一背景概述

　　2021年4月6日，國家醫療保障局發布的《關于印發加強網絡安全和數據保護工作指導意見》指出，至2022 年，基本建成基礎強、技術優、制度全、責任明、管理嚴的醫療保障網絡安全和數據安全保護工作機制。目前，依據《網絡安全法》、《網絡安全等級保護條例》等法規要求，醫院加強網絡安全建設，在安全管理、安全技術建設，并開展等保測評，現階段正著手安全運營中心建設工作。隨著《數據安全法》、《個人信息保護法》等法規的陸續頒布，對醫療行業信息安全合規工作也提出了更高的要求。下一步醫院主要信息建設工作，將重點圍繞安全運營能力、數據安全建設等方面，結合醫院實際情況，對未來三至五年做好相應規劃。具體為以下三方面：

　　一是網絡安全水平顯著提升。主體責任明晰，監督管理機制完善，基礎設施完備，網絡安全技術能力、態勢感知、預警能力、突發網絡安全事件應急響應能力顯著提升，網絡安全有效保障。

　　二是數據安全管理有效實施。數據安全審批制度全面建立，分級分類管理及重要數據保護目錄全面落實，數據實現全生命周期安全管理，數據安全評估機制日益完善。

　　三是數據共享使用安全有序。數據共享使用流程明晰、機制健全，醫療保障數字化、智能化水平顯著提升。

二建設目標

　　通過對醫院網絡安全現狀精細化調研，結合醫院整體網絡安全發展規劃以及信息化建設目標，制定項目整體規劃方案。重點圍繞業務系統應用水平建設、信息標準化建設，以電子病歷系統應用水平達到7級，醫院信息互聯互通標準化成熟度達到五級乙等為主要目標，建設自動化的安全運營體系和數據安全監管合規體系。

三安全運營

　　1.安全運營體系

　　醫院堅持“以人員為核心、以數據為基礎、以運營為手段”的基本安全理念，結合實際情況，構建智慧醫院的安全運營體系，形成威脅預測、威脅防護、持續檢測、響應處置的閉環安全工作流程，打造四位一體的安全運營機制。

　　安全運營體系是安全工作的“抓手”，其主要目的是檢測發現現有系統的安全問題，針對發現的安全問題下發至各自責任方進行整改，再利用各類技術手段對系統進行全天候的安全監測，安全運營人員對告警信息進行全面監控，對發現的問題及安全事件快速分析，選擇相應的處置方法快速解決問題，通過安全運營做到問題早發現、快響應、早根除，可以有效的保障信息系統的安全穩定運行，避免上級監管機構進行通報。

　　安全運營體系借鑒國內外成熟安全架構為模型，貫徹“安全運營閉環管理并基于數據分析為核心”的安全運營理念，結合醫院具體情況和實際需求進行設計，以資產為基礎，以持續監控分析為核心，整體安全運營流程可分為威脅預測、威脅防護、持續檢測、響應處置四個維度，形成統一的閉環安全運營體系，如下圖所示：

圖1 安全運營體系框圖

　　2.安全運營架構

　　建設完善合理的安全運營架構，是實現信息安全運營體系的基礎保障。基于此架構，以人員技術能力為核心，各類數據為基礎，通過建設安全標準運營機制，開展安全態勢感知分析工作，發現問題及時處置，不斷完善優化運營流程，提升安全運營指標，最終全面展示醫院的安全態勢。安全運營整體架構建設分為三個階段，第一階段目標為完善安全設備、平臺等技術防護設備部署，梳理日常安全管理流程，形成初步文檔記錄，并依據流程規范結合組織建設情況運營實施;第二階段目標為完善安全運營團隊建設，優化安全設備策略，做到安全設備精準化使用，并建立安全運營臺賬。主要目的為依托安全設備采集數據，開展安全態勢分析工作，明晰安全防護側重點、日常運營薄弱點，發揮安全設備的防護作用價值;第三階段目標為依據已有安全運營流程建立標準機制，提升安全運營指標。安全運營建設階段如下圖所示：

