医疗行业信息安全管理整体解决方案

1、医院信息安全管理整体解决方案医疗用户需要整体安全方案所有医院都已经有防病毒软件、防火墙、入侵检测等基本设施安全事件仍然时有发生，特别在办公网内整体安全状况无人能够描述业务网同办公网隔离高端用户开始部署全院覆盖的无线网络以支持各种移动手持设备或工作站作为有线网络的补充业务网不再是密不透风了安全规划与建设思路的转变防护重点安全治理观念高效安全管理需求以边界、安全域为主的 “传统防护思路”被动的、防御型 的技术手段应对型的安全建设 模式通过工具化、自动化的安全手段，应对不断扩张的IT资 产的管理，有效落实安全管 理要求逐渐转向针对：数据内容应用用户身份行为的安全防护。加强主动防御的合规管理工作。加强

2、安全监控综合分析；通过安全指标为衡量手 段，推进安全治理、衡量 安全建设绩效。传统的思路和模式信息的安全合规管理自动化高效的安全管理关键字安全建设建议流程事后审计证明有效性并判定趋势查询报告关联分析收集记录加固安全状态防止问题发生Anti-malwareFirewallHIPSApp. Ctrl.Device CtrlLAN准入 网关准入 自我强制P2P控制DHCP准入桌面虚拟化应用程 序虚拟 化终端安全网络准入虚拟化事先防范管理控制并解决问题零日攻击 违规操作 入侵防护数据防泄密事中控制安全性防护监控预防发现保护端点控制信息中心信息管理终端控制终端安全建设的困境终端类型多样化固定PC移动PC

3、智能终端终端用途多样化公私混用（公用/私用）多业务混用（办公/业务）终端环境多样化操作系统（windows系列）硬件配置（CPU/Mem/外设）应用（QQ、MSN)策略设置管理复杂安全性和易用性的权衡防护产品的环境适应性安全策略上的妥协安全产品形同虚设安全产品不好用 更换产品抱怨终端用户默认终端现状终端环境：建设困境结果终端建设历程分析病毒防病毒产品企业的终端安全管理防病毒产品五 花八门，防毒 水平参差不齐企业统一防病毒体系全面终端安全防护终端感染病毒的 渠道越来越多， 带来其他的威胁防护软件删了怎么办？外来终端怎么办？ 大量终端1个管 理员怎么管？统一化管理要求、 考核要求、运维 要求配套解

4、决病毒转向解 决人的问题减少感染机会解决管理策略问题管理力度问题运维自动化问题技术与管理配合问题为何终端权限控制使用者私自修改IP地址使用者私自安装软件，威胁到整个网络安全使用者随意添加硬件使用者随意关闭或卸载安全防护软件使用者使用迅雷等下载工具，阻碍网络的正常工作。如何进行终端权限限制10为何需要终端防护防病毒/防间谍软件入侵防护(主机)防火墙设备控制主侵防护(网络)应用程序控制终端防护降低了成本、复杂度， 减少了风险的暴露增强了保护、 控制和管理性防间谍软件防病毒防火墙XX防病毒与先进的威胁防护技术结合起来单一的解决方案提供终端安全防护单代理、单控制台结果:(主机) 入侵防护设备控制应用控

5、制(网络) 入侵防护避免 事后处理屏蔽 不安全接入规范 接入行为铲除 威胁源头从纸面的管理口号到技术上的策略遵从传统的方法罚 款管 理邮 件通 告通 报 批 评规 章 制 度电 话 通 知红 头 文 件策略 制定策略 执行安全认证准许接入身份认证终端接入失败修复周期检查拒绝或隔离Symantec的方法检测终端接入第2步第3步针对策略检查配置的遵从性持续监控，遵守当前的策略第5步基于策略检查的结果采取措施第4步定义策略第1步准入控制能干什么谁可以进入服务器网访问哪台服务器访问什么端口(应用)桌面运行什么程序访问特定端口不能获取什么数据19准入控制御“毒”于网络之外第 1 关外设控制监管所有I/O

6、端口第 2 关双向防火墙监管所有网络通讯第 3 关NIPS 和 HIPS发现并阻止入侵行为第 4 关主动防御技术发现各种未知的安全风险第 5 关传统实时防护检测并清除恶意程序第 6 关系统加固修补漏洞提高安全性第 7 关紧急事件响应迅速应对减少损失第 8 关资产合约配置补丁升级软件备份标识迁移部署事件问题变更发布帮助台服务等级恢复分析远程维护监视报告IT Life CycleManagement过渡和 迁移远程帮助和故障排除监控 和跟踪业务连续性保障补丁程序管理映像制作 部署和配置应用程序打包和质量保证软件管理 和虚拟化客户端 查询和 清单支持不同种类的平台资产管理客户端和移动用户管理Netw

