医院信息安全等级保护的探讨

导语：医院信息安全等级保护的探讨一文来源于网友上传，不代表本站观点，若需要原创文章可咨询客服老师，欢迎参考。

1医院重要信息系统等级保护行业政策

1.1国家卫生部文件

文件明确规定了信息安全等级保护工作的工作目标、工作原则、工作机制、工作任务、工作要求，工作任务中特别强调了“三级甲等医院的核心业务信息系统”应进行定级备案。

1.2浙江省卫生厅文件

为加强医疗卫生行业信息安全管理，提高信息安全意识，以信息安全等级保护标准促进全行业的信息安全工作，提高全省卫生系统信息安全保护与信息安全技术水平，强化信息安全的重要性。2011年6月7日，浙江省卫生厅和浙江省公安厅联合下发《关于做好全省医疗卫生行业重要信息系统信息安全等级保护工作的通知》（浙卫发〔2011〕131号），并一同下发了《浙江省医疗卫生行业信息安全等级保护工作实施方案》和《浙江省卫生行业信息系统安全等级保护定级工作指导意见》。为进一步指导我省卫生行业单位开展信息安全等级保持工作，浙江省卫生信息中心于2012年4月6日下发了《关于印发<浙江省卫生行业信息安全等级保护工作指导意见细则>的函》。上述文件详细规定了工作目标、工作流程和工作进度，并明确了医疗卫生单位重要信息系统的划分和定级，具有很强的指导性和操作性。

2医院信息安全等级保护

依据上述行业文件要求，全省医院重要信息系统信息安全等级保护工作由省卫生厅和各级卫生局、公安局分级负责，按照系统定级、系统备案、等级测评、安全整改[1]四个工作步骤实施。

2.1系统定级

2.1.1确定对象

我省医院信息化发展较早，各类系统比较完善，但数量繁多。将出现多达几十甚至上百个定级对象的状况，这与要求重点保护、控制建设成本、优化资源配置[2]的原则相违背，不利于医院重要信息系统开展信息安全等级保护工作。依据《计算机信息系统安全保护等级划分准则（GB17859-1999）》等标准，结合我省医院信息化现状及发展需要，经卫生信息化专家和信息安全专家多次论证，本着突出重点、按类归并、相对独立、节约费用的原则，从系统管理、业务使用者、系统服务对象和运行环境等多方面综合考虑，把医院信息系统划分为以下几类，如表1所示。

2.1.2等级评定

医院重要信息系统的信息安全和系统服务应用被破坏时，产生的危害主要涉及公民的个人隐私、就医权利及合法权益，对社会秩序和公共利益的损害属于“损害”或“严重损害”程度。参考《信息安全等级保护管理办法》及省卫生信息中心指导意见细则要求[3]，即属于“第二级”或“第三级”范畴。因此医院信息系统对信息安全防护和服务能力保护的要求较高，结合业务服务及系统应用范畴，实行保护重点、以点带面原则，参考定级如表2所示。

2.2系统定级备案

省卫生厅及省级医疗卫生单位信息系统、全省统一联网或跨市联网运行的信息系统由省公安厅受理备案；各市卫生局及其下属单位、辖区内医院信息系统由属地公安机关受理备案。各市卫生局应将辖区内医疗卫生单位备案汇总情况和《信息系统安全等级保护备案表》等材料以电子文件形式向省卫生厅报备。定级备案流程示意图如图1所示。

2.3等级保护测评

医院重要信息系统完成定级备案后，应依据《浙江省信息安全等级保护工作协调小组关于公布信息安全等级报测评机构的通知》（浙等保〔2010〕9号）选择浙江省信息安全等级保护工作协调小组办公室推荐的等级测评机构，启动等级测评工作，结合所属等级要求对系统进行逐项测评。通过对医院系统进行查验、访谈、现场测试等方式收集相关信息，详细了解信息安全保护现状，分析所收集的资料和数据，查找发现医院重要信息系统漏洞和安全隐患，针对测评报告结果进行分析反馈、沟通协商，明确等级保护整改工作目标、整改流程及注意事项，共同制定等级保护整改建议方案用于指导后续整改工作。对第二级以上的信息系统要定期开展等级测评。信息系统测评后，医院应及时将测评机构出具的《信息系统等级测评报告》向所属地公安机关报备。

