医疗机构信息安全等级保护的需求背景

卫生医疗行业信息安全工作是我国卫生事业发展的重要组成部分。做好信息安全等级保护工作，对于促进卫生医疗信息化健康发展，保障医药卫生体制改革，维护公共利益、社会秩序和国家安全具有重要意义。

某某医院三级等保建设拓扑

为贯彻落实国家信息安全等级保护制度，规范和指导全国卫生行业信息安全等级保护工作，按照公安部《关于开展信息安全等级保护安全建设整改工作的指导意见》（公信安〔2009〕 1429号）要求，卫生部结合卫生行业实际，特研究制定了《卫生行业信息安全等级保护工作的指导意见》（卫办发〔2011〕85号）和《卫生部办公厅关于全面开展卫生行业信息安全等级保护工作的通知》（卫办综函〔2011〕1126号）来指导卫生医疗行业的信息安全建设工作。

医疗机构信息安全等级保护的安全需求

任何的安全事件所导致的医院业务系统宕机，都会降低患者的就医满意度同时医院的信息数据泄漏问题影响很大损害了医院的信誉，处理不当则可能会引起医患纠纷、法律问题甚至社会问题。综上所述，当前三甲医院面临的主要问题有以下几个方面：

·　医院信息系统互联互通的实现，使得医院信息系统面临更多来自外部的威胁 （边界防护及边界访问控制）

·　安全意识的淡薄以及管理制度的不完善，面临着来自内部的人为失误或蓄意破坏、信息窃取（应用风险）

·　三甲医院拥有的患者信息、诊疗信息更加具有商业价值，渐渐得到灰色产业链的觊觎（应用风险）

·　安全事件造成的损失以及医院信息系统恢复的成本 （备份恢复）

·　缺乏安全技术人员以及安全管理制度 （三级等保制度）

·　面对外部网络威胁的恐慌，导致了医院信息化发展的裹足不前

·　医改对医院信息共享、远程医疗协助的政策导向，延伸出的信息安全保障

中新医疗机构信息安全等级保护解决方案特点

对于三甲医院的信息系统而言，安全建设应该主要考虑以下几个方面:

·　医院信息安全建设将从事前预防，事中减损，和事后纠正三个方面提供全面的防护策略，全面提升提高医院

·　安全防护能力；

·　重点防护对外WEB应用，降低数据泄露风险、支撑WEB可用性以及控制恶意访问；

·　采用VPN技术保证医院与分支医疗机构、医院与上下级机构以及医院与移动医护工作者的的安全数据交换；

·　加强主动防御能力，通过全方位、多视角的风险分析，完善医院信息系统漏洞，降低安全风险，提高信息系

·　统健壮性；

·　Bypass部署设计，一旦安全设备出现异常，将自动重启系统或者启用bypass，实现医院业务零断网；

·　提升医院IT设备运维审计能力，最小化避免操作失误以及蓄意破坏带来的损失；

·　采用集中统一的安全管理形式，提高安全管理效率；

·　选用安全服务外包模式，弥补医院专业安全技术人员的缺失，最大程度上减少医院运营中断和管理成本；

·　根据上级主管部门的政策指导，依据信息安全等级保护要求，对业务系统进行等级保护建设。