等保合規三甲醫院需要部署哪些網(wǎng)絡(luò )安全設備
等級保護制度落實(shí)不到位 醫院被罰款
今年5月，重慶永川某私立醫院服務(wù)器突然陷入癱瘓，醫院業(yè)務(wù)全面“停擺”，重慶永川公安接警后立即按照“凈網(wǎng)2019”工作要求，啟動(dòng)網(wǎng)絡(luò )安全應急響應預案，詳細了解相關(guān)情況，在市公安局網(wǎng)安總隊指導下，組織網(wǎng)安刑偵民警、勘驗民警、管理民警、技術(shù)支持專(zhuān)家趕赴現場(chǎng)對該案件進(jìn)行調查核實(shí)。經(jīng)過(guò)民警和技術(shù)專(zhuān)家調查核實(shí)，該私立醫院因未按照網(wǎng)絡(luò )安全等級保護制度的要求履行安全保護義務(wù)。醫院HIS、LIS、PACS、EMR等后臺系統業(yè)務(wù)以及微信公眾號后臺、醫院網(wǎng)站等主要系統業(yè)務(wù)全部放置在同一套服務(wù)器中，醫院未安裝邊界防護設備、未安裝日志行為審計設備，未設置數據安全備份策略等其他網(wǎng)絡(luò )安全技術(shù)措施，使醫院業(yè)務(wù)在互聯(lián)網(wǎng)上長(cháng)期處于“裸奔”狀態(tài)。黑客通過(guò)互聯(lián)網(wǎng)攻破醫院系統后植入勒索病毒，導致醫院業(yè)務(wù)全面“停擺”。
針對此案，公安部門(mén)按照公安部“一案雙查”工作要求，對醫院未按照網(wǎng)絡(luò )安全等級保護制度的要求履行安全保護義務(wù)的行為進(jìn)行查處，并按照《中華人民共和國網(wǎng)絡(luò )安全法》第五十九條之規定，對醫院處以罰款一萬(wàn)元，對直接負責的主管人員處以罰款五千元的行政處罰。
為進(jìn)一步做好醫院信息安全保護工作，衛生部曾下發(fā)《衛生行業(yè)信息安全等級保護工作的指導意見(jiàn)》的通知，通知明確了三甲醫院的核心業(yè)務(wù)系統應按照信息安全等級保護第三級進(jìn)行建設和保護。
根據2018年4月國家衛生健康委員會(huì )規劃與信息司、國家衛生健康委員會(huì )統計信息中心所頒布的《全國醫院信息化建設標準（試行）》中的各項條例，各等級的醫院應當部署完善的信息化基礎設備。其中部分是推薦要求，部分為強制要求， 今天我們對三甲醫院所需網(wǎng)絡(luò )安全設備進(jìn)行單獨解析，供大家參考。
一、WEB防火墻
WEB網(wǎng)站訪(fǎng)問(wèn)防護專(zhuān)用安全設備，具備WEB訪(fǎng)問(wèn)控制、WEB網(wǎng)絡(luò )數據分析等基本功能。
具備對SQL注入、跨站、掃描器掃描、信息泄露、文件傳輸攻擊、操作系統命令注入、目錄遍歷、異常發(fā)現、webshell攻擊檢測、盜鏈行為、拒絕服務(wù)攻擊防護、網(wǎng)頁(yè)防篡改、身份認證、日志審計等14項安全功能。
三級乙等醫院WEB防火墻，應具備以上所述的9項功能。
三級甲等醫院WEB防火墻，應具備以上所述的12項功能。
二、數據庫防火墻
①具備數據庫審計、數據庫訪(fǎng)問(wèn)控制、數據庫訪(fǎng)問(wèn)檢測與過(guò)濾、數據庫服務(wù)發(fā)現、脫敏數據發(fā)現、數據庫狀態(tài)和性能監控、數據庫管理員特權管控等功能。
②支持橋接、網(wǎng)關(guān)和混合接入方式，基于安全等級標記的訪(fǎng)問(wèn)控制策略和雙機熱備功能，保障連續服務(wù)能力。
