网络信息安全需求分析.doc

网络信息安全需求分析

随着医院信息化建设步伐的不断加快,信息网络技术在医疗行业的应用日趋广泛,这些先进的技术给医院的管理带来了前所未有的便利,也提升了医院的管理质量和服务水平,同时医疗业务对行业信息和数据的依赖程度也越来越高,也带来了不可忽视的网络系统安全问题,本文主要从网络系统的硬件、软件及对应用系统中数据的保护,不受破坏、更改、泄露,系统连续可靠、正常地运行,网络服务不中断等方面探讨医院网络信息安全的需求。

医疗业务对行业信息和数据的依赖程度越来越高,带来了不可忽视的网络系统安全问题,现分析如下:

一、网络安全建设内容

在医院信息网络建设中,网络安全体系是确保其安全可靠运行的重要支柱,能否有效地保护信息资源,保护信息化健康、有序、可持续地发展,是关系到医院计算机网络建设成败的关键。
①保障网络信息安全,要防止来自外部的恶意攻击和内部的恶意破坏。
②运用网络的安全策略,实行统一的身份认证和基于角色的访问控制。
③医院计算机网络提供统一的证书管理、证书查询验证服务及网络环境的安全。
④建立和完善统一的授权服务体系,实现灵活有效的授权管理,解决复杂的权限访问控制问题。
⑤通过日志系统对用户的操作进行记录。

二、网络安全体系建设

网络安全体系建设应从多个层次完整地、全方位地对医院的信息网络及应用情况进行分析,所制定的安全机制基本包括了对各种安全隐患的考虑,从而保护关键业务系统的正常运行,控制内网用户接入,避免患者电子信息以及医院重要数据的泄密。如图1。

2.1 物理设备安全需求

即使应用了功能最强大的安全软件,如果没有注意物理安全,会大大地破坏系统安全的整体性,攻击者会通过物理接触系统来达到破坏的目的,因此,物理安全是安全策略中最为关键的一步。
①设备和操作系统都提供了通过物理接触绕过现有密码的功能。
②机房内各服务器和网络设备均放置在上锁的机柜中,钥匙专人负责保管,同时要在中心机房安装视频监视设备进行监控。
③网络整体要部署防雷系统,机房要有防静电地板,配线间注意散热且定期进行除尘工作
④主要网络设备可以采用双路供电或者安装UPS。

2.2 口令安全需求

网络设备口令一律不采用缺省值,长度至少是8 位,采用字母和数字的组合且其中至少包含两个特殊字符。医院信息系统如HIS、LIS、PACS、CIS对于医院一般用户的帐号,要求密码应包含字母、特殊字符和数字。对于重要部门或者岗位操作人员的系统密码要提醒其定期检查和更改。网络设备的SNMP 通信字串和口令具有同样的重要性,也应该遵循和口令要求相同的原则,建议采用SNMP探测功能进行弱SNMP 通信字串的检测。

2.3传输安全需求

医院网络基础建设中采用的VPN技术可以从最底层确保安全[4],既可防止其他网络的用户未经授权使用医院信息网络的信息资源,也可防止本网络的用户进入其他的网络。为了保证医院关键业务应用24小时不间断地运行,部分重要科室应设计为冗余的网络链路。如图1示:门诊收费处、住院收费处等关键科室汇聚层交换机互为冗余,从而最大限度地避免了单点传输故障造成的业务系统崩溃。

2.4网络通信安全需求

2.4.1防火墙应用

医院计算机网络需要与Internet外网进行互联,这种互联方式面临多种安全威胁,会受到外界的探测与攻击。防火墙对流经它的网络通信进行扫描[5],这样能够过滤掉一些来自Internet的攻击,如拒绝服务攻击(DoS)阻止ActiveX、Java、Cookies、Javas cript侵入。通过防火墙的病毒扫描和内容过滤功能可以避免恶意脚本在目标计算机上被执行。防火墙还可以关闭不使用的端口,而且它还能禁止特定端口的流出通信,封锁特洛伊木马,禁止来自特殊站点的访问,从而防止来自不明入侵者的所有通信。

