欢迎来到天天文库
浏览记录
ID:26061730
大小:109.07 KB
页数:45页
时间:2018-11-24
《医院等级保护建设网络安全建设-解决方案》由会员上传分享,免费在线阅读,更多相关内容在工程资料-天天文库。
1、医院等级保护建设网络安全建设解决方案2018年6月目录1概述51.1背景分析51.2等级保护建设目标和范围61.3方案设计71.4参照标准72信息系统现状72.1医院网络安全现状82.2医院网络安全风险分析82.3医院网络安全需求92.3.1物理安全92.3.2网络安全112.3.3主机安全112.3.4应用安全132.3.5数据安全142.3.6安全域划分及边界防护153网络安全建设必要性173.1等级保护要求173.2医院系统面临安全威胁184网络安全建设目标184.1满足合规性要求184.2等级保护技术要求195安全技术体系方案设计245.1物理层安全245.
2、2网络层安全245.2.1安全域划分255.2.2边界访问控制275.2.3网络审计285.2.4网络入侵防范285.2.5边界恶意代码防范295.2.6网络设备保护295.2.7主机层安全305.2.8身份鉴别305.2.9强制访问控制305.2.10主机入侵防范315.2.11主机审计325.2.12恶意代码防范325.2.13剩余信息保护335.2.14资源控制335.3应用层安全345.3.1身份鉴别345.3.2访问控制345.3.3安全审计355.3.4剩余信息保护355.3.5通信完整性355.3.6通信保密性355.3.7抗抵赖性365.3.8软件容
3、错365.3.9资源控制365.4数据层安全375.4.1数据完整性375.4.2数据保密性385.4.3备份和恢复396安全建设方案小结391.1安全服务汇总401.2安全产品汇总41概述1.1背景分析《中华人民共和国计算机信息系统安全保护条例》(国务院令第147号)明确规定我国“计算机信息系统实行安全等级保护”。依据国务院147号令要求而制订发布的强制性国家标准《计算机信息系统安全保护等级划分准则》(GB17859-1999)为计算机信息系统安全保护等级的划分奠定了技术基础。《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发[2003]27号)明确指出
4、实行信息安全等级保护,“要重点保护基础信息网络和关系国家安全、经济命脉、社会稳定等方面的重要信息系统,抓紧建立信息安全等级保护制度”。《关于信息安全等级保护工作的实施意见》(公通字[2004]66号)和《信息安全等级保护管理办法》(公通字[2007]43号)确定了实施信息安全等级保护制度的原则、工作职责划分、实施要求和实施计划,明确了开展信息安全等级保护工作的基本内容、工作流程、工作方法等。信息安全等级保护相关法规、政策文件、国家标准和公共安全行业标准的出台,为信息安全等级保护工作的开展提供了法律、政策、标准保障。2007年起公安部组织编制了《信息安全技术信息系统等
5、级保护安全设计技术要求》,为已定级信息系统的设计、整改提供标准依据,至2008年11月已报批为国标。与此同时,2007年7月全国开展重要信息系统等级保护定级工作,标志着信息安全等级保护工作在我国全面展开。依据《计算机信息系统安全保护等级划分准则》,将信息系统安全保护能力划分为五个等级;分别为: 第一级:用户自主保护级;由用户来决定如何对资源进行保护,以及采用何种方式进行保护。 第二级:系统审计保护级;本级的安全保护机制支持用户具有更强的自主保护能力。特别是具有访问审记能力,即它能创建、维护受保护对象的访问审计跟踪记录,记录与系统安全相关事件发生的日期、时间、用户
6、和事件类型等信息,所有和安全相关的操作都能够被记录下来,以便当系统发生安全问题时,可以根据审记记录,分析追查事故责任人。 第三级:安全标记保护级;具有第二级系统审计保护级的所有功能,并对访问者及其访问对象实施强制访问控制。通过对访问者和访问对象指定不同安全标记,限制访问者的权限。第四级:结构化保护级;将前三级的安全保护能力扩展到所有访问者和访问对象,支持形式化的安全保护策略。其本身构造也是结构化的,以使之具有相当的抗渗透能力。本级的安全保护机制能够使信息系统实施一种系统化的安全保护。第五级:访问验证保护级;具备第四级的所有功能,还具有仲裁访问者能否访问某些对象的能
7、力。为此,本级的安全保护机制不能被攻击、被篡改的,具有极强的抗渗透能力。 目前,全国范围内的定级工作已经基本完成,2009年起将依据标准要求对已定级信息系统进行整改,以达到规范安全管理、提高信息安全保障能力到应有水平的目标1.1等级保护建设目标和范围为了落实和贯彻自治区政府、公安部、保密局、卫生部、自治区卫生厅等国家有关部门信息安全等级保护工作要求,全面完善医院信息安全防护体系,落实“分区分域、等级防护、多层防御”的安全防护策略,确保等级保护工作在本单位的顺利实施,提高整体信息安全防护水平,开展等级保护建设工作。我们前期对医院网络进行了勘查分析,了解与等级保护要
此文档下载收益归作者所有