临汾市人民医院信息安全等级保护建设方案（北京科能腾达信息技术股份有限公司）

技术总监：刘权峰2015年07月信息安全等级保护建设方案汇报演示

目录

北京科能腾达信息技术股份有限公司（CNGate)介绍什么是国家信息安全等级保护制度为什么医院需要建立符合信息安全等级保护标准的安全体系CNGate信息安全等级保护设计方案整体设计方案的技术优势信息安全等级保护工程如何实施成功案例

公司概况

公司名称：北京科能腾达信息技术股份有限公司成立于2000年，15年专注于网络安全领域，2012年9月成功登陆“新三板”总部在北京，硬件平台生产基地在深圳，产品研发中心在北京、深圳CNGate产品：均已获得政府、军队的销售许可证，全线产品进入中央政府采购平台与国家信息安全测评中心，公安部三所，国安局和国内多家等保测评中心建立长期合作关系分支机构：上海、深圳、西安、成都、郑州、青岛主要业务区域：华北、东北、华东、西北、西南、华南主要客户：政府、公安、教育、金融、医疗卫生、能源电力、互联网业务2015年6月荣获由中国证券报主办的“第17届中国上市公司金牛奖”中，荣获“最佳金牛奖”入选2015年度新三板行业最具投资价值的20家公司——新华网和新三板智库联合评选公司发展历程推出CNGate-AGWEB应用安全网关推出CNGate-ITM网络监控管理可视化系统2008-201120142012CNGate-USG系列安全网关产品CNGate-AET-NGIPS下一代高智能入侵防御系统CNGate-NGFW下一代防火墙CNGate-WAFWEB应用防火墙成功登陆新三板

简称：科能腾达代码：430148专注网络安全领域，提供网络安全解决方案和服务2000-20082013推出CNGate-BAS运维管理审计系统推出“货架式”安全等级保护解决方案20002014-2015推出“安全管家”安全服务解决方案推出TES（高级逃避技术测试工具）EPS-反高级逃避攻击专用产品SIEM–安全事件管理平台CNGate荣誉公司优势CNGate系列安全产品，严格按照国家四部委颁布的《信息安全等级保护标准》的要求，进行规划和研发“抗高级逃避技术”是公司的核心技术，独有的深度检测和全协议栈解码技术与世界安全技术同步，在国内处于领先地位下一代的安全引擎，支持弹性部署（物理环境，虚拟环境，云平台）十五年专注于信息安全行业，积累了一支经验丰富、技术精湛的安全技术服务团队“CNGate安全管家服务”可为客户提供整体网络安全服务能力；严谨适宜的行业客户安全解决方案，个性化的客户安全服务方案

设备产品信息安全防护类下一代防火墙CNGate-USG下一代入侵防御系统CNGate-NGIPS高级逃避技术防护系统CNGate-EPS(EvasionProtectSystem)防病毒CNGate-AVWeb应用防火墙CNGate-WAF服务器安全加固软件CNGate-HST安全隔离与信息交换系统CNGate-SG信息安全管理审计类全网业务可视化运维管理系统CNGate-ITM运维审计（堡垒机）CNGate-BAS数据库审计CNGate-DBA漏洞扫描系统CNGate-NVS上网行为审计CNGate-AG信息安全事件统一监控安全信息事件管理平台CNGate-SIEM移动支付认证平台移动支付认证系统CNGate-AS应用交付类服务器负载均衡、链路负载均衡CNGate-ADC网络安全与压力测试仪表类AET专用测试工具CNGate-TES-AETAPT+AET综合测试仪表CNGate-TES-APTDDoS流量压力测试仪表CNGate-TES-DDoS网络仿真测试仪表CNGate-TES-NS（NetworkSimulation)CNGate全线产品符合国家等级保护标准

