醫院信息化安全是現在所有醫院面臨的重要課題。為了更好的保證醫院信息安全，2011年底，衛生部先后下達85號通知和1126號通知，要求全國衛生行業各單位全面開展信息安全等級保護工作，于2015年12月30日前完成等保建設整改并通過等級測評。

2007年由公安部下發的43號令拉開了各行業信息安全等保建設的序幕，2008年頒布的國標《GB/T 22239-2008 信息安全技術-信息系統安全等級保護基本要求》是信息系統安全等保的建設標準。衛生部下發的“85號通知”中的等保工作指導意見明確要求全國所有三甲醫院核心業務信息系統的安全保護等級原則上不低于第三級，哪些系統是核心業務信息系統則由各地區自己定義，比如上海最終規定的核心業務信息系統是HIS、LIS和RIS。

圖1醫院網絡現狀

（如圖1所示）醫院的網絡根據承載業務的不同可劃分為內網、外網和設備網，其中：

內網即醫院的醫務生產網，承載所有業務應用系統，包括大家熟知的HIS、PACS、LIS等系統；

外網即與Internet相聯的網絡，承載的業務包括郵件、OA等；

設備網是一張新興的網，承載IP化的智能化弱電系統，包括：公共廣播、門禁、樓控、安防視頻監控等。

各醫院實際網絡建設模式會有不同。傳統的是內外網物理隔離，但仍有相當一部分是內外網物理合一、邏輯隔離。內網實際上也有外部連接，如醫保、公共衛生、新農合、銀行等；但這些連接都是內網與內網通過專線連接，且通過前置機進行數據訪問。

醫院的網絡根據承載介質的不同可分為有線網絡和無線網絡。根據傳統習慣，如果不特別說明，上述的內網、外網和設備網均特指有線網絡。但實際上無線網絡承載的業務也有內外網之分。有的醫院無線網只承載內網業務，如無線查房、無線護理、無線補液等；有的醫院無線網不僅承載內網業務，還會提供與外網相關的業務，如員工外網業務、病房VIP Internet業務等。無線網絡中的內網業務都要訪問HIS、RIS等核心業務信息系統，所以作為有線網絡的有效補充，無線網絡也應是三級安全等保檢查中的一部分。

如前所述，大部分地區規定的核心業務信息系統都是內網業務，即三級安全等保只與醫院的內網業務系統相關，而對于內外網物理隔離的工作場景，與傳統的以防范Internet業務為主的安全解決方案明顯不同。

一、 安全等保的測評對象

GB/T 22239-2008中的三級安全等保標準共290項內容，由技術（136項）和管理（154項）2部分組成；技術要求中分為物理、網絡、主機、應用和數據安全5部分。根據各地的自有特點，以提高系統的安全性為目的，各地的等保測評機構會進行標準的補充。

醫院的信息系統有幾十種，除了明確定級為三級的核心業務信息系統，其它業務系統如何處理？拿上海為例，HIS、LIS和RIS定級為三級信息系統，那么這3個系統之外的如EMR、臨床路徑系統等如何考慮？實際上等保的第一項工作即是給本單位信息系統分類定級，根據系統重要性的不同，進行不同級別的定級。如果某個系統與核心業務系統同樣重要，可另外定為三級；其它系統可以定為二級。定為二級的系統按照二級安全等保標準進行建設和測評。

對于二級或三級的業務信息系統，其安全運行所需要的機房、鏈路、網絡、服務器、存儲、操作系統、應用軟件等都是測評對象。

二、 安全等保網絡安全解讀

作為安全等保的重要組成部分，網絡安全因其分散、覆蓋面廣的特點，是等保評測的重點，也是醫院信息安全的難點。在等保三級標準內容中，網絡安全共分為7部分，共33條：

l 結構安全——7條要求，對整體網絡架構、帶寬和設備性能提出了管理要求；

l 網絡訪問控制——8條要求，對網絡邊界控制防范、邊界連接的控制提出了管理要求；

l 安全審計—— 4條要求，對包括設備、事件和用戶等目標的日志系統提出管理要求；

l 邊界完整性檢查——2條要求，對接入規范和防內網外聯提出了管理要求；

l 入侵防范——2條要求，對網絡邊界應用級攻擊的檢測防范提出了管理要求；

l 惡意代碼防范——2條要求，對網絡邊界惡意代碼防范和代碼庫的升級提出的管理要求；

l 網絡設備防護 ——8條要求，對設備管理的安全性提出了管理要求。

經過分析，等保網絡安全部分的管理要求在很大程度上與邊界設備和終端系統直接相關，邊界設備的安全和管理功能，終端系統的功能和用戶管理功能，可以直接覆蓋絕大部分網絡安全的管理要求條款。

