医院网络逻辑隔离后的安全思考 王晖 2015年11月

汇报目录 1 医疗机构互联网络发展背景 2 网络隔离的方法 3 医院信息安全建设要点建议

医疗行业现状 我国医疗业务应用系统（HIS\LIS\PACS等）建设初具规模，日趋完善； 覆盖范围从单机系统、局部网络系统到整个医院信息系统； 医疗业务应用系统（HIS\LIS\PACS等）是医疗信息化的最核心资产。 网络结构上看， 用于日常医疗信息交换的业务网 实时获取Internet信息资源的办公网 其中，医院业务网是医院业务开展的重要平台，承载着核心业务，同时具备线路出口与医保等其他机构交换数据； 而办公网主要对外提供信息发布门户，对内提供Internet网络接入等服务。

目前我国大多数医院的网络服务发展现状

医院网络拓扑架构（一）双网物理隔离 内外网分离的网络架构

物理隔离 物理隔离技术，不是要替代防火墙，入侵检测，漏洞扫描和防病毒系统，相反，它是用户“深度防御”的安全策略的另外一块基石。物理隔离是绝对要解决互联网的安全问题，而不是什么其它的问题。 完全隔离 双机隔离 双设备隔离 隔离卡 物理隔离

物理隔离带来的问题 物理隔离使得正常的信息交流被阻断了。 部分重要的与医疗业务相关的数据需要在办公网络和业务网络间交换，但由于物理隔离无法实现。 物理隔离也成为医院满足互联网数据传输应用的瓶颈。

新一代信息技术对医疗行业的影响 大数据与 云计算 移动智能终端 与个人穿戴 互联网 新检测技术： DNA，免疫力，衰老 平台技术 与协同医疗 社区

医院网络拓扑架构（二）单网逻辑隔离 内外网融合的网络架构

医院网络拓扑架构（三）双网安全隔离 内外网分离的网络架构

卫生计生行业信息安全现状与形势 以“46312”工程为核心 与老百姓的生命健康保障紧密相关 与其他电子政务系统区别较大 业务全面渗透 2017/9/9 卫生计生行业信息安全现状与形势 以“46312”工程为核心 与老百姓的生命健康保障紧密相关 与其他电子政务系统区别较大 人口信息 统一标准体系 信息安全防护体系 业务全面渗透 系统普遍互联 信息广泛共享 随着计生体系融入，2013 年国家卫生计生委和国家中医药管理局联合出台《关于加快推进人口健康信息化建设的指导意见》，其中进一步明确了人口健康信息化建设“全民健康保障信息化”工程建设框架（简称“46312”框架工程），国家卫生信息化“十二五”规划从“35212”变成“46312”，新规划具体如下： 4：建设国家、省（市）、地市、县四级人口健康信息平台； 6：加强公共卫生、计划生育、医疗服务、医疗保障、药品管理、综合管理六大重点业务应用系统建设； 3：加快推进全国统一的居民健康卡建设和应用； 1：建设统一标准的全员人口信息、居民健康档案、电子病历三大数据库和人口健康信息网络； 2：逐步健全统一标准体系和强化信息安全防护体系建设。 健康卡 互联互通、应用协同、服务保障

信息安全无处不在 随着人口健康信息化的不断深化发展，当互联网/卫生专网、移动互联网、云计算、医疗物联网等把患者公众、医疗卫生机构和医疗设备等等连接在一起，信息广泛共享已经无处不在，攻击入口很多，信息安全也无处不在 在广泛互联的医疗卫生IT环境中，大到国家平台，小到医疗卫生机构和个人都面临着如何保障自身的信息安全的问题

