医院基础信息系统资源建设需求

医院基础信息系统资源建设需求基础信息系统建设需求计算机网络系统系统概述医院的计算机网络系统需要符合未来以电子病历系统为核心，多种医疗应用系统（如HIS、PACS、LIS）集成，拥有有线和无线网络覆盖，集成语音、数据、视频和虚拟化特性，支持远程医疗、远程会诊、网上预约及检验结果查询、系统远程维护等功能，具备高可靠性、可用性、高安全性以及高性能，需要根据现有医疗系统的需求，以及未来5～10年运营发展需要，建设全新的网络系统，是医院信息化发展和智能化建设的核心内容。计算机网络系统建设覆盖了整个医院各区域，根据所承载业务划分为内网、外网、无线专网3张网络。随着医院智能化，数字化和网络化的发展，越来越多的智能化、信息化子系统通过TCP/IP网络IPv4/IPv6进行通信和数据传输，计算机网络成为众多智能化子系统的共用网络平台。各个专用网络的概述如下：内网：用于承载医院内部业务系统，采用三层双星型结构，分别为核心层、汇聚层、接入层。采用双核心模式。核心层与汇聚层之间采用双链路万兆以太网技术，汇聚层与接入层之间采用千兆以太网链路，实现主干万兆，千兆到桌面。医院内网承载医院信息系统服务,如信息集成平台、一体化电子病历、患者服务HIS系统，提供高带宽、高可靠性，并具备将来医院信息系统的扩容和带宽升级的条件。医疗设备专网外网：医院外网用于医院工作人员日常Internet访问以及远程医疗连接使用。采用三层双星型结构，分别为核心层、汇聚层、接入层。采用双核心模式。核心层与汇聚层之间采用双链路万兆以太网技术，汇聚层与接入层之间采用千兆以太网链路，实现主干万兆，千兆到桌面。医院外网承载医院信息系统服务，如互联网医院等，提供高带宽、高可靠性，并具备将来医院信息系统的扩容和带宽升级的条件。无线专网：主要承载医院内外网无线网络应用以及扩展物联网应用，同样采用三层双星网络结构，覆盖所有病房区、病房大厅、出入院办理大厅、门诊大厅、网络中心机房办公区、办公区、会议室、培训接待室，保证信号无死角。为移动查房、移动办公、无线定位等应用提供支撑。未来可根据不同应用场景在对应的无线专网AP上扩展蓝牙、RFID、LORA等物联网模块提供物联网设备接入能力。医院内网、医疗设备专网、外网、无线专网均采用三层双星型结构，分别为核心层、汇聚层、接入层。接入层交换机部署在每层楼的弱电间，通过双万兆上联汇聚交换机；汇聚层采用双机热备架构，部署在每栋主建筑的汇聚弱电间，汇聚层均各自通过万兆双链路连接到核心交换机设备；核心层部署按双活灾备架构，即C区八层的主数据中心和地下一层的备数据中心，医院内网、外网和无线专网分别配置2台核心交换机，形成了本地双活灾备的网络基础架构。内网详细方案内网网络架构内网作为院区信息系统的核心，医院的重要业务系统部署在内网上，其稳定性和可靠性直接影响到整个医院信息化的运营，因此内网使用扩展性、灵活性、可靠性较的三层网络结构，包括核心层、汇聚层、接入层，核心层和汇聚层设计双机提高网络可用性，内网拓扑结构如下图所示。内网的接入终端包括内网办公终端、医疗设备和智能化设备，医疗设备及智能化设备分别划分在独立的VLAN中，与其他业务逻辑隔离，保障医疗设备与智能化设备的业务正常运转。内网核心层本期在内网核心层部署两台核心交换机，分别部署在C区八层主数据机房和地下一层备数据机房，为医院内网提供快速的数据交换和极高的可用性，选用交换性能和可靠性极高的高端路由交换设备。为保证稳定性和可靠性，内网两个数据中心均部署两台数据中心级高性能的核心交换机，通过虚拟化技术，构建两组核心；核心设备还必须采用电源、风扇、主控、交换网板冗余等特性。主备两台核心交换机之间采用2条10G链路互连，部署虚拟化技术，使两台核心设备虚拟成为一台设备，提高核心交换整体性能，保障可靠运行，同时简化网络管理，两台核心交换机与汇聚交换机通过10GE光纤链路互连，形成万兆网络骨干。同时在核心层设置安全网关分别与其他医疗专网（包括其他院区及医保/银联）以及内网服务器区互联，设置安全运维管理区旁挂于核心交换机。内网汇聚层汇聚设备作为三层网关，为接入设备提供余链路至核心层节点，实现区域级的网络汇聚和对路由策略的控制。本期内网设备设置A区一层汇聚弱电间、B区一层汇聚弱电间、C区一层汇聚弱电间3个汇聚节点；智能化设备设置A区四层汇聚弱电间、B区六层汇聚弱电间、C区八层主数据机房3个汇聚节点。汇聚交换机应当提供不少于48个10GESFP+光口，同时具备模块化的双风扇和双电源，能够满足区域级万兆汇聚的需求。每个汇聚节点的汇聚交换机通过虚拟化堆叠，将双设备虚拟为一台逻辑设备，提高核心交换整体性能，保障可靠运行，同时简化网络管理。每台汇聚交换机分别通过2条10GE光纤链路上联核心交换机，形成双口字形连接。上联接口配置为三层模式，运行路由协议，同时配合核心层的虚拟化堆叠，可以实现跨设备链路聚合，简化网络结构。汇聚交换机向下提供万兆以太网光口连接接入交换机，下联接口统一配置为二层trunk。通过在汇聚层部署虚拟化堆叠，在不需要VRRP的情况下实现网关热备，达到毫秒级别的故障切换，当一个汇聚层节点发生故障或被拆除时，不会影响端点与缺省网关的连接。内网接入层接入层是负责连接业务终端，根据弱电间布局及终端数量等因素配置相应的接入交换机。室内安防监控摄像头等部分智能化设备通过POE交换机进行统一供电。48千兆电口交换机：支持48个10/100/1000BASE-T电口，4个1/10GESFP+光口。48万兆POE交换机：支持48个10/100/1000BASE-TPoE+电口，支持4个10GESFP+端口。接入交换机应当支持所有端口的线速转发，接入交换机不进行堆叠，每台交换机单独上联汇聚交换机。接入层和汇聚层之间不需要运行生成树协议，实现跨设备链路聚合，简化网络结构。内网外联区根据院区业务规划设计，内网需要对外连接医保专线和银联专线、医疗行业云等区域，通过租用电信运营商数字专线进行互联。本项目院区医院内网将租用2条1G数字专线与联通医疗云互联，租用1条1G数字专线与珠江新城院区互联，租用1条1G数字专线与医疗行业云互联。与联通医疗云、医疗行业云的组网络结构如下图所示，主要信息化系统部署于联通云，多个院区之间通过多个环状网络互连，整体上是分布多地的多个院区内部互联和多地多专线出口的网络结构。将在院区本地建立应急灾备中心，将联通云上的核心业务系统进行容灾备份。院区通过专线与医疗行业云互通，将医疗相关数据推送至医疗行业云。外网详细方案外网网络架构医院外网承载着一些对公众及外网开放的业务系统，如互联网医院、邮件系统等，同内网一样采用三层网络结构，包括核心层、汇聚层、接入层，核心层和汇聚层设计双机提高网络可用性，并在出口设置上网行为管理、抗DDOS流量清洗系统等针对互联网的安全防护设备。外网核心层本期在外网核心层部署两台核心交换机，分别部署在C区八层主数据机房和地下一层备数据机房，为医院内网提供快速的数据交换和极高的可用性，选用交换性能和可靠性极高的高端路由交换设备。为保证稳定性和可靠性，内网两个数据中心均部署两台数据中心级高性能的核心交换机，通过虚拟化技术，构建两组核心；核心设备还必须采用电源、风扇、主控、交换网板冗余等特性。主备两台核心交换机之间采用2条10G链路互连，进行虚拟化堆叠，使两台核心设备虚拟成为一台设备，提高核心交换整体性能，保障可靠运行，同时简化网络管理，两台核心交换机与汇聚交换机通过10GE光纤链路互连，形成万兆网络骨干。同时在核心层设置安全网关分别与互联网互联，设置安全运维管理区旁挂于核心交换机。外网汇聚层汇聚设备作为三层网关，为接入设备提供余链路至核心层节点，实现区域级的网络汇聚和对路由策略的控制。本期设置A区一层汇聚弱电间、B区一层汇聚弱电间、C区一层汇聚弱电间3个汇聚节点，每个节点双机热备。汇聚交换机应当提供不少于48个10GESFP+光口，同时具备模块化的双风扇和双电源，能够满足区域级万兆汇聚的需求。每个汇聚节点的汇聚交换机进行虚拟化堆叠，将双设备虚拟为一台逻辑设备，提高核心交换整体性能，同时简化网络管理。