7、ork资产部署NetworkDevicesSite 监控Windows资产部署补丁管理软件分发 打包工具应用软件管理 远程控制Windows 网管 服务器监控 备份与修复UNIX/Linux资产 部署补丁管理2软件分发Windows 网管3 服务器监控 备份与修复2Macintosh资产补丁管理2软件分发2远程控制Windows 网管个性化迁移应用测量备份与修复WindowsHandheld资产资产部署部署补丁管理软件分发软件分发2打包工具打包工具 应用软件管理服务器管理资产应用软件固定资产条形码合同管理TCO管理帮助台数据中心控制如何阻截已经射出的子弹？XXCritical System P

8、rotection维持系统的策略依从加固系统入侵检测入侵防护减少管理复杂程度提升产品的管理能力防止零日攻击加固日志系统, 日志转发, 和日志监控对无法立即安装补丁程序或锁 定的系统提供防护企业级的报表功能通过简单，集中的策略创建管 理系统降低企业用于资产保护 的成本目的提供怀有恶意的内部用户攻击系 统未知攻击针对:内存文件系统注册表操作系统应用终端用户违背企业安全策略预防核心HIS、LIS服务器安全加固医院HIS、LIS服务器安全极为重要，一旦HIS、LIS有安全风险， 造成的后果不仅仅是数据丢失，而且会造成医院业务可用性 故障。加固HIS、LIS等核心服务器的安全，避免服务器受到恶意 内部或

9、者外部人员的攻击。避免由于攻击行为而造成数据 的泄露和服务器的停顿。考虑到医院内有很多的维护供应商，包括软件的和硬件以 及业务维护人员。这些人员经常会进入到机房甚至操作服 务器。这些人员无意思的操作风险或者有意识的渗透都会 造成数据泄密和服务器停顿的风险。需要监控这些人员在 服务器上的操作，并在他们执行危险操作时阻止他们SCSP 关键系统多重防护功能Network Protection(Host IPS)Exploit Prevention(Host IPS)System Controls(Host IPS)Auditing & Alerting(Host IDS)XXCritical Sys

10、tem Protection限制应用和操作系统的 行为阻止缓冲区溢出攻击检测零日攻击减少系统宕机时间操作系统加固监控日志和安全事件归并并转发日志到SSIM平台智能事件响应阻止后门限制应用程序的网络连 接限制进出流量主机防火墙功能默认策略即可有效保护系统锁定系统配置和设定注册表保护文件系统保护强制遵从安全策略限制用户的权限限制移动存储设备行为监控内容未授权的系统配置更改未授权的管理权限更改及滥用用户登录、退出，和失败登录操作命令和参数重要文件未授权访问、更改变更内容注册表的更改（针对Windows平台)31信息控制32信息泄露的状况：产生-传输-使用的全过程信息泄漏环境信息外发和活动监控存储发现

11、和信 息整理第三方邮件外发、上网移动媒体端点监控木马交流数据库文件服务器信息防泄漏从3方面来考虑信息泄露风险，保障企业核心信息安全由于统方信息大多情况是通过个人的终端传递出去，我们首先 需要考虑的问题是，监测存放在终端上的医院敏感信息的复制、 打印、刻录、邮件等行为，通过警讯提醒医务人员风险操作。 并在需要的情况下实时阻止这些泄密行为考虑到医院内部通过网络的通信途径比较多，在网络层监测信息使用者敏感信息传递过程协议监控，包括 email, web, IM, FTP,PTP等。避免通过网络将信息传递出去所有的统方数据都通过HIS服务器获得，通过DLP监控医务人员 对于HIS服务器的数据查询，及时

12、发现统方查询和数据获得情况。 并建立事件及时报警和审计。建议通过Symnatec DLP 解决方案来达到目标35医院信息防泄漏需求针对HIS系统服务器上的数据查询分级审计进行数据泄密的 监控针对IT系统中所有导出的数据进行数据防泄密的监控针对一些关键性excel报表进行数据防泄密的监控对以上监控数据客户端要求阻断功能36DLP项目总体目标通过DLP产品重塑企业内部审计流程，符合医院 CFO、 内审、IT基础架构对信息防泄漏体系的要求通过医疗DLP项目提升医疗系统IT信息化建设信息安全等级， 提升企业形象。通过医疗DLP项目，站在更高的角度上审视医院信息安 全，完善信息安全基础架构，为业务系统提

