赛门铁克数字化医院整体安全解决方案

1、赛门铁克医疗行业解决方案丁俊文赛门铁克软件（北京）有限公司System Engineersteven_ding议程2医疗行业信息系统介绍Symantec解决方案数据中心容灾解决方案影像数据存储解决方案影像数据归档解决方案数据备份解决方案整体网络安全解决方案Symantec解决方案的价值Symantec医疗解决方案用户 1 2 3 4医院信息系统建设的原始推动力现代医疗仪器依赖计算机和网络医疗事故，医患纠纷每年遵照医嘱吃错药造成死亡概率仅次于交通事故医院是仅次于中东的危险地带公共医疗成本不断上升，政府和个人都不堪重负医院必须依靠现代管理制度和全面信息化才能减少差错增加效益减少支出庞大的医院信息系

2、统门急诊、住院、麻醉、手术、病历。药品、物资、财务，院长查询、办公。检验、放射、影像。Symantec定位为医院信息系统提供基础架构（想上什么子系统尽管上）为医院信息系统提供安全保障（不停，不丢，可追查）为现代管理制度提供实现工具（红头文件落到实处）为医患纠纷提供电子证据医院信息系统的概貌以及如何反映医院实力的指标业务网同办公网物理隔离（网关隔离的案例极少）无线网络已经有较多用户使用以HIS（Hospital Information System）为核心构成业务系统从门急诊系统发展而来目前已经涵盖众多业务系统检验(Laboratory Information System)，放射(Radiol

3、ogical Information System)，影像(Picture Archiving & Communication System )系统相对独立，但以HIS为核心狭义HIS系统仅指某台数据库服务器，广义HIS系统的范围很大，涵盖极为广泛OA系统是主要的办公系统业务系统操作系统平台多样UNIX（HP、IBM）是3甲医院的首选，但也有例外Windows是最多被选择的平台业务系统数据库平台多样Oracle、SQL Server、Sybase是使用最多的数据库有少量使用DB2和Cach业务系统存储硬件平台多样主要是IBM、HP、EMC（DELL/EMC）少量NetApp、HDS、国产（如H

4、3C）反映医院实力的指标门急诊量、病床数、年收入、每病床效益议程5医疗行业信息系统介绍Symantec解决方案数据中心容灾解决方案影像数据存储解决方案影像数据归档解决方案数据备份解决方案整体网络安全解决方案Symantec解决方案的价值Symantec医疗解决方案用户 1 2 3 4医院信息系统（以HIS数据库为核心）HIS DBLISPACSEMR医保手术麻醉RIS院长查询分析系统社保体检、血库容灾需求分析主要业务系统HIS, RIS, LIS, PACS等RPO=0RTO20分钟容灾场地同一院区分院(同城)网络状况裸光纤高速千兆以太网用户技术储备极为有限BCP：无同步容灾技术（镜像或同步复

5、制）容灾产品Storage FoundationVolume Replication自动切换技术-Cluster Server2+2 集群 （园区级容灾）两台磁盘阵列实时镜像，彻底解决磁盘阵列单点故障问题；将两个节点分别部署在门诊楼和住院楼，实现园区级别的系统容灾。门诊楼住院楼GAB/LLT over EthernetSymantec Volume案例：无锡第一人民医院数据容灾利用VERITAS Storage Foundation HA在两台高性能光纤磁盘阵列之间实现数据的实时同步镜像，保证在任何一台磁盘阵列发生故障的时候不会丢失任何数据将镜像的两台磁盘阵列分别部署在两个机房，从而实现数据的

6、实时容灾容灾的数据包括HIS、LIS、PACS数据库等数据归档管理的索引数据可将磁带作异地保存以实现更远距离的容灾应用容灾采用VERITAS Storage Foundation HA软件将多台服务器构成一个整体的集群环境HIS、LIS、PACS、数据库等主服务器，都有专门的热备服务器作为后备将热备服务器部署在容灾机房，当第一机房服务器发生大面积瘫痪的时候，在第二机房可以保证HIS、LIS、PACS系统继续运行Symantec在医院案例中的几种容灾形式门诊楼住院楼GAB/LLT over EthernetSymantec Volume门诊楼住院楼GAB/LLT over EthernetSym