目录

科能腾达信息技术股份有限公司（CNGate)介绍什么是国家信息安全等级保护制度为什么医院需要建立符合信息安全等级保护标准的安全体系针对临汾人民医院信息安全等级保护设计方案整体设计方案的技术优势成功案例信息安全等级保护工作信息安全等级保护是指对国家秘密信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。政策背景——国家全面推行信息安全等级保护制度2007年6月，公安部、国家保密局、国家密码管理局、国务院信息化工作办公室联合发布《信息安全等级保护管理办法》（公通字［2007］43号），在全社会范围推行“信息安全等级保护”政策。等级保护工作是信息安全工作的基本制度，是维护国家信息安全的根本保障，是国家意志的体现。国家信息安全等级保护制度将信息安全保护等级分为五级：第一级为自主保护级，第二级为指导保护级，第三级为监督保护级，第四级为强制保护级，第五级为专控保护级。以下重要卫生信息系统安全保护等级原则上不低于第三级：（1）卫生统计网络直报系统、传染性疾病报告系统、卫生监督信息报告系统、突发公共卫生事件应急指挥信息系统等跨省全国联网运行的信息系统；（2）国家、省、地市三级卫生信息平台，新农合、卫生监督、妇幼保健等国家级数据中心；（3）三级甲等医院的核心业务信息系统；（4）卫生部网站系统；（5）其他经过信息安全技术专家委员会评定为第三级以上（含第三级）的信息系统。等保三级：1）防护系统免受来自外部有组织的团体(如一个商业情报组织或犯罪组织等)，拥有较为丰富资源(包括人员能力、计算能力等)的威胁源发起的恶意攻击、较为严重的自然灾难以及其他相当危害程度的威胁（内部人员的恶意威胁，设备较为严重的故障）所造成的主要资源损害。2）能够及时发现安全漏洞和安全事件；3）在系统遭到损害后，能够较快恢复绝大部分功能。医院业务信息系统医院信息系统基础业务系统综合运营系统公共应用服务系统协作交互系统信息系统的任何风险将带来巨大损失！当前网络安全现状--排名前十的关键漏洞没有PATCH厂商IBM漏洞分析小组的报告，很多系统其实是存在一些漏洞但是厂家短时间内没有任何解决方案IBM-X-Force-Vulnerability-Threats系统宕机某医院出现了系统宕机的情况，从早晨九点半开始系统就不能进入了，整个的情况一直延续到下午一点半。经过四个小时才恢复，这个事件造成了医院的门诊大厅的拥堵。最近这几年来这样的事件其实已经发生得不是特别多了，但是这种事件的影响，威胁的严重程度比较高。一旦出现这种情况就容易出现大规模的患者的拥堵，属于社会秩序发生混乱。信息泄露举一个2008年的案例。南方的妇幼保健院，内部人员把系统上存的母婴的信息，一共4万多条制成了一个光盘公开出售，这个光盘每条信息3毛钱，一张光盘1万2，造成了非常恶劣的影响。这是内部人员监守自盗，破坏它的安全性，导致信息泄露。有目的性攻击黑客攻击医院网站进行勒索。2011年深圳医院员工向网警大队报案，说有人攻击他们的服务机。攻击者向医院索要2000块钱，接到报案以后福田警方就去侦破，抓了两个人。这两个人岁数都不大，当时也就是不到20岁。抓到这个人之后，就对他们进行了审讯。然后这两个人说我们有很多种模式，这个模式是找你要钱还有一种可以深度合作。一旦你要愿意的话你可以给我钱我可以帮你黑别人。以前我们认为黑客这个职业都是技术含量很高的职业，实际上看来这两个人的技术并不高，就是从网上下载了黑客工具，门槛很低，所以黑客其实离我们并不远。医院常见的安全威胁案例分析医疗行业泄密事件2012年5月10日，浙江省医疗从业人员陈绍标因涉嫌非法获取计算机信息系统数据罪,被浙江省温州市鹿城区人民检察院依法批准逮捕。他用个人笔记本电脑入侵温州18家医院管理系统，仅一家医院就被窃取信息60万条，同时他还曾在绍兴、义乌等地多家医院作案。他的作案手段仅仅是将个人电脑连到医院公用电脑（比如供群众打印化验结果的电脑）使用的网线上，再利用黑客程序即可轻松连入医院医药管理系统网络，自动将系统内的医药数据下载。2011年上半年，福州的多家三甲医院也曾被黑客入侵。黑客半夜潜入医院，将自带电脑接入医院内部网络，窃取医院的“统方”（医生或部门一定时期内临床用药量信息统计），然后高价卖出。“三级等级”保护技术和管理要求

