莆田市卫生信息专网建设规范（试行）.doc

《莆田市卫生信息专网建设规范（试行）.doc》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、莆田市卫生行业信息系统安全建设基本规范（征求意见稿）莆田市卫生信息中心二〇一二年三月目录一、目的与范围11、背景12、目的13、范围14、规范性引用文件1二、基本框架2三、安全技术体系31、物理安全31.1机房选址31.2机房管理31.3机房环境31.4设备与介质管理42、计算环境安全42.1身份鉴别42.2访问控制42.3系统安全审计52.4入侵防范52.5主机恶意代码防范62.6软件容错62.7数据完整性与保密性62.8备份与恢复72.9资源控制72.10客体安全重用82.11抗抵赖83、区域边界安全83.1边界访问控制83.2安全隔离网闸83.3边界流量控制93

2、.4边界完整性检查93.5边界入侵防御93.6边界安全审计（上网行为管理）103.7网页防篡改103.8边界恶意代码防范（防毒墙）104、通信网络安全104.1网络结构安全104.2网络安全审计114.3网络设备防护114.5通信完整性114.6通信保密性114.7网络可信接入115、安全管理中心125.1系统管理125.2审计管理135.3网络运维堡垒机管理系统13四、安全管理体系14五、安全运维服务141、安全扫描152、人工检查153、安全加固153.1流程163.2内容164、风险规避175、日志分析185.1流程185.2内容186、补丁管理187、安全监控

3、198、安全通告199、应急响应1910、入侵调查2010.1主机、网络异常响应2010.2其他紧急事件2010.3响应流程20一、目的与范围1、背景新医改以来，我市卫生信息化发展迅速，信息化基础设施及业务应用逐步建设并完善，目前已完成或在建的项目有：全市区域卫生信息专网、居民健康档案信息系统、基层医疗机构综合信息管理系统、新农合信息管理系统、区域电子病历系统、视频会议系统、全市OA办公自动化系统和区域PACS系统等。随着医疗业务的不断开展，网络与信息系统安全问题也随之暴露出来。目前，我市卫生行业网络与信息系统安全尚缺乏统一的规划、安排、组织和实施，现有的安全应用还比

4、较单一，缺乏系统性和整体性，存在较大安全风险，远不能达到国家、省、市政府对信息系统安全防护的相关要求，如不及时解决将严重影响卫生信息化的进一步发展。《中华人民共和国计算机信息系统安全防护条例》（国务院令第147号）明确规定我国“计算机信息系统实行安全等级保护”。依据国务院147号令的要求而制订发布的强制性国家标准《计算机信息系统安全防护等级划分准则》（GB17859-1999）为计算机信息系统安全防护等级的划分奠定了技术基础。《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）明确指出实行信息安全等级保护，“要重点保护基础信息网络和关系国家

5、安全、经济命脉、社会稳定等方面的重要信息系统，抓紧建立信息安全等级保护制度”。《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）和《信息安全等级保护管理办法》（公通字[2007]43号）确定了实施信息安全等级保护制度的原则、工作职责划分、实施要求和实施计划，明确了开展信息安全等级保护工作的基本内容、工作流程、工作方法等。信息安全等级保护相关法规、政策文件、国家标准和公共安全行业标准的出台，为网络与信息安全体系的建设提供了法律、政策、标准依据。省卫生厅和公安厅于今年1月份联合印发了《福建省医院信息系统安全等级保护工作实施方案》指导各医疗机构实施信息系统安

6、全保护，这为卫生行业网络与信息安全体系建设奠定了基础。2、目的本标准编制的目的是依据国家信息系统等级保护相关标准及其他信息安全标准规范，结合卫生信息化实际情况，对卫生专网与信息系统安全的基本框架、安全技术体系、安全管理和安全运维服务等进行规范，指导卫生行业各单位、部门在信息安全等级保护定级和备案工作基础上，开展网络与信息系统安全规划、整改及建设工作，落实安全防护技术措施，建立健全安全管理制度，进一步提高卫生网络与信息系统的安全保障能力和防护水平，确保各单位、部门网络与信息系统的安全运行，推进卫生信息化的安全、健康、协调发展。3、范围本技术规范适用于卫生行业各单位，用于

7、指导各单位卫生专网、政务外网的网络与信息系统安全规划、设计、建设和整改，保障信息系统的安全运行，也可作为卫生行业信息安全职能部门进行监督、检查和指导的依据。各单位政务内网的网络与信息安全系统建设应遵循国家有关职能部门及卫生上级部门的相关规定。4、规范性引用文件(1)《计算机信息系统安全防护等级划分准则》(GB17859-1999)(2)《中华人民共和国计算机信息系统安全防护条例》(国务院令第147号)(3)《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发[2003]27号)(4)关于印发《关于信息安全等级保护工作的实施意见》的通知(公通字