為落實《中華人民共和國計算機信息系統(tǒng)安全保護條例》和《信息安全等級保護管理辦法》的各項規(guī)定，2019年3月28日，青海省公安廳網(wǎng)監(jiān)大隊隊長遠德鋒帶隊及省衛(wèi)健委一行共8人組成的專項檢查小組，針對臨近省份病毒爆發(fā)安全事件和醫(yī)院的信息網(wǎng)絡安全工作對青海大學附屬醫(yī)院進行深入檢查。

檢查組現(xiàn)場聽取了青海大學附屬醫(yī)院信息網(wǎng)絡管理中心主任趙小輝對醫(yī)院信息網(wǎng)絡安全工作的匯報，了解網(wǎng)絡安全工作的具體措施：

1.建立有完善的安全管理制度，詳細明確的人員責任體系，規(guī)范化的系統(tǒng)運維管理體系，擁有標準化信息系統(tǒng)資產(chǎn)清單等。

2.做到常態(tài)化的應急響應機制。在統(tǒng)一的應急預案框架下制定了不同事件的應急預案，包括啟動應急預案的條件、應急處理流程系統(tǒng)恢復流程、事后教育和培訓等內(nèi)容。并定期組織開展安全檢查、安全測試和應急演綜。重大節(jié)日及敏感節(jié)點期間，加強對重要信息系統(tǒng)的安全監(jiān)控，加強值班，嚴防死守，可以隨時應對各類突發(fā)事件。

3.基礎網(wǎng)絡安全保障措施。在系統(tǒng)層次結構方面，主要的網(wǎng)絡設備提供冗余的業(yè)務處理能力，采用雙機熱備結構，滿足業(yè)務高峰和硬件冗余能力。

4.關鍵業(yè)務終端與服務器之間進行傳輸路徑加密，防止信息資產(chǎn)泄露和丟失。

5.建立有安全的訪問路徑安全策略等配置；嚴格執(zhí)行訪問控制，在總體安全管理策略方針指引下，配置了可靠的訪問控制列表，通過訪問控制列表對系統(tǒng)資源現(xiàn)實允許或拒絕用戶訪問，控制粒度為用戶組。

6.主機安全技術措施。啟用訪間控制功能，對登入網(wǎng)絡設備的用戶進行身份鑒別，實施應用程序的訪問控制功能，建立用戶分級制度。嚴格控制用戶組/用戶對系統(tǒng)功能和用戶數(shù)據(jù)的訪問，依據(jù)主體訪問控制策略授權，嚴格限制默認用戶的訪問權限。

7.病毒防護措施。建立病毒防御、檢測、清除流程，統(tǒng)一部署網(wǎng)絡反病毒軟件，及時升級網(wǎng)絡防火墻版本。

8.部署漏洞掃描設備，采用安全協(xié)議分析，對系統(tǒng)策略進行評估與保障，建立入侵防御、安全審計、入侵檢測和防護等技術支持，做到及時應急響應。封堵病毒傳播端口。采用防火墻隔離、防惡意代碼、訪問控制等技術，特別針對勒索病毒傳播的135、136、137、138、139、445、3389端口進行了阻斷隔離并升級防病毒軟件，并且做到了對我院內(nèi)網(wǎng)設備進行了徹底病毒查殺。

9.物理環(huán)境安全措施。嚴格執(zhí)行機房出入登記制度，機房出入專人責登記陪同記錄進入的人員。設備或主要部件固定穩(wěn)固可靠依據(jù)防雷防火技術標準規(guī)范，機房滅火器等裝置均在有效期內(nèi)，保證可靠有效。

查組通過對醫(yī)院信息機房，安全設備及相關文檔資料的詳細檢查后，對醫(yī)院信息網(wǎng)絡安全工作做出了很高的評價，檢查組認為醫(yī)院信息網(wǎng)絡安全工作做到了領導重視、組織有效；制度健全、責任落實，人員到位、職責明確，信息安全保護程度高。檢查中也發(fā)現(xiàn)了存在的問題：一、制度雖全面但沒有做到細化于心；二、現(xiàn)有用戶密碼口令安全復雜度不夠，口令更換時限過長；三、目前省衛(wèi)生專網(wǎng)和醫(yī)保網(wǎng)絡安全防范不到位，需增加安全硬件設備進行加固。四、需要進一步加快信息安全等級保護測評工作的進度。

網(wǎng)絡安全和信息化事關經(jīng)濟社會發(fā)展大局。事關醫(yī)院的全面健康發(fā)展，檢查期間公安廳網(wǎng)監(jiān)大隊與青海大學附屬醫(yī)院副院長樊海寧簽署了《網(wǎng)絡安全責任書》。因醫(yī)院未做等級保護專業(yè)測評工作，檢查組就此下發(fā)了《信息系統(tǒng)安全等級保護期限整改通知書》。按照等級保護要求對信息安全等級、分類對信息安全工作中存在的問題進行整改，加大相關制度宣傳、落實和培訓工作，并進一步加強省衛(wèi)健委和公安機關的聯(lián)系，做到面對風險第一時間應對，為“互聯(lián)網(wǎng)+醫(yī)療健康”應用服務提供安全可靠的數(shù)據(jù)服務環(huán)境。

 供稿：信息網(wǎng)絡管理中心    王瑋

 攝影：宣傳中心    馬志強