信息安全危害越来越严峻 13 信息安全问题影响和危害社会秩序、国家安全 医疗服务系统无法正常提供服务引发群体事件，危害社会公共安全 人口基因数据、疾病频谱数据被敌对势力利用，危害国家安全 信息安全危害到个人声誉、甚至生命 个人隐私信息泄露贩卖 入侵植入式心脏起搏器 入侵植入式心脏起搏器等无线医疗装置，令“遥控杀人”已经成为现实的可能 著名的ATM取款机黑客巴勒比杰克在黑帽子大会上成功地演示了如何入侵安装有两种不同系统的ATM取款机并当场让ATM取款机吐出钱 “心脏出血“安全漏洞，互联网上的任何人都可以通过此漏洞读取系统保护内存，获取用户名和密码。 13

独善其身的信息安全策略已不再适应 省平台 省平台 国家平台 省平台 区域平台 区域平台 医疗机构 公卫机构 每个系统都是人口健康信息网络体系中的一个节点，单个系统的安全保障并不能保证整体安全 人口健康信息全生命周期只要有任一环节不安全，都将可能会功亏一篑 省平台 省平台 国家平台 省平台 区域平台 区域平台 医疗机构 公卫机构

电子健康档案 大数据分析 疾病诊疗信息 个人隐私数据 敏感数据 情报--机密 数据的汇聚给信息安全带来极大威胁，价值越大安全越重要 人口健康信息更全面，数据关联性更强 —— 以人为中心，贯穿生命全过程 对数据的挖掘分析可为我所用，也可为敌对势力所用 ——“棱镜门” 电子健康档案 大数据分析 疾病诊疗信息 个人隐私数据 敏感数据 情报--机密 数据的 变化趋势 威胁的 医院信息系统 区域信息平台 国家信息平台 15

攻击向获取利益转变、向有组织转变 攻击变得越来越功利，从损人不利己向获取利益转变，其攻击行为以获取有 价值人口健康信息作为主要目标，无论机构还是个人的危险也被大大加深 攻击变得越来越有组织性，从个人英雄向组织犯罪转变，甚至面临国家间的 对抗，攻击资源更多，更加有效，造成的安全威胁更大

未来医院： 打造基于医疗健康数据的闭环协同服务 基层医院/社区/健管中心 大型医疗机构 健管服务 看诊 协同医疗 EMR HIS 体检指引 查询终端 检验终端 评估终端 体成分 CIS/LIS/PACS/RIS/CAD 骨密度仪 心肺功能 动脉硬化 运动适能 Internet 社区 家庭 Internet 云医院平台 社区医疗机构 共享的IT，医疗设备，规则，监管平台 Internet

汇报目录 1 医疗机构互联网络发展背景 2 网络隔离的方法 3 医院信息安全建设要点建议

医院的安全隔离需求 云医疗型 提高 效率型 教育 顾问型 咨询 引流型 挂号 支付 教育 顾问型 医生 医院黄页 咨询 引流型 线上咨询 线下引流 云医疗型 提升能力 分级诊疗 为了满足日益普及的互联网医疗、移动医疗等新需求，医院内部网络物理隔离方案已经逐渐不能满足未来发展需要了，那么既要保障网络安全又要保障互联互通，需要怎么办呢？

隔离技术背景 面对新型网络攻击手段的出现和高安全度网络对安全的特殊需求，现阶段安全防护防范理念的网络安全技术——“网络隔离技术”应运而生。 　　网络隔离技术的目标是确保把有害的攻击隔离，在可信网络之外和保证可信网络内部信息不外泄的前提下，完成网间数据的安全交换。网络隔离技术是在原有安全技术的基础上发展起来的，它弥补了原有安全技术的不足，突出了自己的优势。

什么是隔离 隔离的方法 实体角度理解：设备、线路、存储上是完全分离的； 过程角度理解：网络间不存在任何形式的自动信息交换。 物理隔离：设备、线路、存储均独立 网络隔离（协议隔离）：使用不同的协议，切断整个系统内的全局连通性 逻辑隔离：VLAN、防火墙等(安全隔离：仅交换应用数据) 从医院网络技术角度主要讨论： 物理隔离：设备、线路、存储均独立 逻辑隔离：交换机、路由器、防火墙、网闸

