网络安全-十堰太和医院

医疗卫生行业信息安全等级保护实施——体系化方法东风总医院冯淑凯网络安全-十堰太和医院全文共88页，当前为第1页。主要内容•信息安全等级保护制度•信息安全等级保护的体系化实施网络安全-十堰太和医院全文共88页，当前为第2页。信息安全等级保护制度•信息安全等级保护制度的提出•信息安全等级保护发展现状•信息安全等级保护体系网络安全-十堰太和医院全文共88页，当前为第3页。信息安全等级保护制度的提出•计算机病毒、黑客攻击、软硬件故障等信息安全问题给各类组织造成了极大的风险•信息安全问题不仅仅是组织自身的事情，也涉及到国家和社会安全•基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统的安全尤为重要网络安全-十堰太和医院全文共88页，当前为第4页。

信息安全等级保护制度的提出•1994年，国务院发布了《中华人民共和国计算机信息系统 安全保护条例》（147号令）

–条例第九条明确规定“计算机信息系统实行安全等级保护。安全等 级的划分标准和安全等级保护的具体办法，由公安部会同有关部 门制定”。•1999年9月13日，《计算机信息系统安全保护等级划分准 则》（GB17859-1999）发布，是我国计算机信息系统安 全保护等级工作的基础•

2003年，《国家信息化领导小组关于加强信息安全保障工作的意见》（27号）明确指出“实行信息安全等级保护”网络安全-十堰太和医院全文共88页，当前为第5页。信息安全等级保护制度的提出•2004年，公安部、保密局、密码管理局、国信办联合印发 了《关于信息安全等级保护工作的实施意见》（66号文

件），明确了等级保护的原则、内容、要求以及部门分工 和实施计划•2007年，公安部、保密局、密码管理局、国信办联合制定了《信息安全等级保护管理办法》，标志着我国等级保护制度的初步形成网络安全-十堰太和医院全文共88页，当前为第6页。信息安全等级保护制度•信息安全等级保护制度的提出•信息安全等级保护发展现状•信息安全等级保护体系网络安全-十堰太和医院全文共88页，当前为第7页。信息安全等级保护发展现状•测评工作–公信安[2010]303号《关于推动信息安全等级保护测评体系建设和开展等级测评工作的通知》，要求2010年底前完成测评体系建设，并完成30%第三级（含）以上信息系统的测评工作，2011年底前完成第三级（含）以上信息系统的测评工作，2012年底之前完成第三级（含）以上信息系统的安全建设整改工作。网络安全-十堰太和医院全文共88页，当前为第8页。信息安全等级保护制度•信息安全等级保护制度的提出•信息安全等级保护发展现状•信息安全等级保护体系网络安全-十堰太和医院全文共88页，当前为第9页。

信息安全等级保护标准体系•

《安全等级保护划分准则》GB17859-1999

–我国等级保护制度的基础性标准，规定了计算机信息系统安全保 护能力的五个级别•••••第一级：用户自主保护级第二级：系统审计保护级第三级：安全标记保护级第四级：结构化保护级第五级：访问验证保护级–针对每个级别，详细列出了等级划分准则网络安全-十堰太和医院全文共88页，当前为第10页。信息安全等级保护标准体系•《信息系统安全保护等级定级指南》GB/T22240-2008–用于指导信息系统的建设单位和运营、使用单位如何对确定的信息系统进行定级，为信息系统等级保护的实施提供基础和依据–定级要素•受侵害的客体：a）公民、法人和其他组织的合法权益；b）社会秩序、公共利益；c）国家安全•对客体的侵害程度：a）造成一般损害；b）造成严重损害；c）造成特别严重损害。网络安全-十堰太和医院全文共88页，当前为第11页。