每台汇聚交换机分别通过2条10GE光纤链路上联核心交换机，形成双口字形连接。上联接口配置为三层模式，运行路由协议，同时配合核心层的虚拟化堆叠，可以实现跨设备链路聚合，简化网络结构。汇聚交换机向下提供万兆以太网光口连接接入交换机，下联接口统一配置为二层trunk。通过在汇聚层部署虚拟化堆叠，在不需要VRRP的情况下实现网关热备，达到毫秒级别的故障切换，当一个汇聚层节点发生故障或被拆除时，不会影响端点与缺省网关的连接。外网接入层接入层是负责连接业务终端，根据弱电间布局及终端数量等因素配置相应的接入交换机。48千兆电口交换机：支持48个GE电口，4个10GESFP+光口。接入交换机应当支持所有端口的线速转发，接入交换机不进行堆叠，每台交换机单独上联汇聚交换机。接入层和汇聚层之间不需要运行生成树协议，实现跨设备链路聚合，简化网络结构。外网外联区根据院区业务规划设计，外网需要通过运营商的专线对外连接到互联网，部署两台高性能的专线防火墙实现与外联业务的对接。本项目需申请1条互联网专线，单条专线带宽不低于200M（上下行均等），满足上网需求。无线专网详细方案网络架构整体无线网络架构如下图所示，内网及外网共用一个无线专网，通过SSID进行区分，并根据接入SSID的不同设置不同的安全管理策略。本期在无线专网核心层部署两台核心交换机，分别部署在C区八层主数据机房和地下一层备数据机房，为医院智能化专网提供快速的数据交换和极高的可用性，选用交换性能和可靠性极高的高端路由交换设备。核心交换机要求采用正交架构，以保证核心设备数据交换的无阻塞。为保证稳定性和可靠性。主备两台核心交换机之间采用2条10G链路互连，部署虚拟化技术，使两台核心设备虚拟成为一台设备，提高核心交换整体性能，保障可靠运行，同时简化网络管理，两台核心交换机与汇聚交换机通过10GE光纤链路互连，形成万兆网络骨干。无线专网采用“接入——汇聚——核心”三层架构，能灵活地贴合于医疗网的应用场景，便于进行流量整型以及医疗网内各子系统间的策略管控。核心、汇聚交换机采用双机，可部署设备虚拟化或HA模式，接入交换机采用堆叠技术保证高可用。互联链路冗余部署，并采用链路绑定技术，提高带宽容量。无线接入管理服务器（AC）部署于核心交换机下，无线AP接入各楼层的接入交换机下。内网、外网采用同一套AP接入设备，承载医疗网和外网的无线应用需求。无线控制器接在医疗网核心交换机下，医疗网的无线访问采取集中转发方式，外网的无线访问使用分布式，经有线网络路径访问相关应用。采用DTLS隧道加密技术，将控制报文和数据报文均加密，SSID完全独立，同时，可基于SSID的流量限速，可保证内网SSID使用更多的射频资源，限制外网SSID的流量。无线网络采用集中式管理的瘦无线AP＋集中控制器架构，该无线架构具有简单而强大的无线局域网集中式管理功能，AP本身并不存放任何的配置文件，AP的配置是从无线控制器上获取的，通过无线控制器就可以统一管理整个无线网络的AP。网管人员只需简单地配置无线交换机，即可实现开通、管理和维护所有AP设备以及移动终端，包括无线电波频谱、无线安全、接入认证、移动漫游以及接入用户。无线AP部署设计本方案为了更好的承载医院无线业务，根据医院院区场景的应用特点，采用先进的无线部署方案，并充分考虑了扩展性，支持医疗物联网的扩展，利用Wi-Fi5和Wi-Fi6融合的部署方案，打造高性能的无线物联网融合AP进行无线的覆盖。病房场景针对医院病区，包括病房、护士站、走廊、配药室、隔离病房、小型会议室、医生办公室、杂物间等，功能区众多，而且住院病房门口的卫生间成为了Wi-Fi信号最大的障碍。智能终端原本就已经不是很强的Wi-Fi信号，在穿越两层墙体后，信号已经衰减了很多，很难支撑正常的智能终端对信号的要求。考虑到病区的多房间特殊场景，本场景建议采用AP入室的设计方式，使病房内的无线信号不受任何墙体的阻隔，使信号达到最优。本场景无线融合物联网AP进行病区无线信号的覆盖。支持802.11ax最新技术标准，能够实现每个房间部署一个无线接入点，实际信号效果好，有效避免穿墙等因素的影响，同时每房间独立享用单个接入点千兆带宽，让用户的体验达到有线接入一般的高速效果。全部内置天线，安装方式简单灵活，支持86盒安装、壁挂、吸顶等多种安装方式。公共空间、大型会议室等场景针对公共空间和大型会议室、大型办公室等场景，人数众多，流量带宽要求高，选用放装型AP进行无线覆盖，支持最新Wi-Fi6协议，实现天线入室覆盖，取得最佳的覆盖效果，能够在设备上采用通用外置模块增加多种物联网无线方式的接入。在高密场景下，采用三频Wi-Fi6设备，上行链路采用双千兆以太网接口，突破了千兆速率的限制，使无线多媒体应用成为现实，开启万物互联新时代。为方便统一管理，提高设备的安全性，本次无线供电设计采用PoE供电的方式对无线AP进行远程供电。高密场景下，针对Wi-Fi6三频产品，采用多速率交换机，避免接口速率成为瓶颈，PoE供电方式具备以下几点优势：首先，安全性更高，通过网线进行供电可以避免本地电源的使用，有效减少强电部署，提高全院的用电安全；另外，通过PoE供电可以实现对AP供电的管理，实现AP的定时开关，一方面提高无线网络的安全性（不必要使用时可关闭无线网络），另一方面，还可以节省日常费用（不必要使用时，关闭AP节省用电）。物联网扩展无线AP可通过外置模块扩展的方式可支持RFID、RORA、Zigbee、Bluetooth、UWB等标准模块的任意组合。信号强度设计医院网络中使用的智能终端硬件种类和操作系统庞杂，各厂家PDA、PAD、手机等多达上百款，操作系统有iOS、Andriod和WinMobile，这些新型智能终端不同于笔记本电脑，它采用了低功耗系统结构，包括芯片在内的各类元器件的功率普遍非常低，因此导致了Wi-Fi网络的回传信号普遍比较弱，而且很多终端的网卡漫游功能设计不理想。面对这样的智能终端，更强、更均匀的Wi-Fi信号覆盖可以弥补其自身信号弱的问题。不同无线接入区域AP的Wi-Fi信号强度应满足一定的标准才能保证AP与智能终端之间信号的有效交互，从而保证无线覆盖的效果。覆盖区信号强度不仅要在终端的接收灵敏度以上，更重要的是还要达到漫游切换的要求。无线局域网室内覆盖主要特点是：覆盖范围较小，环境变动较大，包括病房、护士站、走廊、配药室、隔离病房、会议室、大套间、医生办公室、杂物间等，功能区众多，而且住院病房门口的卫生间成为了Wi-Fi信号最大的障碍。智能终端原本就已经不是很强的Wi-Fi信号，在穿越两层墙体后，信号已经衰减了很多，很难支撑正常的智能终端对信号的要求。例如，2.4GHz电磁波对于各种建筑材质的穿透损耗的经验值如下： 隔墙的阻挡（砖墙厚度100-300mm）：20-40dB； 楼层的阻挡：20dB以上； 木制家具、门和其它木板隔墙的阻挡：2-15dB； 厚玻璃（12mm）：10dB；同时，在衡量墙壁等对于AP信号的穿透损耗时，也需要考虑AP信号入射角度。例如，一面0.5米厚的墙壁，当AP信号和覆盖区域之间直线连接呈45°角入射时，无线信号相当于穿透近1米厚的墙壁；在2°角时相当于超过14米厚的墙壁，所以要获取更好的覆盖效果应尽量使AP信号能够垂直的穿过墙壁。防止病房内出现信号死角，需要详细规划信号的覆盖，尤其要充分考虑卫生间的情况。一般情况下，对于有业务需求的楼层和区域进行覆盖时，目标覆盖区域内95％以上位置的接收信号强度应≥-65dBm（经验值，适用于绝大部分智能终端），重点覆盖区域信号强度应≥-55dBm。无线认证设计医院内网无线有效地克服了有线网络的弊端，医生护士利用PDA、平板电脑和移动手推车，随时随地进行生命体征数据采集、医护数据的查询与录入、医生查房、床边护理、呼叫通信、护理监控、药物配送、病人标识码识别等等，充分发挥医疗信息系统的效能，突出数字化医院的技术优势。因此，对于内网无线网络的接入认证来说，需要重点保障认证的安全性以及便捷性。推荐在内网区域使用802.1X、PORTAL、MAC认证，可以使用医生护士的身份信息作为账号密码，也可以对接医院内部人员数据库。