圖2 安全運營建設階段示意圖

　　3.安全運營建設

　　(1)建設原則

　　第一，堅持統籌謀劃、整體推進。統籌醫院業務區、管理區安全監控重點，統籌資源配置和關鍵技術管理，構建全面網絡安全監測預警能力，推進各項任務的有序開展。

　　第二，堅持協同性，強調分級管控。整合醫院內部資源，堅持全網網絡安全一體化，組建運行監控隊伍，明確工作目標，形成分級協同的安全運行監控體系。

　　第三，堅持實戰性，強調安全運營。重點突出網絡安全運行監控體系的實戰能力與保障能力，以安全事件發現、分析研判、通告預警、響應處置、追蹤調查為核心，構建面向實戰的安全運營體系，將技術、管理、流程進行有機整合，支撐業務實戰，形成能保障業務、促進業務的閉環安全運營。

　　第四，堅持及時性，強調降低安全事件影響范圍。建立網絡安全運行監測值班機制，確保及時發現網絡安全事件，形成網絡安全與系統運行協同的一體化監控、應急防護體系，統籌協調事件處置，全力降低安全事件影響范圍。

　　(2)安全運營監測能力建設

　　立足醫院實際情況，堅持理論和標準先行，在網絡安全監控工作中科學完善預警機制，做到安全事件發生前監控，事件發生后有條不紊實施處理，最大程度降低安全突發事件損失。為進一步提升醫院一體化安全運營監控分析、威脅檢測效果，目前安全監測的建設重點為，結合運營中心提供的基礎服務、模型，依據業務場景進行安全策略優化，以加強安全監測策略檢測效果，每月定期開展策略梳理工作。

　　安全運營監控工作離不開平臺及技術手段的支持，目前已經部署了防火墻、WAF等相關網絡安全設備及平臺，但平臺之間數據獨立存在，無法實現對所有安全設備有效聯動及采集分析，因此如何加強完善一體化安全運營管理平臺構建，是后續落實網絡安全運營監控工作的關鍵?？山Y合各種成熟網絡安全防護手段，貫穿物理環境、網絡通信、設備計算以及應用數據四個層面的安全防護，多維度、成體系地建設“四橫五縱”的安全基礎防御體系。

圖3 安全基礎防御體系建設框圖

　　(3)安全運營服務規劃建設

　　安全服務是網絡安全運營監控工作比較關鍵的環節，安全運營服務是引入安全專家的視角。從整體安全運營體系來說，如何能把安全管理平臺用好，實現良好的安全運維框架、安全驗證框架及安全度量框架，都離不開安全專家提供的專業安全服務。

　　第一，威脅檢測服務

　　威脅檢測服務是從屬于安全運維框架的安全服務。威脅檢測服務是在安全威脅檢測設備、網絡安全運營監控態勢分析平臺基礎上提供的一站式安全運營支撐服務。

　　威脅檢測服務重點在于安全事件發生中和發生后兩個階段的監測與響應。

　　安全止損：威脅檢測服務通過事件監測或審計的方式幫助醫院及時發現安全災害事件，并在第一時間提供消除災害影響的操作建議，大幅度降低安全災害事故帶來的損失和影響。

　　降低安全風險：威脅檢測服務通過威脅監測或審計方式協助醫院發現具有持續性攻擊或針對性攻擊的高危訪問源，并提供封禁操作建議。

　　第二，應急響應服務

　　應急響應是安全運維框架的一個重要組成部分。應急響應，是指安全技術人員在遇到突發事件后所采取的措施和行動。應急響應的目標包括采取緊急措施和行動，恢復業務到正常服務狀態;調查安全事件發生的原因，避免同類安全事件再次發生。醫院借助安全廠商多年的安全研究技術，以安全服務的形式加強醫院對安全事件的應急響應處置能力。應急響應服務支持事件類型包括：應用服務器癱瘓、網絡阻塞、服務器劫持、系統異常宕機、惡意黑客入侵等。

　　第三，滲透測試服務

　　滲透測試服務是安全驗證框架的組成部分。通過專業的滲透測試，驗證醫院業務系統安全措施的有效性，是威脅脆弱性評估的補充手段。滲透測試的攻擊手段不同于安全產品掃描，能暴露出被忽視的威脅路徑。滲透測試服務流程包括準備階段、測試實施階段、復測實施以及成果匯報。醫院滲透測試主要以技術人員人工信息收集、服務判斷、漏洞測試為主，結合自動化測試和人工測試兩種方式，最終形成滲透測試結果，下發到相應人員進行整改。在經過滲透測試發現問題和整改加固后，由測試人員進行回歸測試，即二次復測，進行修復情況確認。