三、 H3C三級安全等保解決方案

H3C 提供的包括網絡設備、網絡安全融合方案，基于iMC的終端管理等業務軟件全面覆蓋了等保網絡安全7大項，33小項的絕大部分（如圖2所示）。

圖2 H3C醫院三級等保網絡安全解決方案

1. 網絡訪問控制管理

一般規模的醫院網絡都采用二層結構，即全院網關終結在核心交換機；同時醫院的數據流量絕大部分都是縱向流量（即終端訪問服務器的流量），橫向流量（終端之間的訪問流量）基本沒有。在這樣的流量模型下，盡管內網與公網隔離，但還有如下內容要進行安全保護。

l 服務器區域：要防范的是“家賊”，即內部數據泄露或病毒DDoS攻擊。

l 與無線網絡的連接鏈路：無線網絡的開放性使其通常被認為是不安全的。

l 與外聯單位的連接鏈路：外聯單位屬于網絡邊界。

安全插卡的優勢體現在兩點：

傳統醫院服務器大都直接連在核心交換機上，在進行服務器的防范時，如果采用外接安全設備，不得不把安全設備串接在服務器和核心交換機之間或者進行流量重定向，即需要對原來的網絡結構進行改造；

（如圖2所示）所有的硬件安全產品（FW、IPS和流量探針）都采用插卡形式，通過其虛擬化功能，即1塊插在交換機中的安全插卡可以虛擬化成多個同功能的安全產品，可以進行上述不同線路上的安全防范。

H3C安全插卡解決方案可以滿足三級等保網絡安全技術條款中的11條（網絡訪問控制、入侵防范和惡意代碼防范）。

2. 審計報表規范

醫院業務關系到民生，而且是7*24小時提供服務，因此醫院的網絡建設首先要考慮可靠性，因此選擇的網絡產品通常會高于業務流量的實際需求，引發的問題是大部分醫院并不知道自己實際的流量模型，即各個服務器、各種業務的訪問高峰、整個網絡流量分布圖等。

H3C的NTA+iAR+UBA方案可以實現對網絡系統中的網絡設備運行狀況、網絡流量、用戶行為等進行日志記錄，通過交換機上的Netstream卡配合iMC的NTA、iAR和UBA組件，完美的實現了醫院網絡流量和用戶行為數據的統計、分析和報表輸出。

H3C審計報表規范解決方案可以滿足三級等保網絡安全技術條款中的3條（安全審計部分）。

3. 網絡邊界完整性檢查

目前醫院的網絡分布，在很多地方是既有內網口又有外網口。醫務人員對工作地點的網絡結構熟悉后，會出現自行把醫用終端從內網移到外網，違規訪問外網后再接回內網的情況。目前針對此問題，醫院想到的方法通常是MAC地址和端口綁定，但引發的問題是維護工作量巨大，使得很多醫院對此解決方案望而卻步。同時，隨著各種醫務自助機應用的普及，內網接入點也延伸到公共區域，給醫院內網新增了不安全性。三級等保安全標準7.1.2.4節中對邊界完整性檢查有2條明確要求：

 應能夠對非授權設備私自聯到網絡的行為進行檢查，并準確定出位置，對其進行有效阻斷；

 應能夠對內部網絡用戶私自聯到外部網絡的行為進行檢查，準確定出位置，并對其進行有效阻斷。

可以看出，單純的MAC地址與端口綁定已不能滿足三級等保標準的要求；同時存在仿冒MAC地址的漏洞，即非法終端可以把自己MAC地址改成合法MAC后接入網絡。為解決這些問題，H3C采用EAD端點終入控制系統來進行醫用終端的安全接入。EAD中的iNode客戶端可以防MAC篡改，即iNode發現終端的物理MAC和管理MAC不一致時禁止認證。同時，防內網外聯功能，使得醫用終端只能接入內網。退一步講，如果醫院認為無法接受醫用終端上安裝客戶端軟件，在能接受存在仿冒MAC地址漏洞的前提下，可以使用以MAC地址為認證信息的啞終端認證方式。它與傳統的MAC地址端口綁定方案的優勢是所有管理維護工作都在集中的服務器側，而不是分散的網絡交換機側，從而大大降低維護工作量。

