路健：医院网络安全建设实践

云南省肿瘤医院是云南省唯一一家集医疗、科研、教学、预防于一体的三级甲等肿瘤专科医院，信息化建设走在全省乃至全国前列。作为省内首家互联网医院，云南省肿瘤医院在开展信息化建设过程中，网络安全的重要性日益凸显。信息系统的安全与医院各项工作的正常运行息息相关，一旦网络瘫痪或数据丢失，将会给医院带来巨大损失。在CHIMA 2021大会上，云南省肿瘤医院信息中心主任路健详细介绍了医院的网络安全建设。

以下内容根据路健主任演讲整理。

历经20多年发展，网络安全等级保护相关政策越来越完善。网络安全等保2.0刷新了网络安全等级保护的基本要求，对等级保护安全设计技术、测评、保护实施、管理中心技术都提出了新要求。2017年6月1日起《中华人民共和国网络安全法》正式实施，推动网络安全深入各行各业、各种场景，意味着等级保护上升到法律层面，做不好安全建设将面临法律处罚，同时网络安全建设是“一把手”工程。《网络安全法》对网络安全等级保护提出了严格规定，不做等保就是违法。

对于信息安全的工作目标和实现方案，每家医院可以根据自己的实际情况做出选择，可谓各有千秋，但有些普适性的基本原则是相通的。网络安全建设三原则主要是持续改进、纵深防御和非对称。

原则一：持续改进

在解决网络安全问题的过程中，不可能一劳永逸。安全产品、安全技术不能光靠名词的改变来实现转型升级，而是需要不断随着攻击手段的发展而升级。因此，持续改进、PDCA（Plan、Do、Check、Act）循环、螺旋式上升，是网络安全建设的第一个原则。

原则二：纵深防御

在典型的入侵案例场景中，攻击者利用Web应用漏洞，获得低权限Webshell，然后通过低权限的Webshell上传更多文件，并尝试执行更高权限的系统命令，进一步在服务器上提权，再横向渗透，获得更多内网权限。因此，在安全防护技术没有革命性发展的当下，医院必须坚持纵深防御原则，从网络层、虚拟层、系统层、应用层，到数据层、用户层、业务层、总控层，进行层层防御，共同组成整个防御体系。这是网络安全建设的第二个原则。

原则三：非对称

对于攻击者来说，只要能够找到医院系统的一个弱点，就可以达到入侵系统的目的，而对于医院信息安全人员来说，必须找到系统的所有弱点，不能有遗漏，不能有滞后，才能保证系统不会出现问题。这种非对称性导致攻击者和安全人员的思维方式不同，也是医院信息安全工作难做的根本原因，因为破坏比建设要容易。因此，安全防护人员也需要具备非对称思维。在信息安全领域，目前有很多非对称的安全防护“武器”，比如各种“蜜”的产品：蜜网站、蜜域名、蜜数据库、蜜表、蜜字段、蜜数据、蜜文件等。如果医院在面对攻击时进行安全反制，恶意攻击者就很难全身而退。认识到非对称，并找到解决非对称问题的方法，这是网络安全建设的第三个原则。

云南省肿瘤医院的网络安全建设实践主要涉及物理安全、网络安全、系统安全、应用安全、数据安全、终端安全。

1.物理安全

目前医院除HIS数据库服务器外，其余所有系统均运行虚拟化平台之上。医院的内网和外网于2010年3月实现物理隔离，并于2015年开始逐步进行移动互联网医院网络安全加固：院内共部署近800个AP热点，覆盖医院门诊楼、1号住院楼、2号住院楼、3号住院楼及医技楼。同时，外网无线为认证开放式为职工提供无线上网服务，内网无线为绑定设备认证方式开放给医生和护士使用移动医护工作站。

2.网络安全

医院在网络安全方面做到了独孤九剑：边界安全防护、应用监测防护、对外服务防护、虚拟专用网络、内网边界防护、服务器区域防护、运维和安全审计、威胁发现与漏洞扫描和全网安全感知。

3.系统安全

医院在系统安全方面主要考虑操作系统、数据库、中间件等系统软件的安全，主要体现在以下3个方面：一是操作系统、数据库本身的缺陷带来的不安全因素，主要包括身份认证、访问控制、系统漏洞等；二是对操作系统、数据库、中间件的安全配置问题；三是病毒的威胁。

4.应用安全

医院主要考虑提供服务所采用的应用软件访问控制和身份验证，以及数据保密性、完整性、可用性等方面的安全技术标准和要求，包括HIS、LIS、PACS、EMR等医院业务系统服务，还包括病毒对系统的威胁。

5.数据安全

当前，HIS、EMR、LIS、PACS等信息系统积累了大量数据，保障数据安全至关重要。为确保数据安全，医院建立了影子机房。

6.终端安全

终端安全涉及到电源管理、补丁管理、主机防御、防病毒管理等很多方面，包括ICU、放射科、手术室等在内的各科室计算机的远程维护。在设备管理方面，医护人员越来越多使用移动智能设备，采用移动设备管理(MDM)系统，保护医院移动智能设备不会受到攻击。医院对手机等移动终端设备均设置了独立的准入密钥，获得密钥方可浏览医院数据。如出现手机遗失等情况，管理员可从后台对移动终端进行锁定或对数据进行远程擦除。

在医院网络安全管理中，网络安全工程师非常重要，需要培养他们的“洁癖”：信息安全团队必须建立对风险的“敬畏之心”，不能把安全防控重点放在风险事件发生之后疲于奔命的应急处置，不应该总是担任“救火队员”，而应该将风险前移，将工作重心放在事前预防、事中控制，重点放在对尚未暴露的风险隐患的排查、发现和及时化解，做到未雨绸缪，心中有数，防患于未然。当然，如果风险事件万一真正发生了，也不要逃避，而是应该深入总结分析，查明根本原因，举一反三，落实整改措施，直至彻底解决。

从技术上来讲，这个世界上没有绝对的安全。医院信息中心应提高警惕，从多个层面加强网络安全，为医院构筑牢固的安全屏障。

（本文由CHIMA秘书处杨永燕整理）