外网无线主要是面向病患和家属的手机平板等终端设备。外网无线直接关系到网络公共区域的安全问题，是网安检查的重点区域，也是许多网络攻击的重灾区，因此无线控制器在认证端开始全方面保证外网入口安全。在外网无线认证方式上，建议采用短信认证，保障实名制上网，满足公共区域的网络监管要求。PORTAL账号密码认证采用Portal账号密码认证，内部员工接入时即需要认证，登录的账号可以为姓名、手机号、工号等具有唯一性信息，实现一人一账号自行登录。外部服务器对接认证院方也可以采用关联外置认证数据库的方式进行认证，兼容的第三方的认证服务器有：Radius服务器、Portal服务器、LDAP服务器、微软AD域、数据库（Oracle、Ms-sql（SQLServer）、mySQL）、AS服务器。例如医院的人事部门常把本单位职工的基本情况(职工号、姓名、年龄、性别、籍贯、工资、简历等)存放在数据库中，对接数据库做无线认证可以免除额外建立账号的工作。对接医院的员工信息数据库，读取数据库中的员工工号作为上网账号，实现802.1x认证等。MAC地址认证对于智能医护终端，选择MAC地址认证，这是基于无线终端MAC地址的网络访问权限进行控制的认证方法，不需要在终端上安装任何客户端软件，也不需要手动输入用户名或者密码。设备在首次检测到用户的MAC地址以后，即启动对该用户的认证操作。配合MAC地址黑白名单，规定只有护理终端可以接入无线，其他均为非法设备，保障网络安全。智能PSK认证在很多PDA、小推车无线接入或者一些物联网终端无线接入的时候，往往只能使用PSK的认证方式，但是无线PSK的认证方式是不安全的，这些终端接入的是医院内部业务网络，一旦PSK被破解或者被万能钥匙共享，对于内部网络是非常危险的。因此，设计智能PSK认证，对于医护智能移动终端，通过MAC地址和不同的密码进行绑定做认证，保证一机一密码。短信认证短信认证只需要在连接wifi后，通过访客手机接收验证码，输入即可获取上网权限。为提高便捷性和经济性，可以设置短信认证的有效期，有效期内都不需要重新认证。也可以设置短信验证码的有效期，有效期内，可以不用重复获取验证码，节约短信费用。无线网络优化设计同频组网零漫游针对内网场景，为提高漫游效果，使用同频组网技术，真正实现内网无线“零漫游”。同频组网是针对移动查房等对无线连接的稳定性有较高要求的应用场景提供的一种零切换无缝漫游解决方案，为医疗终端提供零漫游的无线网络覆盖，终端在零漫游的无线网络中自由移动时，保障业务流量不中断；致力于解决终端在传统蜂窝部署的无线网络中因位置移动产生漫游而导致的业务中断问题，提高行业用户的效率。通过同频算法实现Wi-Fi的同频组网，将多个物理AP虚拟成一个大AP，对外呈现同一个SSID、信道、BSSID，对于无线终端而言只是搜索到了一个虚拟AP发射出来的信号，因此无线终端在物理AP之间移动时无需重新建立802.11无线链路连接（省去了请求、关联等帧），从而实现零切换无缝漫游。智能负载均衡优先接5.8G频段优先接5.8频段，使支持2.4G/5G双频的移动终端优先接入5GHz频段，平衡2.4G/5G网络利用率，提高终端用户的上网体验，实现价值最大化。接入点间负载均衡根据AP当前的负载情况及其他条件（如：接入人数、信道利用率等）控制终端的接入，达到AP间负载均衡，提高网络吞吐量和服务质量。另外，还支持根据不同场景、不同的区域灵活的设置不同的负载均衡参数，以实现漫游、无线体验的最佳效果。终端请求接入某个AP，无线控制器根据该AP与邻居AP的负载情况，决定是否允许新的客户端接入，终端可自动连接其他空闲AP，达到负载分担的效果。动态负载引导（防终端粘滞）终端在不同区域间移动时，为了让终端接收到信号最佳的无线接入点，获得良好的上网体验，无线防终端粘滞功能，可以根据实际情况，设置切换阈值，漫游效果更好。当接入点识别出终端的信号强度小于设定的信号强度阈值，并且该终端的无线流量小于流量阈值时，接入点将主动让终端漫游。无线AC冗余通过部署多台控制器，实现医院无线网络的冗余灾备，增加网络可靠性，避免单点故障。两台控制器实现双机热备方案，一台为主机，一台为备机，当主机运行正常时，备机处于待命状态，主机上的必要配置（例如WLAN配置，用户信息等）同步到备机上面，一旦主机出现运行故障，则AP自动切换到备机上运行，保证用户业务不中断；当主机恢复后，AP切换回主机。网络管理随着网络的发展，其作用已经不仅是简单的互连互通，通信、计算、应用、存储、监控等各类业务应用和网络的融合，促使网络成为承载单位核心业务的平台。随着网络应用越来越复杂，网络安全控制、性能优化、运营管理等问题成为困扰客户的难题，并直接决定了核心业务能否顺利开展。在这种情况下，依靠单纯的硬件数据交换已经不能满足用户的需求，因此灵活的软件控制和高速的硬件数据交换进行有机融合的整体解决方案成为整个医疗行业的发展趋势。为了保障业务服务质量、保持系统持续稳定运行，本期建设内网网络管理系统和外网网络管理系统，覆盖当前全量的软硬件设备，实现网络设备、安全设备、机房设备、无线网络等统一管控平台。网络管理系统通过建立网络管理系统将整个整个基础网络的监测、管理手段进行统一的集成，通过统一展示，协同处置，实现院区的整体性安全运维。以下是统一运维平台的建设内容：综合展现实时监控：提供对实例、业务、资源类型全方面的信息展示，支持通过业务或类型维度快速定位，包含有专业定制的仪表,当前实例的实时情况和当前资源相关告警,实例最新数据展示及实例监控项信息，提供对实例全方面的信息展示；对比分析：支持选择不同被监控对象、不同性能指标、不同周期进行对比分析；业务健康度：支持一级、二级业务系统的统计视图来查看这个系统的健康得分情况，可以通过可视图化的界面快速定位问题的应用；业务拓扑：提供单业务系统详细的资源实例拓扑展示，支持单资源实例健康值、告警查看，并支持快速进行运维操作等；告警统计报表：实时统计业务系统、设备类型、告警级别、时间等多维度统计告警的分布、告警的趋势、告警的持续时间、告警的响应时间等报表；性能统计报表：实时统计多资源实例，多指标项的性能趋势、Top性能消耗资源情况、资源容量情况、Top异常变动指标及资源情况；自定义报表：支持自定义报表功能，定时或实时输出常用的报表统计，支持邮件发送报告；告警管理告警列表：全网告警的统一管理，支持对告警进行流程管理，定期对告警进行归档，通过右键快速进行问题分析，信息查询，拓扑定位，告警策略调整，快速运维等相关操作；告警处理：通过响应告警的方式来统计告警处理的时效性,通过挂机告警的方式来解决告警通知的轰炸；历史告警：通过手工和定时归档已恢复的告警,更有效的管理和处理当前告警；告警方式：支持通过邮件、短信等方式进行告警通知推送；动态基线告警：告警阈值通过历史数据动态生成，根据指标的历史性能数据按一定规律生产指标的上门线、下门线、基准线，并基于此触发告警；预测告警：支持针对容量、空间等类别的指标进行预测告警；告警恢复策略：支持单独配置告警恢复策略，压缩短周期性能波动导致的重复告警；告警自愈：支持在告警触发时通过预先配置的故障处理方案自动执行；资源管理配置模型：提供默认的常用配置模型，支持定义配置项分类、配置项、属性、关系类型等基础信息；资源库：提供配置项数据基本的配置信息增删改查和树图呈现功能；资源导入：支持通过xls将配置项实例数据导入，导入支持新增和更新数据；资源导出：提供资源数据导出功能，对指定的某类或某些类配置数据导出为xls格式数据；数据集成针对有数据主动推送能力的被接入系统，提供api接口用于数据的接收。只需要在被接入系统中把数据推送至该API即可。被接入系统无数据主动推送能力，但数据库可供访问，支持使用采集器做数据主动采集同步。支持定义需要收集的数据范围（业务范围、粒度范围、时间范围等），周期性地从各被接入系统的数据库中提取数据。被接入系统无数据主动推送能力，并且不开放数据库的访问，但可提供数据文件到指定存储，支持通过文件采集器统一提取文件进行数据采集。