“医院或是某一单位的信息安全单靠技术手段是不够的，必须要有一个完善的制度和周密的解决方案，其实信息安全最重要的事情就是在你日常的每一天，每一分每一秒持之以恒的去做这个事。” 301医院计算机应用与管理科副主任刘敏超强调。
近日，由北京市公共卫生信息中心主办、中国数字医疗网承办的“北京卫生信息化大讲堂系列培训”第四期成功在京举办，本次培训主题是移动互联时代的信息安全。刘敏超出席本次培训会并作了“医院网络安全分析与运维实践”报告。
301医院信息网络特点
301医院信息化建设一直走在全国前列，作为部队单位，301医院的信息网络有哪些特点呢?刘敏超介绍，由于301医院随担着很多高级首长的保健信息，医院信息网传输了很多敏感人群信息;第二个，301医院网络方面有多种不同密集网络并存，普通患者走医院的网络，还有一些军队的高级首领，走绝密级的网络，还有部队内部的办公系统，叫做军事综合信息网，它也是一个高等级的网络，还有互联网，这些网络在我们医院里交叉分布的。多种网络并存的状况，对医院的信息安全是一个极大的挑战。
第三个特点，301医院目前有两个院区。一个是304，就是原来的304，还有本部，另外在海南还有分院，同时涿州还有新院在建设中。
第四个特点，是医院的日常运行在日益的网络化。
第五点是301医院的用户是多样的，多样性也是比较特殊的，301医院超过60%的患者都是外地来的。另外我们的工作人员是来自全国各地的，有大量的进修生，博士生，还有访问学者，这些用户他们有时候只是很短暂的301停留，但是他们也需要用到我们的信息系统。这是用户的多样性和流动性对医院的信息安全来说也是一个极大的挑战。
以上五个特点，都对网络安全提出了挑战。刘敏超强调，医院目前的运行的网络结构分两个层面，一个是基础设施已经互联互通。但医院的医疗网与互联网是隔离的。另外一层，我们的业务系统也越来越互联互通了，这个包括我们的供应链管理，药品的供应链管理，包括药品和器械的采购平台。现在都已经和外面的这些系统进行了对接，还有包括我们的支付。大家都知道医保，我们跟银行之间也有直接的支付结算。还有妇幼的新生儿的，像这些行业监管的系统，包括我们的远程服务。
五大方面影响医院网络安全
前面已经讲了医院的网络的特点，对医院网络安全的影响因素我从五个方面简单介绍一下。第一个因素是，301医院的网络规模非常大，设备数量和类型也很多。301医院目前PC机已经超过1万台，网络设备，交换机超过1000台，所以设备和网络规模确实是非常大。
第二个因素，院内网正在越来越快速的和外部的网络进行互联互通。
第三个因素，301医院信息化程度比较高，用户信息化的意识也特别强，所以他们对自己的信息化的要求就多。所以我们这个系统很多，很多都是来自第三方的系统。因为计算机本身的接收力量是有限的，所以大量的系统都来自第三方，这会带来数据上的安全，如何保证数据不外泄至关重要。
第四个因素，网络用户构成极为复杂，流动性大。医院有大量的进修生，大量的访问学者，还有博士生、研究生等等，他们在这个医院短暂的停留，毕业之后或者是回去之后分散在咱们国家的四面八方。对于这种用户的管理，也是极为复杂的。
第五个因素，不同密级的网络并存。在信息安全领域不同密级的网络按道理来说是不能在一个狭小的空间内并存的，但是301的特点，有些领导有些机关需要同时用到多种网。这种情况对网络安全信息安全来说也是一个很大的影响。
保证网络安全经验分享
网络隔离
刘敏超介绍，目前医院采用的是三网隔离，将办公网、互联网、医疗网做到完全物理隔离。
除了三网隔离之外，还有就是院区之间的隔离，将西院的网络和东院的网络进行隔离，使东西两院之间的数据做到物理上没有任何交集。在部队，301医院还有一个特殊点，就是有一些级别特别高的首长，医院采用的手工保存。
物理安全
通过机房远程监控、定期巡查等手段做到网络物理安全。这是我们自己开发的，通过红外摄像保证我们机房用的时候都是可视的。刘敏超介绍，医院使用了大量的传感器、UPS、空调与服务器进行对接，能够自动的采集数据，传到监控系统里面，然后系统通过界面来展示。机房监控还包括温度、湿度，是不是有火警有漏水，一旦超过了系统设置的值它就会自动报警。
另外，医院自己开发了可视化的网络图谱，通过这个系统可以动态的发现哪些网络出现异常，做到第一时间发现响应。
信息安全技术手段只一部分，更重要的日常的运维。所以301医院采用定期巡查法。怎么保证定期巡查呢?医院设有指纹登录，信息科的工程师每天上午、下午和晚上都要去机房看一下，通过你的指纹登录方便管理者记录，通过审查制度医院还会定期进行奖评，对于发生的问题及时进行整改等等。通过这些来保证我们的机房，因为我们301医院里的付方也非常分散，通过这些手段来保证我们这些机房，这些重要的网络设备，能够处于一个正常的运行状态。
接入安全