　　第四，安全風險評估服務

　　安全風險評估服務是安全度量框架的組成部分。通過網絡安全運營監控態勢分析平臺對威脅數據、脆弱性數據等客觀數據進行計算得到技術平臺的風險評估值和相關度量值。風險評估服務包含如下內容：

　　確定評估區域：系統承載業務分析，識別關鍵業務、關鍵業務流程，確定評估對象;

　　脆弱性識別：分析評估對象所承載的業務和信息資產遭到破壞后所造成的影響;通過技術手段、調研訪談等形式識別系統所在的各種技術、管理以及架構上的脆弱性，從而識別可能的各種威脅源、可以用的弱點;

　　威脅風險分析：在脆弱識別和分析的基礎上，對可能面臨的威脅進行可能性分析。通過對影響和可能性的分析，鑒別單位系統存在的風險，從而識別單位信息系統存在的不可接受風險，提出不可接受風險的安全控制措施，為醫院網絡安全運營層面的決策提供依據。

　　為加強醫院安全合規工作建設，結合等級保護標準和《信息安全風險評估規范》標準定期進行評估，評估內容包括安全物理環境、安全通信網絡、安全區域邊界、安全計算環境、安全管理中心、安全管理制度等方面。

　　第五，安全咨詢服務

　　通過安全咨詢服務為醫院安全運營監控工作建設提供專業的咨詢建議，加強網絡安全運營的建設保障能力，提高網絡安全的防護水平，及時對網絡、信息系統中存在的風險漏洞和不合理規則配置進行整改加固，確保用戶在日常網絡和應用建設規劃過程中，應急響應處理及行業技術動態等方面，能夠得到專業的安全建議，主要包括：網絡安全運營技術標準、安全檢查工作指導、網絡安全運營機制提升等方面。

　　(4)安全運營管理規劃建設

　　醫院通過安全管理架構的研究，建設一套適用于目標環境各個層面的安全流程、制度、運行維護作業計劃和檢查標準，使網絡環境安全運營工作規范化、流程化，長期穩定的保障各業務系統安全運行。安全管理架構圖如下：

圖4 安全管理架構圖

　　為保障醫院業務長期穩定運行以及業務數據的安全性，提高系統運維及人員的保障機制，制定網絡安全運營工作的總體安全方針和策略，明確安全管理工作的總體目標、范圍和原則。根據安全管理活動中的各類管理內容建立安全管理制度，并由管理人員或操作人員執行日常操作規程，形成安全策略、管理制度、操作規程等全面的網絡安全運營監控管理制度體系。通過制定嚴格的制度規定與發布流程，定期對安全管理制度進行評審和修訂。具體安全管理制度列表如下：

　　4.安全建設及運營成效

　　(1)資產梳理

　　基于網絡掃描、搜索引擎、互聯網基礎數據引擎主動探測區域業務應用系統在互聯網上暴露的資產，可以形成明確的資產清單，并發現區域各業務應用系統的未知資產。通過大數據挖掘和調研的方式確定資產范圍，進行主動精準探測，深度發現暴露在外的IT設備、端口及應用服務，發現活躍資產及“僵尸”資產，由安全專家對每項業務進行梳理分析，結合用戶反饋的業務特點對資產重要程度、業務安全需求進行歸納，最終形成區域資產清單。

　　(2)滲透測試

　　為進一步查漏補缺，減少安全風險，在日常運營中定期對外網服務資產、線上應用業務系統進行滲透測試，通過模擬黑客攻擊的形式，發現業務數據泄露、資產受損等各類安全風險。針對醫院應用業務邏輯安全以及WEB框架安全進行深度漏洞挖掘。針對醫院線上業務系統共開展進行三輪滲透測試，發現并修復了SQL注入、文件上傳、命令執行等問題。

　　(3)病毒查殺

　　自安全運營以來發現中毒主機超過百臺，其中多為下載惡意軟件、感染普通病毒、感染僵尸家族、感染Mine Pool家族挖礦等。各中毒事件導致員工電腦中毒，造成主機卡頓，且存在信息泄露風險，外聯惡意地址觸發木馬病毒，甚至可能對終端和業務系統造成嚴重影響。期間運維人員監測分析中毒主機告警事件，并及時處置所有中毒主機，針對所有終端采取安裝EDR、防火墻、上網行為管理等安全設備以及進行定期殺毒等措施，實現了對病毒的有效防控。

