将乐县医院信息系统信息安全等级保护二级建设项目安全方案

i将乐县医院信息系统信息安全等级保护二级建设项目安全方案2015年4s月ii目录一、项目概述....................................................................31.1项目建设背景............................................................31.2项目设计原则............................................................31.3其他说明................................................................5二、医院信息化现状分析..........................................................62.1业务系统现状...............................................................62.4安全现状................................................................62.5现医院信息系统网络拓扑示意图............................................7三、系统安全建设总体设计........................................................83.1总体设计目标............................................................83.2安全保障体系框架概述....................................................83.3网络拓扑图总体设计.....................................................113.4安全域划分.............................................................12四、系统安全建设深化设计方案...................................................134.5安全区域边界整改设计...................................................134.5.1外网接入区整改设计................................................134.5.2安全域边界隔离....................................................134.6安全管理中心整改设计...................................................144.6.1部署安全管理系统..................................................144.6.2部署运维堡垒主机系统..............................................154.6.3部署数据库审计系统................................................154.6.4部署日志审计系统..................................................154.6.5部署安全准入系统..................................................164.7安全管理制度设计.......................................................164.7.1总体安全方针与安全策略............................................194.7.2安全管理制度......................................................194.7.3安全管理机构......................................................204.7.4人员安全管理......................................................204.7.5系统建设管理......................................................214.7.6系统运维管理......................................................214.7.7安全管理制度汇总..................................................23五、项目预算及配置清单.........................................................23六、附录：网神公司介绍.........................................................24公司简介......................................................................24网神等保介绍..................................................................25网神等保概况..................................................................25网神等保工作内容..............................................................25网神等保优势..................................................................26网神医疗行业部分典型用户......................................................27其他283一、项目概述1.1项目建设背景《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号，以下简称“27号文件”）明确要求我国信息安全保障工作实行等级保护制度，提出“抓紧建立信息安全等级保护制度，制定信息安全等级保护的管理办法和技术指南”。2004年9月发布的《关于信息安全等级保护工作的实施意见》（公通字[2004]66号，以下简称“66号文件”）进一步强调了开展信息安全等级保护工作的重要意义，规定了实施信息安全等级保护制度的原则、内容、职责分工、基本要求和实施计划，部署了实施信息安全等级保护工作的操作办法。医疗机构作为涉及国计民生的重要组成部分，其安全保障事关社会稳定，必须按照27号文件要求，全面实施信息安全等级保护。从外部环境来看，信息安全已经成为近几年信息化建设的热点话题，如何保障信息系统的安全已经成为国家关注的焦点，从27号文件开始，国家陆续出台了一系列的安全政策和标准，提出了以“适度安全、分级保护”为核心的等级保护建设思路，公安部、保密局、国密办以及国信办陆续出台政策，要求国内重要的信息系统应按照等级保护的办法和要求，进行相关安全防护系统的建设，并于2007年启动了等级保护的定级备案工作。等级保护针对信息安全系统建设的过程，提出了具体的管理办法和实施指南，并对信息安全系统提出了技术和管理方面的建设要求。目前我省重要信息系统等级保护工作目前已全面开展，为贯彻落实福建省卫生厅、福建省公安厅关于印发根据《卫生部办公厅关于全面开展卫生行业信息安全等级保护工作的通知》（卫办综函〔2011〕1126号）精神，参照卫生部印发的《卫生行业信息安全等级保护工作的指导意见》，并结合我省医院信息系统应用的特点，特制定《福建省医院信息系统安全等级保护工作实施方案》对省内各大医院信息系统建设，提出了等级保护的要求。开展了一系列等级保护培训和调研工作，提出针对医疗机构信息安全等级保护工作的基本思路和具体要求，指导福建省医疗机构的信息安全保障工作。1.2项目设计原则等级保护是国家信息安全建设的重要政策，其核心是对信息系统分等级、按标准进行建设、4管理和监督。27号文指出“信息化发展的不同阶段和不同的信息系统有着不同的安全需求，必须从实际出发，综合平衡安全成本和风险，优化信息安全资源的配置，确保重点。”对于福建省医疗机构信息安全建设，应当以适度风险为核心，以重点保护为原则，从业务的角度出发，重点保护重要的业务信息系统，在方案设计中应当遵循以下的原则：适度安全原则任何信息系统都不能做到绝对的安全，在进行福建省医疗机构信息安全等级保护规划中，要在安全需求、安全风险和安全成本之间进行平衡和折中，过多的安全要求必将造成安全成本的迅速增加和运行的复杂性。适度安全也是等级保护建设的初衷，因此在进行等级保护设计的过程中，一方面要严格遵循基本要求，从网络、主机、应用、数据等层面加强防护措施，保障信息系统的机密性、完整性和可用性，另外也要综合成本的角度，针对医院信息系统的实际风险，提出对应的保护强度，并按照保护强度进行安全防护系统的设计和建设，从而有效控制成本。重点保护原则根据信息系统的重要程度、业务特点，通过划分不同安全保护等级的信息系统，实现不同强度的安全保护，集中资源优先保护涉及核心业务或关键信息资产的信息系统；本方案在设计中将重点保护医疗机构关键业务的信息系统，对其他信息系统则降低保护等级进行一般性设计和防护；技术管理并重原则信息安全问题从来就不是单纯的技术问题，把防范黑客入侵和病毒感染理解为信息安全问题的全部是片面的，仅仅通过部署安全产品很难完全覆盖医院所有的信息安全问题，因此必须要把技术措施和管理措施结合起来，更有效的保障医疗机构信息系统的整体安全性，形成技术和管理两个部分的建设方案；分区分域建设原则对信息系统进行安全保护的有效方法就是分区分域，由于信息系统中各个信息资产的重要性5是不同的，并且访问特点也不尽相同，因此需要把具有相似特点的信息资产集合起来，进行总体防护，从而可更好地保障安全策略的有效性和一致性，比如把业务服务器集中起来单独隔离，然后根据各业务的访问需求进行隔离和访问控制；另外分区分域还有助于对网络系统进行集中管理，一旦其中某些安全区域内发生安全事件，可通过严格的边界安全防护限制事件在整网蔓延；标准性原则医疗机构信息安全保护体系应当同时考虑与其他标准的符合性，在方案中的技术部分将参考IATF安全体系框架进行设计，在管理方面同时参考27001安全管理指南，使建成后的等级保护体系更具有广泛的实用性；动态调整原则信息安全问题不是静态的，它总是随着医院等医疗机构管理相关的组织策略、组织架构、信息系统和操作流程的改变而改变，因此必须要跟踪信息系统的变化情况，调整安全保护措施；成熟性原则本方案设计采取的安全措施和产品，在技术上是成熟的，是被检验确实能够解决安全问题并在很多项目中有成功应用的；科学性原则本方案的设计是建立在对福州协和医院、福州第二医院、福州儿童医院、厦门第一医院、解放军175医院、漳州第一医院、漳州市医院、漳州芗城医院、龙岩第一医院等等进行安全调研基础上的，在威胁分析、弱点分析和风险分析方面，是建立在客观评价的基础上而展开分析的结果，因此方案设计的措施和策略一方面能够符合国家等级保护的相关要求，另一方面也能够很好地解决医院信息网络中存在的安全问题，满足特性需求。1.3其他说明作为国家信息安全保障体系建设的政策标准，等级保护提出信息系统的运营、使用单位应当依照等级保护的办