等级保护在医疗行业的应用(北京市卫生局郑攀)

@opzoon.com北京市卫生局公共卫生信息中心郑攀2012年5月等级保护在北京市医疗行业的应用实践第三部分信息安全建设方法探讨第二部分政策法规及标准第一部分安全动态与思考信息安全问题可能会引发的安全事件….社会舆论/医疗机构声誉..手术中途停顿..经济损失..法律诉讼..….信息系统的角色越来越重要信息系统的任何风险将带来巨大损失！门诊大量排队..业务科室投诉..来自上级主管部门压力..现象..•昨天上午，杜先生在XX医院看病时遭遇系统瘫痪，无法正常就医。该医院称，系统瘫痪系网络故障所致，目前已恢复正常。•杜先生称，昨天上午9点多，他陪妻子到XX医院看病。在诊室，值班医生告诉一位医院工作人员，他早上上班时，电脑已不能正常进入系统。随后，杜先生陪妻子去取药，药房也暂停服务，近20分钟后才恢复正常。11点多，杜先生因临时有事去挂号台退号时，发现多人正在一旁排队等待，工作人员告诉他，医院网络系统出故障，暂停服务。杜先生等候近40分钟后，系统服务再次恢复正常。杜先生称，许多患者因此花费更长的时间挂号、就诊、取药。•昨天下午，医院总值班室称，昨天医院网络故障，导致系统瘫痪，目前已恢复正常。北京市医院信息安全事件医院名称时间故障事件影响XX医院XX医院XX医院2012/3/30信息系统故障2012/3/24网络故障2011/10/29信息系统故障医院电脑系统出现故障，导致医院挂号窗口不能正常工作，大量病人在大厅内排队等候，医院立即进行修复，半小时后系统基本恢复正常。医院网络故障，导致系统瘫痪病人无法正常就医，目前已恢复正常。区社区卫生信息系统发生故障，导致39家社区卫生服务站无法正常提供门诊取药服务。XX医院XX医院XX医院XX医院XX医院2011/8/312011/8/62011/6/92011/3/312011/1/12his系统瘫痪信息系统故障信息系统故障网络故障信息系统故障电脑挂号系统突然整体瘫痪，患者无法挂号和交费，大约一小时以后，系统恢复正常。因医院网络系统未及时更新，与市医保中心网络系统不同步，致使部分药品及检测项目不能识别。导致门诊部挂号、取药等多项工作因此停滞，数十人在大厅等候。两个多小时后，系统恢复正常。医院网络故障上千挂号者苦等三小时时间。医院门诊部电脑系统出现故障，大厅内的数十名病人无法挂号。一小时后，电脑系统恢复正常。2012年5月5日新闻，从本月起我国二级以上医院设置警务室……生活中有各种各样想不到的威胁，医院中呢？卫生部明确将建立电子病历、电子健康档案等基础数据库和建立完善安全体系作为卫生信息化“十二五”的重要任务，协调推进信息化建设和医疗信息的隐私保护.区域卫生和电子病历信息化建设，也带来了新的安全隐患和风险。然而:（1）不能有效保护患者的隐私（2）不能识别非法计算机使用合法身份接入电子病例系统（3）不能解决电子病例数据传输到计算机设备上之后的数据泄露问题类似攻击已提前出现……由于数据泄露所导致的身份信息和医疗信息的窃取会造成对患者的财产和情感的伤害医疗机构在大力发展医院信息系统建设的同时，还需要关注和面对如此多的信息安全需求、隐患和风险我们怎么办？？第三部分信息安全体系建设探讨第二部分政策法规及要求第一部分安全动态与思考思考长期以来，在信息安全建设方面，存在着重技术轻管理、重产品功能轻人为因素、缺乏整体性信息安全体系考虑等各方面的问题。技术也许可以解决一部分问题，但却解决不了根本。国内的各卫生机构都认识到了信息系统故障对自身业务的巨大影响，通过采取各种各样的安全保障措施来提高信息系统的稳定运行的能力。但是信息系统没有绝对的安全，只有建立统一的信息安全管理体系，落实各项管理制度，制定合理的安全策略，采取有效的防范措施,才能切实保障卫生信息系统的安全、稳定、正常地运行，保障各项卫生业务的正常开展。