浅析某医院信息系统安全等级保护测评方案

随着医院信息化建设的不断深入，信息系统的正常稳定运行已经成为医院医疗业务正常开展的基础条件；卫计委及有关部门以指导意见、管理办法、保护措施等方式下文明确要求三级医院核心业务系统安全定级不低于第三级。本文从医院实际情况出发，对应用系统摸底调查、初步定级、整改方案、回归性测试、备案等实施步骤进行阐述。

1 项目背景

针对医院信息安全现状及安全形势，根据《关于加强信息安全保障工作的意见》(中办发[2003]27号）、《信息安全等级保护管理办法》（公通字〔2007〕43号）、《湖南省卫生行业信息系统信息安全等级保护实施方案》（湘卫办发[2012]28号）等文件与法规的要求，并结合当前网络安全形势的需要，对医院重要业务系统进行等级保护测评与风险评估很有必要性。通过深入评价重要业务系统的信息安全等级保护情况、了解目前业务系统的安全状况和存在的安全风险程度，提出全面的整改建议方案，实施安全加固与安全整改建设，加强医院信息系统防攻击、防篡改、防病毒、防窃密、防瘫痪“五防”能力的建设，将切实提高医院信息系统安全保障能力，促进医院信息化工作的健康发展。

2 现状分析

该医院是湖南省首家三级甲等中医医院，“七五”期间全国七所重点建设的中医院之一，2008年12月入选国家中医临床研究基地，2013年7月入选全国中医医院信息化示范单位。其医院信息化建设涵盖HIS系统、LIS系统、PACS系统、EMR系统、成本核算系统、省市医保系统、OA系统、湖南省中医药数据中心等60多个业务子系统。医院有三套物理隔离的网络：医院内部办公网络（外网）、医院内部业务网络（内网）、湖南省中医药数据中心专网（专网）。

3 信息系统安全等级测评方案设计

3.1 测评步骤

信息系统安全等级测评工作可分为六个阶段，如图2所示。

定级准备阶段：工作包括医院项目启动、组织机构成立、基础信息及系统资料收集、测评所需工具准备等。

摸底调查阶段：主要包括三个方面的工作：通过对医院业务子系统的梳理，根据各子系统在医院业务中的重要性不同确定哪些子系统做为测评对象以及测评等级；结合各子系统具体情况，确定采用哪些测评方式、测评工具以及测评工具的接入方案；明确每一个子系统的详细的测评内容形成测评方案。

初步定级阶段：严格按照既定的测评方案进行，并将测评过程中发现的问题收集整理成形成安全整改方案，医院根据每个子系统测评等级的不同，充分考虑安全性、实用性、经济成本等因素的前提下进行整改。

评审和审批阶段：各子系统整改完成后，进行等级保护整改回归测试，如能基本达到或超过既定测评等级要求，则形成等级保护送审资料。

备案阶段：将相关定级申报材料直接报当地公安机关备案。

定级总结阶段：公安机关通过对等级保护资料审查、现场核查等程序后给予出具等级保护备案证明材料。

3.2 测评的主要内容和目标

该医院信息化工作发展到目前阶段，已经建设了各种各样的重要、综合性很强的信息子系统，重要业务子系统越来越多、网络覆盖广度与深度不断增加、跨单位跨部门的横向沟通不断增强，医院信息化在向广度与深度迅速扩展，同时医院网络系统面临的信息安全风险与挑战也越来越大。依据上述标准、规范及知道意见，参照行业主管部门已有相关的行业定级指导文件，结合该医院具体情况，本次信息安全等级保护测评与风险评估具体对象为：核心数据机房、HIS系统、LIS系统、PACS系统、EMR系统、中医药省级数据中心相关系统；拟按照叁级信息系统进行安全保护。