安全运维制度建设软硬件标准化规约。构建统一的运维管理规范和执行标准，输出软硬件标准化规约；实现基础设施现状调研及标准化建议，包括操作系统标准化、数据库标准化、网络标准化。实现运维管理现状调研及标准化建议，包括监控标准化、日志标准化、配置标准化。实现应用现状调研及标准化建议，包括中间件标准化、通用组件标准化。提供基础设施、运维管理标准化的实施路线图建议。网络硬件设备监控模块建设一套服务器及存储监控系统，支持对于主流厂商的服务器硬件状态监控：实现对交换机、路由器、负载均衡、防火墙、安全审计等网络及安全设备进行集中管理，并对设备运行状态、性能进行监控，提供拓扑图实时展示及设备面板图功能。实现对服务器、存储、主机操作系统性能监控及运行状态监控。实现对机房动环监控。无线AP、AC的状态统一监控。可实现有效替代人工机房巡检，实时掌握硬件工作状态信息，以实现有效替代人工机房巡检，实时掌握硬件工作状态信息。实时掌握硬件工作状态信息，以实现有效替代人工机房巡检，实时掌握硬件工作状态信息。内网终端微隔离管控系统本期将在内网部署内网终端微隔离管控系统实现对内网终端的IP管理和隔离，包含以下功能。(1)为全网终端设备的身份识别、认证、在线状态感知功能、全网IP端到端微隔离，阻断终端之间的病毒传播，消除网络环路风暴。(2)实现终端IP精准定位，可实时监测指定终端的接入物理位置，方便终端的快速定位和处置。(3)实现终端IP地址与接入位置解耦，终端更换接入位置零漫游配置。(4)实现全网终端资产分布、责任人、物理位置等信息的统一管理。(5)外置日志中心，提供系统日志、操作日志、终端入网日志、网络质量日志的存储、查询、分析功能。网络安全信息安全是一项立体的多维度的系统性工程，相关的标准要求与安全措施是一种多对多的关系，落实到本期的信息安全设计上，会存在一项要求需要部署多种设备进行防护的情况，也会出现一种安全设备与多项安全要求相关联，甚至需要相关的安全管理措施进行配合。本期信息安全方案将以网络安全等级保护三级的相关要求为基础，结合医疗信息化对安全的相关要求进行设计。内网安全设计内网是院区信息系统的核心，医院的重要业务系统部署在内网上，其安全性是本期信息安全的重点。从安全域的角度看，内网可划分为核心交换域、终端接入域、业务域、外联域、运维管理域，各安全域的安全设计如下。核心交换域在主数据机房和备数据机房分别部署一对核心交换机，实现关键设备本地异机房的冗余，保障网络的可用性。在核心交换机旁挂2台内网防火墙，通过虚拟防火墙方式为各个安全域提供安全网关防护。内网终端接入域针对终端部署网络准入系统、终端防病毒系统、终端桌面管理系统，对PC进行用户名密码认证，并对操作系统进行安全性检查，要求符合黑白软件名单、操作系统补丁、防病毒软件等安全基线要求。对打印机、医疗设备等哑终端进行MAC地址认证，并配合终端扫描绑定IP地址和终端协议指纹，防止非法终端私接和仿冒，对内网进行入侵。内网业务域在服务器区部署虚拟防火墙、服务器数据防泄密系统、主机安全自适应系统等安全设备。为了对不同安全等级的业务系统进行安全隔离，需要将对应的服务器或虚拟机划分至不同IP子网，将汇聚交换机作为网关，使必要的流量经过汇聚交换机处的安全设备。运维管理域在内网安全运维管理区部署的安全设备有堡垒机、态势感知系统、日志审计分析系统、网络准入系统等安全设备，以及统一安全运营治理支撑平台等安全管理设备，实现对内网整体的身份鉴别、访问控制、入侵防范、集中管控、安全审计等安全管理。安全运维区存在大量集权控制系统，通过在运维管理区部署虚拟安全网关，采用白名单放访问控制策略实现网络层最小化开放原则，降低黑客攻破入侵集权系统风险。外联域针对第三方机构、其他分院以及联通云的连接专线，部署虚拟防火墙进行安全防护。防火墙集成防Ddos、IPS和防病毒功能，能够实现多层次的安全防护。外网安全设计外网主要用于提供互联网接入，虽然内部没有部署业务系统，但互联网的网络环境复杂，主要从外部边界防护和内部的访问控制着手，重点防范来自外部的攻击。从安全域的角度看，外网可划分为核心交换域、终端接入域、互联网出口域、网管域，各安全域的安全设计如下。核心交换域在主数据机房和备数据机房分别部署一台核心交换机，实现关键设备本地异机房的冗余，保障网络的可用性。在核心交换机旁挂2台外网防火墙，通过虚拟防火墙方式为各个安全域提供安全网关防护。外网终端接入域针对终端部署网络准入系统、桌面管理系统、终端防病毒系统，对PC进行用户名密码认证，并对操作系统进行安全性检查，要求符合黑白软件名单、操作系统补丁、防病毒软件等安全基线要求。对打印机、自助挂号机等哑终端进行MAC地址认证，并配合终端扫描绑定IP地址和终端协议指纹，防止非法终端私接和仿冒，对外网进行入侵。网管域在网管区部署的安全设备有网络准入系统、防病毒系统、网络防泄密系统、网间文件交互系统，态势感知探针等安全设备等，实现对外网整体集中管控等安全管理。安全运维区存在大量集权控制系统，通过在运维管理区部署虚拟安全网关，采用白名单放访问控制策略实现网络层最小化开放原则，降低黑客攻破入侵集权系统风险。互联网出口域在互联网出口部署虚拟防火墙和上网行为管理。虚拟防火墙负责执行外网访问互联网的NAT网络地址转换；上网行为管理负责对用户的带宽占用和行为进行控制，其中，防火墙集成防Ddos、IPS、防病毒功能，能够实现多层次的安全防护。无线网络安全设计无线专网的安全主要从终端的准入控制入手，通过严格的准入和权限控制最大限度确保接入的终端的合法性，并通过无线射频防护、无线空口加密和SSID设计等无线网络特有的安全手段保障无线专网的安全。从安全域的角度看，无线专网可划分为核心交换域、终端接入域，各安全域的安全设计如下。无线专网核心交换域在主数据机房和备数据机房分别部署一台核心交换机和无线控制器，实现关键设备本地异机房的冗余，保障网络的可用性；与内网、外网边界处通过虚拟防火墙互联，集成IPS和防病毒功能，能够实现多层次的安全防护，满足等级保护三级对无线网络的边界防护要求。终端准入控制机制终端类型识别无线平台支持自动检测识别功能，通过收集终端信息自动精确识别终端类型。对市面上主流终端进行精准识别，比如安卓、苹果、Windows等智能移动终端以及笔记本和台式机等，收集到的数据可通过平台进行展示。终端类型准入通过终端类型智能识别，可实现基于终端类型的接入准入，即对安卓、苹果、Windows等智能移动终端以及笔记本和台式机，在接入无线网络时，根据配置的准入策略进行限制或放通，比如在内网区域中只允许医疗PDA或者工作站接入内网无线网络，从源头端提高了医院内网无线的安全性。基于终端类型的管控除了基于终端类型的准入之外，还可以通过识别无线终端的类型来进行无线管控，包括上网访问权限、VLAN划分、流量控制、页面推送和跳转等。网络权限控制无线内网方案，在医护终端接入无线时，通过角色分配来达到用户权限控制。在接入以后，通过认证的终端被分配到一个角色，角色包含了访问控制策略、用户审计策略、流速限制策略、以及流量与时长配额策略。无线控制器以角色的方式分配给每个终端，不同的角色就需要拥有不同的访问控制策略。可以根据终端类型、接入位置、账号信息分配权限，保证医院内网区域的无线终端不能非法访问不能访问的区域，对网络资源进行严格分配，例如不允许终端访问互联网等。无线射频防护所谓钓鱼Wi-Fi，就是黑客或不良分子在公共场所搭建“免费”Wi-Fi，或者搭建与原无线网络相似或相同的无线网络（SSID），诱使无线客户端访问虚假的无线接入点，从而达到截获其账号、密码等信息的目的。医院内网的移动终端承载着大量的个人隐私以及重要的医学信息，因此必须在医院环境的部署具有防钓鱼功能的无线射频防护系统，才能保证数据安全。无线内置无线入侵检测系统（wIDS）、无线入侵预防系统（wIPS），对非法接入点进行检测以及反制，可以对具备某些特性，如特定SSID（与原网络相同或相似）、非法AP的MAC（物理地址）或者非无线控制器所管理的AP发射出的无线信号，进行时时扫描、检测。