医院网络安全运营中心建设经验分享课件

CHIMA,2019,医院网络安全运,营,中心 建设经验分享,张司露,郑州人民医院,医院网络安全运营中心 建设经验分享张司露,1,目录,Contents,郑州人民医院简介,安全运营中心建,设,背景,安全运营中心建,设历,程,安全运营中,心,建,设体会,目录Contents郑州人民医院简介,2,郑州人民医院简介,1,郑州人民医院简介1,3,郑州人民医院简介,郑州人民医院始建于,1912,年,2,月，由天主教郑州教区主教、意大利 人贾师谊创建，前身是天主堂公教医院。历经百年发展，现已成为一 所集临床医疗、教学科研、预防保健、急救康复为一体的现代化大型 综合性三级甲等医院，现在是河南中医药大学人民医院,/,医学院，大学 直属附属医院，承担大学西医临床医学专业的招生培养任务。,医院现有职工,3209,人，其中卫生专业技术人员,2714,人，博士、硕 士,657,人，具备高级专业技术职务任职资格人员,315,人，享受国务院特 殊津贴,1,人，省、市学术技术带头人、专业技术拔尖人才,28,人。,医院设置临床医技科室,60,余个，开放床位,2020,张（含郑东院区,520,张），年门诊量,100,余万人次，年住院患者,6,万多人次，年手术量 近,4,万台,。,郑东院区作为医院总部执业延伸点，定位综合医院，发挥医疗集 团管理优势，运行上与本部一体化管理。质量管理、服务标准与医院 本部同质化，执行三级综合医院服务标准。,按照综合医院基本标准，开设内外妇儿五官等专业，开展常见病多 发病的诊疗。打造医疗美容中心、健康医疗管理中心、以及以家庭化 产房为特色的妇儿中心,。,郑州人民医院简介郑州人民医院始建于1912年2月，由天主教郑,4,郑州人民医院重点学科,骨外科学 泌尿外科学 呼吸病学,风湿病学与自体免疫 病学,省,重点,培,育,学,科,市,重点,学,科,市,重点,培,育,学,科,省,重点,学,科,肿瘤免疫学 血管外科学,临,床科,室,医,技科,室,河,南省,院,士,工,作,站,科室设置,神,经病,学,器,官移,植,外,科,学,心,血管,病,学,消,化病,学,急,诊医,学,护,理管,理,学,肿,瘤放,疗,学,肝,胆胰,外,科学,放,射诊,断,学,超,声诊,断,学,病,理学,其,他学科,专,科护,理,学（,糖,尿病,护理,),医院共有临床医技科,室,60余个；省市级医学重,点,(培育),学,科18个；省市重点实验,室,7,个,；省市级临床研究,所,5个。,郑州人民医院重点学科骨外科学 泌尿外科学 呼吸病学省重点培育,5,两个协同理念,医防康协同,医教研协同,遵循关卡前移、重心下移、预 防为主、主动管理的理念，进行“全人、全过程、全生命周期”的 健康管理服务。,包含健康管理中心、健康教育 中心、健康体检中心、慢病防治中 心，家庭医生服务中心等。,医院与河南中医药大学深度合作，挂牌河南中医药大学人民医院，按照河 南中医药大学直属单位进行管理，今后 郑州人民医院将成为河南中医药大学医 学院的主体单位，共同建设河南中医药 大学医学院。,目前河南中医药大学临床医学系已 正式通过教育部审批，2018年首批招 生120名，医学院的建立是医院的重大 转型举措。,两个协同理念医防康协同 医教研协同遵循关卡前移、重心下移、预,6,安全运营中心建设背景,2,安全运营中心建设背景2,7,网络安全法律法规要求,中央精神：,习主席,“419,讲话”：“没有网络安,全,就没,有,国家,安,全。”,政策依据：,网络安全,法,国家坚持网络安全与信息化发展并,重,，遵,循,积极,利,用、科学发展、依法管理、确保安全的,方,针，,推,进网,络,基础 设施建设和互联互通，鼓励网络技,术,创新,和,应用,，,支持 培养网络安全人才，建立健全网络,安,全保,障,体系,，,提高 网络安全保护能力。,信息系统安全等级保护管理办,法,根据我院三级甲等医院的级别，核,心,系统,（,H,I,S,、,电子病 历等）应备案并通过三级评测。