安全資訊

分析等級保護2.0標準的變化，探索等保2.0時(shí)代三級醫院網(wǎng)絡(luò )安全建設的方向，特別是確保新冠肺炎疫情期間醫院網(wǎng)絡(luò )安全。對2019年新標準《網(wǎng)絡(luò )安全等級保護基本要求》進(jìn)行分析，同時(shí)結合三級醫院網(wǎng)絡(luò )安全三級等級保護工作的實(shí)踐，探索2.0標準下醫院網(wǎng)絡(luò )安全體系建設重點(diǎn)和方向。2.0標準適應了時(shí)代的需求，要求更加嚴格，依照新標準對網(wǎng)絡(luò )安全系統進(jìn)行建設，醫院網(wǎng)絡(luò )的安全性大大提高。新標準相較于舊標準有了許多新變化，為三級醫院的網(wǎng)絡(luò )安全建設提供了方向，醫院應依據新標準，持續加強網(wǎng)絡(luò )安全管理的建設。

引言

隨著(zhù)“互聯(lián)網(wǎng)+醫療”快速發(fā)展，醫院網(wǎng)絡(luò )安全的重要性也日益凸顯。近年來(lái)，網(wǎng)絡(luò )安全形式日益嚴峻，醫院的信息系統的安全面臨嚴重威脅的威脅。2018年全國共有247家三級醫院受到勒索病毒攻擊。國家互聯(lián)網(wǎng)應急中心（CNCERT）發(fā)布的報告中指出，2019年全年醫療行業(yè)暴露在互聯(lián)網(wǎng)的相關(guān)系統高達709個(gè)，其中137家醫院存在數據安全風(fēng)險，110家醫院存在主機安全問(wèn)題，90家醫院存在網(wǎng)絡(luò )安全問(wèn)題。2019年全年，醫療機構共發(fā)生500多起較大網(wǎng)絡(luò )安全事故。2020年初新冠肺炎疫情暴發(fā)后，針對醫療機構的網(wǎng)絡(luò )安全事故頻頻發(fā)生。國外黑客集中對國內醫療機構進(jìn)行攻擊，竊取醫療數據、破壞業(yè)務(wù)系統、篡改網(wǎng)站、竊取信息系統，多家醫療機構發(fā)生網(wǎng)絡(luò )病毒感染，系統癱瘓等事故。

2017年，《中華人民共和國網(wǎng)絡(luò )安全法》正式施行，明確規定國家實(shí)行網(wǎng)絡(luò )安全等級保護制度。2019年5月13日，GB/T 22239-2019《網(wǎng)絡(luò )安全等級保護基本要求》正式發(fā)布，12月1日開(kāi)始正式實(shí)施。新標準對2008年的標準進(jìn)行了修訂和擴展，以適應新技術(shù)、新應用、新形勢下等級保護工作的開(kāi)展，標志著(zhù)網(wǎng)絡(luò )安全等級保護工作正式進(jìn)入了2.0時(shí)代。通過(guò)對2.0標準的分析，結合邯鄲市中心醫院網(wǎng)絡(luò )安全等級保護工作的實(shí)踐，探索了醫院網(wǎng)絡(luò )安全體系建設未來(lái)的方向。

等保2.0標準分析

2.0標準采用了“1+4”模式，其中“1”為通用要求，“4”指云計算、移動(dòng)互聯(lián)、物聯(lián)網(wǎng)、工業(yè)控制系統4個(gè)新技術(shù)和國家重點(diǎn)領(lǐng)域的擴展要求。通用要求子類(lèi)仍為10部分，要求項縮減為211項。技術(shù)方面細化了訪(fǎng)問(wèn)控制、入侵防范的控制要求，增加了可信驗證要求、信息保護，特別是個(gè)人信息保護相關(guān)要求；管理方面增加了安全管理中心和集中管控相關(guān)的要求。