3.3风险评估

风险评估是要了解信息系统的管理、网络和系统安全现状，哪些环节、数据是最重要的、最敏感的，是否已部署有效的安全措施、管理措施，确定一旦威胁发生其潜在的损失或破坏，对其造成的损失是否可控、可承受，以确定相应的信息安全保护等级。对当场整理的信息进行深入分析，从而归纳整理成为信息系统的缺陷评估报告、信息系统使用风险评估报告等，以详细掌握信息系统在使用过程中潜在的问题或风险。并且将其作为等保差距分析的重要内容，同时为后续的优化与健全提供资源。

3.4 差距测评

在经过差距测评与评价后，对医院信息系统的基本情况有了大致的了解，明确进一步明确了目前信息系统使用以及所需求信息系统之间的距离。

3.4.1 差距测评主要内容

一是单元测评：主要测评基本安全控制在信息系统中的实施配置情况；

二是整体测评：主要测评分析信息系统的整体安全性。

单元测评包含的内容涉及到信息系统安全技术和安全管理上的各个安全控制措施。

整体测评主要是基于单元测评开展深入的测评研究，主要工作项目涵盖了安全控制、区域相互作用的安全测评和系统结构安全测评。

3.4.2 差距分析表

在开展等保差距分析前要对各项数据进行整理，以归纳出差距分析表，表中要详细罗列需要优化的内容。优化项目组会根据信息系统所需要的安全需求来针对当前信息系统的安全使用情况进行优化，去除不合适项目，增加能够满足用户信息系统使用需求的安全保护措施。主要表现在以下两个方面：

l 安全管理差距分析：包括安全管理制度、系统建设管理；

l 安全技术差距分析：包括网络安全、数据安全及备份恢复；

3.5 安全整改

根据国家相关部门对信息系统所提出的一系列要求，全面而科学的评估需要对医院业务网络平台信息系统风险，协助其合理确定安全保护等级，在这一情况上进行更加合理的设计规划，从而打造一套详细、全面的安全体系保护方案。该安全体系需要全面保卫网络和基础设施、边界和外部接入、计算环境、支持性基础设施、数据和系统等方面内容，实现信息资源的机密、完整、可用、不可抵赖和可审计性，基本做到“进不来、拿不走、改不了、看不懂、跑不了、可审计、打不垮”。

医院业务网络平台的总体信息安全技术体系改造，包括以下几个方面：

l 建设业务网络平台安全基础设施；

l 业务网络平台信息系统的边界安全保护；

l 业务网络平台信息系统的计算环境安全保护；

l 建立业务网络平台信息系统的安全管理和运维体系；

l 业务网络平台整体达到等级保护相关等级要求。

3.6 整改回归测试

整改实施工作完成进入整改项目验收阶段，组织专家技术团队对验收方案工程验收方案的符合性及可行性进行评审，并负责对工程是否达到等保要求进行回归测试，通过对信息系统的等级保护整改措施落实情况与《信息系统安全等级保护基本要求》的要求之间的符合程度再一次进行评判、复查，形成回归测试后的信息系统安全等级保护测评报告。

3.7 等级保护备案

在信息系统完成整改实施及其工程验收之后，经一步完善主管部门备案所需要的文档和资料，并按当地信息安全等级保护主管部门备案、定级相关程序，取得信息系统安全等级备案证明。

4 小结

经过学习国家法律法规、行业相关标准规范及制度，通过访谈、现场检查、现场测试等方式深入了解该医院信息系统安全建设实际情况以及存在的安全隐患、管理漏洞，结合医院信息系统安全等级保护第三级安全保护的要求，制定切实可行的整改方案，形成该医院信息系统安全等级保护测评方案。信息系统等级保护测评涉及的细项非常多，检查、测试、整改的内容非常具体，受文章篇幅的约束不能逐个展开。但是，该方案具有可操作性强，是该医院信息系统等级保护测评的重要过程资料，对类似医院的信息系统等级保护测评工作有一定的借鉴意义。

本文来源：《企业科技与发展》：http://www.zzqklm.com/w/qk/21223.html