前言：中文期刊網精心挑選了醫保專網安全管理制度范文供你參考和學習，希望我們的參考范文能激發你的文章創作靈感，歡迎閱讀。
醫保專網安全管理制度范文1
P鍵詞：醫院信息系統；三級等保；信息安全
1 引言
隨著網絡與信息技術的發展，尤其是互聯網的廣泛普及和應用，網絡正深刻影響并改變著人類的生活和工作方式。越來越多的醫院建立了依賴于網絡的業務信息系統，比如HIS、OA、財務系統等等，它們提供了日常辦公所需的業務，便利了工作?；ヂ摼W對社會各行各業產生了巨大深遠的影響，與此同時，信息安全的重要性也在不斷提升。
醫院信息系統是醫院實現辦公電子化、網絡化、無紙化的重要平臺，同時也是開展日常工作的重要平臺。然而，近年來，隨著網絡信息安全的快速發展，安全威脅正在飛速增長，尤其混合威脅的風險，如黑客惡意攻擊、蠕蟲病毒、木馬等，有可能會給醫院的信息網絡和核心系統造成嚴重的破壞。所以，建設一個全面、安全的信息系統已刻不容緩。
2 系統現狀安全分析
醫院信息系統現狀拓撲圖如上圖1所示，從整個網絡拓撲圖可以看出，現階段醫院主要有兩個網絡出口，包括連接醫保專網及連接互聯網，互聯網區域主要提供給外端用戶通過VPN連接接入到內部服務器。在安全防護方面，除了在醫保專網的出口邊界區域部署有防火墻外，其他地方都沒有部署有相應的安全防護措施，主要表現在以下幾點：
1）網絡出口邊界區域缺少相應的入侵防護系統，無法對來自外部的蠕蟲、木馬、病毒、惡意軟件及僵尸網絡進行安全防護；
2）在互聯網邊界區域缺乏相應的防病毒系統，無法對來自互聯網的惡意代碼攻擊、病毒等進行檢測和攔截；
3）在內部網絡中缺乏相應的安全審計系統，無法對內部的網絡行為、服務器訪問操作行為等進行審計和日志記錄；
4）在Web類服務器前端缺少相應的Web安全防護設備，無法對針對Web服務器的SQL注入、跨站腳本（XSS）、跨站偽造攻擊等進行安全防護，同時缺乏相應的網頁防篡改系統；
網絡內部缺乏漏洞掃描設備，無法對內部服務器系統進行漏洞掃描及漏洞管理；
5）在內部網絡缺乏相應的運維審計系統，無法針對內部服務器、數據庫、網絡設備及安全設備進行統一的安全運維；內部重要服務器上沒有安裝防病毒系統，無法對服務器進行安全防護，容易遭受病毒的攻擊。
3 建設思路
3.1 建設方法
信息安全體系框架是實施安全建設的靈魂和核心，它提供了構建和管理信息系統安全性的理論指南、流程、工具和指標。定義了全面風險管理和安全措施部署的設計路線和方針。使信息系統安全建設在標準化和完備的設計依據中進行，使建設過程具體而可控。從而維護信息價值從輸入端至輸出端的可信性和可控性；形成完備的事前監控預警、事中防御控制、事后審查追溯的防護機制。呈現持續改進的安全運行管理閉環。
醫院信息系統的信息安全建設會同時依據國家/行業政策標準的指導，因而需要結合現實的業務特點與管理情況，構建各類別各層面信息系統的差異化、本地化保護能力，并通過制訂運行管理策略，形成面向當前安全措施及關鍵系統的運行配置、未知風險的預警與控制情況。
適度化的安全建設思想能夠將上述的方法論貫穿于信息資產的運行周期中，使各階段、各層面的安全機制相互補足而形成體系，避免了安全建設的重復實施和過度投資。
3.2 方案效果
在等級保護要求中，醫院信息系統安全提出網絡訪問控制、網絡入侵防護、惡意代碼防范（防病毒）、安全審計、漏洞管理、運維審計、安全集中管理等需求。本次信息系統安全建設需要完成以下目標：