对检测到的钓鱼Wi-Fi后可对其进行反制，引导无线终端不接入钓鱼Wi-Fi，从而保护无线安全。无线空口加密无线数据在空中传输，承载医院内部重要业务数据，需要高效且可靠的加密机制来避免数据被暴力破解或篡改。支持国际标准的多种数据加密方式，保证了业务数据在传输过程中既安全又可靠。业务身份绑定为防止非法用户窃取合法账户后，使用未经认证的终端接入无线网络，无线控制器将护理终端的账户与终端MAC地址绑定。如果非法用户使用终端与绑定列表中的不一致，将拒绝该用户登录。如果非法用户尝试用黑客手段仿造终端MAC地址，还可以根据终端类型判断是否是合法的终端。另一方面，为防止非法用户窃取合法账户后，使用未经认证的终端接入无线网络，无线控制器还将账户与终端IP地址绑定。如果非法用户使用终端与绑定列表中的不一致，也可以拒绝该用户登录。如果非法用户尝试用黑客手段仿造终端IP地址，还可以根据终端类型判断是否是合法的终端。病区网络终端隔离一般情况下，医院可以根据不同病区不同科室划分不同VLAN，方便管理。而在单病区中，为了减少病毒等攻击的传播，在无线网络部署时，应当启用VLAN内用户隔离功能。一方面，禁止同一VLAN内的用户之间相互通信，可以减少同一个VLAN内无线终端间的广播报文，提高了无线网络性能，同时提高了安全性。另一方面，避免某些感染了病毒的手持终端传播病毒的风险，最大限度地确保医院内网安全，提高效率业务。 SSID设计无线网络的建设是想通过Wi-Fi业务促进院区业务系统的无纸化、移动化，提高企业单位的信息化水平。但同时院区各个无线上网行为存在潜在的安全隐患、以及上网流量波动等特点，很容易导致基于Wi-Fi的业务应用受到干扰。此时，需要启动多SSID，不同的无线上网业务应用隔离开，划分在不同的SSID运行。每个SSID都会在空口上广播自己的管理报文，不宜设置过多的SSID，过多的SSID会降低空口效率。通过将该SSID设置在单独的VLAN可以控制其访问权限，甚至可以设置成固定IP或MAC地址绑定，从源头上保证接入的安全性。同时可以将该SSID设置成隐藏模式，避免该SSID被其他客户端搜索到后受到可能的恶意攻击，充分提高关键业务的保密性和安全性。WLAN网络的广播域是由SSID来决定的，通过SSID和VLAN的映射，使用VLAN间的广播报文隔离业务，尽量降低广播报文对WLAN网络的冲击。VLAN划分可基于终端位置划分，比如基于病区划分，需注意单VLAN内终端数量。内网使用的SSID可以设置在的5GHz频段，这个频点不仅独立的频点多，便于通过带宽捆绑提高数据传输速度，而且该频段相对干扰非常少，可以充分保证业务高速、可靠传输的要求，可以提供更好的5GHz零漫游性能。在外网通过设置另一个SSID，办公人员连接互联网、网上办公使用，并设置接入权限，确保网络接入安全。设置SSID-public，可以对访客等有限开放，并结合管理系统进行实名认证后才可以访问互联网，避免网络滥用。安全设备功能说明边界安全安全设备（系统）根据其部署的位置和作用可分为以下几种：安全域（边界）防护设备、安全运维和审计、终端安全设备、主机服务器安全设备、应用安全设备、数据安全设备以及安全管理中心。安全网关（防火墙）本项目在网络边界，安全域边界部署下一代防火墙作为安全网关，具备防火墙、应用识别、入侵防御、防病毒、URL过滤、数据过滤、文件过滤、流量管理、VPN等功能外，还增加了针对Web攻击、僵木蠕、DDOS、HTTPS加密流量等安全威胁的防护能力，对不同安全域通过不同的访问控制策略进行安全隔离，提升边界安全防护。上网行为管理 本项目在外网互联网出口部署上网行为管理系统，主要实现网页访问过滤、网络应用控制等，目的是提升工作效率、提升带宽利用率，达到保护网络,防止黒客攻击等目的。并提供安全策略、链路负载、身份认证、流量管理、行为管控、上网审计、日志追溯、网监对接、用户行为分析等实用功能。设备部署情况如下：序号项目/设备名称部署说明数量单位备注说明1内网防火墙内网核心层部署2台防火墙，通过虚拟化防火墙方式为内网出口、业务区、运维管理区、接入区等安全域提供安全网关防护，起到访问控制、入侵防御和病毒过滤作用。2台内网，主备机房各1台，跨机房双机部署2外网防火墙在院区外网核心层部署2台防火墙，通过虚拟防火墙方式为外网出口、运维管理区、接入区等安全域提供安全网关防护，起到访问控制、入侵防御和病毒过滤作用。2台外网3上网行为管理系统在院区互联网出口部署一台上网行为审计系统，保障外联的流量能够得到合规审计。2台外网，双机部署安全运维和审计堡垒机（IT运维审计系统）本项目在内网部署堡垒机，通过集中化账号管理、高强度认证加固、细粒度授权控制和多形式审计记录，使内部人员、第三方人员的操作处于可管、可控、可见、可审的状态下，规范运维的操作步骤，避免误操作和非授权操作带来的隐患，有效保障组织机构的服务器、虚拟机、网络设备、安全设备、业务系统等资产的安全运行和数据的安全使用。在运维管理方面，堡垒机以单点登录为核心，运维代理技术为支撑，通过高可用的部署方式，对用户提供跨平台资产管理、自动化运维和运维分析报表等运维管理工具。数据库审计系统数据库安全审计系统主要用于监视并记录对数据库服务器的各类操作行为，通过对网络数据的分析，实时地、智能地解析对数据库服务器的各种操作，并记入审计数据库中以便日后进行查询、分析、过滤，实现对目标数据库系统的用户操作的监控和审计。日志审计分析系统为满足《网络安全法》的要求，本期建设的院区数据业务容灾中心还提供对应用访问日志、安全设备日志、网络设备日志、服务器日志等日志记录，所有日志记录均通过日志审计系统进行集中存储和审计，并且所有日志保存不少于六个月。日志审计分析系统是7*24小时实时采集网络中安全设备、网络设备、服务器资源和应用系统的日志，实时感知全网安全势态；系统支持集中存储和分布式集群存储方式，实现海量日志全生命周期存储管理；通过对日志的采集、分析、存储、备份、查询、实时汇总分析和报表汇总实现对海量日志全生命周期管理；有助于对全网的安全事件进行全方位、多视角、大跨度、细粒度的实时监测、统计分析、查询、调查、追溯、可视化分析展示等。安全日志深度分析及自动预警安全日志深度分析及自动预警通过对接日志审计分析系统，对系统收集的每日200GB日增日志进行场景建模深度分析，从操作系统安全、账户安全、权限变更、应用安全、数据库运行、堡垒机安全等角度为医院定制不少于30个场景的实时监测，可实现以下功能：（1）通过告警平台完成告警事件全生命周期管理：从发生、通知、合并、接手、处理到追溯全流程全面覆盖，保证所有安全事件得到关注、告警及处理当发生安全事件或应用异常时，能够第一时间向管理员自动预警，为应急处置赢得良机。（2）对接医院短信平台、钉钉平台实现自定义安全事件告警的自动化推送。（3）具备日志告警整合去重能力，实现日志告警降噪，快速定位故障原因，降低MTTR。安全运维和审计安全设备部署如下：序号项目/设备名称部署说明数量单位备注说明1堡垒机通过集中化账号管理、高强度认证加固、细粒度授权控制和多形式审计记录，使内部人员、第三方人员的操作处于可管、可控、可见、可审的状态下。1项内网2数据库审计监视并记录对数据库服务器的各类操作行为。--复用本院数据库审计系统3日志审计分析系统实时采集网络中安全设备、网络设备、服务器资源和应用系统的日志，实时感知全网安全势态。200GB内网4安全日志深度分析及自动预警对接日志审计分析系统，定制不少于30个场景的实时监测。30个内网终端安全终端防病毒系统终端防病毒系统也称反病毒软件或防毒软件，是用于消除PC电脑上的病毒、特洛伊木马和恶意软件等计算机威胁的一类软件。通常集成监控识别、病毒扫描和清除、自动升级、主动防御等功能。采用统一的病毒检测查杀策略、漏洞修复等安全操作，并向安全控制中心发送相应的安全数据。