信息安全等级保护标准体系•

《信息系统安全保护等级定级指南》GB/T22240-2008

对客体的侵害程度受侵害的客体公民、法人和其他组织的合法权益社会秩序、公共利益国家安全一般损害 第一级 第二级 第三级严重损害

第二级 第三级

第四级特别严重损害

第二级 第四级 第五级网络安全-十堰太和医院全文共88页，当前为第12页。业务信息安全和系统服务安全信息系统与之相关的受侵害客体和对客体的侵害程度可能不同，因此，信息系统定级也应由业务信息安全和系统服务安全两方面确定。从业务信息安全角度反映的信息系统安全保护等级称业务信息安全等级。从系统服务安全角度反映的信息系统安全保护等级称系统服务安全等级。网络安全-十堰太和医院全文共88页，当前为第13页。两种安全的定义对客体的侵害外在表现为对定级对象的破坏，其危害方式表现为对信息安全的破坏和对信息系统服务的破坏，其中：信息安全是指确保信息系统内信息的保密性、完整性和可用性等；系统服务安全是指确保信息系统可以及时、有效地提供服务，以完成预定的业务目标；由于业务信息安全和系统服务安全受到破坏所侵害的客体和对客体的侵害程度可能会有所不同，在定级过程中，需要分别处理这两种危害方式。信息安全和系统服务安全受到破坏后，可能产生以下危害后果：影响行使工作职能；导致业务能力下降；引起法律纠纷；导致财产损失；造成社会不良影响；对其他组织和个人造成损失；其他影响。网络安全-十堰太和医院全文共88页，当前为第14页。定级流程网络安全-十堰太和医院全文共88页，当前为第15页。信息安全等级保护标准体系•《信息系统安全等级保护基本要求》GB/T22239-2008–针对每个等级的信息系统提出相应安全保护要求，这些要求的实现能够保证系统达到相应等级的基本保护能力–用途•为信息系统的建设单位和运营、使用单位如何对确定等级的信息系统进行保护提供技术指导•为信息系统主管部门、信息系统运营、使用单位或专门的等级测评机构对信息系统安全保护等级的检测评估提供依据•为监管部门的监督检查提供依据网络安全-十堰太和医院全文共88页，当前为第16页。信息安全等级保护标准体系•《信息系统安全等级保护基本要求》GB/T22239-2008–基本技术类要求•与信息系统提供的技术安全机制有关，主要通过在信息系统中部署软硬件并正确的配置其安全功能来实现–基本管理类要求•与信息系统中各种角色参与的活动有关，主要通过控制各种角色的活动，从政策、制度、规范、流程以及记录等方面做出规定来实现网络安全-十堰太和医院全文共88页，当前为第17页。信息安全等级保护标准体系•《信息系统安全等级保护基本要求》GB/T22239-2008–基本技术类要求的三种类型•保护数据在存储、传输、处理过程中不被泄漏、破坏和免受未授权的修改的信息安全类要求（简记为S）；•保护系统连续正常的运行，免受对系统的未授权修改、破坏而导致系统不可用的服务保证类要求（简记为A）•通用安全保护类要求（简记为G）网络安全-十堰太和医院全文共88页，当前为第18页。信息安全等级保护标准体系•《信息系统安全等级保护基本要求》GB/T22239-2008–不同等级的信息系统应具备的基本安全保护能力•第一级安全保护能力：应能够防护系统免受来自个人的、拥有很少资源的威胁源发起的恶意攻击、一般的自然灾难、以及其他相当危害程度的威胁所造成的关键资源损害，在系统遭到损害后，能够恢复部分功能。•第二级安全保护能力：应能够防护系统免受来自外部小型组织的、拥有少量资源的威胁源发起的恶意攻击、一般的自然灾难、以及其他相当危害程度的威胁所造成的重要资源损害，能够发现重要的安全漏洞和安全事件，在系统遭到损害后，能够在一段时间内恢复部分功能。网络安全-十堰太和医院全文共88页，当前为第19页。信息安全等级保护标准体系•《信息系统安全等级保护基本要求》GB/T22239-2008–不同等级的信息系统应具备的基本安全保护能力•第三级安全保护能力：应能够在统一安全策略下防护系统免受来自外部有组织的团体、拥有较为丰富资源的威胁源发起的恶意攻击、较为严重的自然灾难、以及其他相当危害程度的威胁所造成的主要资源损害，能够发现安全漏洞和安全事件，在系统遭到损害后，能够较快恢复绝大部分功能。•第四级安全保护能力：应能够在统一安全策略下防护系统免受来自国家级别的、敌对组织的、拥有丰富资源的威胁源发起的恶意攻击、严重的自然灾难、以及其他相当危害程度的威胁所造成的资源损害，能够发现安全漏洞和安全事件，在系统遭到损害后，能够迅速恢复所有功能。网络安全-十堰太和医院全文共88页，当前为第20页。信息安全等级保护标准体系•其他已发布的重要信息安全等级保护国家标准–《信息安全技术信息系统安全管理要求》GB/T20269-2006–《信息安全技术信息系统安全通用技术要求》GB/T20271-2006–《信息安全技术信息系统安全工程管理要求》GB/T20282-2006网络安全-十堰太和医院全文共88页，当前为第21页。主要内容•信息安全等级保护制度•信息安全等级保护的体系化实施网络安全-十堰太和医院全文共88页，当前为第22页。信息安全等级保护的体系化实施•体系化管理方法•信息安全等级保护工作的体系化需求•信息安全等级保护工作的体系化总体实施流程网络安全-十堰太和医院全文共88页，当前为第23页。-从管理的定义说起体系化管理方法