7、antec Volume单备机方案双备机方案Symantec在医院案例中的几种容灾形式门诊楼住院楼GAB/LLT over EthernetSymantec Volume门诊楼住院楼GAB/LLT over EthernetSymantec VolumeRAC镜像方案RAC镜像+备机方案达到的效果彻底防止任何硬件的单点故障通过SAN的扩展实现楼宇之间的容灾服务器实现最优化的热备份策略灵活的存储管理，包括在线扩容等适用范围：具有裸光纤连接的两个机房议程15医疗行业信息系统介绍Symantec解决方案数据中心容灾解决方案影像数据存储解决方案影像数据归档解决方案数据备份解决方案整体网络安全解决方案S

8、ymantec解决方案的价值Symantec医疗解决方案用户 1 2 3 4PACS系统的架构DB&FilePACS DB和影像文件在一台服务器上PACS DB使用内置磁盘存放或存放于SAN(数据库很小)影像文件（几十T）单独存放于一台服务器上DBDBPACS DB使用内置磁盘存放或存放于SAN(数据库很小)影像文件（几十T）单独存放于NAS上初级国内主流图像P:20090624xxxx或图像主机名20090624xxxx图像P:20090624xxxx网络共享最优方案网络共享图像P:20090624xxxx或图像主机名20090624xxxxPACS数据面临的几大问题PACS：Picture

9、 Archiving & Communication SystemMini PACS：几台放射设备的联网Radiology PACS：放射科内所有影像设备的联网Hospital PACS：全院整体化PACS，实现全院影像资源的共享PACS与RIS和HIS融合，医院管理系统中，PACS系统将占据医学诊断分析主导地位如何有效降低数据存储硬件投资（几十至几百T数据）如何进行数据备份（99%的PACS影像数据没有备份）如何提高响应速度（全院级PACS，几百万至几千万个文件）如何避免年年扩容中的痛苦（每年都有PACS存储采购）如何符合法规要求（就诊档案保存15年）如何容灾(DB和影像文件)我们的客户长期

10、影像Symantec针对PACS系统的海量存储方案DB&近期影像FCFCFCFCFCFCFCFCFCFC长期影像DB&近期影像FCFCFC镜像镜像高速LAN主PACS DB(SF HA)备PACS DB(SF HA)磁带库等备份设备PACS影像访问节点（File Store）PACS影像访问节点（File Store）PACS影像专用备份节点(NBU)长期影像Symantec针对PACS系统的海量存储方案DB&近期影像FCFCFCFCFCFCFCFCFCFC长期影像DB&近期影像FCFCFC高速LAN主PACS DB(SF HA)备PACS DB(SF HA)磁带库等备份设备PACS影像访问节

11、点（File Store）PACS影像访问节点（File Store）PACS影像专用备份节点(NBU)Symantec解决方案在PACS影像数据访问上的优势如何有效降低数据存储硬件投资可以使用不同的SAN存储硬件利用分级存储可以高低搭配，3个月内的影像存放在高速设备，超过3各月存放于低速设备如何进行数据备份专门配置的filestor数据备份节点，使影像数据访问节点无需参与备份内置快照功能如何提高响应速度Load balance技术提供多影像访问节点，并且无缝扩展Filestor内置storage foundation CFS对底层进行条带优化Filestor单一文件系统支持2亿个文件如何避免

12、年年扩容中的痛苦支持异构存储硬件支持在线扩容如何符合法规要求Filestor支持归档解决方案(enterprise Vault)如何容灾内置园区级容灾技术(RPO=0,RTO15分钟)议程21医疗行业信息系统介绍Symantec解决方案数据中心容灾解决方案影像数据存储解决方案影像数据归档解决方案数据备份解决方案整体网络安全解决方案Symantec解决方案的价值Symantec医疗解决方案用户 1 2 3 4PACS影像数据归档的需求PACS：Picture Archiving & Communication SystemMini PACS：几台放射设备的联网Radiology PACS：放射科

13、内所有影像设备的联网Hospital PACS：全院整体化PACS，实现全院影像资源的共享PACS与RIS和HIS融合，医院管理系统中，PACS系统将占据医学诊断分析主导地位如何符合法规要求“门（急）诊病历档案的保存时间自患者最后一次就诊之日起不少于15年”卫生部医疗机构病历管理规定 2002.9.1Filestor支持归档解决方案(enterprise Vault)我们的客户Enterprise Vault:优秀的PACS数据管家医疗仪器层（数据产生源）数据存储/处理层（访问服务端）影像工作站层（访问客户端）光纤SATA磁带库Enterprise Vault 典型的PACS归档方案归档服务器