“十二五”卫生信息化规划35212•••••“3”意为建设国家级、省级和地市级三级卫生信息平台;“5”表示加强公共卫生、医疗服务、新农合、基本药物制度、综合管理5项业务应用;“2”意为建设健康档案和电子病历两个基础数据库;“1”代表一个国家卫生信息专网.;最终版本的卫生信息化“十二五”规划又增加了两项重要内容：加强信息标准化和安全体系建设。简称为“35212”。等级保护相关法规1、1994年《中华人民共和国计算机信息系统安全保护条例》（国务院147号令）2、2003年《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）3、《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）4、《信息安全等级保护管理办法》（公通字[2007]43号5、《关于开展全国重要信息系统安全保护等级定级工作的通知》（公信安[2007]861号）6、《国务院办公厅关于印发政府信息系统安全检查办法的通知》（国办发[2009]28号）7、发改委、公安部、国家保密局会签文件《关于加强国家电子政务工程建设项目信息安全风险评估工作的通知》（发改高技[2008]2071号）8、《信息安全等级保护备案实施细则》（公信安[2007]1360号9、《公安机关信息安全等级保护检查工作规范（试行）》（公信安[2008]736号）10、《关于开展信息安全等级保护安全建设整改工作的指导意见》(2009年10月)重要法规梳理（）《国家信息化领导小组关于加强信息安全保障工作的意见》2003-27号文：明确指出“实行信息安全等级保护”，这是我国第一个信息安全保障工作的纲领性文件。《关于信息安全等级保护工作的实施意见》2004-66号文：等级保护是今后国家信息安全的基本制度也是根本方法、等级保护制度的重要意义、原则、基本内容、工作职责分工、工作要求和实施计划。《《信息安全等级保护管理办法》43号文：明确五个安全等级，确立了等级保护主要内容是定级、备案、系统建设整改、等级测评、监督检查。公安机关信息安全等级保护检查工作规范（试行）》736号文：是等级保护检查工作制定的工作规范，在检查依据、内容、程序、形式、时限要求等方面了详细规定。《关于开展信息安全等级保护安全建设整改工作的指导意见》2009年10月发布《关于开展信息安全等级保护安全建设整改工作的指导意见》，是信息系统定级备案工作完成后，开展信息安全等级保护后续工作的指导性文件。卫生部于2011年11月分别发布《卫生部办公厅关于全面开展卫生行业信息安全等级保护工作的通知》（卫办综函〔2011〕1126号）（以下简称1126号文件），85号文内容是卫生部根据国家信息安全等级保护制度，结合卫生行业实际情况而编制的指导意见，其工作原则是：1.遵循标准，重点保护2.行业指导，属地管理3.同步建设，动态完善同时规定了主要工作内容：1.定级备案（规定了定级范围及级别）2.建设与整改（规定了二级（含）以上系统需进行差距分析与整改）3.等级测评（规定了三级（含）以上需进行等保测评）4.宣传培训（规定了各类卫生机构需进行信息安全培训，提高安全意识）5.监督检查（规定了信息化工作领导小组对各医疗机构等级保护工作进行督导）安全体系建设成为重点任务之一卫生行业各单位应当按照信息系统安全建设整改方案，完善安全保护设施，建立安全管理制度，落实安全管理措施，形成信息安全技术防护体系和信息安全管理体系，有效保障卫生信息系统安全。16随着医疗卫生信息化的迅速发展，区域卫生、电子病历等新的信息系统逐步建立，在国家信息安全等级保护工作的要求下，医疗机构面临的一个重要问题：信息安全体系怎么建？第三部分信息安全体系建设探讨第二部分政策法规及要求第一部分安全动态与思考鉴借并融合：国际国内安全管理体系指导思想等级保护ISO27001ISO2000020医疗卫生等保实施流程规划•第一步：“评估定级，定义安全需求”。通过风险评估、系统定级、等级评估等服务组件识别系统的安全风险，确定系统的安全等级，并找出系统安全现状与等级要求的差距，形成完整准确的按需防御的安全需求。