•什么是管理？网络安全-十堰太和医院全文共88页，当前为第24页。administeradministrationadministrator

managemanagement manager

18世纪 工业革命（1700'S）体系化管理方法

“管”

中国古代

春秋战国

康熙19年 （1680）-从管理的定义说起

“理”

管理网络安全-十堰太和医院全文共88页，当前为第25页。体系化管理方法-从管理的定义说起•管理的定义

–ISO9000:2000质量管理体系基础和术语

•管理management：指挥和控制组织的协调的活动

–管理学

•管理是指通过计划、组织、领导、控制等环节来协调人力、 物力、财力等资源，以期有效达成组织目标的过程。

–管理是一种理论，也可以说是一种方法或工具，与具体业 务相结合的时候，便形成不同领域、不同门类的管理科学， 例如经济管理、质量管理、信息安全管理等网络安全-十堰太和医院全文共88页，当前为第26页。体系化管理方法-管理的体系化•质量管理领域率先提出体系化方法

–质量管理的体系化方法衍生于军品的质量保证要求

–1979年，ISO成立了质量管理和质量保证技术委员会负责制定质 量管理和质量保证标准，1987年发布了ISO9000《质量管理和质 量保证标准选择和使用指南》、ISO9001《质量体系设计开发、 生产、安装和服务的质量保证模式》以及ISO9002、ISO9003、

ISO9004等标准

–质量管理的体系化模式取得广泛应用之后，体系化方法也逐渐在 其他领域运用，例如环境管理领域、职业健康安全管理领域等， 这种管理的体系化方法也逐渐发展为一个特殊的领域，即管理体 系网络安全-十堰太和医院全文共88页，当前为第27页。体系化管理方法-管理的体系化图释增值活动 信息流网络安全-十堰太和医院全文共88页，当前为第28页。体系化管理方法-管理的体系化要素•在管理体系方法中，应用了下列要素：

–过程方法

–PDCA模型

–管理职责

–资源管理

–

持续改进等网络安全-十堰太和医院全文共88页，当前为第29页。体系化管理方法-过程方法•过程process

–一组将输入转化为输出的相互关联或相互作用的活动•过程方法processapproach

–

系统地识别和管理组织所应用的过程，特别是这些过程之间 的相互作用，称为过程方法。网络安全-十堰太和医院全文共88页，当前为第30页。-过程方法记录体系化管理方法

责任人 输入 资源测量、改进

输出网络安全-十堰太和医院全文共88页，当前为第31页。体系化管理方法-PDCA模型•PDCA模型：持续改进的优秀方法

AP CD网络安全-十堰太和医院全文共88页，当前为第32页。体系化管理方法-PDCA模型•PDCA模型：持续改进的优秀方法

–又称戴明环，PDCA循环是能使任何一项活动有效进 行的工作程序：••••策划实施检查处置网络安全-十堰太和医院全文共88页，当前为第33页。体系化管理方法-PDCA模型•PDCA的特点一

–按顺序进行，它靠组织的力量来推动，像车轮一样向 前进，周而复始，不断循环PDA C网络安全-十堰太和医院全文共88页，当前为第34页。体系化管理方法-PDCA模型•PDCA的特点二

–组织中的每个部分，甚至个人，均可以PDCA循环， 大环套小环，一层一层地解决问题PDACAPCDAPCD网络安全-十堰太和医院全文共88页，当前为第35页。体系化管理方法-PDCA模型•PDCA的特点三

–每通过一次PDCA循环，都要进行总结，提出新目标， 再进行第二次PDCA循环PACDPACD网络安全-十堰太和医院全文共88页，当前为第36页。体系化管理方法-管理职责•管理职责是指管理活动中，管理者应该具备的职责 要求•有人认为这应该是一个很简单的活动

