医院信息系统安全风险与应对new

《医院信息系统安全风险与应对new》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、医院信息系统安全风险与应对①①①黄慧勇黄冠朋胡名坚①佛山市第一人民医院，528000关键词安全风险信息系统安全医院信息系统摘要近几年来，随着医院对经营管理、医疗质量、医疗服务等各个方面提出的更高要求，医院均加大投入，全面地、大规模地进行医院信息系统建设。各类的应用系统、IT硬件、网络设施在医院内建立起来，医疗业务、管理业务也对信息系统的依赖性也越来越高，信息系统的任何短暂停顿都可能会导致业务运行的中断。面对医院对信息系统如此高的要求，以及信息系统面对的如此复杂的应用环境，IT管理者如何解决信息系统的安全问题，确保信息

2、系统的“永续”运行，本文根据多年的医院信息系统建设与运维实际情况，试图从医院信息系统安全角度出发，对信息系统安全所面临的风险进行初步的识别，并针对性地提出应对办法。近几年来，随着信息系统在医院更全面，更深入的应用展开，信息系统的规模空前的扩大了，所采用的各种IT软硬件设施种类繁多。医疗业务、管理业务对信息系统的依赖性也越来越高，信息系统的任何短暂停顿都可能会导致业务运行的中断。与此同时，信息系统运行的环境却越来越恶劣，开放式的使用环境、各类计算机病毒、各类恶意非恶意的破坏都在威胁着信息系统的安全。面对医院对信息系统如

3、此高的要求，以及信息系统面对的如此复杂的应用环境，IT管理者如何解决信息系统的安全问题，确保信息系统的“永续”运行，是当前迫切需要处理好的问题。1医院信息系统主要的安全风险1.1物理安全风险1.1.1环境场地安全风险主要有水灾、火灾、地震、雷击、计算机系统电源供应不稳定、温度过高或过低、消防设施不合适、静电防护不合格、防尘不达标、其他电磁干扰等等，这些人为的或自然的安全风险对信息系统有可能造成灾难性的毁坏。1.1.2设施与设备安全风险主要有采购到不符合国家相关标准或规范要求的计算机产品、主机系统没有专有机房保护、网络

4、设备放置于不安全地方、未做好防毁防盗、新购的核心设备未做好测试就投入运行、故障的设备没有及时检修、信息系统的数据中心没有严格人员进入管理、信息系统存在线路非法截获、核心设备没有冗余等。事实证明，由于医院是一个开放环境，人员来去自由，身份复杂，防盗问题比较突出。1.2数据安全风险1.2.1介质安全风险由于医院信息系统实施周期长，所涉及的应用系统众多，目前各应用系统大多是不同厂家开发，存在着异构的数据平台，数据存储在不同的服务器或不同的存储产品中。主要的风险有存储介质故障、备份介质如硬盘故障风险、磁带损毁风险、自动备份策

5、略不生效等。13771.2.2数据库安全风险由于医院信息系统中的数据大多存放在数据库中，主要[1]风险有：数据库用户管理混乱、内部或外部的非授权用户从不同渠道进行攻击、未做数据库审计、非法机器接入、人员误操作导致数据删除、数据库产品本身缺陷等。其中由于权限管理不严格，造成的对数据非法操作或误操作的现象是屡见不鲜，对信息系统危害很大。1.3网络安全风险1.3.1网络体系结构设计上的风险医院信息系统的网络不是一个封闭的网络，还涉及到与社保、银行、其他医疗机构、上下级机构连接，内网又有不同应用，因此在网络体系结构设计时必须

6、考虑网络安全的设计，而不是单纯考虑容量、带宽、性能等指标，还应考虑内外网是否应物理隔离、网段划分是否合理、路由是否正确、核心网络设备是否需要冗余设计等。但很可惜的是，许多医院网络是逐步扩容或升级而成，很少有做周全的规划。1.3.2配置管理上风险由于信息系统中大量依赖网络进行信息传递，网络设备如交换机、路由器等如果存在路由信息误改、交换机配置出错，将导致网络大面积的瘫痪。密码管理不严、网络配置无及时备份、参数修改控制不严格都是较常见的问题。1.3.3网络管理安全风险网络随应用需求而变更频繁，网口增减随意性大、走线杂乱无

7、章、网络管井的跳线、面板标识不清、网络跳线杂乱无章、各科室或病区私架无线或有线局域网，如果没有一套规范的管理，对网络故障快速定位都是一个很大的挑战。在实际使用过程中，用户私自架设局域网、私自在计算机上安装不安全的软件情况比较严重。1.3.4病毒与入侵风险这些风险即有来自于内部的，也有来自于外部的。由于网络的开放性与共享的需求，大多数医院都建立了Internet的应用，如门户网站、邮件系统、OA系统的建立，都给网络安全带来隐患。电子邮件现已成为计算机病毒最主要的传播媒介，占病毒总传播的87%。因此收取来历不明邮件、访问

8、不安全的网站、局域网内大量设置共享目录、没有安装必要防病毒软件和防垃圾邮件、没有配置防入侵系统都加大了这种网络异常故障的风险。在实际医院信息系统维护工作中，病毒造成的干扰是最大的。1.4应用安全风险1.4.1应用软件安全风险由于众所周知的原因，医院信息系统应用软件的变更频率是很大的，未做充分软件测试、版本管理不严格、技术文档缺失、配置管理与变更