三級乙等醫院應滿(mǎn)足上述①要求
三級甲等醫院應滿(mǎn)足上述①②要求
三、網(wǎng)絡(luò )防火墻
網(wǎng)絡(luò )邊界防護和訪(fǎng)問(wèn)控制的專(zhuān)用設備。
①具備訪(fǎng)問(wèn)控制、入侵防御、病毒防御、應用識別、WEB防護、負載均衡、流量管控、身份認證、數據防泄露等9項功能。
②支持區域訪(fǎng)問(wèn)控制、數據包訪(fǎng)問(wèn)控制（例如基于IP、端口、網(wǎng)絡(luò )協(xié)議訪(fǎng)問(wèn)的數據包）、會(huì )話(huà)訪(fǎng)問(wèn)控制、信息內容過(guò)濾訪(fǎng)問(wèn)控制、應用識別訪(fǎng)問(wèn)控制等5種訪(fǎng)問(wèn)控制類(lèi)型。
三級乙等醫院網(wǎng)絡(luò )防火墻具備以上3項功能、支持3種訪(fǎng)問(wèn)控制類(lèi)型。
三級甲等醫院，同上。
四、網(wǎng)絡(luò )安全審計
記錄網(wǎng)絡(luò )行為并進(jìn)行審計和異常行為發(fā)現的專(zhuān)用安全設備。
①對網(wǎng)絡(luò )系統中的網(wǎng)絡(luò )設備運行狀況、網(wǎng)絡(luò )流量、用戶(hù)行為等進(jìn)行日志記錄。
②審計記錄包括事件的時(shí)間和日期、用戶(hù)、事件類(lèi)型、事件是否成功及其它與審計相關(guān)的信息。
③能夠對記錄數據進(jìn)行分析，生成審計報表。
三級乙等醫院安全審計設備需滿(mǎn)足上述①②③要求
三級甲等醫院，同上。
五、數據庫審計
①具備數據庫操作記錄的查詢(xún)、保護、備份、分析、審計、實(shí)時(shí)監控、風(fēng)險報警和操作過(guò)程回放等功能。
②支持監控中心報警、短信報警、郵件報警、Syslog報警等報警方式。
三級乙等醫院數據庫審計需滿(mǎn)足上述①②要求
三級甲等醫院，同上。
六、運維審計
①具備資源授權、運維監控、運維操作審計、審計報表、違規操作實(shí)時(shí)告警與阻斷、會(huì )話(huà)審計與回放等功能。
②支持基于用戶(hù)、運維協(xié)議、目標主機、運維時(shí)間段（年、月、日、時(shí)間）等授權策略組合。
③支持運維用戶(hù)、運維客戶(hù)端地址、資源地址、協(xié)議、開(kāi)始時(shí)間等實(shí)時(shí)監控信息項。
三級乙等醫院數據庫審計需滿(mǎn)足上述①②③要求
三級甲等醫院，同上。
七、主機安全審計
①支持重要用戶(hù)行為、系統資源的異常使用和重要系統命令的使用等系統內重要事件審計。
②支持記錄事件的日期、時(shí)間、類(lèi)型、主體標識、客體標識和結果等。
三級乙等醫院數據庫審計需滿(mǎn)足上述①②要求
三級甲等醫院，同上。
八、入侵防御設備
①具備深層檢測、內容識別、即時(shí)偵測、主動(dòng)防御、無(wú)線(xiàn)攻擊防御、抗拒絕服務(wù)、日志審計、身份認證等9項功能。
②支持攻擊行為記錄（包括攻擊源IP、攻擊類(lèi)型、攻擊目的、攻擊時(shí)間等）、協(xié)議分析、模式識別、異常流量監視、統計閥值、實(shí)時(shí)阻斷攻擊等6種入侵防御技術(shù)。
③支持流量檢測與清洗（流量型DDoS攻擊防御、應用型DDoS攻擊防御、DoS攻擊防御、非法協(xié)議攻擊防御、常用攻擊工具防御等）、流量牽引和回注等2種抗拒絕服務(wù)技術(shù)。