–质量管理中，当质量与进度产生冲突时，往往是质量让进 度！

–信息安全管理中，安全与方便性、安全与日常习惯发生矛 盾时，安全管理如何保证？•管理职责的重要性就在于此，作为管理者，在任何 时刻都应毫无疑义的坚持管理的要求网络安全-十堰太和医院全文共88页，当前为第37页。体系化管理方法-资源管理•在整个管理活动中，如何分配人员、能否保证资金、 如何配备物品，是影响实现管理目标的关键要素•人员无疑是资源管理中最难控制的部分

–人员的评价：是否满足岗位的要求

–人员的培训：确定需求、实施培训、培训效果评价

–人员的持续发展：确保人员能够一直满足岗位要求网络安全-十堰太和医院全文共88页，当前为第38页。体系化管理方法-持续改进•不断对管理活动进行检查，发现问题及时采取改进 措施，从而实现持续的改进•检查方式

–内部审核

–管理评审等•改进措施

–纠正措施：为消除已发现的不符合或其他不期望情况的原 因所采取的措施

–预防措施：为消除潜在不符合或其他潜在不期望情况的原 因所采取的措施网络安全-十堰太和医院全文共88页，当前为第39页。信息安全等级保护的体系化实施•体系化管理方法•信息安全等级保护工作的体系化需求•信息安全等级保护工作的体系化总体实施流程网络安全-十堰太和医院全文共88页，当前为第40页。信息安全等级保护工作的体系化需求•信息安全等级保护工作的特点–过程多：包括定级备案、建设改建、等级测评、自查、检查等诸多过程–内容繁杂：涉及到系统的物理安全、网络安全、主机安全、系统安全、应用安全、数据安全以及安全管理制度、管理机构、人员管理、系统建设管理、系统运维管理等各个层面–涉及面广：等级保护工作将覆盖组织的多个部门，包括系统建设部门、运维部门、使用部门以及行政、人力、财务等部门•应该采用体系化方法来实施等级保护工作网络安全-十堰太和医院全文共88页，当前为第41页。信息安全等级保护工作的体系化需求•等级保护工作的出发点在于对信息系统进行定级和分级保护，围绕着信息系统而实施一系列的保护活动•但一般情况下，信息系统运营、使用单位都会存在多个信息系统，这些信息系统可能处于不同级别•因此，更应该采用体系化方法来统一规划整个单位的信息安全工作网络安全-十堰太和医院全文共88页，当前为第42页。信息安全等级保护工作的体系化需求•信息安全等级保护工作的定级备案、建设改建、等级测评、自查、检查等过程，体现了部分体系化要素，最明显的就是采用了过程方法和PDCA的一些思想–定级备案、建设改建、等级测评等过程均基于过程的概念，通过使用相关的资源以及管理活动，将输入转化为输出，例如定级工作的输入是系统的相关建设管理文档，而输出是系统级别–不同过程之间相互关联，例如定级备案过程的输出：系统级别，是后续建设改建、测评、检查等过程的输入–每个过程都包含不同的子过程，例如定级过程包括系统分析、等级确定两个子过程网络安全-十堰太和医院全文共88页，当前为第43页。信息安全等级保护工作的体系化需求•从整体来看等级保护的工作，也体现出了PDCA模型的一些特点–建设和整改包含系统的规划和设计，即P（规划）阶段的内容–规划工作的具体实施，以及系统的运行属于D（实施）阶段的内容–测评、自查和检查等活动都可作为C（检查）阶段的工作内容–对于发现的问题，需要及时整改，即A（处置）阶段的工作内容•此外，管理职责和资源管理也是非常重要的工作内容，贯穿于各项活动之中，是其他工作顺利开展的基础网络安全-十堰太和医院全文共88页，当前为第44页。信息安全等级保护工作的体系化需求•因此，信息安全等级保护工作应该，也适合采用体系化方法来加以实施–构建等级保护的体系化实施模型–在原有等级保护工作的基础上，使过程方法和PDCA模型更加完善和清晰化–补充其他体系化要素，形成完整的信息安全等级保护体系化实施方法网络安全-十堰太和医院全文共88页，当前为第45页。信息安全等级保护的体系化实施•体系化管理方法•信息安全等级保护工作的体系化需求•信息安全等级保护工作的体系化总体实施流程网络安全-十堰太和医院全文共88页，当前为第46页。4、等级保护持续改进3、等保自查与测评1、实施指南建设思路2、等保二、三级系统建设网络安全-十堰太和医院全文共88页，当前为第47页。局部调整实施指南-基本实施过程