H3C網絡邊界完整性檢查解決方案可以滿足三級等保網絡安全技術條款中的8條（網絡訪問控制部分、網絡邊界完整性檢查部分、訪問控制部分）。

4. 網絡設備防護

目前醫院的網絡設備管理通常有兩種方式：集成管理平臺和設備分散遠程登錄管理。對于后者，目前主流管理方法還是通過Telnet遠程管理。由于設備數量多維護工程量大，出于維護的便利性，設備的登錄用戶口令通常是所有設備相同且永遠不變，甚至網管人員更換后也不會更換設備的用戶口令。

對于設備的遠程登錄管理，等保標準也有一些要求，如采用加密的SSH替代明文的Telnet、雙因子認證等�；�于以上需求，H3C推出的TAM方案可以解決上述問題。網絡設備的登錄認證通過標準的TACACS協議與TAM服務器通信，設備的用戶名口令在服務器側統一管理，而口令管理也可以接合Token卡等動態密碼機制以實現登錄的雙因子認證。不僅更改登錄用戶名與口令變得方便，通過TAM對設備的任何遠程操作都有記錄，便于問題的回溯管理。

H3C網絡設備防護解決方案可以滿足三級等保網絡安全技術條款中的7條（網絡設備防護部分）。

四、 無線安全解決方案

從醫院無線網絡的建議模式來看，通常分為運營商代建和醫院自建兩種。無論哪種建設模式，無線技術本身安全性的問題都無法回避。不像有線網絡，只要不提供接入點，就無法侵入；無線是開放的，任何外來人員都可以和內部人員一樣接收到無線信號，所以必須進行接入認證安全保護。但如果像家庭一樣只提供密碼接入保護，那么無線網絡的安全形同虛設，因為整網單一的密碼很容易外泄。

除了文章開篇提到內網及外網業務，運營商代建的無線網絡還提供公共無線網接入(如電信的ChinaNet、移動的CMCC等)。公網和私網的混用還會引入更多的安全問題。

另外，無線終端比傳統的醫用終端更容易做接入網絡切換，而考慮到病毒和木馬的防范，醫院不希望用于內網的無線終端在訪問外網后再接入內網。

醫院的無線網絡安全方案的構建需要考慮以下幾個問題：

 考慮到醫院的業務模式，傳統的用戶名口令無法作為唯一的認證因素，原因是醫生護士的用戶名口令幾乎是半公開的。那么如何識別醫院的合法移動終端？

 隨著平板電腦和智能手機的普及，傳統的移動推車+PDA的應用受到沖擊。如何支持新型的移動終端？

 如何防止合法終端接入運營商提供的無線網絡？

 對于運營商承建的無線網絡，如何防止登錄公共無線網絡的用戶的黑客入侵？

針對以上需求，根據醫院對安全級別考慮的不同，H3C提供以下幾種方案：

 EAD端點準入控制方案；

 移動終端證書認證方案；

 啞終端接入控制方案。

其中EAD端點準入控制方案安全級別最高，可以解決目前考慮到的所有問題，但需要在移動終端上安裝iNode客戶端軟件。證書認證方案可以完美地實現用戶安全認證，但無法做到控制合法終端登錄其它無線網絡。啞終端接入控制方案不需要安裝任何客戶軟件，但具有MAC地址仿冒的漏洞，同時也無法做到控制合法終端登錄其它無線網絡。

這三種方案的共性都是在無線網絡中提供認證網關。如果無線網是醫院自建的，則AC可以兼做認證網關。如果無線網是運營商代建的，考慮到無線的設備產權及運維都是運營商負責，需要在AC與有線網絡之間單獨部署認證網關（如圖3所示）。

圖3 無線安全認證系統部署

結束語

醫院的三級安全等保技術要求，既有與其它行業要求的共性，又有其自己的特點。這些要求中除了網絡層面的，還包括機房、主機、應用和數據安全。

三級安全等保對醫院既是一次命題考試，又是一次切實提升醫院安全能力的好機會。作為安全等保技術要求的主要部分——網絡安全，因其分散、覆蓋面廣和難以管理，也是整個等保安全的難點。H3C從網絡與安全融合、終端與邊界融合、集中與分級融合等多個維度，覆蓋了包括結構安全、訪問控制、安全審計、邊界完整性、入侵防范、惡意代碼入侵和設備防護在內的絕大多數技術要求，提供了完整的醫院三級等保方案。