医院信息系统安全问题与对策

1、医院信息系统的安全问题及对策医院信息系统存在许多安全问题。本文主要阐述了软件层，尤其是面向互联网的应用和移动应用中存在的问题及对策A.医院信息系统安全问题涉及：1.物理环境中涉及的安全问题：信息中心机房的安全对医院信息系统至关重要，是承载整个信息系统的基本条件，直接影响信息系统能否正常工作。同时，中央机房的工作环境影响设备能否长期正常工作。根据调查，机房环境温度每升高1度，计算机系统的寿命就会缩短一半；机房内湿度低容易产生静电，大量的静电容易损坏电路芯片，湿度高容易腐蚀元器件等。根据信息系统安全等级保护的要求，物理环境安全分为三个方面：设备物理安全、环境物理安全和系统物理安全。其中，设备的物理

2、安全主要包括静电放电、电磁辐射干扰和电源适应性等21项具体要求；物理环境安全主要包括选址、机房防火、机房屏蔽、供电系统和温湿度控制等19项具体要求；系统物理安全主要包括六个具体要求：灾难备份和恢复、防止非法设备访问、防止非法设备外展等等。2.网络中涉及的安全问题在医疗行业，对网络安全的普遍理解是用防火墙和防病毒来保护网络安全，但实际上，网络安全涉及很多内容。随着医院网络整体应用规模的不断扩大，大规模的DOS入侵、黑客攻击、蠕虫、外来人员等因素导致网络安全环境日益恶化。现有的安全技术逐渐暴露出安全防护不足、强度低等问题。网络安全造成的重要数据的丢失和破坏会造成不可挽回的损失，严重影响医院网络的正

3、常运行。从保护要求层面来看，网络安全应从身份认证、独立访问控制、强制访问控制、安全审计、可行路径和不可否认性等11个方面进行构建和保护。3.主机涉及的安全问题主机是医院信息系统的主要硬件设备，其安全性不言而喻。主机安全主要涉及身份认证、访问控制、审计安全、入侵防御、资源控制等。影响主机安全的主要因素来自两个方面：一方面是针对操作系统的后门、木马和病毒攻击、黑客攻击、信息篡改、信息泄露、拒绝服务攻击等；另一方面，它针对审计记录不足、拒绝服务、数据库通信协议泄漏、认证问题等。4.数据涉及的安全问题数据库是医院信息系统中数据存储的核心。从某种意义上说，医疗数据安全是医院信息安全最重要的保护重点，也是

4、整个安全保护最重要的核心。数据涉及广泛的信息覆盖面、大量的数据和各种各样的信息。必须保持一天24小时不间断运行。一旦数据被损坏或丢失，将会给医院造成不可估量的损失。5.应用中涉及的安全问题众所周知，我国的信息安全采用信息安全等级保护制度，该制度根据应用系统的安全等级进行划分。应用系统是等级保护的核心，它们所处的信息技术环境包括主机、数据库、网络传输、物理等。这些因素客观上增加了应用系统的安全风险，这是不可避免的。应用系统基本上包括数据采集、数据处理和汇总分析、人机界面和层间应用编程接口，主观上增加了应用系统本身的安全风险。应用系统本身的安全性包括应用系统架构设计的主要方面以上五个方面都或多或少

5、地影响了移动应用，其中数据和应用的安全方面也是由移动应用反馈的，即医院信息系统的数据安全会受到移动应用不规则的界面设计和不良的安全考虑的影响。这方面主要是医院信息系统web服务与移动应用(如微信、应用等)的接口问题。)不会主动地、直接地影响医院的数据安全，因此对接口的标准限制将有效地控制该应用程序的安全性。两个。医院信息系统安全对策；1.物理保护级别机房属于信息安全等级保护中规定的物理部分，它承载着应用系统所依赖的it硬件环境，因此机房位置的选择非常重要。从等级保护评估的细节来看，要求机房所在的建筑应有抗震、防雨、防风的强度要求。同时，为了避免积水和雷击的危险，机房应避免位于地下或顶层。同时，