具备以下功能：防病毒防间谍软件功能：具有国内网的病毒码监控能力，实现对病毒、木马、蠕虫、间谍软件、灰色软件等恶意程序具备综合的防护能力；IDS/IPS及防火墙功能：对内外网的漏洞利用、蠕虫攻击等恶意行为进行监控及拦截；防病毒系统中央管理集中管理能力：通过单一Web介面主控台集中管理，实现防病毒策略统一管理、防病毒组件统一更新、病毒日志统一管理；设备控制功能：可实现对可移动设备（数据存储设备，游戏设备，I/O设备等）的有效控制；这样就可减少恶意程序感染用户计算机的几率，同时有效避免隐私数据的外泄；行为监控功能：通过监控应用程序行为以及控制文件访问权限、注册表访问权限、允许运行的进程等，防护内部和外部安全漏洞风险；病毒爆发阻止功能：实现病毒爆发阻止策略的实时发布能力（在病毒码还未发布时）；文件信誉技术(FRT)：用户访问某文件前将自动在云端查询该文件的最新安全等级，并阻止用户对低安全等级文件的访问；Web信誉技术(WRT)：对数以百万计的Web站点进行动态评级，确定其安全性，防御基于Web的恶意软件、数据窃取、网站钓鱼、生产力损失和信誉损害；支持多种客户端部署方式：登录脚本安装、浏览器安装（将安装链接放在网站上）、远程安装、扫描安装、光盘安装、通知安装、共享安装、生成安装包安装、通过微软SMS安装、硬盘克隆安装等；APT（高级持续性威胁）防御和治理：APT（高级持续性威胁）已经成为网络安全的主流攻击手段，APT防御和治理将成为等保标准；集中隔离恢复：为避免误报导致用户文件被隔离，可以快速一键还原；集中隔离恢复功能允许在隔离目录中搜索文件并执行SHA1验证检查，确保您要恢复的文件没有以任何方式进行修改，隔离文件恢复简单快捷。桌面管理系统桌面管理系统可实现对医院桌面端应用策略管理、远程桌面维护、网络访问策略、移动存储设备管理、系统补丁统一分发和企业资产管理，具备以下功能：设备自动发现与资产管理：自动发现网络上的所有接入设备；可依据IP/MAC/主机名以及资产的配置对接入设备快速定位；自动发现组织内所有终端计算机的软硬件配置信息及运行状态信息，建立资产基线；支持配置变更自动发现与告警；自动维护软硬件配置变更历史信息。安全主动评估，发现安全隐患：自动发现存在安全隐患的终端计算机，并提示系统管理员和用户要采取的弥补措施；桌面终端网络流量异常评估，及时发现异常流量桌面终端；桌面终端安全配置评估，及时发现安全设置不完善的桌面终端；可疑注册表项、可疑文件检查；灵活配置各种安全隐患条件；多种方式控制/限制存在安全隐患的终端计算机接入内部网络。安全加固，防患于未然：补丁漏洞自动修复，支持桌面终端操作系统补丁、MS应用软件补丁自动更新、自动升级；支持登录口令强度、Guest帐户、屏幕保护检测，加固主机安全性；禁止各种默认共享、禁止修改IP地址、禁止修改注册表；强制安装防病毒软件与更新病毒库；禁止运行非法进程等；内置双向个人防火墙，既可限制外部网络直接访问终端计算机，又可以限制终端计算机去访问一些不允许的网络服务。非法操作监管，让管理规定令行禁止：检查终端计算机是否安装了非法软件；支持对USB硬盘、Modem拨号、无线通讯、红外、蓝牙、同时使用内外网卡等非法操作的监控、审计和禁止使用；支持对网上聊天、BT下载的监控、审计和禁止；支持对HTTP访问、Email、网络文件拷贝等行为进行审计，或禁止；支持离线管理，可以支持终端计算机在离开网络之后策略仍然有效。软件分发：在不对客户端用户造成负担的前提下确保安全和病毒补丁的技术正常发放和安装；支持大规模客户机、大软件的快速分发，支持MultiCast分发、断点续传、多文件服务器等技术；支持自动安装、手动安装，可以支持多种打包工具和打包格式，如：Wise、MSI打包；可以方便灵活地按照网段、部门、IP、操作系统类型等条件选择软件分发目标。远程协助与监控：实时监控客户端画面；可以选择进程控制或者只监视不控制，满足各种场合的需要；可以同时监控多台客户端画面。准入控制系统网络准入管理解决方案是通过定义一个可信域，允许可信域内的计算机互相访问，而禁止非可信域内的计算机与可信域内的计算机进行通讯，从而杜绝任何形式的非法入网，彻底防止非法计算机利用直插网线、仿冒内网合法计算机IP和计算机名、直连网内合法计算机、私接路由这些常见和难以管理的方式违规入网，满足等保关于接入层边界安全保护要求。同时，对于外来合法入网的计算机，如厂家服务人员或各类外协人员携带的计算机，当其接入网络时可同步实施严格的管理，有效限制其访问的网络范围，既可保证外来计算机在限定的网络空间内顺利的完成工作，又可以防止其触及网内高密级区，威胁敏感信息的安全。另外，对所有合法进入网络的计算机在入网前将进行必要的安全检查，确保每台计算机都符合既定的安全规范，防止其成为病毒携带者威胁网络安全和稳定。主要分为三方面：终端合法检查，检查终端入网的合法性，比如：终端是否安装了客户端，终端的IP/MAC是否合法等。终端合规检查，检查终端计算机环境是否符合规范要求，例如：终端是否安装了指定的杀毒软件，终端是否修复了操作系统补丁，不允许上网的终端是否上过网等。终端权限管理，对合法、合规联入的终端进行权限的管理控制，例如：联入内网的终端只能访问指定的服务器，联入内网的终端只能使用与业务相关的应用程序等。智慧屏安全管理系统针对智慧叫号屏、门诊收费大屏等安卓智慧显示屏进行集中安全管控，包括智慧显示屏设备管理、资产管理、移动应用管理、移动数据管理、安全合规管理、外设管理等。具体功能如下：(1)设备管理：管理设备资产、对设备进行远程配置、远程设置安全策略、执行安全合规管理、远程后台操作设备等。(2)搭建统一的应用集市，对智慧屏应用进行应用黑白名单管理、远程设置应用安全策略、对移动应用进行加固、统一标准应用推送等。(3)移动内容管理。远程集中推送数据文档、对文档设置安全策略、防止文档内容外泄、管理文档生命周期等。(4)资产管理：实现智慧屏资产管理，设备配置管理，安装软件管理，版本管理。(5)外设管理：外设的集中权限管理，可根据不同用户限制外设如U盘的随意接入，减少智慧屏受控风险。医疗设备安全管理系统医疗设备安全管理系统聚焦于物联网场景下的医疗设备安全管控问题，支持IT和IoT混合终端，其核心能力包括设备发现和识别、设备安全检测、医疗设备回传内容审计等，防止出现医疗物联网设备的私接和仿冒、异常行为、厂商远程运维等影响诊疗业务正常开展等问题，同时提升医院信息科人员对全院联网设备的安全管控能力，确保一旦出现时间能够快速发现、快速处置，尽可能降低对医院业务的影响。终端安全设备部署如下：序号项目/设备名称部署说明数量单位备注说明1终端防病毒系统搭建防病毒管理中心，可通过总院进行管理。2项内网、外网各部署1套2终端桌面管理系统搭建桌面管理中心，可通过总院进行管理。2项内网、外网各部署1套3网络准入管理系统搭建准入控制管理系统，可通过总院进行管理。3台内网2台（主备）

外网1台4智慧屏安全管理系统针对智慧叫号屏、门诊收费大屏等安卓智慧显示屏进行集中安全管控。1套内网部署5医疗设备安全管理系统解决物联网场景下的医疗设备安全管控问题。1套内网部署主机服务器安全主机安全自适应系统主机安全自适应系统在医院现有的每台Linux服务器及重要Windows服务器部署EDR主机调查取证轻量客户端，实现主机漏洞检查、主机基线检查、主机弱口令检查、主机命令执行跟踪、C&C回连进程定位、入侵轨迹记录、进程调用监控及高危行为阻止、WebShell后门检测查杀。具备以下功能：资产清点：从安全角度自动化构建细粒度资产信息，支持对业务层资产精准识别和动态感知，让保护对象清晰可见。使用Agent-Server架构，提供10余类主机关键资产清点，800余类业务应用自动识别，并拥有良好的扩展能力。风险发现：在资产细粒度清点的基础上，持续、全面透彻地发现潜在风险及安全薄弱点。根据多维度的风险分析和精确到命令行的处理建议，帮助用户及时处理重要风险，限制黑客接触系统、发现漏洞和执行恶意代码，从而大大提高系统的攻击门槛。入侵检测：入侵检测提供多锚点的检测能力，能够实时、准确地感知入侵事件，发现失陷主机，并提供对入侵事件的响应手段。