近年來，隨着網絡的快速發展，各大醫院也加強了自身網絡與信息系統建設，逐步實現與醫保、新農合、衞健委及銀行等單位的互聯互通，實現了醫院內部辦公網絡化及自動化。同時在互聯網方面，也面向患者開放了網上預約掛號、微信支付、醫囑服務及檢查檢驗報告瀏覽服務等，方便患者就醫就診，提升醫院的整體競爭力。然而，醫院信息化快速發展的同時，也暴露出了很多信息安全問題，面臨的安全形勢非常嚴峻。
因此，2011年，衞生部結合衞生行業實際，研究制定了《衞生行業信息安全等級保護工作的指導意見》（衞辦發〔2011〕85號）；2017年6月1日《中華人民共和國網絡安全法》正式實施，其中第二十一條明確規定：國家實行網絡安全等級保護制度；2019年5月，網絡安全等級保護2.0標準正式發佈，等級保護制度也從條例法規提高到了國家法律層面。所以，為了全面提高醫院信息安全保障能力和水平，落實等級保護制度，滿足國家法律要求，全國各大醫院要全面開展信息網絡安全等級保護工作，建立整體的安全防護體系，為醫院內部信息系統保駕護航。
1. 需要根據網絡安全等級保護的基本要求，從網絡通信、邊界安全、主機安全、Web應用安全、接入安全及系統管理安全等多方面考慮安全防護措施，實現對網絡中蠕蟲、木馬、病毒、未知威脅、勒索軟件及挖礦病毒等進行檢測和攔截，保證醫院內部信息系統的安全。
2. 需要根據網絡安全等級保護的基本要求，結合醫院網絡的實際情況，建立起醫院完整的安全技術體系、安全管理體系及安全運營體系，使得醫院網絡安全建設滿足等級保護合規性要求，符合國家法律規定。
3. 需要根據醫院自身業務系統的實際情況，構建預測、防禦、監控、回溯的自適應安全防護體系，使得醫院網絡安全實現層層遞進、縱深防禦，實現從被動到主動的安全防禦。
方案內容
安全防護體系架構設計
安全防護體系架構圖
三甲醫院的信息系統安全保障體系是以“一箇中心、三重防護、三個體系”為核心指導思想，構建集防護、檢測、響應、恢復於一體的全面的安全保障體系。其中；“一箇中心”是指安全運營管理中心，即構建先進高效的安全運營管理中心，實現針對系統、產品、設備、策略、信息安全事件、操作流程等的統一管理。
“三重防護”是指構建安全區域邊界、安全計算環境、安全通信網絡三維一體的技術防禦體系。
“三個體系”是指形成安全技術體系、安全管理體系、安全運營體系三個體系，三個體系相互融合、相互補充，形成一個整體的安全防禦體系。其中，安全管理體系是策略方針和指導思想，安全技術體系是縱深防禦體系的具體實現，安全運營體系是支撐和保障。
網絡安全技術體系設計
安全物理環境：
物理和環境安全包括機房選址、機房建設、設備設施的防盜防破壞、防火、防水、防盜、電力供應、電磁防護等，在醫院機房的建設過程中嚴格按照國家相關標準進行機房建設、綜合佈線、安防建設，並經過相關部門的檢測和驗收。安全通信網絡：
1. 在醫院內網骨幹鏈路採用冗餘技術部署，避免關鍵節點產生單點故障，保障網絡穩定性和系統的高可用性，保證系統的可用性；2. 在醫院互聯網邊界部署VPN設備，實現遠程訪問，如果運維人員需從互聯網對系統進行遠程維護，也可以通過VPN為運維人員提供運維服務。
安全區域邊界：
1. 根據業務特點進行安全域劃分，並在各個區域邊界部署防火牆設備，實現安全訪問控制，實現邊界隔離；同時在醫院內外網邊界區域部署隔離網閘系統，實現內外網的安全隔離；2. 在各區域邊界部署入侵防護設備，並配置相應的防護策略對業務系統進行安全防護，實現對蠕蟲、木馬、病毒等入侵攻擊行為進行檢測和攔截；
3. 在醫院內部網絡部署APT檢測設備，把網絡中的所有流量採集上來進行檢測分析，實現內網的惡意攻擊檢測和未知威脅檢測；
4. 在互聯網區域邊界中部署安全防病毒設備進行惡意代碼防護，避免木馬病毒從互聯網進來威脅服務器；
5. 在互聯網邊界處部署上網行為審計設備，並開啓設備上的審計策略，實現對非法外聯及上網行為管控，同時可以對上網行為及操作行為進行審計；