6、机房是信息技术资产的重要区域，需要门禁控制和相应的音视频监控，以便相关人员识别、控制和记录进出人员。在物理机房的保护中，还要注意防火、防盗和防破坏。具体措施可根据医院的实际情况进行。具体措施如对服务器的响应：服务器是医院网络的核心设备，其安全运行关系到整个医院信息管理系统的运行。可以采用双机热备磁盘阵列技术，这是一种软硬件结合的高容错应用方案。它由两个服务器系统和一个外部共享磁盘阵列机柜组成。一旦主服务器出现故障，备用服务器将接管系统资源，取代主服务器，并发挥作用，确保网络的不间断运行。就移动应用而言，如果使用前端处理器(数据由业务主机或备份机镜像)，还应确保主机的可靠性，因为一旦主机崩溃，移

7、动应用将无法连接，这将极大地影响医院的业务使用。2.网络保护级别整个信息工作高速公路承载着各种业务。目前，医院的医疗工作基本上是无纸化的，医疗数据的传输依赖于网络系统。只有业务处理能力强、带宽高、冗余度高的网络系统才能满足医疗服务的高峰需求。网络安全访问路径应根据应用需求建立，路由控制应在客户端和核心服务器之间进行。不同的医疗部门应根据工作职能、重要性和信息敏感性划分为不同的网段，不同的网段应根据重要性划分为安全域。根据医疗服务、管理服务等系统，对数据流进行访问控制，并在端口级建立细粒度控制。它应该能够控制和记录网络系统中的流量、设备状态和用户访问行为，并分析记录的数据以生成审计报告。检查未经

8、许可连接到内部网络的未授权设备的行为，确定位置，并有效地阻止它。它应该能够记录攻击源的IP，攻击类型，目的，时间等。当检测到攻击时，发出入侵警报以防止严重的入侵事件。同时，应该在网络边界检测和清除恶意代码，以防止恶意代码进入边界层。这方面的主要应对措施是医院网络边界的入侵防御。例如，应在网络边界监控以下攻击：端口扫描、暴力攻击、特洛伊木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击、网络蠕虫攻击和其他入侵事件。当检测到入侵事件时，记录入侵的源IP、攻击类型、攻击目的和攻击时间，并在发生严重入侵事件时发出警报在移动应用程序中，如果使用前端机器(数据由登录到操作系统和数据库系统的用户应该被

9、识别和认证，具有防伪和伪装功能，并且对于登录失败应该采取诸如结束会话、限制非法登录次数和自动退出的措施。应该为管理用户设置分权，并根据管理用户的角色分配权限，从而实现管理用户的分权。它应该能够审计服务器和重要客户端上的每个操作系统用户和数据库用户，设计防抵赖等功能，杜绝管理人员带来的安全风险，防止对主机的入侵，并记录入侵源的IP地址和攻击时的攻击类型。应该保护主机免受恶意代码的攻击，并且应该从网络恶意代码保护中采用不同的恶意代码库。应监控服务器主机资源的使用情况，包括中央处理器、硬盘、内存和网络。具体的网络病毒防范措施包括：传染性是病毒的基本特征。终端设备一旦感染病毒，就会通过各种渠道感染网络

10、上的其他终端设备，侵占网络资源，破坏文件分配表，删除和破坏磁盘上的文件，造成网络瘫痪，最终导致整个业务系统的失败。因此，必须严格管理，防止病毒从各种途径入侵。在防病毒方面，采取了以下措施：(1)除因业务需要接入外部网络的计算机外，禁止所有计算机接入外部网络，这些计算机由专人集中管理。(2)安装网络防火墙，利用防火墙技术过滤所有进出数据，防止病毒、其他恶意代码和木马通过网关进入医院内部网络。(3)安装网络杀毒软件，实时监控网络系统，防止计算机病毒入侵和破坏网络，确保医院信息系统在无病毒状态下安全运行。及时升级病毒数据库，并将防病毒模式设置为常规防病毒。每天早上(为了避免影响日常的商务活动)，所有