三级等保技术要求物理安全网络安全

主机安全应用安全数据安全备份恢复管理要求管理制度

管理机构

人员管理

建设管理

运维管理

建立以风险为核心的信息安全管理体系信息安全（Informationsecurity）的主要目标是保护信息和信息资产的保密性(Confidentiality)、完整性(Integrity)和可用性(Availability)的保持。保密性定义为保障信息仅仅为那些被授权使用的人获取。完整性定义为保护信息及其处理方法的准确性和完整性。可用性定义为保障授权使用人在需要时可以获取信息和使用相关的资产。如何保证信息资产的保密性、完整性和可用性？必须用风险管理的手段来实现，风险管理是企业安全管理的核心，正确的风险管理方法是不断评估和监控企业信息资产中存在的风险，并采取一定的防护措施和响应管理流程，保证对风险的抑制。医疗行业安全现状和测评重点重视局部安全，对总体安全认识不足，对IT规划、安全规划在信息安全中的重要性认识不足；建设过程中，在物理环境、网络、主机、应用、数据及管理各层面均采用了部分安全措施；但往往忽视整体的安全规划，在安全运维中经常陷于“头痛医头，脚痛医脚”疲于奔命的局面；对安全运维、安全服务认识不足，自身技术条件不足情况下，安全运维长期缺位而不注意引入安全服务；认为信息安全只是技术问题，对安全管理认识不足，未能运行有效的安全管理体系，造成制度不到位、责任不明确，出现问题难以查找原因；认为信息安全即网络安全，对物理、主机、应用、数据安全认识不足，尤其对应用安全认识不足；重视安全产品的采购，忽视安全机制的建立；认为要达到等级保护要求，把该买的设备买够就行，结果不但造成浪费，而且事与愿违。20医疗行业容易出现安全认识方面的误区：