合规基线：由国内信息安全等级保护要求和CIS（CenterforInternetSecurity）组成的基准要求，涵盖多个版本的主流操作系统、Web应用、数据库等。结合这些基线内容，一方面，用户可快速进行企业内部风险自测，发现问题并及时修复，以满足监管部门要求的安全条件；另一方面，企业可自行定义基线标准，作为企业内部管理的安全基准。漏洞扫描系统漏洞扫描系统通过最新的漏洞库规则，定时及突发情况下第一时间开展全网资产漏洞扫描工具，及时发现资产存在的漏洞，为漏洞修复赢得宝贵的时间并可校验漏洞修复是否成功，具备以下功能：全方位系统脆弱性发现：全面发现信息系统存在的安全漏洞、安全配置问题、应用系统安全漏洞，检查系统存在的弱口令，收集系统不必要开放的账号、服务、端口，形成整体安全风险报告；新漏洞快速定位风险：在突发新漏洞公布后，能够快速定位风险资产、风险类型、严重程度，有效支撑用户快速修复漏洞；融入并促进安全管理流程：安全管理不只是技术，更重要的是通过流程制度对安全脆弱性风险进行控制，依据漏洞闭环管理思路，对漏洞进行全生产周期的管理，从漏洞发现、告警、跟踪、修复等进行全过程监控，提供全网风险报告，监督安全管理的执行。主机服务器安全设备部署如下：序号项目/设备名称部署说明数量单位备注说明1主机安全自适应系统每台Linux服务器及Windows服务器部署EDR主机调查取证轻量系统，实现主机入侵轨迹取证、行为采集、威胁溯源。1套内网2漏洞扫描设备满足主机漏洞及时检测要求。--复用本院漏洞扫描系统数据安全数据脱敏系统本次的安全建设中，院区的数据需要上传到区域卫生平台，为保障输出数据的安全性，以及提供给外部使用、测试、研究，基于数据隐私保护的要求，我们需要借助专业的第三数据脱敏工具，实现数据的屏蔽和脱敏，采用专门的脱敏算法对敏感数据进行变形、屏蔽、替换、随机化、加密，将敏感数据转化为虚构数据，隐藏了真正的隐私信息，为数据的安全使用提供了基础保障。同时脱敏后的数据可以保留原有数据的特征和分布，无需改变相应的业务系统逻辑。数据防泄密系统数据防泄密系统可提供数据流出安全监测，防止数据的不合规流出，防止数据的泄漏，具备以下功能：网络数据日常监测：进行日常数据流出监测，系统日常工作中的网络行为、网络数据传输、运维人员和第三方接入人员的数据获取工作情况进行记录，方便监管；事中违规控制：监测工具能够智能识别与网络阻断业务协同工作，在实时数据监测中识别出违规的数据传输，实现违规数据流出数据的阻断，保证敏感的数据安全无泄漏；事后追根溯源：通过事后审计信息可以对发生的安全事件进行追溯，保留一份不能修改不可删除的“证据”。敏感数据识别分类分级系统敏感数据识别分类分级系统主要面向医院数据资产进行自动化发现和识别敏感数据，并提供可视化数据视图进行敏感资产保护及标准的分类分级模板，提供对接能力将敏感数据发现结果导入到业务系统中完成保护闭环，可实现以下功能。(1)数据服务发现：优质的数据服务扫描功能，可智能化发现、扫描并定位企业繁琐且巨量的数据，自动识别数据关系，高效进行静态数据资产安全梳理。(2)敏感数据识别：精准定位敏感数据的分布，支持结构化数据、半结构化数据及文件数据。支持对海量数据资产快速进行自动化分类分级，在业务零打扰的情况下完成对数据资产的自动化标识。(3)智能分析引擎：以多维度的规则匹配和机器学习能力，深度学习企业数据资产业务场景，形成一套贴合实际业务场景的算法模型，使自动化分类分级更高效、精准。(4)分类分级可视化：系统将分类分级结果以多个维度进行可视化呈现，提供了以数据清单维度的分级结果、数据分类维度的分级结果以及数据分级维度的识别结果。应用接口数据传输安全检测系统应用接口数据传输安全检测系统通过网络流量实时监测应用接口数据传输安全，实现应用API接口资产梳理、敏感数据识别、API接口弱点评估、API生命周期监测，支持实时监测1Gbps高配版的应用访问流量，具备数据溯源功能。(1)敏感接口梳理：产品采用自动化接口发现技术，能够将网络流量中大量的URL进行聚合归类，然后提取参数配置，还原接口的技术设计形式；按照接口资源类型展示各类接口。(2)敏感操作记录：多方法识别数据标签：基于自主研发的日志结构化引擎，自动将网络上流动的敏感数据进行记录。自动多种敏感数据识别模式，包括预定义模式，正则表达模式，专家自定义模式。其中自动识别个人信息数据，并支持专家自定义企业特有的敏感数据标签。(3)系统接口弱点发现：产品针对流量中活跃资产进行数据资产弱点检查，对接口资产进行自动打标分类，对不同类型的接口资产进行分类自查。支持多种接口弱点自动识别，包括口令类、认证类、权限类、数据类等安全风险，并自动进行告警。(4)发现数据流动风险：产品提供风险预警和快速风险排查能力，通过各类监控指标，及时发现可疑高风险数据安全事件和违规操作行为。网间文件交互系统网间文件交互系统可以减少医院员工使用U盘在医院内网、外网进行数据交互，避免外部病毒通过移动设备进入内网，保障文件传输过程的安全性，对进入内网的文件进行审核、过滤，保障文件进出内外网的安全性。可以对数据进行隔离交换、审批审计、防泄密、统一文件管控等功能。提升医疗机构内容生产能力高效便捷的同网/异网文件传输能力，方便用户协作贡献及远程办公。提高自助运维能力通过自助备份、自动传输、公共分发、软件仓库等功能，减低运维工作量。弥补内部数据管理缺陷补充院内数据保护方案中的通道管控，增加院内数据安全防护能。降低信息管理成本建立统一的内部数据传输通道，实现整体化管控，并定时分析输出报表。减少威胁通过U盘传入内网风险。通过文件交互系统，内网将全面关闭U盘使用，利用文件交互系统的病毒查杀功能对传输文件进行病毒查杀，将极大减少U盘使用过程中将病毒传入内网的风险。减少内网医疗数据通过U盘传出外网的风险。从内网拷贝文件出外网或互联网，需要通过文件交互系统的安全审计，有效减少敏感数据外泄风险。数据安全设备部署如下：序号项目/设备名称部署说明数量单位备注说明1数据脱敏系统保障对外给出的数据能够进行敏感字段的脱敏，满足电子病历及互联互通要求。1台内网主机房2网间文件交互系统实现内网与互联网之间文件的数据交互，保障数据交互过程的安全性。1台内网与外网间3数据防泄密系统本次在院区服务器区1个网络防泄密节点，保障外联的数据的合规性，防止数据泄密。1台内网4敏感数据识别分类分级系统面向医院数据资产进行自动化发现和识别敏感数据。1套内网5应用接口数据传输安全检测系统实时监测应用接口数据传输安全。1套内网统一安全指挥平台流量汇聚交付设备流量汇聚交付设备支持多路镜像输入和多路镜像输出的任意组合，用于从核心镜像流量复制多不同的安全监控设备，避免核心镜像数量不足导致安全设备无法接入。通过对流量整合、流量去重、多镜像输入、应用级精细化分流，极大缓解核心交换机的镜像压力。设备支持串接、旁路、分光等多种部署方式，可以满足医院不同的流量采集需求。流量汇聚支持按需个人敏感信息自动脱敏功能，满足数据安全要求。可以帮助医院实现基于应用的流量识别和调度，实现应用级精细化分流。态势感知平台及威胁潜伏探针在院区内网及外网分别部署一台态势平台威胁潜伏探针，实现分院内外网潜伏的威胁，态势感知平台可从总院进行管理，态势感知平台具备以下功能。内部攻击可视化医院云数据中心内部横向攻击行为检测：对越过边界防护，或以内部主机为跳板的横向攻击，进行实时检测与告警，包括对内扫描、对内利用漏洞进行病毒传播、对内进行L2-7的攻击行为等。全网业务访问关系可视化业务系统访问关系：通过访问关系学习展示用户、业务系统、互联网之间访问关系，通过颜色区分不同危险等级用户、业务系统，可视化的呈现以识别非法的访问；业务系统应用及流量可视化：业务系统的应用、流量、会话数进行可视化的呈现，并提供流量趋势分析。违规操作可视化违规访问行为检测：结合全网的资产及访问关系可视，将违规访问业务系统的行为进行可视化的呈现，防止进一步可能存在的攻击，并向管理员预警。