新標準下建設的重點(diǎn)與實(shí)踐

2017醫院開(kāi)始實(shí)施等級保護工作，在物理安全、數據安全與備份、主機及應用安全、網(wǎng)絡(luò )與邊界安全，以及安全管理方面持續改進(jìn)，連續三年在1.0的標準下通過(guò)了等保三級評審。新標準在智能化、可視化、可持續化要求上更進(jìn)一步，參照新標準，在原有體系的基礎上醫院未來(lái)網(wǎng)絡(luò )安全建設主要方向如圖1所示。

圖1 等保2.0下醫院網(wǎng)絡(luò )安全體系建設

主動(dòng)防御 主動(dòng)防御技術(shù)充分利用了大數據、云計算和智能化等新技術(shù)，在入侵對網(wǎng)絡(luò )系統產(chǎn)生影響之前，通過(guò)數據捕獲和數據分析技術(shù)，在信息系統中建立入侵自動(dòng)檢測報警機制，由事前防御、事中響應、事后審計的主動(dòng)動(dòng)態(tài)保障體系轉變。圖2為醫院正在建設的主動(dòng)防御平臺。

圖2 主動(dòng)防御平臺

主動(dòng)防御平臺的核心是態(tài)勢感知，平臺利用大數據技術(shù)和機器學(xué)習技術(shù)，針對性分析醫院內網(wǎng)環(huán)境，對網(wǎng)絡(luò )空間中的安全要素進(jìn)行采集、分析、顯示以及預測，結合靜態(tài)環(huán)境與動(dòng)態(tài)行為，識別傳統安全防護策略難以應對安全威脅，及時(shí)通過(guò)告警平臺通知管理人員。通過(guò)互聯(lián)網(wǎng)與第三方數據中心相連，及時(shí)更新安全情報。同時(shí)防御平臺在本地集成一個(gè)虛擬沙箱系統，對內網(wǎng)中可疑的操作和文件傳送到沙箱，在沙箱中模擬運行，從而驗證其安全性；在云安全中心中集成云沙箱系統，與本地沙箱協(xié)同工作，運用智能化、大數據技術(shù)分析威脅情報，識別各種入侵威脅。 

醫院的主動(dòng)防御平臺的建設主要兩個(gè)方面，一是不僅僅提供監控與預測功能，還要實(shí)現與防火墻、網(wǎng)閘等安全設備的聯(lián)動(dòng)，提高反應能力，及時(shí)調整安全策略；二是要實(shí)現動(dòng)態(tài)防御，結合醫院信息集成系統的虛擬化建設，通過(guò)在系統底層集成安全模塊，實(shí)現代碼的動(dòng)態(tài)變幻，從而隱匿攻擊入口，直接在來(lái)源端阻斷自動(dòng)化攻擊工具。

集中管控 集中管控是等級保護新標準針對近年來(lái)IT管理平臺的統一化趨勢提出的全新要求，統一的管理平臺在新標準下成為必備建設項目。集中管控平臺要求在制度上建立安全管理中心，在技術(shù)上劃分特定的安全管理區域，對分散在網(wǎng)絡(luò )各處的各類(lèi)網(wǎng)絡(luò )設備進(jìn)行運行狀況集中監測和控制，包括對鏈路、設備和服務(wù)器、終端運行狀況進(jìn)行監控和告警；設備上的操作審計；策略、惡意代碼、補丁升級集中管理。

圖3為目前醫院正在建設的集中管理平臺，集中管控的要求包括兩個(gè)層面，第一層面是每一個(gè)管理項目能做到獨立的集中管控。進(jìn)一步層面是將所有的管理集成到一個(gè)大的管理平臺中，如圖將所有管理接口統一匯總到一個(gè)物理局域網(wǎng)或Vlan內，HIS、EMR等核心業(yè)務(wù)也獨立到一個(gè)安全域內，并通過(guò)安全隔離設備與業(yè)務(wù)系統進(jìn)行隔離。