目录

科能腾达信息技术股份有限公司（CNGate)介绍什么是国家信息安全等级保护制度为什么医院需要建立符合信息安全等级保护标准的安全体系针对临汾人民医院信息安全等级保护设计方案整体设计方案的技术优势成功案例1、无线网络：临床科室的无线网络综合布线监控。2、核心设备：因应用系统扩充需要增加的数据中心系统监控，核心设备包括服务器、交换机、系统软件等。3、终端硬件：因应用系统扩充包括的无线终端、科室终端、电脑的监控。4、防火墙：制定访问控制策略保证网络安全5、入侵防御：对重要的服务器系统进行的非法访问、恶意攻击及蠕虫传播等行为并及时进行阻断和报警。6、入侵检测：发现恶意用户对重要的服务器系统进行的非法访问、恶意攻击及蠕虫传播等行为并及时进行报警和采取一定的响应操作。7、网络行为安全审计：部署在核心交换机上，对网络中的流量做全面的监控与审计策略。8、终端安全管理：客户端部署在所有外网的终端设备上，管理服务器部署在外网的安全管理区域，已使用。9、终端防病毒：防病毒服务器在部署安全管理区域，为全网提供病毒升级和监控管理能力，已使用10、数据库监控：防统方、防恶意操作数据、数据痕迹、数据日志、IP监控等。演示内容临汾市人民医院网络现状千兆光纤老医院区千兆光纤千兆光纤外网内网业务应用服务器区CNGate在医疗领域等级保护的解决方案网络安全等保技术要求说明CNGate产品网络出口边界防护交换机、路由器、防火墙、IDS/IPSCNGate-USGCNGate-NGIPS域间防护交换机、路由器、防火墙、IDS/IPSCNGate-NGIPSCNGate-USG网络状态嗅探网络嗅探设备、网络测试仪等CNGate-NGIPS网络漏洞扫描网络漏洞扫描工具CNGate-NVS网络防恶意代码杀毒、内容过滤等网关类安全设备CNGate-USG配置和行为审计网络审计工具CNGate-BASCNGate在医疗领域等级保护的解决方案主机安全技术要求说明CNGate产品主机漏洞扫描主机漏洞扫描工具，配置扫描类工具CNGate-NVS安全管家服务主机防恶意代码主机查杀工具CNGate-HSTCNGate-AV主机安全加固主机IPS/IDS，补丁、软件、安全策略统一分发CNGate-HST主机资源、性能监控主机资源和性能监控平台CNGate-ITM身份认证统一身份认证、双因子强认证等CA配置和行为审计主机审计工具CNGate-DBACNGate-BASCNGate-AGCNGate在医疗领域等级保护的解决方案终端安全技术要求说明CNGate产品终端防恶意代码终端查杀工具CNGate-AV终端安全加固终端FW/IDS，补丁、软件、安全策略统一分发CNGate-NAC终端准入终端准入解决方案CNGate-NAC终端安全状况审计终端安全审计工具CNGate-SIEM数据安全技术要求说明CNGate产品数据防泄露数据防泄露产品CNGate-NGIPS数据加密加密类、数据签名类软件CNGate-SA数据使用行为监控数据使用审计工具CNGate-DBACNGate在医疗领域等级保护的解决方案应用安全技术要求说明CNGate产品应用防火墙针对webserver、proxy、网络应用等的特殊防火墙CNGate-WAF网页防篡改网页防篡改解决方案CNGate-WAF应用、数据库安全审计应用和数据库安全审计工具CNGate-DBA运维管理技术要求说明CNGate产品统一安全运维平台安全运维平台CNGate-ITM医疗行业等保测评重点物理环境注意保留防盗窃、监控报警系统的运行维护检查记录网络安全合理划分vlan网络边界设置合理的访问控制措施配备入侵防范和网络层恶意代码防范设备主机安全主机数据库的补丁完全更新主机和数据库管理员权限分离未关闭多余的服务，配置合理的口令等措施28医疗行业安全现状和测评重点应用安全用户名和密码避免以明文形式传输设置双因素认证方式抗抵赖功能数据安全完整性机制保密性机制关键设备冗余，异地备份安全管理建立体系化的安全管理，详细运行记录29医院信息系统安全等级保护建设方案

目录

科能腾达信息技术股份有限公司（CNGate)介绍什么是国家信息安全等级保护制度为什么医院需要建立符合信息安全等级保护标准的安全体系针对临汾人民医院信息安全等级保护设计方案整体设计方案的技术优势成功案例CNGate-ITM基于医院业务可视化监控及可视化运维管理系统

现有IT环境全面监控所有被监控IT元素历史数据有据可查统一展现业务系统在各机房的横向关联提供业务角度的监测视图适应业务的不断变化和扩展交换机、路由器、防火墙、windows、linux、数据库、中间件问题请求配置变更&发布工单知识事件eITSM基于ITIL的流程管理监控告警权限报表拓扑BSMITManager监控平台第三方接口运维人员机房动力环境监测安全管理21CNGate-ITM业务监控可视化运维管理

互联网监测器DNS/SMTPPOP3/IMAP/FTP防火墙思科、华为、天融信、山石等自定义Shell监测器自定义WMI监测器自定义SNMP监测器自定义监测思科、华为、H3C中兴、锐捷、浪潮主要功能介绍—监测种类网络路由器操作系统服务器网络交换机数据库网站中间件IIS、URL、TFTPMS-SQL、DB2、ORACLE、SYBASEWINDOWS、LINUX/UNIXSUN-OLARISWEBLOGICWEBSPHERE金蝶IBM、惠普、戴尔思科、华为、H3C中兴、锐捷、浪潮ITManager全面监控IT环境