异常行为可视化业务资产异常行为检测：包括业务资产在非正常时间主动发起的请求、业务主动向外发起非正常请求（如DNS请求）等异常行为预警可能存在的安全威胁；潜在风险的访问路径：将可能失陷的终端对业务系统的访问路径、存在异常流量及行为的终端/服务器的访问路径进行预警，帮助管理员及时响应安全事件并进行安全策略调整。全网安全态势感知整体安全态势：结合攻击趋势、有效攻击、业务资产脆弱性对全网安全态势进行整体评价，以业务系统的视角进行呈现，可有效的把握整体安全态势进行安全决策分析；全网态势感知：展示内网服务器被外网攻击的实时动态图，实现全网安全攻击态势大屏展示；有效的攻击事件：通过旁路镜像的方式可将攻击回包状态进行完整的检测，结合业务系统的漏洞信息，可以识别攻击成功的有效安全事件；失陷业务系统/资产：通过外发异常流量、网页篡改监测、黑链检测等检测技术确定业务系统/资产是否已被攻击，并将资产存在的后门进行检测，并向管理员告知已失陷的安全事件；安全事件关联分析：将下一代防火墙及安全检测探针的安全事件进行关联分析，结合黑客攻击链进行关联分析，并确定更加高级的安全威胁。蜜罐通过在真实网络环境中部署监测节点，监听扫描和攻击行为，将攻击流量重定向至由伪装组件搭建的蜜网环境中，从而实现混淆攻击者目标，延缓攻击进程，记录攻击行为的功能。蜜网环境由高仿真的各类服务型蜜罐组网形成，具备极强的伪装性和较高的交互性。谛听还可通过日志外发接口和API接口，实现和其他防护设备、威胁情报的联动，为反制措施提供精准情报。DNS安全防护系统DNS安全防护系统以透明代理方式向医院提供DNS解析及恶意域名过滤，系统可实现以下功能：（1）有效防护数据窃取、远控连接、重定向流量、使DNS拒绝服务等各种针对DNS的攻击行为；（2）识别及过滤医院网络中的肉鸡、僵尸网络、恶意后门等威胁的网络回联域名请求，定位存在上述威胁的源头终端；（3）僵尸网络的非法访问重定向，阻断黑客对僵尸网络终端的远程控制；（4）支持对所有DNS攻击事件、失陷主机进行回联统计等分析回溯能力；（5）提供智能DNS递归和缓存服务，具备递归调度策略，可按需对解析结果进行优选并应答，促进链路带宽均衡、提高访问速度、改善互联网访问体验；（6）对DNS请求进行智能分析，定位异常DNS访问来源，阻断网络攻击外联；（7）提供DNS使用自动化报表，为业务及带宽扩容提供有效的数据支撑。统一安全运营治理支撑平台统一安全运营治理支撑平台可实现全网IT资产全生命周期、业务系统三同步管控、外联业务风险管控、对外接口安全管控、敏感数据安全管控、安全威胁处置管理、信息系统等保工作管理等治理能力。具体功能项要求如下：(1)资产管理，按照资产管理责任矩阵实现网络、服务器、应用、数据库、中间件、应用接口、医护终端的统一资产管理，形成资产库；(2)资产漏洞管理，主机自适应安全系统实现资产漏洞管理，支持导入外部漏洞检测结果，实现漏洞的整改佐证与跟踪；(3)外联业务风险管理，实现对外应用系统、对外应用接口的入网管理、安全准入、对外接口合规审批管理；(4)对接数据分类分级系统，对照《数安法》、《个保法》要求，实现敏感数据及个人信息数据资产的安全合规评估，每年输出数据安全合规报告；(5)支撑数据治理，支撑医院开展资产分级、分类；按业务系统开展场景分析、敏感数据识别；完善医院数据安全管理办法，明确数据安全责任矩阵；推动医院各数据安全相关工具与平台（数据库审计、数据库运维管控、堡垒机、DLP等）对接，按照数据安全治理的要求和数据安全风险控制点，采集相关数据，在管理平台上设计数据安全的治理分析策略，不断优化分析模型，实现对数据全生命周期的关键风险控制点进行告警；(5)安全威胁处置管理，对接终端防病毒系统，实现高危终端定位、勒索病毒告警、病毒传播渠道分析、全网病毒感染率分析、病毒发展趋势分析；对接态势感知平台，实现全网威胁评价、全网威胁及失陷主机处置跟踪及全网威胁趋势分析；(6)信息系统等保工作管理，对医院所有信息系统纳入管理，跟踪各信息系统定级、整改、测评工作开展情况，有效推进等保工作管理；(7)医院网络安全形势分析，从法规要求、信息化战略、分析外部安全威胁、网络安全技术发展趋势、内部安全脆弱性等方面分析医院面临的安全形势；(8)安全运维治理,协助医院制定渗透测试、漏洞扫描、配置核查、安全巡检、安全加固等安全工作的标准与流程；将相关标准和流程以知识库方式内置在平台上，指导和约束内外部安全、运维工程师按照医院合规库要求，通过平台开展日常安全运维工作。统一安全指挥平台部署如下：序号项目/设备名称部署说明数量单位备注说明1流量汇聚交付设备用于从核心镜像流量复制多不同的安全监控设备。2台内外网各1台2态势感知平台及威胁潜伏探针内网及外网分别部署一台态势平台威胁潜伏探针，实现分院内外网潜伏的威胁。1套平台部署在内网，探针内外网各1台3蜜罐实现混淆攻击者目标，延缓攻击进程，记录攻击行为的功能。1台内网4DNS安全防护系统提供DNS解析及恶意域名过滤。1套内网5统一安全运营治理支撑平台实现全网IT资产全生命周期、业务系统三同步管控、外联业务风险管控、对外接口安全管控、敏感数据安全管控、安全威胁处置管理、信息系统等保工作管理等治理能力。1套内网商用密码应用设备服务器密码机能独立或并行为多个应用实体提供密码运算、密钥管理等功能的设备，支持SM1、SM2、SM3、SM4等国产密码算法。用于给业务系统及机房的门禁、视频监控提供基础的密码服务。时间戳服务器采用精确的时间源、高强度高标准的安全机制、能够为用户提供精确的、可信赖的且不可抵赖的时间戳服务；支持SM2、SM3、SM4等国家标准密码算法，同时支持RSA、SHA1、SHA256、SHA512等国际标准密码算法。具有时间管理、时间戳证书管理、密钥安全存储、设备管理、访问控制、真随机数生成、日志审计和设备自检等功能。可以满足应用系统的签发时间戳、验证时间戳、同步可信时间的要求。具有商用密码产品认证证书。SSLVPN用于构建SSL通道，提供高强度的身份认证、高强度的数据加密传输、完整性验证服务，实现系统通讯数据传输机密性保护，主要用于提供办公人员从外部办公和运维的安全接入。IPSECVPN用于构建IPSec通道，提供高强度的身份认证、高强度的数据加密传输、完整性验证服务，实现系统通讯数据传输机密性保护，主要用于站点到站点的安全访问。智能密码钥匙智能密码钥匙具备密码运算和密钥管理能力；支持用户私钥和数字证书存储；支持数据加解密、数据完整性校验、数字签名、访问控制等功能。支持SM2、SM3、SM4、SM9等国产密码算法。个人证书服务采用国家认可的权威第三方CA机构证书，提供国密证书签发和管理服务，应用于个人用户标识真实身份，配合智能密码钥匙使用。手机密码服务平台手机密码服务平台为移动互联网、移动设备提供密码运算支撑，用于身份认证、电子签名、数据保护等密码服务；身份鉴别：支持基于数字证书的身份鉴别；个人信息保护：提供用户个人敏感信息保护；密钥管理：提供移动端密钥生成、分发、使用、存储、销毁等全生命周期管理；协同签名：提供数据签名服务接口，支持从业务系统发起签名请求，服务器与用户手机端共同完成协同签名操作流程。电子签章服务系统电子签章是以电子形式对加盖图像数据的电子文档进行数字签名，以确保文档来源的真实性以及文档的完整性，防止对文档非授权的篡改，并确保签章行为的不可否认性。密钥管理系统密钥管理系统是生成用户加密密钥对并对其进行管理的系统，它负责密钥在整个生命周期中的安全管理，包括密钥的生成、存储、分发、备份、更新、撤销、归档和恢复等全过程的管理。信息安全保障系统联动机制随着网络安全威胁的不断演化，医院亟需解决的信息安全威胁已由传统安全威胁转为针对性APT攻击等未知威胁。未知威胁针对性强、潜伏时间长，面对这类威胁，依靠单一的技术和产品功能，很难做出有效的威胁发现和阻断措施。为帮助院区应对最新的安全威胁，本次为医院设计的信息安全保障系统，实现有最大限度的联动机制。通过统一威胁发现、威胁特征自动更新、策略统一下发，确保在网络边界、服务器区边界、安全接入区、主机层带来最佳的安全防护。具体联动机制如下表：安全设备部署位置联动设备联动功能态势感知平台院区内网及外网态势