,电子病历系统应用水平分级评价,标,准（,试,行）,其中,7,级对网络安全部分要求主要体,现,在终,端,安全,、,服务 器安全以及边界安全防护工具的配,备,和部,署,。,全国医院信息化建设标准与规,范,(,试,行,),第四章明确规定了安全防护的内容,，,包括,四,大类,1,9,个子 类内容。其中明确要求三级医院的,信,息化,建,设应,参,照等 级保护三级标准进行网络安全建设。,医院智慧服务分级评估标准体系（,试,行,）,安全管理要点：智慧服务系统基础,设,施、,管,理与,安,全状 况，对网络安全、数据安全作出要,求,。,网络安全法律法规要求中央精神：,8,我院网络安全背景,外部威胁：,勒索病毒导致的数据受威胁,2017年开始，勒索病毒在全球范围爆发；截至2018,年，,某安,全,公司,在,全国,处,理勒,索,病毒,应,急,事件630起，其中医疗行业65起，占比约12%,。,台积电,事,件,：,台积电,身,为,全,球半导,体,第,一,大厂，,竟,遭,勒,索病毒,击,垮,，,停产2天，,经,济损失52亿。,黑客攻击导致的网站受威胁,门户网站系统防护脆弱，若被黑客,篡,改将,造,成较,大,负面,影,响。,内部威胁：,网络统一规划缺失,终端缺乏统一管理,应用系统缺乏检测和预警,安全技术和制度不完善,网络安全呈被动防御状态,我院网络安全背景外部威胁：,9,上级部门、院领导重视,安全培训讲座,上级部门组织网络安全培训，对,网,络安全,法进行专题解读。,督促网络安全、数据安,全,自查,勒索病毒攻击情况自查通知、,重要数,据和公,民,个人,信,息泄露,安,全隐,患,排,查通,知,，我院对应开展响应自查、整改和培,训,工作。,院领导重视网络安全,积极响应上级部门政策，重视网络,安,全，,并,且,网络安全意识超前，建立安全防护,长,效机,制,。,上级部门、院领导重视安全培训讲座,10,怎样应对目前严峻的网络安全形势,建设理念：,让专业的人做专业的事,网络安全要从可运维，转向可运营,医院重视：人、财、物的支持,需要专业的网络安全规划,在现有的网络安全架构基础,上,，优,化,网络架 构,，,依照规范完善数据中心基本设,施,，提升 基础防御能力与满足合规性要求。,需要专业的网络安全技术,用专业的网络安全服务技术，对我,院,内网做 全面整理，发现、修复业务系统漏,洞,，提高 防御级别。,需要专业的网络安全运营,网络安全不能只依靠被动挨打式运,维,，要,做,主 动出击，实现安全“事前”、“事,中,”、,“,事 后”全流程管理。,需要专业的安全快速响应,当安全事件发生时，谁能跑赢时间,，,谁就,赢,得 了网络的安全，0-day漏洞修复方案,、,高危漏 洞预警必不可少。,怎样应对目前严峻的网络安全形势建设理念：需要专业的网络安全规,11,安全运,营,中心建设历程,3,安全运营中心建设历程3,12,安全合规 性建设,安全体系,研究,网络安全 体系建设,意识+管,理,+产品+服务 模式合作,终端安全 建设,基础设施 的信息安 全建设,总体目标：,以全国医院信息化标准合规建设、,医,疗机,构,网络,安,全运,营,中心,、,医疗,机,构网,络,安全,保,障体,系,研究为 基础，联手打造郑州人民医院在新,兴,IT,产业环境下的新时代医院网络安全保,障,体系,全,国标,杆,，促,进,院区,信息化安全建设健康、稳定的持续,运,营。,以高水,平,的“,三,级等保,”,为要,求,，对核,心,业务,系,统进行,合,规性,审,查，逐,步,建立,完,善的网,络,安全,体,系。由安全运营工程师来逐步全面承担,我,院信,息,环境,的,网络,空,间安,全,工作,，,使得,我,院可,以,集中,精,力开展,医疗卫生领域的相关工作，更加专,注,于自,身,的业,务,建设。,安全运营中心建设内容和目标,1,+,5,的运营管理模式,安全合规 性建设安全体系研究网络安全 体系建设意识+管理+,13,安全运营中心,安全意识,+,管理理念,+,产品,+,服,务,模,式,合作,打破传统,缺乏整体观，更,加,关注,点,，等,保,测评,、,物 理隔离、病毒攻击、介,质,控制,等,。