圖3  集中管控平臺

堡壘機 主要是針對服務(wù)器設備，功能主要有兩個(gè)方面，集中運維管理和安全審計。堡壘機的核心是基于身份識別，在邏輯上實(shí)現了目標設備操作與用戶(hù)的分離，簡(jiǎn)化了賬戶(hù)管理，通過(guò)集中管控安全策略實(shí)現賬號管理、授權管理。同時(shí)堡壘機可以實(shí)現包括SSH、RDP等加密通訊在內的審計，通過(guò)審計日志和完整的操作視頻回放可以重現整個(gè)操作過(guò)程，用于事后恢復和定責。

數據庫審計 主要是針對數據庫，實(shí)時(shí)記錄數據庫活動(dòng)，對數據庫的操作進(jìn)行審計，對數據庫的訪(fǎng)問(wèn)行為進(jìn)行記錄、分析和匯報，當數據庫發(fā)生風(fēng)險行為時(shí)能夠進(jìn)行告警，然后做出合規性的策略，對攻擊行為進(jìn)行阻斷，在事后生成相應報告、實(shí)現事故追根溯源。數據庫不僅僅能有效發(fā)現外部威脅，同時(shí)能實(shí)現對內部行為的審計和監控，對于來(lái)自局域網(wǎng)內部的威脅也能做出有效的防范。

日志審計 主要用于網(wǎng)絡(luò )中各類(lèi)設備的日志進(jìn)行采集、存儲和備份。根據等保2.0的要求日志留存至少6個(gè)月，隨著(zhù)醫院業(yè)務(wù)規模不斷擴大，原來(lái)的分散式日志管理模式無(wú)法滿(mǎn)足日志審計的需求，同時(shí)集中的日志審計系統也可以實(shí)現單系統層面之上日志的統計、分析和告警，與主動(dòng)防御系統結合，為網(wǎng)絡(luò )提供更及時(shí)的保障。

桌面準入及管理系統 是針對醫院業(yè)務(wù)科室終端設計的集中管理平臺。醫院的終端管理歷來(lái)是個(gè)難點(diǎn)和弱項，一方面由于終端數量多、型號復雜，而且存在大量老舊設備，醫院有大量超過(guò)10年的電腦仍在使用當中，另一方面由于臨床業(yè)務(wù)科室人員計算機知識與網(wǎng)絡(luò )安全意識相對薄弱。到2019年底，系統已覆蓋了全院內網(wǎng)2 000多臺終端設備，實(shí)現了內網(wǎng)準入、遠程控制、軟件下發(fā)、補丁升級、注冊表管理以及端口級別的策略管理等功能，管理員在管理平臺上可以檢測終端的狀態(tài)，對終端進(jìn)行單個(gè)、分組或者分區域管理。

網(wǎng)絡(luò )指揮官（SNC） 專(zhuān)門(mén)用于管理網(wǎng)絡(luò )中的交換機，主要功能包括網(wǎng)絡(luò )信息查看，自動(dòng)對全網(wǎng)拓撲進(jìn)行發(fā)現，通過(guò)網(wǎng)路拓撲圖展現網(wǎng)絡(luò )設備狀態(tài)，一旦出現故障能夠及時(shí)定位；設備狀態(tài)監控，包括故障信息、性能信息、鏈路狀態(tài)等；設備配置變更監視與設備配置管理，主動(dòng)收集網(wǎng)絡(luò )狀況并及時(shí)備份，做到狀態(tài)變更的及時(shí)響應，出現故障可及時(shí)恢復。

可信驗證 可信驗證是新標準中新增加的要求項，而且在安全通信網(wǎng)絡(luò )、安全區域邊界和安全計算環(huán)境中三個(gè)要求子類(lèi)中都增加了可信驗證的要求，分別對應了網(wǎng)絡(luò )可信、接入可信、計算環(huán)境可信三個(gè)領(lǐng)域，可見(jiàn)可信驗證在未來(lái)網(wǎng)絡(luò )安全重要性?？尚膨炞C的基本要求是“基于可信根對計算設備的系統引導程序、系統程序、重要配置參數和應用程序等進(jìn)行可信驗證，并在應用程序的關(guān)鍵執行環(huán)節進(jìn)行動(dòng)態(tài)可信驗證，一旦檢測到可信性受到破壞就進(jìn)行報警，并將驗證結果形成審計記錄送至安全管理中心”。

