构建医疗行业信息安全防护体系new

《构建医疗行业信息安全防护体系new》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、融合应变，按需安全构建医疗行业安全防护体系方正信息安全技术有限公司首席安全咨询顾问沈传宝CISSP/CISP/OCPMSN/GTalk:shencb@Gmail.com目录•驱动力信息安全应变之难•方法论信息安全建设之道•构建和谐方正信息安全解决方案融合创造价值，应变构建和谐安全事件分布美国联邦调查局对2066家公司和组织进行了调查，发生概率排在前四位的是：1）病毒；2）笔记本电脑或移动设备被窃；3）内部网络资源滥用；4）未授权访问。安全事件的损失病毒感染导致最大损失，未授权的访问排名第二，笔记本电

2、脑等移动设备失窃和重要数据被窃取则列居三四位。这四种类型的损失占了所有损失总数的80%左右。安全威胁方的分布信息技术与互联网的发展互联网的变迁：过去TCP/IPFTPEmailTelnet现在TCP/IPP2PBBShttp互联网应用的改变，导致了各种混合型威胁的出现，应用的扩展给应对这种混合型威胁带来巨大困难.恶意软件已经成为一种产业惊心动魄的数字截止到目前为止，全球最大的僵尸网络中有28,000,000台PC2007年上半年，全国计算机感染台数760万台，与去年同期相比增长了12.2%。其

3、中有50万受木马控制。网络攻击手段的融合当前威胁不可避免另一方面：国家政策、行业规范信息系统等级保护是国家信息安全的基本制度：2003年，中央办公厅、国务院办公厅转发《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）2007年6月22日，公安部、国家保密局、国家密码管理委员会办公室、国务院信息化工作办公室等四部委发布的《信息安全等级保护管理办法》（公通字[2007]43号）2007年，等级保护的推广实施之年7月16日，发布“关于开展全国重要信息系统安全等级保护

4、定级工作的通知”（公信安[2007]861号）7月20日，召开“全国重要信息系统安全等级保护定级工作电视电话会议”，部署在全国范围内开展重要信息系统安全等级保护定级工作。7月31日，中央部委定级工作培训会议各行各业政策和规范党政机关：《党政机关信息系统安全指南》、《电子政务信息安全等级保护实施指南》、《党政机关信息系统安全测评规范》、《电子政务信息安全保障技术框架》中国移动：《中国移动网络安全评估规范》、《中国移动支撑系统安全域划分与边界整合技术要求》税务：《税务系统信息安全风险评估指南

5、》、《税务系统网络信息安全管理规范》电监会：《电力二次系统安全防护规定》证监会：《证券期货业信息安全保障管理暂行办法》保监会：保险公司内部控制制度建设指导方针（1999年131号文）美国医疗行业的安全法案HealthInsurancePortabilityandAccountabilityAct(HIPAA)WhitePaper:HealthInformationSecurityEnactedbytheU.S.Congressin1996,andbecameeffectiveJuly1,

6、1997RequirementImplementationAccessControlRole-basedaccessUser-basedaccessEncryptionAuditcontrolsDataauthenticationEntityauthenticationUniqueuseridentificationAutomaticlogoffPasswordTokenCommunicationsAccesscontrols/NetworkcontrolsAlarmAudittrailEncryp

7、tionEntityauthenticationEventreportingIntegritycontrolsMessageauthentication总结：信息安全建设的驱动力来自ISO/IEC17799….法律、法规和合同约束的要求组织的原则、目标和规定组织风险评估的结果信息安全建设的驱动力“政策”驱动力：法律、法规、规范、标准、合同、策略…医疗领域的安全标准要求、国家等级保护的要求等“风险”驱动力：技术的变迁带来风险内容和程度的变化医院信息化网络中的安全问题如病毒、蠕虫、

8、木马、内部资源滥用（P2P）等目录•驱动力信息安全应变之难•方法论信息安全建设之道•构建和谐方正信息安全解决方案融合创造价值，应变构建和谐医疗行业安全建设的基本需求医疗行业的主要信息系统应用：医院信息管理系统、远程医疗诊断、网上就医、急救调度响应、疫情监控系统、医疗保险系统…………安全防护目标：避免医疗信息被偷窃和修改和未授权的访问；保护患者的隐私；遵守政府法规的要求；避免病毒或攻击造成网络瘫痪而影响医院业务运行；…………如何有效的管理终端的安全？如