13、供更安全的保障37以保护“信息”为核心最佳实践定义敏感信息监视这些数据如何被使用建立防泄漏的管理机制和流程提升整个企业对信息安全管理的参 与度将信息安全管理上升到业务风险管 理的高度把业务部门引入安全管理的 最佳“切入点”：信息泄漏 风险管理 解决方案电子 邮件USB设备笔记 本电 脑File 服务 器防泄漏 策略监控 & 预防 发现 &保护Web邮 件及时 消息Web/ftp数据库服务器由下属部门的主管组成负责制定战略方向，扩大覆盖范围，设定风险防范机制目标，监测标准。确保优先权正确，资源充足，业务单位正在进行数据监测。CISO,CIO应当带领指导委员会，推动业务部门参加数据指标的监控，对事

14、件 进行补救，并增减政策规定。统筹管理委员会风险管理部 门IT部门业务部 门负责DLP系统的 管理负责维护系统功 能和性能，配置和 管理策略、响应规 则、用户、角色、 工作流系统优调和扩展， 监测运行指标负责部门内的事 件管理一般风险由部门自己 管理高危风险需上报总部 风险管理部门定期提交所属部门风 险统计数据负责上报事件和统计数据 的管理风险管理部门给出明确的风险等 级定义明确哪个等级的事件必须上报管理上报事件，进行调查和取证定期按统计数据进行排名，排名 结果记入KPI指标必要时，启动紧急响应流程。联 系公关部门，外部法律机构减小或消除负面影响理念方案CD/ DVD方法论结合实际的最佳实践S

15、ymantec可以帮助您如何来防止数据泄漏？发现监控阻止数据在网络中如何流动？敏感信息在什么位置?DATA LOSS PREVENTION (DLP)DLP工作原理Presentation Identifier Goes Here40管理发现识别扫描目标运行扫描以发现网络及端点 上的敏感数据启用或自定义策略模板补救并报告风险降低监控123保护45检查发送的数据外设检测监控网络与端点事件禁止、删除或加密隔离或复制文件外设控制通知员工及其经理DLP可完成的工作CD/DVDLaptopsEmailInstant MessageFTPSharePoint / Lotus Notes / Exchang

16、eDatabasesFile ServersU盘DLP PolicyMonitoring & PreventionDiscovery & ProtectionWebmailWeb servers本地硬盘Outlook Lotus打印/传真HTTP/SExcel 表格识别(正则表达式方式识别)统方统计表识别序号s1,10科室编号s1,10医生代码s1,10药物名称s1,10药物用量s1,10单价s1,10总价通过对统方表格的识别，达到统方审计问题。43泄密事件追溯44安全管理和审计诸多安全管理软件会产生大量的安全日志，如果不进行管理 分析这些安全解决方案的作用就被消弱。针对于可能发生的 “统方”

17、事件以及其他对医院影响较大的安全事件。必须能 够及时发现、定位、报警以及事后审计。及时发现“统方”事件和所有其他严重安全事件定位“统方”事件的发生源、时间、人员以及影响范围对于重要时间及时报警通知管理员采取措施所有安全事件可以被事后审计、分析、评估。并能够提供 分析报表。日志的引入日志 原始凭证、记账凭证：记 录我们出差的整个过程。做到有 证可查。审计功能IT系统的日志 -记录IT活动的过 程和状态。Vontu ServerSNAC 6100LAN Enforce MasterSNAC 610LAN Enforce S0laveInside PC接入层交换机核心交换firewall接入层交换机

18、核心交换SNAC6100Gateway Enforce公网SSIM9630SSIM9650Altiris ServerOutSide PCSEPMBE DLO/BESR入侵告警日志 病毒安全日志 网络链路日志 用户活动日志 系统性能记录 业务相关日志。日志带来的IT价值建立工业安全架构标准获得ROI或者降低开支为企业产生报表IT操作过程控制遵从网络设备安全接入市场准入的法规遵从追踪可疑行动和用户活动法律鉴定和关联信息泄露防护归纳总结安全保障 追踪取证 安全威胁分析和响应 策略调优IT运行 故障监控、防止蠕虫爆发 服务水平提升 资源优化法规标准等合规要求 SOX法案 等级保护 COBIT ISO

19、27002XXSecurity Information Manager50IdentifiedthreatsKnown vulnerabilitiesBusiness-critical IT assetsRisk-based PrioritizationThreat DeterminedFirewalls/VPNIntrusionDetection SystemsVulnerability AssessmentNetwork EquipmentServer and Desktop OSAnti-VirusApplicationsDatabasesUser Activity MonitoringCritical file modificationsPolicy ChangesMalicious IP TrafficWeb TrafficTens of Millions: Raw EventsMillions: Security Relevant EventsHundreds: Correlated Events业务安全-内部操作违规口令猜测系统层面针对不同账号进行口令猜测系统层面针对同一个账号进行口令猜测时间违规用户系统层面非计划时间内变更审计用户网络层面非计划时间内变更审计来源违规面地址段登录生产和测试网段的网络设备桌面地址段登录生产和测试网段的网络设