过应用安全，定义角色能力不得成为默认顾客特权。访问数据库配备表必要仅限于数据库管理员，以防未经授权插入、更新和删除。7.5.2数据保密性关于数据保密性，可以通过某些详细技术保护手段，在数据和文档生命周期过程中对其进行安全有关防护，保证内部数据和文档在整个生命周期过程中安全。加强对于数据认证管理操作系统须设立相应认证手段；数据自身也须设立相应认证手段，对于重要数据应对其自身设立相应认证机制。加强对于数据授权管理对文献系统访问权限进行一定限制；对网络共享文献夹进行必要认证和授权。除非特别必要，可禁止在个人计算机上设立网络文献夹共享。数据和文档加密保护数据和文档另一种重要办法是进行数据和文档加密。数据加密后，虽然别人获得了相应数据和文档，也无法获得其中内容。网络设备、操作系统、数据库系统和应用程序鉴别信息、敏感系统管理数据和敏感顾客数据应采用加密或其她有效办法实现传播保密性和存储保密性。当使用便携式和移动式设备时，应加密或者采用可移动磁盘存储敏感信息。加强对数据和文档日记审计管理使用审计方略对文献夹、数据和文档进行审计，审计成果记录在安全日记中，通过安全日记就可查看哪些组或顾客对文献夹、文献进行了什么级别操作，从而发现系统也许面临非法访问，并通过采用相应办法，将这种安全隐患减到最低。进行通信保密用于特定业务通信通信信道应符合有关国家规定，密码算法和密钥使用应符合国家密码管理规定。7.5.3备份和恢复针对数据备份和恢复规定，应用数据备份和恢复应具备如下功能：应提供本地数据备份与恢复功能，完全数据备份至少每天一次，备份介质场外存储；应提供异地数据备份功能，运用通信网络将核心数据定期批量传送至备用场地；应采用冗余技术设计网络拓扑构造，避免核心节点存在单点故障；应提供重要网络设备、通信线路和数据解决系统硬件冗余，保证系统高可用性。7.6虚拟化、云计算安全解决方案在云计算虚拟化环境安全保障中，老式防护手段所起到作用是不应当忽视，云环境全面安全防护和保障还是应当采用老式安全保障技术手段和虚拟化保障技术手段结合办法。在不同物理实体之间（服务器与服务器、某市三院中心机房和某市三院中心机房）应采用老式技术手段与虚拟化技术手段进行防护。而对于同一物理实体之上虚拟化应用则应采用有针对性虚拟化技术手段进行防护。7.6.1虚拟化漏洞管理和配备核查针对脆弱性问题，采用基于绿盟虚拟化远程安全评估系统及安全配备核查系统以提供云环境漏洞扫描和安全配备管理能力。方案采用虚拟化技术，产品以虚拟镜像方式在云环境下布置，运营后作为虚拟扫描终端设备，接受云服务端管理。7.6.2虚拟化综合安全网关在虚拟化某市三院中心机房环境，虚拟防火墙（VirtualFirewall，VF）是针对同一物理机上虚拟节点（VM）间通信流量可视化问题而产生新兴技术，侧重从合同层角度实行访问控制。绿盟虚拟化综合安全网关——NSFOCUSVirtualizationGeneralSecurityGateway（NVSG）是基于当今应用攻防特点新趋势和虚拟化环境研究成果基本上发展起来虚拟化综合安全网关产品，系统采用统一防护方略，将链路层到应用层复杂防护功能融合起来，作为一种整体实现对虚拟化网络全方位防护。7.6.3虚拟化IDS/IPS与防火墙针对各层合同实行方略（如依照5元组）强制不同，IDS/IPS针对网络通信中详细祈求或行为（如基于网络0day漏洞袭击）来报警或阻断（IDS监测并报警，IPS监测并阻断），这也是IDS/IPS与防火墙本质区别。事实上，同在老式网络环境中状况类似，服务器虚拟化环境中，虚拟IDS/IPS是对虚拟防火墙有效补充，但其重要性次于VF。绿盟科技以VMsafeNetAPI中深度包检测（DeepPacketIns