14、Enterprise VaultPACS服务器全光纤磁盘阵列在线存储设备大容量NAS近线存储设备LAN长期影像（3-12月）Symantec针对PACS系统的归档解决方案DB&近期影像（3个月)FCFCFCFCFCFCFCFCFCFC长期影像(3-12月)DB&近期影像（3个月）FCFCFC高速LAN主PACS DB(SF HA)备PACS DB(SF HA)磁带库等备份设备PACS影像访问节点（File Store）PACS影像访问节点（File Store）PACS影像专用备份节点(NBU)归档影像归档影像镜像归档服务器（Enterprise Vault）长期影像（3-12月）Symant

15、ec针对PACS系统的归档解决方案DB&近期影像（3个月)FCFCFCFCFCFCFCFCFCFC长期影像(3-12月)DB&近期影像（3个月）FCFCFC高速LAN主PACS DB(SF HA)备PACS DB(SF HA)磁带库等备份设备PACS影像访问节点（File Store）PACS影像访问节点（File Store）PACS影像专用备份节点(NBU)归档影像归档影像归档服务器（Enterprise Vault）Presentation Identifier Goes Here2710 TB归档空间减少信息存储并把大部分数据迁移至归档中只读大部分已归档数据是静态的（不需要重复备份）备

16、份归档储存优化的备份2009年1季度2009年2季度2009年3季度2009年4季度2010年1季度PACS数据及副本分布情况12个月PACS高速存储2（镜像）PACS低速存储2（镜像）归档系统1 or 2(镜像)1 or 2(镜像)1 or 2(镜像)备份磁带1 or 2Symantec Enterprise Vault解决方案的特点用户可以使用DAS, SAN, NAS等各种不同存储硬件可以同海量影像存储解决方案FileStor集成可以直接构建在用户现有PACS存储构架上扩容方便，用户可以“持续”采用最具性价比的存储硬件进一步优化存储空间PACS系统中只保留12个月的影像数据，数据访问效率

17、提高所有数据（无论新旧）都在当天晚上归档至后台归档库（廉价存储器）由于近期影像数据存有2份（PACS和归档系统各一份），日常备份针对归档库内超过1年的数据，并且备份1次即可管理更容易，应用透明对PACS应用透明，无需更改应用软件满足法规对医疗记录保存的强制要求议程30医疗行业信息系统介绍Symantec解决方案数据中心容灾解决方案影像数据存储解决方案影像数据归档解决方案数据备份解决方案整体网络安全解决方案Symantec解决方案的价值Symantec医疗解决方案用户 1 2 3 4医疗用户对备份的需求需要备份的系统多：一般10个以上数据量各系统不同依次为PACS(几十T，文件),EMR(几百G

18、-几T，文件),HIS（几十G-几百G，数据库）备份窗口较小:主要系统为几十分钟至2小时长期影像（3-12月）Symantec数据备份解决方案DB&近期影像（3个月)FCFCFCFCFCFCFCFC高速LAN主PACS DB(SF HA)磁带库等备份设备PACS影像访问节点（File Store）PACS影像专用备份节点(NBU)归档影像归档服务器（Enterprise Vault）FCFCHIS DB服务器NBU Master ServerPACS DBHIS DBFCEV DB & index议程33医疗行业信息系统介绍Symantec解决方案数据中心容灾解决方案影像数据存储解决方案影像数

19、据归档解决方案数据备份解决方案整体网络安全解决方案Symantec解决方案的价值Symantec医疗解决方案用户 1 2 3 45个月婴儿患眼疾入院次日死亡XXX卫生局召开新闻发布会，通报了调查结果及对相关责任人的处理决定。 -给予值班医生XXX吊销医师执业证书、行政开除处分；医院院长对此次事件负有处置不力、初步调查结果不实等领导责任，给予其行政记大过、党内严重警告处分；给予医院党委书记党内严重警告处分。调查组连夜分别向医患双方当事人共33人次调查核实，并调阅了相关录像资料，检查了值班医生使用的计算机等，形成了最终调查结果：患儿家属的投诉情况基本属实。在此次事件前期调查中，值班医生隐瞒事实真相