2.4等级保护规划建设整改

根据《信息系统安全等级保护实施指南》及省实施方案，结合医院信息系统的安全需求分析，判断安全保护现状，设计合理的、满足等级保护要求的总体安全方案，并制定出安全实施规划[4]等，用以指导信息系统安全建设工程实施。引进第三方安全技术服务商，协助完成系统安全规划、建设及整改工作。建设，整改实施过程中按照详细设计方案，设置安全产品采购、安全控制开发与集成、机构和人员配置、安全管理制度建设、人员安全技能培训等环节[5]，将规划设计阶段的安全方针和策略，切实落实到医院系统的信息安全规划、建设、评估、运行和维护等各个环节。其核心是根据系统的实际信息安全需求、业务特点及应用重点，并结合医院自身信息安全建设的实际需求，建设一套全面保护、重点突出、持续运行的安全保障体系，确保医院系统的信息安全。等级保护工程及管理体系建设整改流程如图2所示。

3医院重要信息系统安全等级保护成效

各级医院按照国家有关信息安全等级保护政策、标准，结合卫生行业政策和要求，全面落实信息系统信息安全等级保护工作，保障信息系统安全可靠运行，提高安全管理运维水平。

3.1明确系统安全保护目标

通过推行各级医院信息安全等级保护工作，梳理卫生信息系统资产、网络边界、网络安全设备部署及运行状况。根据系统风险评估、危害的覆盖范围及影响性判定安全等级，从而根据标准全面、系统、深入地掌握系统潜在的风险隐患，安全漏洞。明确需要重点保护的应用系统及信息资产，提出行之有效的保护措施，有针对性地提高保护等级，实现重点目标重点保护。

3.2建立安全管理保障体系

安全管理保障体系是开展信息安全工作的保障，指导落实各项安全指标要求。信息安全等级保护基本要求中明确要求加强主管及安全责任部门领导，配备信息安全专员督导安全检查、维护、培训工作。建立健全信息安全管理保障制度体系，包括机房安全管理制度、人员安全管理制度、运维安全管理规范。建立行之有效的安全应急响应预案及常规化的信息安全培训及预防演练，形成长期的安全风险管控机制。

3.3加强安全意识和管理能力

通过落实等级保护制度的各项要求，认识安全意识在信息安全工作中的重要性和必要性，调动安全保护的自觉主动性，加大安全保护的资金投入力度，优化安全管理资源及策略，主动提升安全保护能力。同时重视常规化的信息安全管理教育和培训，强化安全管理员和责任人的安全意识，提高风险分析和安全性评估等能力，信息系统安全整体管理水平将得到提高。

3.4强化安全保护技术实施

医院开展信息安全等级保护工作可加深分级、分域的纵深防御理念，进一步结合终端安全、身份认证、网络安全、容灾技术，建立统一的安全监控平台和安全运行中心。根据测评报告及建设整改建议，增强对应用系统的授权访问，终端计算机的安全控制，网络流量的异常监控，业务与数据安全保障，恶意软件和攻击行为的防御、发现及阻击等功能，深层次提高抵御外部和内部信息安全威胁的能力。

3.5优化第三方技术服务

与安全技术服务机构建立长期稳定的合作关系，引进并优化第三方技术资源，搭建安全保护技术的学习桥梁与交流平台。在安全技术与管理方面加固信息安全防护措施，完善信息安全管理制度，同时通过安全技术管理培训强化医院工作人员信息安全保护意识，提高信息安全队伍的技术与管理水平，共同为医院系统信息化建设的快速发展保驾护航。总之，医院开展信息安全等级保护工作将有效提高医院信息化建设的整体水平，有利于医院信息化建设过程中同步建设信息安全设施，保障信息安全与信息化建设相协调；有利于为信息系统安全建设和管理提供系统性、针对性、可行性的指导和服务；有利于优化信息安全资源的配置，重点保障基础信息网络、个人隐私、医疗资源和社会公共卫生等方面的重要信息系统的安全[6]。

4结束语

医院系统信息安全是卫生信息化的重要组成部分，也是决定卫生信息化未来发展的关键因子。开展和完善医院重要信息系统信息安全等级保护工作，从安全意识、安全制度、安全技术及安全管理等多方位措施加强防护，排查安全漏洞及潜在隐患，对于保障医院重要信息系统正常运行，促进卫生信息化健康发展，深化医药卫生体制改革，维护公共利益、社会秩序和国家安全具有重要意义。

本文作者:辛均益陈启岳王宏宇工作单位:浙江省卫生信息中心