系统定级 安全规划设计

重大变更

安全实施/实现安全运行管理系统终止网络安全-十堰太和医院全文共88页，当前为第48页。系统类别系统名称范围建议等级备注公共卫生信息系统血液信息管理系统卫生监督管理系统精神卫生管理信息 系统 ……全市三级S3医疗机构信息系统HIS系统本单位二级S2LIS系统本单位二级S2PACS系统本单位二级S2医院网站本单位一级S1OA系统本单位一级S1A1G1定级建议网络安全-十堰太和医院全文共88页，当前为第49页。“信息化发展的不同阶段和不同的信息系统有着不同的安全需求，必须从实际出发，综合平衡安全成本和风险，优化信息安全资源的配置，确保重点。”－“27号文”“等级保护不是要做成一个框框，而是要在有限资源的条件下，用适当的成本获得适度的安全。”等级保护的基本含义网络安全-十堰太和医院全文共88页，当前为第50页。医疗卫生等保实施流程规划•第一步：“评估定级，定义安全需求”。

通过风险评估、系统定级、等级评估等服务组件识别系统的安全风险，确定系统的安全等级，并找出系统安全现状与等级要求的差距，形成完整准确的按需防御的安全需求。•第二步：“体系建设，实现按需防御”。

通过体系设计制定等级方案，进行安全策略体系、安全组织体系、安全技术体系和安全运维体系建设，满足评估定级阶段形成的安全需求，实现按需防御。•第三步：“安全运维，确保持续安全”。

通过安全预警、安全监控、安全加固、安全审计、应急响应等服务组件，从事前、事中、事后三个方面进行安全运行维护，确保系统的持续安全，满足持续性按需防御的安全需求。网络安全-十堰太和医院全文共88页，当前为第51页。

体系涵盖内容医疗卫生行业等级保护体系方案详细设计二级系统等级保护不同等级系统互联互通三级系统等级保护网络安全-十堰太和医院全文共88页，当前为第52页。医疗卫生行业等级保护解决方案

技术措施

管理措施 不同等级互联二级(以医院系统为例)

技术措施

管理措施 不同等级互联三级(以公卫系统为例)网络安全-十堰太和医院全文共88页，当前为第53页。体系设计(二级)结合安全方案详细

设计思路 ，在医疗 卫生行业 ，以医疗 机构信息 系统为例 ，二级等 级保护体 系我们采 用的模型 如图所示54网络安全-十堰太和医院全文共88页，当前为第54页。体系设计(三级)结合安全方案详细设计

思路，在医 疗卫生行业 ，以公共卫 生信息系统 为例，三级 等级保护体 系我们采用 的模型如图 所示（其中 灰色北京的 是三级比二 级增加的项 目）：55网络安全-十堰太和医院全文共88页，当前为第55页。4321

医疗卫生行业等级保护实施落地实施规划与设计

技术设计 管理设计

实施与运行技术措施实现管理措施实现安全运行与维护

持续改进

安全检查二级检查三级检查

持续改进持续改进网络安全-十堰太和医院全文共88页，当前为第56页。4、等级保护持续改进3、等保自查与测评1、实施指南建设思路2、等保二、三级系统建设网络安全-十堰太和医院全文共88页，当前为第57页。类别要求二级解决方案三级解决方案差异分析物理安全l物理位置的选择机房和办公场地应选择具有防震、防风和防雨等能力应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁

三级要求进行楼层的选择。l物理访问控制按照基本要求进行人员配备，制定管理制度同时对机房进行区域管理，设置过渡区域、安装门禁

三级要求加强对区域的管理和重要区域控制力度。l防盗窃和防破坏按照基本要求进行建设。制定防盗窃防破坏相关管理制度按照基本要求进行建设配置光、电等防盗报警系统

三级根据要求进行光、电技术防盗报警系统的配备。l防雷击按照基本要求进行建设设置防雷保安器三级根据要求设置防雷保安器，防止感应雷l防火设置灭火设备和火灾自动报警系统消防、耐火、隔离等措施三级根据要求进行消防、耐火、隔离等措施网络安全-十堰太和医院全文共88页，当前为第58页。类别要求二级解决方案三级解决方案差异分析物理安全l防水和防潮采取措施防止雨水渗透、机房内水蒸气安装防水测试仪器三级根据要求进行防水检测仪表的安装使用l防静电采用必要的接地防静电安装防静电地板三级根据要求安装防静电地板l温湿度控制配备空调系统配备空调系统无l电力供应配备稳压器和过电压防护设备；配备UPS系统配备稳压器、UPS、冗余供电系统三级根据要求设置冗余或并行的电力电缆线路，建立备用供电系统l电磁防护电源线和通信线缆隔离铺设接地、关键设备和磁介质实施电磁屏蔽三级根据要求进行接地，关键设备和介质的电磁屏蔽网络安全-十堰太和医院全文共88页，当前为第59页。类别要求二级解决方案三级解决方案差异分析网络安全l结构安全关键设备选择高端设备，处理能力具备冗余空间，合理组网，绘制详细网络拓扑图在二级基础上，合理规划路由，避免将重要网段直接连接外部系统，在业务终端与业务服务器之间建立安全路径、带宽优先级管理三级根据要求在以下方面进行加强设计：主要网络设备的处理能力满足高峰需求，业务终端与业务服务器之间建立安全路径、重要网段配置ACL策略带宽优先级l访问控制防火墙，制定相应的ACL策略防火墙配置配置包括：端口级的控制粒度；常见应用层协议命令过滤；会话控制；流量控制；连接数控制；防地址欺骗等策略三级在配置防火墙设备的策略时提出了更高的要求l安全审计部署网络安全审计系统部署网络安全审计系统部署日志服务器进行审计记录的保存三级对审计日志保存提出更高要求，需要采用日志服务器进行审计记录的保存网络安全-十堰太和医院全文共88页，当前为第60页。类别要求二级解决方案三级解决方案差异分析网络安全l边界完整性检查部署终端安全管理系统，启用非法外联监控以及安全准入功能部署终端安全管理系统，在进行非法外联和安全准入检测的同时要进行有效阻断三级相对2级要求在检测的同时要进行有效阻断l入侵防范部署入侵检测系统部署入侵检测系统配置入侵检测系统的日志模块三级相对2级要求配置入侵检测系统的日志模块，记录攻击源IP、攻击类型攻击目的、攻击时间等相关信息，并通过一定的方式进行告警l恶意代码防范无要求部署UTM或AV、IPS三级系统要求具备网关处恶意代码的检测与清除并定期升级恶意代码库、，网络安全-十堰太和医院全文共88页，当前为第61页。类别要求二级解决方案三级解决方案差异分析网络安全l网络设备防护配置网络设备自身的身份鉴别与权限控制对主要网络设备实施双因素认证手段进身份鉴别三级对登陆网络设备的身份认证提出了更高要求，需要实施双因素认证，设备的管理员等特权用户进行不同权限等级的配置主机安全l身份鉴别对操作系统和数据库系统配置高强度用户名/口令启用登陆失败处理、传输加密等措施对主机管理员登录时进行双因素身份鉴别（USBkey+密码）三级要求采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别l访问控制根据基本要求进行主机访问控制的配置管理员进行分级权限控制，重要设定访问控制策略进行访问控制三级根据要求对管理员进行分级权限控制，对重要信息（文件、数据库等）进行标记网络安全-十堰太和医院全文共88页，当前为第62页。类别要求二级解决方案三级解决方案差异分析主机安全l安全审计部署主机审计系统部署主机审计系统审计范围扩大到重要客户端；同时能够生成审计报表三级要求能将审计范围扩大到重要客户端；同时能够生成审计报表l剩余信息保护无要求通过对操作系统及数据库系统进行安全加固配置，及时清除剩余信息的存储空间三级要求对剩余信息进行保护，通过安全服务方式进行l入侵防范部署网络入侵检测系统部署终端安全管理系统部署网络入侵检测系统部署主机入侵检测系统部署终端安全管理系统进行补丁及时分发三级要求对重要服务器进行入侵的行为，对重要程序进行代码审查，去除漏洞，配置主机入侵检测以及终端管理软件进行完整性检测l恶意代码防范部署终端防恶意代码软件部署终端防恶意代码软件三级要求终端防恶意代码软件与边界处的网关设备进行异构部署网络安全-十堰太和医院全文共88页，当前为第63页。类别要求二级解决方案三级解决方案差异分析主机安全l资源控制部署应用安全管理系统进行资源监控部署应用安全管理系统进行资源监控、检测报警三级要求通过安全加固，对重要服务器进行监视，包括监视服务器的CPU、硬盘、内存、网络等资源的使用情况，对系统服务相关阈值进行检测告警应用安全l身份鉴别根据基本要求配置高强度用户名/口令进行双因素认证或采用CA系统进行身份鉴别三级根据要求进行双因素认证或采用CA系统进行身份鉴别l访问控制根据基本要求提供访问控制功能通过安全加固措施制定严格用户权限策略，保证账号、口令等符合安全策略三级根据要求根据系统重要资源的标记以及定义的安全策略进行严格的访问控制网络安全-十堰太和医院全文共88页，当前为第64页。类别要求二级解决方案三级解决方案差异分析应用安全l安全审计应用系统开发应用审计功能部署数据库审计系统应用系统开发应用审计功能部署数据库审计系统三级要求不仅生成审计记录，还要对审计记录数据进行统计、查询、分析及生成审计报表l剩余信息保护无要求通过对操作系统及数据库系统进行安全加固配置，及时清除剩余信息的存储空间二级无要求l通信完整性采用校验码技术保证通信过程中数据的完整性采用PKI体系中的完整性校验功能进行完整性检查，保障通信完整性三级要求密码技术l通信保密性应用系统自身开发数据加密功能采用VPN或PKI体系的加密功能应用系统自身开发数据加密功能；采用VPN或PKI体系的加密功能保障通信保密性三级要求对整个报文或会话过程进行加密网络安全-十堰太和医院全文共88页，当前为第65页。类别要求二级解决方案三级解决方案差异分析应用安全l抗抵赖无要求PKI系统2级无要求l软件容错代码审核代码审核三级根据要求系统具备自动保护功能设计，故障后可以恢复l资源控制部署应用安全管理系统部署应用安全管理系统三级要求细化加固措施，对并发连接、资源配额、系统服务相关阈值、系统服务优先级等进行限制和管理数据安全l数据完整性数据校验传输采用VPN配置存储系统传输采用VPN三级要求在传输过程增加对系统管理数据的检测与恢复，配置存储系统网络安全-十堰太和医院全文共88页，当前为第66页。类别要求二级解决方案三级解决方案差异分析数据安全l数据保密性应用系统针对鉴别信息的存储开发加密功能应用系统针对存储开发加密功能,利用VPN实现传输保密性三级要求实现管理数据、鉴别信息和重要业务数据传输过程的保密性l备份与恢复重要信息进行定期备份关键设备线路冗余本地备份与异地备份关键设备线路冗余设计三级要求进行每天数据备份且要求实现异地备份；网络安全-十堰太和医院全文共88页，当前为第67页。安全运行与维护•••••