圖5 上網行為管理

圖6 EDR

　　病毒查殺作為網絡安全運營的重要一環，醫院將該工作作為長期的運營目標并協商出一套處置方案：

　　制定處置方案，強調處置流程，突出重要性，協商確定《中毒情況說明書》，醫院運維人員發現問題后下發情況說明通知書，確定處置問題的主機科室與人員，該人員需詳細說明中毒事件段上網操作，情節嚴重者通報批評。

　　強調員工健康上網，嚴格規范個人網上行為，加強員工安全意識培訓，不瀏覽不良網站、不點開未知鏈接，防止僵木蠕病毒的傳播。

　　運維人員實時監控處置中心，重點關注中毒主機與木馬行為，及時進行處置措施。

　　(4)日常網絡安全運營

　　安全設備管理：對防火墻、入侵檢測系統、反病毒軟件等安全設備進行管理，保證其正常運轉，并及時更新相關規則和軟件版本，以確保設備的最新性和有效性。

　　網絡流量監控：建立網絡流量監控系統，定期檢查網絡流量狀況，發現異常流量和攻擊行為，及時采取應對措施。

　　使用態勢感知監控流量：

圖7 態勢感知流量監控

　　使用WAF針對WEB應用進行監控攔截：

圖8 WAF監控攔截

　　安全漏洞管理：對網站、應用程序、服務等進行漏洞掃描和檢測，及時修復已知的漏洞，避免黑客利用漏洞入侵系統。

　　安全事件響應：建立安全事件響應機制，對發生的安全事件進行快速響應和處置，降低損失。

　　員工安全意識培訓：加強員工的安全意識培訓，提高員工的安全意識和防范能力，減少人為因素對信息安全的影響。

　　(5)重要保障時期安全運營

　　重保前期，扎實開展資產梳理、漏洞掃描、產品巡檢、規則升級、賬號收斂等工作，做到“明資產、控風險、嚴防護、全監控”。重保前期需要完成安全產品漏洞庫、規則庫、情報的升級，確保為最新版本。

　　重保期間，實行現場值班和24小時遠程電話待機，協調產品原廠人員針對安全產品進行巡檢，確認安全產品處于正常運行狀態。

　　重保時期的工作部署和三大處置原則：

　　第一，“優先恢復”原則：應急響應以第一時間恢復業務為首要原則，查找故障原因、消除隱患等其他工作不得以延遲業務恢復為代價。

　　第二，“先抑后除”原則：發生網絡安全事件，應迅速將受影響設備做斷網隔離處置或其他適當的隔離處理，迅速找到安全事件設備源頭，防止安全事件擴散。然后再對問題設備進行問題根除，系統恢復、審計溯源或其他事故調查、整改工作。

　　第三，“邊處置邊上報”原則：發生網絡安全事件，在應急處置的同時，應按相應的流程進行上報。

四總結

　　目前醫院已初步完成安全運營技術防護體系建設，完成12種安全產品部署，包含態勢感知、WAF、防火墻等系統的上線以及應用。后續網關、AC也部署到內網正常運行，并啟用漏洞設備，進行常規化漏洞掃描工作。針對醫療API上線API應用防護系統，以此解決大多數系統調用API接口的安全問題。后續也繼續開展了12套安全產品的策略優化，組織產品推廣使用培訓。上線至今安全體系整體正常平穩運行?，F階段待配合項目組開展平臺遷移工作，遷移工作完成后進行設備的重新部署和優化，安全服務內容進行深層次優化調整。

　　安全運營管理信息化不僅僅是一個IT項目，更是一項系統化的管理工程，需要領導重視、全員充分信息化參與、協同配合;管理無止境，是一個逐步優化、完善的過程，運營管理需要圍繞精益運營的目標，統一規劃、分步實施，持續創新。精細化運營管理體現于數據的顆粒度和完整度，醫院還需進一步統一管理口徑、統一IT規劃、統一數據標準、統一流程規范，避免信息孤島，完善相關數據生態系統，確保數據準確、完整、可采集、可使用。后續將進一步強化數據分析、使用、優化機制，持續優化數據模型，提高數據價值。

　　作者簡介

　　張雷，CHIMA常委，河北醫科大學第一醫院西南院區院長。