11、安装了金山网络安全软件的电脑都会被杀毒。(4)拆除客户端工作站的光驱和软驱，禁用USB接口。通过建立计算机使用系统，用户不允许随意拆卸机箱和添加任何设备，从而有效防止了病毒的入侵。就移动应用程序而言，应用程序主机(由业务主机或备份机镜像的数据)也应响应反病毒等威胁，如安装网络反病毒软件和防火墙。此外，根据医疗机构信息系统安全等级保护基本要求，管理员应扫描网络和应用系统漏洞，并及时修复发现的网络和系统安全漏洞。应定期安装系统的最新补丁，及时修复制造商提供的可能危害计算机的漏洞，并在安装系统补丁前备份现有的重要文件。4.数据安全级别它应该能够保证数据的完整性、保密性和可用性。在传输和存储过程中，可

12、以检测医疗数据的完整性是否被破坏。重要的业务数据应以小粒度进行备份，同时，异地数据备份和备份介质应存储在异地。网络拓扑设计应采用冗余技术，避免关键节点和数据节点单点失效。同时，对网络设备、通信线路和数据携带的数据处理系统进行硬件冗余，以保证系统的高可用性。医院数据安全必须采取的安全措施主要包括防止SQL注入攻击、挂网站等。当移动应用程序访问医院系统时，应在主机上防止上述两种主要威胁，可在web服务接口功能中添加SQL，并在网站上安装网络防病毒软件5.应用程序安全级别根据医院医疗应用系统的特点，医疗应用系统应具有身份认证，并采用密码技术来保证通信过程中数据的完整性，即应用系统应提供一个分权的用户

13、身份控制模块，即权力和角色的分离，以及一个登录控制模块来识别和认证登录用户，并提供唯一的用户身份和认证信息的复杂度检查等功能。 以便确保在应用系统中没有重复的用户身份，并且认证信息不会被欺骗性地使用。 医院医疗服务的快速发展离不开信息化，信息化改变了医院的医疗模式。医疗系统的信息安全必须按照国家信息系统级保护体系的要求进行保护和建设。医疗信息系统应建立信息安全保护基线，设计整个信息系统的安全指标阈值。医院信息部门应建立完善的整个信息系统的安全设计规划、建设、保护和运行维护体系。信息化带来的信息安全问题是医院信息化过程中不可回避的一个重要方面。根据医疗机构信息系统安全等级保护基本要求的规定，网络

14、设备的身份认证信息应具有不易被冒用的特征，如密码长度、复杂性和定期更新等；它应该具有登录失败处理功能，例如结束会话、限制非法登录的次数，以及在网络登录连接超时时自动退出。3.考虑到移动应用后医院信息系统的安全性：增加了移动应用(微信、应用、微网页等)。)在现有医院信息系统的背景下，移动应用带来的安全问题主要包括：数据库安全操作问题和移动威胁代码传播问题(移动应用不会带来其他安全问题，因为它们的应用不能直接接触医院信息系统层)。1.数据库安全操作问题数据库操作安全数据库的安全不仅要保证数据的正常存储和应用，还要防止对数据库的破解和攻击。首先，在数据库管理中，要清理和规范各类特权数据库用户，建立完善的权限分配管理，如甲骨文的sys和SYS用户。其次，应用数据安全审计的各种软硬件产品，实现对数据库的查询、添加、删除、修改、授权等各种操作线路的动态监控，防止合法用户的误操作和外部攻击。移动应用链接连接到医院信息系统。无论是直接连接还是连接到前端处理器，移动应用的注册用户(或账号)都应该属于数据系统上的低层操作组(如增加、修改、删除预约登记表)，只能查询其他表(如检验测试表)。2.移动威胁代码传播问题在移动应用中，数据或内容是一种推送模式，即移动终端发送指令来浏览远程主机的页面，或者安装的应用终端发送请求。一般来说，不存在威胁代码传播的问题，微信终端