1）邊界安全防護
在醫院專網互聯區邊界處部署防火墻，對內部服務器進行基礎安全防護，實現邊界的網絡安全訪問控制，保證服務器的安全。（利舊）
2）惡意代碼防護
在醫院互聯網邊界處部署綠盟NF防病毒系統（NF），對來自外網的病毒文件進行安全攔截，保證內部服務器的安全，實現內部網絡的惡意代碼防護。
3）網絡入侵防護
在醫院服務器前端部署綠盟入侵防護系統（NIPS），對來自外網、專網及內部用戶的木馬、病毒、蠕蟲以及各類網絡攻擊行為等進行攔截，保證內部服務器的安全。
4）Web安全防護
在服務器區如果部署有Web類服務器系統（OA辦公系統等），需要在服務器前段部署Web應用防護系統（WAF），對來自互聯網的針對Web應用的攻擊進行安全防護，如SQL注入、跨站腳本、惡意掃描等攻擊進行阻斷防護，同時，在服務器上部署防篡改軟件系統，對文件進行 安全保護。
5）安全審計系統
在醫院核心交換機處旁路部署安全審計系統（SAS），通過網絡數據的采集、分析、識別，實時動態監測通信內容、網絡行為和網絡流量，發現和捕獲各種敏感信息、違規網絡行為，實時報警響應，全面記錄網絡系統中的各種會話和事件，實現對網絡信息的智能關聯分析、評估及安全事件的準確全程跟蹤定位，做到出現問題時有源可溯。
6）運維安全管理
在運維管理區部署安全運維堡壘主機（SAS-H），對日常所有網絡設備以及服務器等的運維進行詳細的記錄，保障系統運維的安全性。
7）系統安全管理
在醫院運維區處部署漏洞掃描系統，可以利用漏洞掃描系統對網絡中的系統、網絡設備等進行掃描，第一時間主動對網絡中的資產進行細致深入的漏洞檢測、分析，并給出專業、有效的漏洞防護建議，讓攻擊者無機可乘。
在醫院內部服務器及主機部署防病毒軟件，可以有效地對內部終端和服務器等進行病毒防護，保證系統不會因為受病毒感染而造成系統宕機、數據受損等嚴重事件。
8）集中安全管理
在運維管理區部署安全管理平臺（ESPC），對所有的安全設備進行統一管理，實現整個信息系統安全狀態的在線分析、在線監控、在管理，提高安全管理效率。
3.3 項目效益
安全技術設施足以保障系統的核心區域，關鍵信息安全管理制度初步形成，并借助外力形成一定的安全支撐能力，整體信息系統安全和穩定得到保證。
通過完善安全運維管理支撐體系，保證運維的安全、穩定，使得醫院信息系統自身具有較高的安全運維能力。
信息系統符合三級等保標準關鍵要點的要求，確保信息系統通過等級保護測評（覆蓋等級保護基本80%以上要素，整個信息系統基本符合等級保護要求）。
4 總結
信息安全沒有絕對性，從技術復雜度來說，單一防護模式很容易被突破，只有實施多層防護，才能消除單點隱患。通過建立“一個中心下的三重防護體系”才能增加突破難度，降低安全風險；做到全可達、全可控、全可查。層層防護旨在實現非法破壞“進不來”，即使進來也“拿不走”，即使拿走也“讀不懂”，即使有惡意行為也“跑不了”。
醫院信息系統的安全管理是一個不斷變化的管理過程，隨著時間的推移，管理理念、信息技術以及醫院信息化程度的不斷變化，醫院信息系統安全管理的發展思路也應該要與時俱進的不斷變化，要根據階段性的信息安全目標不斷的對安全管理體系加以校驗和調整，以保證醫院信息安全管理體系始終適應和滿足實際情況的發展需要，只有做到這樣的管理模式，才能夠建設更健康的、合理的、有效地使醫院信息系統更安全。
參考文獻：
[1] 迪普科技助力新疆醫療系統[J]. 數字通信世界，2014（4）.