医疗卫生行业提出的等级保护体系化建设流程中，在进行安全保障体系设计以及安全建设之后将会按照PDCA模型进入到周期性的安全运维阶段，来保证和巩固等级保护建设的成果。 根据建立的信息安全管理运维体系对信息安全系统进行实时的维护管理，针对医疗卫生行业信息系统安全软、硬件实施全面的安全运维。具有条件的单位可以采用自行运维的方式，如在运维阶段面临技术水平、人员规模、运维经验的限制，可以采用安全运维服务外包的形式，针对于整个系统相关范围的不同安全等级及实际应用，所需要的安全运维服务模块如下：安全扫描人工检查安全加固日志分析补丁管理安全监控•安全动态应急响应网络安全-十堰太和医院全文共88页，当前为第68页。4、等级保护持续改进3、等保自查与测评1、实施指南建设思路2、等保二、三级系统建设网络安全-十堰太和医院全文共88页，当前为第69页。•等级保护测评检查表•十堰卫生行业信息安全检查用表网络安全-十堰太和医院全文共88页，当前为第70页。项目类别测评方式二级自查与测评三级自查与测评物理安全通过访谈、文档审查和实地察看的方式测评信息系统的物理安全保障情况。主要涉及对象为机房。10个测评单元10个测评单元网络安全通过访谈、配置检查和工具测试的方式测评信息系统的网络安全保障情况。主要涉及对象为网络互联设备、网络安全设备和网络拓扑结构等三大类对象。6个测评单元7个测评单元主机安全通过访谈、配置检查和工具测试的方式测评信息系统的应用安全保障情况，主要涉及对象为HIS系统、对外服务网站系统和远程客户服务系统。6个测评单元7个测评单元应用安全通过访谈、配置检查和工具测试的方式测评信息系统的应用安全保障情况，主要涉及对象为HIS系统、对外服务网站系统和远程客户服务系统。7个测评单元9个测评单元数据安全通过访谈、配置检查的方式测评信息系统的数据安全保障情况，主要涉及对象为信息系统的管理数据及业务数据等3个测评单元3个测评单元安全管理全局性问题，涉及安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理等五个方面。安全管理制度3个安全管理机构5个人员安全管理5个系统建设管理9个系统运维管理12个安全管理制度3个安全管理机构5个人员安全管理5个系统建设管理11个系统运维管理13个71网络安全-十堰太和医院全文共88页，当前为第71页。•等级保护测评检查表•十堰市卫生行业信息安全检查用表网络安全-十堰太和医院全文共88页，当前为第72页。