It’sallinbox为您的整体IT架构提供7X24小时不间断监测可视化数据中心机房监控CNGateITManager为省立医院IT环境进行全面监控，共涉及到207台物理设备，其中1.总院137台，包括80台交换机，57台服务器，以及业务系统所用数据库，应用等。2.东院70台，包括48台交换机，22台服务器，以及业务系统所用数据库，应用等。CNGate-下一代入侵防御系统拥有唯一的反高级逃避技术专利

CNGate-IPS-AET下一代边界防护设备反高级逃避精准性防御技术-事件分析关联技术支持加密流量检测DoS/DDoS防御高性能虚拟化下一代安全管理支持IPv6基于国际标准中关于下一代安全设备的技术要求深度解析全协议栈解码某三甲医院网络安全威胁入侵及安全隐患分析服务CNGate-USG下一代防火墙-综合安全网关设备CNGate-USG-1000适合散、远、小单位CNGate-USG适合大规模组网三甲医院、农行、邮政、石油、煤炭防火墙VPNIPS应用控制防病毒Web过滤反垃圾邮件DLP路由广域网加速负载均衡IPv6流量控制身份认证HA 虚拟化日志报表可视化双因子认证终端控制无线管控漏洞评估安全管理扩展网络CNGateUSG最佳APT攻击防御能力最佳性能支持2.5Gbps-80Gbps吞吐独有的集群技术防病毒/防垃圾邮件/WEB过滤/应用控制延时仅8usCNGate-HST-服务器加固产品部署在服务器上启动安装程序启动配置客户端，配置策略初次安装，选用进程不阻断模式配置进程黑白名单，开启进程阻断模式进入正常防护状态定期调正进程的黑白名单安装目录下直接执行卸载进不来偷不走回不去控不住毁不掉CNGate-BAS运维管理审计系统CNGate-BAS运维管理审计系统身份管理和认证授权与访问控制后台资源自动登陆实时监控，违规操作实时告警与阻断完整的会话记录与审计回放完备的审计报表功能自身安全保护CNGate-DBA数据库审计系统CNGATE-DBA对审计和事务日志进行审查，从而跟踪各种对数据库操作的行为。一般审计主要记录对数据库的操作、对数据库的改变、执行该项目操作的人以及其他的属性。这些数据库被记录到CNGATE-DBA独立的平台中，并且具备较高的准确性和完整性。针对数据库活动或状态进行取证检查时，审计可以准确的反馈数据库的各种变化，对我们分析数据库的各类正常、异常、违规操作提供证据。威胁

1-滥用过高权限威胁

2-滥用合法权威胁

3-权限提升威胁4-SQL注入威胁5–日志记录不完善威胁6-身份验证不足威胁7-备份数据暴露防病毒防DDOSWAF主机漏洞扫描WEB漏洞扫描网页敏感词检测CNGateSIEM端口扫描网页防篡改扫描防火墙入侵检测CNGateSIEM安全信息事件管理平台日志采集关联分析扫描平台扫描任务调度报表展现资产管理安全态势展现工作流任务序号设备名称数量1防火墙32入侵防御系统13安全审计系统14运维安全管理与审计系统15防病毒网关16安全隔离与信息交换系统17服务器安全加固与管理系统18漏洞扫描系统1本期项目的设备清单

