浅谈等保2.0标准下医院信息化安全问题研究及对策

研究背景和意义

为解决医疗行业信息安全所面临的问题，我国提出等级保护2.0标准来规范网络建设的标准以及增大网络防护的力度，但是由于各种原因的阻碍，等保2.0标准不能完全标准化实施。本文主要是在技术方面论述等保2.0标准下怎样去规范化实施网络建设，使得网络的抗攻击性能更强，灾后恢复时间更短。从而使得医院网络更加安全、便捷、迅速，给医疗行业工作者和患者更好的网络体验。
虽然等保标准已经推出，但是在现实运维工作中依然会遇见许多不标准机房，如物理环境、网络布线、网络架构、区域划分、存储等，导致许多网络故障的产生、运维工作的难以排查、数据丢失现象的频发，从而影响信息系统的稳定运行

研究方法及准备

文献调查法。查找我国应对网络安全提出的网络安全法以及相关文档、查找业界大师对网络安全的研究报告、查找网络信息化在医院中的应用，查找学者对目前医院网络安全问题的看法等用文档进行整理学习。
比较研究法。对2.0标准与1.0标准的异同进行分析；对逻辑隔离网络和物理隔离网络进行对比分析，并对其中概要进行分析阐述。
理论结合实际。

从资料收集，拟定提纲，初稿、修改、定稿到最后的结语。在准备和写作过程中，我阅读了大量的等级保护建设方面的相关书籍和学术期刊论文，并结合图书馆丰富的线上资源、中国学术期刊网中的专业论文和长达6个月的实践经历。

研究方向

研究的是等级保护第三级（第三级以上的信息系统涉及地市级以上各级政府机关、保险和能源等国家重点行业，具有保密性，第三级以下的信息系统涉及个人以及一般小型企业，研究价值较低）。对于定级要素根据受侵害对象层次，个人、社会、国家依次递增级别。第三级保护能力：应能够在同一安全策略下钢护免受来自外部有组织的团体、拥有较丰富资源的威胁源发起的恶意攻击，比较严重的自然灾害，以及其他相当危害程度的威胁所造成的主要资源损害，能够及时发现、检测攻击行为和处置安全事件，在自身遭遇到损害后，能够比较快恢复大部分功能

研究内容

等级保护2.0标准和1.0的差异
标准内容、定级变化、定级对象变化、控制措施分类结构、控制点和要求项
安全物理环境技术
物理位置选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水、防潮、防静电
安全通信网络技术
可信验证-终端入网设备安全
网络架构-物理隔离网络结构和逻辑隔离网络结构
安全计算环境技术
入侵防范分析：应对网络攻击最好的方式就是站在黑客的角度对自我网络系统进行审视，从而发现漏洞以及弥补漏洞的一种持续行为
数据备份恢复分析

实际调研及问题发现

控制人员出入、防盗窃、防破坏、防雷击、防水、防潮等这些点的防控点的实施不符合等保2.0
没有规范化终端管理
网络结构简易，抗攻击性和容错性差
医院信息系统搭载平台安全防护差、信息系统操作不规范
部分数据灾备不符合等保要求

研究成果

外网。首先将患者需要访问的以及对外公开的服务器迁移至云端，使用云防护平台进行防护，简化外网需要防护的部分服务器的管理以及服务工作；为满足出差异地工作人员对内部网络数据的访问，部署VPN，使用威胁情报系统进行监控；
内网。数据中心采用虚拟化方案，将底层虚拟化，由虚拟化软件进行动态调控，虚拟化平台进行资源管理，虚拟化防护将数据加解密操作。
其他部署方式采用常规化。

总结

立足于等级保护制度2.0第三级，致力于分析安全物理环境、安全通信网络、安全计算环境下的相关技术，并揭示了当前以医疗行业在等保2.0建设下存在的问题，探讨怎样在等保2.0三级的标准下为医院信息化建设提供部分最优网络安全解决方案，来应对日益严重的医院信息化安全问题。