可信驗證的主要目標就是保證系統和應用的完整性，使用可信驗證能夠減少由于使用未知或被篡改的系統或者軟件而遭到攻擊的可能性。動(dòng)態(tài)可信驗證要求實(shí)現預警和操作的聯(lián)動(dòng)，當可信驗證失敗時(shí)，可以向安全管理中心報警和驗證數據，其他安全模塊能夠及時(shí)對被監測的對象采取措施，阻斷攻擊達到保護的目的。為了達到主動(dòng)免疫的效果，可信應完成5個(gè)方面的驗證，包括體系結構可信、操作行為可信、數據存儲可信、策略管理可信、資源配置可信。

個(gè)人信息保護 在當前個(gè)人信息被廣泛采集，個(gè)人信息安全事件越來(lái)越多的情況下，個(gè)人信息保護的重要性日益凸顯，2017年網(wǎng)絡(luò )安全法中關(guān)于個(gè)人信息安全有明確規定，2019年4月公安部頒布《互聯(lián)網(wǎng)個(gè)人信息安全保護指南》，等保2.0標準中個(gè)人信息保護作為獨立的要求項出現。醫院作為持有個(gè)人信息集中的單位，特別是互聯(lián)網(wǎng)醫院的大趨勢下移動(dòng)支付、手機掛號、手機報告查詢(xún)、運程診療等應用越來(lái)越廣泛，個(gè)人信息的防護應當更加重視。對于個(gè)人數據醫院應盡量只采集和業(yè)務(wù)相關(guān)必須的用戶(hù)個(gè)人信息，對于必須要采集個(gè)人敏感信息，要通過(guò)安全技術(shù)，如數據庫防火墻技術(shù)、數據脫敏技術(shù)、數據泄露防護技術(shù)，實(shí)現安全管控。同時(shí)在制度上做好個(gè)人信息保護相關(guān)的規定，醫院采用CA認證系統，用戶(hù)只能通過(guò)加密硬件配合用戶(hù)名密碼才能登陸使用HIS、EMR等相關(guān)應用軟件，嚴禁外借。

結果與討論

采用重點(diǎn)保護要求項一票否決制，其他要求項加權評分的方式。評分公式如下，p為每個(gè)要求項的評分，q為每個(gè)小項的最高分（q=5），W為每個(gè)小項的權值。每個(gè)小項測評結果由評審專(zhuān)家根據符合的情況給出相應分數。最終加權獲得總分然后轉換為百分制得到最終評分P。

圖4顯示在動(dòng)態(tài)化管理改進(jìn)之下，醫院的網(wǎng)絡(luò )安全工作進(jìn)步明顯。2019年醫院采用等保1.0標準完成年度復審，分數達到78.5分。同年12月份，醫院采用2.0標準再次對醫院信息系統進(jìn)行評測，得分只有56.4分左右，經(jīng)過(guò)針對性整改，2020年評測得分為69.2，這說(shuō)明新標準要求更加嚴格全面，醫院網(wǎng)絡(luò )安全與新標準要求還存在距。

圖4 等級保護測評分數

信息安全不是絕對化的，醫院的信息安全工作也不是靜態(tài)化，而是一項動(dòng)態(tài)的持續性工作。等保進(jìn)入2.0時(shí)代，新標準對醫院的信息網(wǎng)絡(luò )安全工作提出更高要求的同時(shí)，也指明了方向，特別是在主動(dòng)防御、集中管控、可信驗證等新興技術(shù)和管理模式方面還大有可為。醫院要結合自身的特點(diǎn)和網(wǎng)絡(luò )安全的需求的變化，引進(jìn)新技術(shù)，提出新的解決方案，因地制宜，不斷改進(jìn)安全技術(shù)和完善管理制度，使醫院的信息安全體系更加有效和健全。