在信息系统网络接入方面的安全措施。目前医院采最主要的做法是控制网络边界，每一台入网的机器都进行mac地址绑定，只有在绑定的允许范围内才可以登陆医院的网络。未来医院还要尝试进行mac地址和IP地址的绑定。除了网络边界，医院还要控制系统边界工作，登录系统前要进行注册。
互联安全
第四个做法就是互联安全，主要是加强边界防范。刘敏超介绍，医院的系统会存在和院外的网络进行互联，这时就需要把边界控制好。他举例称，目前医院已经与四家银行进行了系统对接，对接的过程中我们用的全是专线。另外对接的边界上都使用防火墙，都使用网闸和一些设备，除此之外这个对接的信息交流，我们是自行研发的。
权限管理
第五个方面就是权限的管理，权限的管理是非常重要，也是用的特别多的。把握几个原则，用户的授权最小化，保证你能用你够用，但是只要你够用，多余的你也不能用。尽量的授权做到细致，我们现在是对不同的用户，大量使用Oracal角色的概念，这个角色设为这个用户，这个用户就能干这些事。
这个工作做得还没有达到我的理想，确实因为用户量太大了，每个用户真正的要仔细去斟酌他到底能用什么，不能用什么。要去分析，而且面临随时变动的可能，所以这个工作还做得很不够，但是我们是一直采取这个原则。
特定用户指定IP。我们有很多应用程序，WEB SERIVICE。这个WEB SERIVICE它里面有一个数据库连接，有个用户口令，这个用户他只能从这个IP地址访问，它只能访问WEB SERIVICE他需要的那些内容，我们都给他做限制，然后开发人员都有自己的IP，比如说我们开发人员用的jawa，他只能在他的机器上去调试程序，在别的机器上是不行的。
最后就是一个特定的系统和指定的IP进行绑定。比如说我们的ERP系统，它会大量的从我的核心数据库里采数据，那么它的应用，它的IP和它的用户都是指定的，在指定的IP上，在指定的时间内进行访问。这些方面权限上要给他做很多的限制。
终端安全
第六个，就是PC机，我们的这些平板电脑等等，它们的这些(真高)方面的安全，我们有一个管理软件，能够禁止它他使用优盘、光驱，带存储的数据设备，比如说有些打印机是带存储的，也禁止它修改IP等等，通过软件来禁止这个工作。但是这个工作实际上难度很大，做得也很不理想。因为301确实这些方面，这些机关有时候特别强势，确实他们有客观的需求。你要做这些工作，大量的解释工作，就是推行起来很困难。
但是网络安全就是这样的，有一百个环节，你99个环节做得很好了，就一个环节做得不好就不行，这就是我们的莫特理论。你只要这个环节做得不好，你面临的风险跟其它99个没做好是一样的。
另外就是使用杀毒软件，我们对杀毒软件有一个最低的病毒库要求，你这个PC机上或者是终端上没有达到这个要求，那你就别用我的网络，你就登陆不了系统，这是最低病毒库的要求。另外有定期的更新，它是强制更新。这个病毒库你不更新了你就用不了系统，这是我们在终端方面做得工作。
其他
最后还有一些其它方面，比如说我们跟第三方法的厂商做的系统对接，我们是的通过web serivices减少直访问数据库。因为熟悉军工一号系统的人可能知道，以前大量的接口都是通过直接访问数据库来做的，现在这种方式我们已经不采用了，而且逐步把直接访问数据库的行为变成访问WEB SERIVICE，因为WEB SERIVICE是我们自己开发，系统有你访问系统的日志，我们将来可以看你到底都访问了什么，这是第一个。
第二个我们尽可能的把我们非核心的业务数据给剥离开，怎么剥离开不要放到我的核心数据库里。比如说前段时间我们做的移动护理的系统，它有自己大量的业务数据，我们都让它拿到另外一个数据库上去，不要跟我的数据库混在一块这样能保证我的核心数据库是一个低容量的，是很精简的数据库。到时候万一出现问题，我的灾难恢复能很快。
第三个定期的做网络设备巡查，我们要求每个月所有的网络设备都要有人工巡查一遍。每个季度，每一台机器，我们的工程师都会看一看，它网络方面的这些防护，包括病毒库的设置等等。
第四个是我们的帐户设置有效期，密码要求定期修改。尤其是我们有大量的进修生、学生，他们的帐户是设有效期的，密码也要求他们定期修改。
最后一个是异地灾备。我们的数据不仅在主楼有，还有一些数据在我们的别的院区还有，通过这种方式保证我们的数据真正遇到问题的时候能够把它找回来。
未来展望 ：移动安全成为下一挑战
智能手机人人享有，3G、4G网络漫天铺盖，从技术发展的趋势看，刘敏超认为，将来一定是移动的世界，一定是无线的世界。由于部队医院对网络要求非常高，目前301医院还不允许使用无线网，但刘敏超坚信，301医院将来所有的系统信息都有可能在无线环境下应用，未来无线应用的移动安全也将成为刘敏超及他的团队下一步面临的重大挑战。
如何发现信息安全问题，刘敏超认为一定要通过大数据的工具进行管理和分析。最后就是，医院要给每个人提供个性化的安全服务，针对不同的用户提供可定制化的、个性化的，这是我们将来要达到的目标。虽然实现目标会比较艰难，但刘敏超有信心做到。
欲了解更多资讯，敬请关注材料设备
>