2.4.2 IDS系统应用

IDS(入侵检测系统)针对医院网络中的各种病毒和攻击,进行有效的检测,依照一定的安全策略,对网络、系统的运行状况进行监视,从而提供入侵实时警告。通过IDS与防火墙的联动,可以更有效地阻断所发生的攻击事件,同时也可以加强网络的安全管理,保证主机资源不受来自内外部网络的安全威胁。

2.4.3 VLAN划分管理

在一个交换网络中,VLAN提供了网段和机构的弹性组合机制。利用虚拟网络技术,可以大大减轻医院网络管理和维护工作的负担,也有效地从物理层避免了广播风暴,防止网络病毒的蔓延。

2.5网络防病毒体系

在医院计算机网络中,由于设计的范围比较广,部门又多,通信比较频繁,很容易导致病毒的泛滥,对系统文件、数据库等造成不可预测的破坏。面对日益复杂的网络环境,网络防病毒应不只是一个单纯的系统,而应是一个联动互相配合的体系,包括如下几个方面的内容。

2.5.1 网络防病毒中心

一旦病毒入侵系统或者从系统向其他资源感染,网络防病毒软件会立刻检测到并加以删除。此外,网络防病毒软件还能够防止病毒对网络操作系统本身的攻击,如某些针对Windows 系统、Unix系统的病毒。医院计算机网络建立网络防病毒系统时应考虑集中管理和自动下载、更新以及分发病毒库等。

2.5.2 网络分析中心

通过部署专业的网络分析软件能够在各种网络环境中,对网络中所有传输的数据进行检测、分析、诊断,形成拓扑帮助用户排除网络事故,规避安全风险,提高网络性能,增大网络可用性价值。医院不用再担心网络事故难以解决,网络分析系统可以把网络故障和安全风险会降到最低,找到网络瓶颈逐步提升网络性能。

2.5.3 SUS服务中心

Software Update Services(SUS)可以帮助基于Microsoft用户快速部署最新的重要更新和安全更新。通过使用计划发布的SUS,管理员可以完全控制管理通过Windows Update发布给网络中计算机的更新分发,从而统一更新全网主机的补丁和修复安全漏洞。

2.5.4 桌面管理中心

通过部署集中的局域网桌面管理软件,保护终端操作系统的安全,对局域网进行有效监控管理就显得非常必要,也可大大降低维护工作量。桌面管理软件的功能如下:
①控制网络主机的USB、光驱、软驱等常见的硬件接口,能够阻断病毒传播途经。
②控制用户主机使用或者安装非法软件,能够远程检测终端主机的界面,方便管理。
③对不良网站进行严格限制,禁止终端主机访问,禁止BT以及P2P软件占用网络带宽。

2.6存储以及数据安全

医疗业务系统24小时不间断运行需要对存储以及数据进行有效的保护,目前,多数医院已经部署了基于Fibre Channel(FC)技术的SAN(storage area network)存储系统,集中管理与整合储存设备资源。SAN解决方案中,你可以得到一个完全冗余的存储网络,SAN具有不同寻常的扩展性,通过数据权限管理、数据复制、备份、容灾等技术确保存储数据的安全。