三級乙等醫院入侵防御設備應具備4項功能、支持3種入侵防御技術(shù)、支持2種抗拒絕服務(wù)技術(shù)。
三級甲等醫院同上。
九、防病毒網(wǎng)關(guān)設備
①具備病毒過(guò)濾、內容過(guò)濾、反垃圾郵件、日志審計、身份認證、高可用等 6 項功能。
②支持流殺毒、文件型殺毒、常用協(xié)議端口病毒掃描、IPv4 和 IPv6 雙協(xié)議棧的病毒過(guò)濾、病毒隔離等 5 種病毒過(guò)濾方法。
三級乙等醫院具備5項功能。支持4種病毒過(guò)濾方法。
三級甲等醫院同上。
①具備上網(wǎng)人員管理、上網(wǎng)瀏覽管理、上網(wǎng)外發(fā)管理、上網(wǎng)應用管理、上網(wǎng)流量管理、上網(wǎng)行為分析、上網(wǎng)隱私保護、風(fēng)險集中告警等 8 項功能。
②支持 IP/MAC 識別方式、用戶(hù)名/密碼認證方式、與已有認證系統的聯(lián)合單點(diǎn)登錄方式等 3 種上網(wǎng)人員身份管理方式。
③支持對主流即時(shí)通訊軟件外發(fā)內容的關(guān)鍵字識別、記錄、阻斷等 3 項操作。
三級乙等醫院具備上網(wǎng)行為管理5項功能、支持2種身份管理方式、外發(fā)內容管理支持2項操作。
三級甲等醫院具備6項功能、支持2種身份管理方式、外發(fā)內容管理支持3項操作。
十一、統一安全管理
對醫院各類(lèi)網(wǎng)絡(luò )安全安全事件的監控、分析和管理的信息系統。
①具備資產(chǎn)管理、資產(chǎn)風(fēng)險管理、網(wǎng)絡(luò )安全事件采集、網(wǎng)絡(luò )安全事件分析、網(wǎng)絡(luò )安全事件分析模型、實(shí)時(shí)安全監測、分析結果可視化、安全運營(yíng)決策和處置服務(wù)等 8 項功能。
②基于數據分析模型，支持表格、指示燈、3D 圖表、雷達圖、拓撲圖、熱度圖等6種可視化結果展示方式。
三級乙等醫院推薦要求
三級甲等醫院具備6項功能、支持4種可視化展示方式。
由于必須部署設備數量較多，及文章篇幅問(wèn)題，對其余網(wǎng)絡(luò )安全設備做以下歸類(lèi)。
必須部署：主機惡意代碼防范、網(wǎng)頁(yè)防篡改、統一身份管理、電子認證服務(wù)、用戶(hù)身份鑒別、個(gè)人隱私保護、網(wǎng)絡(luò )設備身份鑒別、主機身份鑒別、日志審計系統、電子信息鑒別、客戶(hù)端終端認證、虛擬專(zhuān)用網(wǎng)絡(luò )客戶(hù)端管理、桌面終端安全管理、移動(dòng)終端安全管理、移動(dòng)存儲介質(zhì)管理、單向網(wǎng)閘、雙向網(wǎng)閘、虛擬專(zhuān)用網(wǎng)絡(luò )設備、流量控制、安全策略管理、網(wǎng)絡(luò )設備管理
推薦部署：漏洞掃描設備、WEB漏洞掃描設備、網(wǎng)絡(luò )防泄露設備、存儲數據防泄露設備、數據庫加密設備、郵件加密設備、網(wǎng)絡(luò )準入控制設備、網(wǎng)絡(luò )安全入侵防范、主機入侵防范、虛擬化安全防護、文檔安全管理、資產(chǎn)風(fēng)險管理、生物信息鑒別、安U盤(pán)、移動(dòng)存儲介質(zhì)、加密機設備、廣域網(wǎng)加速設備、鏈路負載均衡設備
以上所列出的設備中，功能方面會(huì )出現重復的狀況，例如WEB防火墻中包含網(wǎng)頁(yè)防篡改，則一臺設備就可解決兩種需求，但具體如何實(shí)施，醫院信息安全部門(mén)可咨詢(xún)安徽靈狐科技。