6. 在醫院內網部署安全准入系統，實現內部辦公終端的安全准入，只有合規的終端才能訪問重要服務器；實現對非授權設備私自聯到內部網絡的行為進行檢查或限制。
安全計算環境：
1. 在醫院內網部署運維審計系統，加強對網絡設備、服務器操作系統和數據庫系統的統一管理，同時為不同角色配置不同管理賬號，並分配不同管理權限，實現權限控制；也實現運維操作的全程審計；2. 在醫院內網辦公終端和服務器上安裝企業版或網絡版殺毒軟件，定期進行病毒查殺，並且及時更新操作系統安全補丁；
3. 在服務器操作系統和數據庫系統上配置安全審計策略，同時部署日誌審計系統對審計數據進行收集和保護，保證日誌保存時間不少於6個月；
4. 在醫院內網部署漏洞掃描系統，定期對內部網絡設備、安全設備、辦公終端及服務器等進行定期掃描，及時發現內部資產存在的漏洞風險，並進行及時加固處理；
5. 在醫院互聯網服務器區邊界部署專業的Web應用防護系統，實現對互聯網Web應用系統進行全面的安全防護，避免SQL注入、跨站XSS、惡意掃描、非法上傳/下載等攻擊。
安全管理中心：
1. 在數據庫系統上配置安全審計策略，同時部署專業的數據庫審計系統，對數據庫的所以訪問、操作行為進行安全審計；2. 在醫院內網部署日誌審計系統對網絡設備的日誌信息進行收集和保護，保證日誌保存時間不少於6個月；
3. 在醫院內網部署安全管理系統，實現對內部網絡設備、安全設備及服務器等進行集中安全管控及運行狀況進行集中監測。
網絡安全管理體系設計
除了建立安全技術防護體系，採用網絡安全技術手段防護安全威脅外，還需要建立安全管理體系，安全管理措施也是等級保護建設中必不可少的一部分，所謂“三分技術，七分管理”，所以醫院（特別是三甲醫院）需要建立完善的安全管理體系，主要從以下內容考慮：安全管理制度：醫院根據自身的實際情況，組織相關部門和相關人員制定和發佈信息安全工作的總體方針、政策；並根據安全管理制度的基本要求制定各類管理規定、管理辦法和暫行規定，制定嚴格的制定與發佈流程，方式，範圍等，定期或不定期對安全管理制度進行評審和修訂。
安全管理機構：醫院要建立專門的安全管理機構，設置安全管理崗位，設立系統管理員、網絡管理員、安全管理員等崗位，並根據要求配備專職安全員，同時對安全管理人員進行指導。
安全管理人員：醫院在人員錄用、離崗、考核、教育培訓及第三方人員管理上，都要考慮安全因素。
安全建設管理：在安全服務商選擇上，醫院應選擇有實力，有信譽的專業安全服務廠家。
安全運維管理：採用內部管理人員和專業安全廠家的安全服務相結合的方式來實現。
網絡安全運營體系設計
除了安全技術體系、安全管理體系外，三甲醫院還需要建立自身的安全運營體系。1. 對醫院內部資產進行梳理，包括主機/服務器、安全設備、網絡設備、WEB應用、中間件、數據庫及郵件系統等，並對資產進行全面監控，實現安全運營。
2. 定期對系統進行安全評估、檢查系統的配置是否滿足安全防護的需求，定期檢查設備的運行狀態和系統漏洞情況，建立持續的風險評估機制。
3. 根據安全風險評估的結果制定響應信息安全應急響應預案，在重大安全事件、安全檢查和其他對醫院信息安全造成嚴重威脅等情況下，提供及時有效的應急響應服務。
4. 定期在醫院內部組織網絡安全培訓，提高醫院相關職工的安全意識和安全能力，建立安全責任制度。
本項目建成後，不僅可以提高醫院IT安全管理水平，全面降低信息安全風險。同時可以幫助醫院在全區三甲醫院中樹立良好的安全形象，還可以促進醫院業務的發展，具有良好的經濟效益和社會效益。
1. 協助醫院滿足等級保護2.0的合規性要求，符合國家法律法規的相關規定。
2. 統一規劃、統一建設、統一運營，可以充分利用現有網絡資源和安全資源，節省投資，減少重複建設。
3. 加強網絡安全建設，提高醫院的網絡安全防禦體系，減少由病毒及黑客攻擊帶來的間接損失。
4. 完善的網絡安全防護體系，有效防範網絡安全問題引發的社會不良影響；實現醫院敏感數據的安全防護，降低網絡安全問題可能引發的法律風險。
方案部署如下圖所示：
方案部署圖