三、安全管理

安全体系的建立和维护需要有良好的管理制度和很高的安全意识来保障。安全意识可以通过安全常识培训来提高,行为的约束只能通过严格的管理体制,并利用法律手段来实现。因些必须在管理部门系统内根据自身的应用与安全需求,制定安全管理制度并严格执行,通过安全知识及法律常识的培训,加强整体员工的自身安全意识及防范外部入侵的安全技术。对于计算机网络的安全管理,要从管理和技术两个方面入手,管理和技术合二为一,才能达到网络安全目的。
物业安保培训方案
为规范保安工作，使保安工作系统化/规范化,最终使保安具备满足工作需要的知识和技能，特制定本教学教材大纲。
一、课程设置及内容全部课程分为专业理论知识和技能训练两大科目。
其中专业理论知识内容包括：保安理论知识、消防业务知识、职业道德、法律常识、保安礼仪、救护知识。作技能训练内容包括：岗位操作指引、勤务技能、消防技能、军事技能。
二．培训的及要求培训目的
1）保安人员培训应以保安理论知识、消防知识、法律常识教学为主，在教学过程中，应要求学员全面熟知保安理论知识及消防专业知识，在工作中的操作与运用，并基本掌握现场保护及处理知识2）职业道德课程的教学应根据不同的岗位元而予以不同的内容，使保安在各自不同的工作岗位上都能养成具有本职业特点的良好职业道德和行为规范）法律常识教学是理论课的主要内容之一，要求所有保安都应熟知国家有关法律、法规，成为懂法、知法、守法的公民，运用法律这一有力武器与违法犯罪分子作斗争。工作入口门卫守护，定点守卫及区域巡逻为主要内容，在日常管理和发生突发事件时能够运用所学的技能保护公司财产以及自身安全。
2、培训要求
1）保安理论培训
通过培训使保安熟知保安工作性质、地位、任务、及工作职责权限，同时全面掌握保安专业知识以及在具体工作中应注意的事项及一般情况处置的原则和方法。
2）消防知识及消防器材的使用
通过培训使保安熟知掌握消防工作的方针任务和意义，熟知各种防火的措施和消防器材设施的操作及使用方法，做到防患于未燃，保护公司财产和员工生命财产的安全。
3) 法律常识及职业道德教育
通过法律常识及职业道德教育，使保安树立法律意识和良好的职业道德观念，能够运用法律知识正确处理工作中发生的各种问题；增强保安人员爱岗敬业、无私奉献更好的为公司服务的精神。
4) 工作技能培训

其中专业理论知识内容包括：保安理论知识、消防业务知识、职业道德、法律常识、保安礼仪、救护知识。作技能训练内容包括：岗位操作指引、勤务技能、消防技能、军事技能。
二．培训的及要求培训目的
安全生产目标责任书
为了进一步落实安全生产责任制，做到“责、权、利”相结合，根据我公司2015年度安全生产目标的内容，现与财务部签订如下安全生产目标：
一、目标值：
1、全年人身死亡事故为零，重伤事故为零，轻伤人数为零。
2、现金安全保管，不发生盗窃事故。
3、每月足额提取安全生产费用，保障安全生产投入资金的到位。
4、安全培训合格率为100%。
二、本单位安全工作上必须做到以下内容：
1、对本单位的安全生产负直接领导责任，必须模范遵守公司的各项安全管理制度，不发布与公司安全管理制度相抵触的指令，严格履行本人的安全职责，确保安全责任制在本单位全面落实，并全力支持安全工作。
2、保证公司各项安全管理制度和管理办法在本单位内全面实施，并自觉接受公司安全部门的监督和管理。
3、在确保安全的前提下组织生产，始终把安全工作放在首位，当“安全与交货期、质量”发生矛盾时，坚持安全第一的原则。
4、参加生产碰头会时，首先汇报本单位的安全生产情况和安全问题落实情况；在安排本单位生产任务时，必须安排安全工作内容，并写入记录。
5、在公司及政府的安全检查中杜绝各类违章现象。
6、组织本部门积极参加安全检查，做到有检查、有整改，记录全。
7、以身作则，不违章指挥、不违章操作。对发现的各类违章现象负有查禁的责任，同时要予以查处。
8、虚心接受员工提出的问题，杜绝不接受或盲目指挥；
9、发生事故，应立即报告主管领导，按照“四不放过”的原则召开事故分析会，提出整改措施和对责任者的处理意见，并填写事故登记表，严禁隐瞒不报或降低对责任者的处罚标准。
10、必须按规定对单位员工进行培训和新员工上岗教育；
11、严格执行公司安全生产十六项禁令，保证本单位所有人员不违章作业。
三、 安全奖惩：
1、对于全年实现安全目标的按照公司生产现场管理规定和工作说明书进行考核奖励；对于未实现安全目标的按照公司规定进行处罚。
2、每月接受主管领导指派人员对安全生产责任状的落