20、，医院调查手段简单、调查深度不够、调查结果与事实不符。调查结果表明，医院值班医生XXX在值班期间曾在QQ游戏上下过两盘围棋。在患儿家属多次到护士站和医生值班室请求医生观察病情的情况下，值班医生仅观察过患儿病情3次，存在失职行为。政府新闻发言人在12日下午的新闻发布会上表示，XXX医院的这起事件引起市委、市政府领导的高度重视，省委常委、市委书记做出批示，要求对事件一查到底、严肃处理，并对医疗卫生工作提出明确要求。卫生部对XXX医院事件做出通报称，XXX医院在“徐宝宝”事件中，存在相关医务人员责任心不强；医疗安全核心制度执行不严；事件处置不力等严重问题，造成不良社会影响。医疗用户需要整体安全方案所

21、有医院都已经有防病毒软件、防火墙、入侵检测等基本设施安全事件仍然时有发生，特别在办公网内整体安全状况无人能够描述业务网同办公网隔离高端用户开始部署全院覆盖的无线网络以支持各种移动手持设备或工作站作为有线网络的补充业务网不再是密不透风了Presentation Identifier Goes Here36安全建设建议流程 识别风险并开发相应的策略SOXPCI-DSSISO27001BASEL密码访问文件脚本RPC补丁服务端口法规配置漏洞事先评估事后审计证明有效性并判定趋势 查询报告收集记录关联分析管理控制并解决问题零日攻击违规操作入侵防护合规性检查事中控制安全性防护系统监控文件监控权限控制整体安

22、全解决方案的构成（1）事先评估主机漏洞扫描系统（ESM)（2）事中控制终端保护 终端防护系统（SEP)服务器保护 重点服务器防护系统(SCSP)网络准入 准入控制系统(SNAC)（3）事后审计网络安全管理平台(SSIM)（4）基础设施运维IT生命周期管理（Altiris）Presentation Identifier Goes Here38网络准入控制堵住漏洞传统的管理方式红头文件/通告Mail、电话通知安全管理规章制度罚款、通报批评身份认证安全认证准许接入终端接入失败修复周期检查拒绝隔离自愈(remediation)自驭(restrict quarantine)自御(protection)S

23、ymantec的方法 Network Access Control策略制定策略执行全球安全情况讯息最新的漏洞和防护信息Global malicious attack signatures恶意的 IP地址s 和 URLs关联规则输入策略贯彻和弱洞管理主机和网络策略依从主机和网络漏洞资产发现桌面,网关,服务器安全防病毒,间谍软件,广告软件邮件和群件安全反垃圾邮件和内容服务器,主机入侵检测,防火墙边界和网络安全防火墙/虚拟专用网路由器和交换机网络入侵检测/入侵防御设备收集, 过滤, 归并, 关联存贮, 查询, 审计, 报告分析, 排定优先级, 响应信息安全IT 操作Security Informat

24、ion Manager关联引擎工作流程补救工单任务策略 + 威胁 + 情报 + 资产以安全管理平台使所有安全产品形成合力科学的基础设施运维体系是安全的保障部署新系统OS部署网络配置初始系统安装定义资产硬件资产软件资产固定资产分发软件应用软件升级病毒包问题管理远程控制桌面帮助 升级硬件更新操作系统更新应用软件更新PC 个性化迁移监视/跟踪采购辅助预定策略检测非法软件应用测量软件授权管理安全管理端口/无线控制管理员密码系统安全漏洞分析扫描、报告，补丁IT生命周期管理业务连续性软件自动修复健康状态管理冲突分析备份和恢复合约管理软件许可证硬件租约服务水准协议采购淘汰安装设置运作生产某医院网络安全产品部署议程42医疗行业信息系统介绍Symantec解决方案数据中心容灾解决方案影像数据存储解决方案影像数据归档解决方案数据备份解决方案整体网络安全解决方案Symantec解决方案的价值Symantec医疗解决方案用户 1 2 3 4Symantec解决方案的价值容灾解决方案系统不停，数据不丢操作简便，无人值守不捆绑硬件，选择余地大影像数据存储解决方案无缝扩展，按需部署并行访问，拥有高性能分级存储，节省