目录

科能腾达信息技术股份有限公司（CNGate)介绍什么是国家信息安全等级保护制度为什么医院需要建立符合信息安全等级保护标准的安全体系针对临汾人民医院信息安全等级保护设计方案整体设计方案的技术优势临汾市人民医院等级保护工程实施计划成功案例系统识别与定级：确定保护对象，通过分析系统所属类型、所属信息类别、服务范围以及业务对系统的依赖程度确定系统的等级。通过此步骤充分了解系统状况，包括系统业务流程和功能模块，以及确定系统的等级，为下一步安全域设计、安全保障体系框架设计、安全要求选择以及安全措施选择提供依据。安全域设计：根据第一步的结果，通过分析卫生医疗系统业务流程、功能模块，根据安全域划分原则设计系统安全域架构。通过安全域设计将系统分解为多个层次，为下一步安全保障体系框架设计提供基础框架。确定安全域安全要求：参照国家相关等级保护安全要求，设计不同安全域的安全要求。通过安全域适用安全等级选择方法确定系统各区域等级，明确各安全域所需采用的安全指标。评估现状：根据各等级的安全要求确定各等级的评估内容，根据国家相关风险评估方法，对系统各层次安全域进行有针对性的等级风险评估。并找出系统安全现状与等级要求的差距，形成完整准确的按需防御的安全需求。通过等级风险评估，可以明确各层次安全域相应等级的安全差距，为下一步安全技术解决方案设计和安全管理建设提供依据。安全保障体系方案设计：根据安全域框架，设计系统各个层次的安全保障体系框架以及具体方案。包括：各层次的安全保障体系框架形成系统整体的安全保障体系框架；详细安全技术设计、安全管理设计。安全建设：根据方案设计内容逐步进行安全建设，满足方案设计并要符合的安全需求，满足等级保护相应等级的基本要求，实现按需防御。持续安全运维：通过安全预警、安全监控、安全加固、安全审计、应急响应等，从事前、事中、事后三个方面进行安全运行维护，确保系统的持续安全，满足持续性按需防御的安全需求。临汾市人民医院等级保护建设流程阶段一：实现基本的安全部署从技术方面，本阶段的主要任务是配合医院系统集成项目的实施，依据本方案的详细设计部分，完成外网内网关键安全系统的部署和基本策略配置工作具体内容包括部署下一代防火墙，下一代IPS/IDS，防病毒，漏洞扫描阶段二：实现全面的安全部署从技术方面，本阶段的主要任务是依据本方案的详细设计部分，完成外网及内网各安全系统的全面部署和策略配置工作，具体内容包括：：部署网络安全审计系统：部署外网的网络安全审计系统，并部署网络安全审计策略；部署业务可视化管理：管理所有IT设备和业务应用系统；服务器操作系统安全加固：对全网的服务器操作系统进行安全加固；安全系统的加固优化：完善防火墙、网络入侵防御系统、网络入侵检测系统、网络安全审计系统和网络防病毒系统等的策略配置，并对安全系统自身进行加固优化；从管理方面，本阶段重点工作是完成安全管理制度的全面建设，并在前一阶段建设的基础上，建立人员管理措施，完善系统建设规范和系统运维规范等。制定安全技术规范：在本阶段安全技术工作落实的同时，同步编写相关的安全技术规范；制定完整的系统运维规范：规范各类管理活动，对各类活动制定完善的规范和参考。临汾市人民医院等级保护工程实施保障计划阶段三：实现全面的安全优化从技术方面，该阶段将针对方案建议的内容，实现全面的安全配置和优化工作，具体任务包括：日常运维工作开展：依据前一阶段制定的系统运维规范，开展日常运维工作，并通过运维工作开展检验系统安全技术和管理的落实情况；应用系统的安全改造实施：依据前一阶段制定的应用系统安全改造方案，进行应用系统安全改造，以符合等级保护相关要求。安全意识及技能培训：依据前期制定的安全制度、流程和技术规范，在全院开展全员培训工作，提高全员安全意识和安全技能；应急演练：依照应急响应计划，重点开展3级系统的安全应急演练工作；本阶段建设完成后，将基本形成符合等级保护规范的安全技术和管理体系，并在技术和管理两个方面具备相当的防护能力。

信息安全三分技术七分管理，有效的信息安全管理体系是全面提升企业信息安全管理水平的治本之道，CNGate在信息安全管理体系PDCA循环整个生命周期为医院提供全方位的安全服务，确保符合国家等保建设规范的要求等保差距分析风险评估风险处置文档化体系建设落地实施指导安全系统加固认证审核支持持续改进，体系优化

CNGate安