,资源整合,将信息安全提升,到,与医,疗,安全,、,生产,安,全 同等重要的级别，以管,理,为导,向,，结,合,专业,的,信息,安,全 公司的技术+产,品,+服务，,打,造最,适,合医,院,的安,全,管理 模式，,以,数,据,安全驱,动,医,院,整体信,息,安,全,体系的,建,设,。,等级 保护,网络 规划,安全 技术,安全 服务,安全 体系,管理 导向,安全运营中心安全意识+管理理念+产品+服务模式合作打破传统,14,2019,2018,2020,建设合规的 网络安全体,系,构建以威胁 情报为支撑 的安全运营 体系,安全运营中心建设,3,年规划,建立数据安全体 系和运,营,知,识,库，实现标准化运营,20192020建设合规的 网络安全体系构建以威胁 情报为支,15,安全运营中心,-,安全合规性建设,依据国家等级保护制度要求和技术标准，同步规划建设符合该安全保护等级要求的 安全保护设施，保障医院内网信息系统网 络安全、确保业务系统稳定运行。,关键动作：,严格按照三级等保要求，对核心业务 的软、硬件进行进行风险评估，开展 安全合规自查，在规划和建设中，高 标准，严格要求，落实等保安全规范。,业务,合规,H,IS,L,IS,P,A,C,S,C,IS,E,MR,互联网 缴费,集成平 台,推进网络与信息安全等级保护工作,安全运营中心-安全合规性建设依据国家等级保护制度要求和技术标,16,安全运营中心,-,安全合规性建设,技术要求,应用和数据安全,设备和计算安全,网络和通信安全,物理和环境安全,管理要求,安全策略和管理制度,安全管理机构和人员,安全建设管理,安全运维管理,2018,年补充安全设备（软件）,12,套，基本满足等保三级要求。,等级保护,2.,0,设备名称,部署情况,边界防火墙,已上线,行为管理,已上线,网站云防护服务,已上线,开启6个网站的防护,网站云监测服务,信息安全隔离系统,已上线,防火墙,已上线,终端安全管理,已上线,数据库审计,已上线,桌面云,东院区已上线,APT检测系统,已上线,日志审计,已上线,虚拟化安全,已上线（测试版）,安全运营中心-安全合规性建设技术要求应用和数据安全设备和计算,17,安全运营中心,-,网络安全体系建设,规范管理,安全运营规范制定,初步编制,成,安全运营工作制度和流程，包含2,0,余项工作制 度流程。,主动出击,安全监测预警处理,使用渗透测试、代码审计、流量监测等方式，对医院业务系统 进行更深层次的安全监,测,。,7,*,2,4,小时监测网站和内网核心流量,，,梳理、分析、汇总安全事 件及其威胁影响，形成并建立运营中心安全知识库。,应急保障,信息安全保障全,面,融入,传,统应,急,保障,体,系,采用重要时期网络安全保障及应急响应机制，保障我院在关键 时期的信息化业务正常运营。,全员重视,网,络,与信息安全,培,训工作,对运维工程师进行网络安全技能培训，对软件开发工程师进行 业务安全培训，对在职员工进行日常网络安全教育培训，全面 提高我院网络安全知识水平。,医联体体系内技术推广,将先进安全技术与运营模,式,向郑医医疗集团和平行医院推广。,响应处持续检 置测,威胁预威胁防 测护,安全运营中心-网络安全体系建设规范管理安全运营规范制定响,18,安全运营中心,-,网络安全体系建设,整体运营制度,节假日值班制度制度,基础环境评估制度,安全设备配置,和,变更制度,网络安全运,行,维护制度,信息安全态,势,分析制度,漏洞发现及加固制度,安全监测及防护制度,信息安全文,档,管理制度,文档控制制度,信息安全配置核查与优化制度,安全咨询规划服务制度,安全渗透测试制度,源代码检测制度,全流量威胁检测分析制度,重要时期安全保障制度,专家应急响应制度,网络安全培训制度,终端安全管理制度,安全事件分级上报制度,安全运营规范制定,安全运营中心-网络安全体系建