逻辑隔离 传统逻辑隔离：交换机VLAN、路由器、防火墙等； 安全隔离：网闸（近似于物理隔离的安全隔离）

安全隔离与信息交换系统 网络安全隔离系统 一种产品，多种叫法 网闸 安全隔离 保密局 公安部 俗称 此屏主要说明为什么我们称呼“安全隔离网闸”，此名简洁、形象、易懂。 国家保密局的定名“安全隔离与信息交换系统”——设备安全作用的角度，更加科学。 公安部的定名“网络安全隔离系统”——设备用途的角度 习惯、通俗的称呼“网闸”——形象 如果名称为“网络安全隔离与信息交换系统”，最为全面，该说的都说了！

安全隔离 网闸的基本技术——协议落地 服务端 完整的连接会话 服务端 客户端 连接会话被截断 采用防火墙等安全设备 采用网闸 客户端 防火墙

安全隔离 网闸是怎么实现协议阻断的 一个邮递员 给一个住在别墅里面的重要任务送信 不能让邮递员直接把信送到重要人物手上（万一邮递员是个杀手装扮的），所以 别墅门口有个保安，别墅里还有个保安， 邮递员送信先把信交给门外的保安（门外的保安拆信检查完毕后）交给屋内的保安（万一门口的保安被收买了呢？）同时还要用特定的信封封装好再交给屋内的保安，屋内的保安再次拆信检查，没有问题的话，由屋内的保安转给重要人物即完成 这就类似于网闸内的协议阻断技术，数据包来了之后外网主机部分要拆包（门口的保安），然后通过自有协议封装，交给安全隔离芯片组，以下详细介绍

安全隔离 网闸与防火墙的区别 过河主要有两种方式： 1、防火墙类似于河上的桥，一旦被攻破，桥上就没有关卡了，畅行无阻 2、网闸类似于程渡轮过河，哪个码头出问题都过不了河 回忆一下，我们在调试防火墙的时候，很多情况是要先上架然后看是否能保障互通性，当互通性没问题的时候才开始添加安全策略，对不对？ 而网闸不一样，放上去首先是全部都断掉的，之后根据购买的应用层模块（比如安全浏览，比如数据库同步），才能实现一定的应用层互通

汇报目录 1 医疗机构互联网络发展背景 2 网络隔离的方法 3 医院信息安全建设要点建议

参考标准：卫生行业等级保护建设要求 原卫生部于 2011 年11 月分别发布《卫生部办公厅关于全面开展卫生行业信息安全等级保护工作的通知》（卫办综函〔2011〕1126 号）（以下简称1126 号文件）， 其主要内容分析如下： 1126 号文明确提出四点具体内容： 1. 建立健全工作机制（2011 年12 月30 日前和2012 年4 月30 日前成立联 络员和专家委员会，并将名单报送卫生部） 2. 限时报送备案情况（2011 年12 月30 日前报送卫生部） 3. 完成定级备案工作（2012 年5 月30 日前完成） 4. 开展安全建设整改工作（2015 年12 月30 日前完成并通过测评） 85 号文内容是卫生部根据国家信息安全等级保护制度，结合卫生行业实际 情况而编制的指导意见，其工作原则是： 遵循标准，重点保护 行业指导，属地管理 同步建设，动态完善 同时规定了主要工作内容： 1. 定级备案（规定了定级范围及级别） 2. 建设与整改（规定了二级（含）以上系统需进行差距分析与整改） 3. 等级测评（规定了三级（含）以上需进行等保测评） 4. 宣传培训（规定了各类卫生机构需进行信息安全培训，提高安全意识） 5. 监督检查（规定了信息化工作领导小组对各医疗机构等级保护工作进行督导）