•第二步：“体系建设，实现按需防御”。通过体系设计制定等级方案，进行安全策略体系、安全组织体系、安全技术体系和安全运维体系建设，满足评估定级阶段形成的安全需求，实现按需防御。•第三步：“安全运维，确保持续安全”。通过安全预警、安全监控、安全加固、安全审计、应急响应等服务组件，从事前、事中、事后三个方面进行安全运行维护，确保系统的持续安全，满足持续性按需防御的安全需求。安全运维风险评估安全风险评估安全风险现状信息系统资产库系统定级(等保内容)对策策略组织技术运行安全管理解决方案安全技术解决方案安全体系建设安全体系框架设计区域架构安全对策框架需求安全规划系统监控安全安全安全预警监控审计风险评估等级测评安全区域架构风险评估等级测评方案实施验收系统改进安全应急加固响应等级测评医疗卫生等保体系化实施流程详解第一步：“评估定级，定义安全需求”1、对医疗机构现有信息系统进行梳理、整合。2、根据卫生部文件要求对信息系统进行定级。定级建议系统类别系统名称范围建议等级公共卫生信息系统血液信息管理系统卫生监督管理系统精神卫生管理信息系统全市三级医疗机构信息系统HIS系统（门急诊、电子病历）LIS系统本单位本单位（三级甲等医院三级）二级二级PACS系统医院网站OA系统本单位本单位本单位二级一级一级23第二步：“体系建设，实现按需防御”根据信息系统等级保护定级要求进行安全建设，结合医院业务系统特点进行按需防御。医院应重点关注的几大安全问题-关键设备单点故障、-资源非授权访问-网络的非法攻击-缺少应急必要的技术支持及备机资源-系统故障、数据丢失….-患者健康信息隐私外泄-越权访问、误操作、恶意破坏行为无法追溯-日志文件被破坏、篡改…-医护人员诊疗行为无法界定-…..以上数据参考自：2011年北京市卫生局、公安局联合安全检查工作结果汇总基本要求项二级三级物理网络19183233技术要求管理要求主机应用数据安全管理制度安全管理机构人员安全管理系统建设管理系统运维管理合计19194791128411753231811201645622901、P阶段安全规划阶段等级保护制度基本要求项目统计类别要求二级解决方案三级解决方案差异分析物理防水和防潮安全防静电温湿度控制电力供应电磁防护采取措施防止雨水渗透、机房内水蒸气采用必要的接地防静电配备空调系统配备稳压器和过电压防护设备；配备UPS系统电源线和通信线缆隔离铺设安装防水测试仪器安装防静电地板配备空调系统配备稳压器、UPS、冗余供电系统接地、关键设备和磁介质实施电磁屏蔽三级根据要求进行防水检测仪表的安装使用三级根据要求安装防静电地板无三级根据要求设置冗余或并行的电力电缆线路，建立备用供电系统三级根据要求进行接地，关键设备和介质的电磁屏蔽现状2、D阶段实施运行阶段安全保障体系方案防火墙边界保护网络通信行为审计IDS检测入侵、异常流量行为VPN网关实现数据加密传输网络恶意代码、病毒边界过滤典型区域边界保护与网络安全通信“建立区域边界访问控制、协议过滤、安全审计、入侵探测、数据传输保护机制，结果时报告安全管理中心”-《信息系统等级保护安全设计技术要求》等级保护标准体系—其他类标准以医疗机构网络系统为例，在医疗机构信息系统中除了具有HIS系统、LIS系统、PACS系统等二级系统外，还具有类似于医院网站、OA系统的一级系统，那么在不同等级互联时，我们可采用的策略有：策略一：将所有系统放在一个安全域中，按照最高级别（三级和二级共存的情况，按照高级别的三级进行防护）进行防护；这样做的好处是所有系统都满足各自系统的防护需求；策略二：将所有三级系统放在一个安全域中，利用访问控制手段与其他系统进行隔离，并按照三级要求进行防护；将所有二级和一级系统分别放在一个安全域中，利用访问控制手段与其他系统进行隔离，并按照要求进行防护。两种策略各有优劣，需要根据医疗机构信息系统建设发展的具体情况进行选择。（1）自查三级系统至少每年进行一次自