1、访问控制1.具有以下哪些控制人员进出机房的措施：系统部署电子门禁机房出入口专人职守、控制鉴别并记录出入机房人员1.具有以下哪些控制外部人员访问机房的措施：

外来人员访问机房经过申请和审批 由内部人员监控外来人员在机房内的活动 由内部人员限制外来人员在机房内的活动范围2、防盗和防破坏1.主要设备是否放置在机房内：是□否设备或主要部件是否进行了固定和标记：是□否1.机房是否安装了防盗报警系统和监控报警系统：是□否□否

报警设备是否与视频监控系统及出入口控制设备联动：是3、防火1.是否制定消防管理制度：是□否2.是否制定消防预案：是□否3.是否对机房管理、维护人员进行消防专项培训：是，培训机构：______________□否4.机房是否部署火情自动检测、报警、灭火系统：是□否具体设备：性惰气体自动灭火设备式便携灭火设备其他______________检查表—物理安全网络安全-十堰太和医院全文共88页，当前为第73页。1.机房是否有以下防水防潮措施：密窗户封、屋顶墙壁防水涂层检测漏水及报警系统，系统名称：机房专用空调，空调品牌及名称： 其他：

□主机房除湿装置，湿装置名称： 机房温湿度控制系统，品牌及名称：5、防静电、防雷1.机房主要设备是否采用以下防静电措施：地防静电接□防静电地板其他1.机房是否有交流电源接地:□否

是，接地方式：______________6、电力供应1.是否对计算机系统供电系统进行定期检查和维护：是□否检查维护的设备是否涵盖以下设备：□稳压器□过电压防护设备短期备用电源设备力电电缆线路备用供电系统其他______1.短期备用电源设备最长供电时间为：______________________备用供电系统（如备用发电机）是否能够在规定时间内正常启动和正常供电：□是□否规定时间为：

4、防水和防潮网络安全-十堰太和医院全文共88页，当前为第74页。一、网络拓扑结构安全分析表1-1拓扑了解分析•询问其是否绘制与当前运行情况相符的网络拓扑结构图。•询问其是否与互联网联通。•检查其是否根据业务应用合理设计网络结构。表1-2设备性能分析接入网络和核心网络设备性能及带宽是否满足业务需要；且是否有冗余设备。表1-3网段划分及安全隔离各部门终端设备是否按照部门和业务重要性划分网段并用Vlan隔离；重要服务器区域是否与接入区域采用可靠隔离表1-4日志及审计是否定期对日志进行统一审计分析，并对日志进行适当保护避免受到未预期的修改。检查表—网络安全网络安全-十堰太和医院全文共88页，当前为第75页。一、网络拓扑结构安全分析表1-5入侵防范•对重要核心服务器是否有入侵防范措施。•若部署入侵防范措施，问询其部署位置、品牌型号、升级方式、事件定义及日志审计方式。•若没有，是否对其进行加固和定期打补丁；是否有恶意代码防范措施。表1-6防病毒系统•系统内部是否部署网络版防病毒软件，或者部署防毒墙。•若部署杀毒软件，记录其软件品牌，部署范围，及升级方式。•询问病毒库是否及时升级。•检查杀毒日志。表1-7网站服务器系统内是否部署Web服务器；若有，是否有动态页面；是否部署网页防篡改系统；网站是否托管；网络安全-十堰太和医院全文共88页，当前为第76页。•路由器CDP服务关闭检查禁止Finger服务•明文密码是否加密设置特权密码路由协议采用加密认证••关闭代理ARP功能。（开启容易造成泄密及网络