参考标准：等级保护标准体系—应用类标准 信息系统定级 等级测评 《信息系统安全保护等级定级指南》（GB/T 22240-2008） 等级保护实施 《信息系统安全等级保护实施指南》（报批稿） 信息系统安全建设 《信息系统通用安全技术要求》（GB/T 20271-2006） 《信息系统等级保护安全设计技术要求》（GB/T2010-25070） 《信息系统安全管理要求》（GB/T 20269-2006） 《信息系统安全工程管理要求》（GB/T 20282-2006） 《信息系统物理安全技术要求》（GB/T 21052-2007） 《网络基础安全技术要求》（GB/T 20270-2006） 《信息系统安全等级保护体系框架》（GA/T 708-2007） 《信息系统安全等级保护基本模型》（GA/T 709-2007） 《信息系统安全等级保护基本配置》（GA/T 710-2007） 等级测评 《信息系统安全等级保护测评要求》（报批稿） 《信息系统安全等级保护测评过程指南》（报批稿） 《信息系统安全管理测评》（GA/T 713-2007）

等级保护标准体系—产品类标准 入侵检测 《入侵检测系统技术要求和检测方法》 《计算机网络入侵分级要求》 防火墙 《防火墙安全技术要求》 《防火墙技术测评方法》 …… 路由器 《路由器安全技术要求》 《路由器安全评估准则》 《路由器安全测评要求》 交换机 《网络交换机安全技术要求》 《交换机安全测评要求》 其他产品 《终端计算机系统安全等级技术要求》 《终端计算机系统测评方法》 《审计产品技术要求和测评方法》 操作系统 《操作系统安全技术要求》 《操作系统安全评估准则》 数据库 《数据库管理系统安全技术要求》 《数据库管理系统安全评估准则》 网络 《网络端设备隔离部件技术要求》 《网络端设备隔离部件测试评价方法》 …… PKI 《公钥基础设施安全技术要求》 《PKI系统安全等级保护技术要求》 网关 《网关安全技术要求》 服务器 《服务器安全技术要求》

等级保护标准体系—其他类标准 风险评估 《信息安全风险评估规范》（GB/T 20984-2007） 事件管理 《信息安全事件管理指南》（GB/Z 20985-2007） 《信息安全事件分类分级指南》（GB/Z 20986-2007） 《信息系统灾难恢复规范》（GB/T 20988-2007）

医院信息安全建议：要点（一） 进行年度风险评估：风险评估能够有效地确 保机构拥有入侵检测和渗透测试方面的制度、 程序和控制。可以请独立的第三方测评：使用 独立的第三方机构来监测整个基础建设，指出 潜在的安全漏洞并对如何减缓这些弱点提出建 议。

医院信息安全建议：要点（二） 做好应急准备：医疗机构做好应急预案（尤 其是组织上），并定期演练。这样，当网络安 全破坏事件发生时，医疗机构才有应对的准备 。

医院信息安全建议：要点（三） 注重日常运维和系统监测： 医疗机构应建立 专业的日常运维队伍，同时采用技术手段实时 能够检测可疑或非正常的交易。

医院信息安全建议：要点（四） 管理好外包方：虽然医疗机构可能能够很好 地实施自身的制度、程序和控制，但这并不意 味这它能够同样掌控它的系统建设和开发的合 作伙伴。要强化对外包方尤其是人员的管理。

医院信息安全建议：要点（五） 加密敏感数据：对敏感数据的加密（用一组 没有意义和价值的随机编码来替代敏感的数据 要素），可以很好地提升网络安全的基础建设 。

医院信息安全建议：要点（六） 加强权限控制：医疗机构应该制定相关制度 来规定员工对于数据的使用权限，赋予不同岗 位职责的员工不同级别的权限。这样可以确保 每一个员工都只能接触到他所需要获得的那部 分数据资源。

医院信息安全建议：要点（七） 提供全员培训：确保所有员工都接受了基础 的网络安全培训。这对于促进医疗机构的安全 文化建设是十分重要的。

医院信息安全建议：要点（八） 保持沟通：与网络安全专家和上级卫生计生 行政部门及公安部门保持良好的沟通是十分重 要的。

汇报结束 谢谢各位专家！