淺析醫(yī)療衛(wèi)生行業(yè)運維安全解決之道

2013-10-22 10:43:25 eNet硅谷動力　點擊量：評論 (0)

醫(yī)療衛(wèi)生行業(yè)本身是一個飛速增長的行業(yè)，醫(yī)療衛(wèi)生行業(yè)信息化增長很快。從2010年下半年開始，國家制定了很多技術(shù)標準、建設(shè)方案、指南等，特別是衛(wèi)生信息化十二五規(guī)劃還提出了35212工程，醫(yī)療衛(wèi)生信息化已經(jīng)

醫(yī)療衛(wèi)生行業(yè)本身是一個飛速增長的行業(yè)，醫(yī)療衛(wèi)生行業(yè)信息化增長很快。從2010年下半年開始，國家制定了很多技術(shù)標準、建設(shè)方案、指南等，特別是衛(wèi)生信息化“十二五規(guī)劃”還提出了“35212工程”，醫(yī)療衛(wèi)生信息化已經(jīng)成為“十二五”期間醫(yī)療衛(wèi)生事業(yè)發(fā)展的重點任務(wù)。

　　在信息化飛速發(fā)展的進程中，利用信息技術(shù)提高醫(yī)療救治水平、醫(yī)院服務(wù)能力及管理水平已成趨勢，對網(wǎng)絡(luò)的性能、可靠性、安全性、運維能力等提出了更高的要求。一方面在進行網(wǎng)絡(luò)性能升級的同時也面臨著應(yīng)用的提升對網(wǎng)絡(luò)運維的壓力，另一方面各大醫(yī)院都希望通過更好的IT解決方案提高內(nèi)部IT管理效率，以確保信息系統(tǒng)穩(wěn)定和加強信息數(shù)據(jù)保護為重點的醫(yī)療衛(wèi)生信息安全體系建設(shè)成為醫(yī)療衛(wèi)生改革成敗的關(guān)鍵要素之一。由此可見，加強醫(yī)療衛(wèi)生行業(yè)信息系統(tǒng)的運維安全審計工作已經(jīng)刻不容緩。

　　智恒聯(lián)盟在醫(yī)療衛(wèi)生行業(yè)的安全實踐

　　醫(yī)療行業(yè)的網(wǎng)絡(luò)環(huán)境都比較復雜，網(wǎng)絡(luò)設(shè)備、安全設(shè)備、服務(wù)器和各類應(yīng)用眾多，同時，管理維護這些設(shè)備和應(yīng)用的人員也很多，并且關(guān)系復雜，有單位內(nèi)部人員，外部人員，第三方運維人員，臨時介入的應(yīng)用管理員等。要方便有效的統(tǒng)一管理這些設(shè)備和用戶，就需要有一個強大的運維審計平臺，智恒聯(lián)盟SAS運維安全審計系統(tǒng)就能有效解決運維安全管理問題。

　　SAS運維安全審計系統(tǒng)設(shè)計理念

　　智恒SAS運維安全審計系統(tǒng)(以下簡稱“SAS”)是新一代運維審計系統(tǒng)，它采用軟硬件一體化設(shè)計，通過B/S方式(https)進行管理，其主要功能為：能夠?qū)⒕W(wǎng)絡(luò)中設(shè)備和數(shù)據(jù)庫等實施統(tǒng)一認證；具有與身份認證系統(tǒng)無縫結(jié)合的接口；實現(xiàn)對操作網(wǎng)絡(luò)中設(shè)備和數(shù)據(jù)庫等過程的全程監(jiān)控與審計，支持賬戶開通申請與審批的流程管理，以及對違規(guī)操作行為的實時阻斷。

　　

　　SAS運維安全審計系統(tǒng)的客戶價值

　　建立運維安全體系，推行醫(yī)療衛(wèi)生信息安全等級保護制度

　　能夠?qū)φ麄€IT資源架構(gòu)進行全面防護，面對龐大的醫(yī)療系統(tǒng)，提高系統(tǒng)的運維效率，改變由于設(shè)備和服務(wù)器眾多，系統(tǒng)管理員壓力太大等的局面。該解決方案具備完善運維人員賬戶、授權(quán)與認證管理，使用應(yīng)用托管中心以保證系統(tǒng)帳戶與應(yīng)用賬戶分離。杜絕越權(quán)訪問、誤操作、濫用、惡意破壞等情況時有發(fā)生，

　　規(guī)范運維安全管理，確保醫(yī)療信息數(shù)據(jù)保護

　　信息數(shù)據(jù)是醫(yī)療衛(wèi)生機構(gòu)的核心機密，在經(jīng)濟利益驅(qū)使下，一些不法分子為了獲取“統(tǒng)方”等重要信息進行有目標的竊取，信息數(shù)據(jù)安全性必須予以足夠的重視。在方便、有效的存取患者的電子信息，包括化驗結(jié)果、處方信息、醫(yī)囑和健康狀態(tài)等的同時，也存有一定的安全隱患，如果缺少有效的安全保護措施和審計機制，就會存在賬號濫用、業(yè)務(wù)數(shù)據(jù)被非法讀取的風險。SAS能夠提供細粒度的訪問控制，最大限度保護用戶資源的安全。

　　避免人為因素破壞，確保內(nèi)部信息系統(tǒng)穩(wěn)定運行

　　對于醫(yī)院來說，整個網(wǎng)絡(luò)的穩(wěn)定性直接關(guān)系到為病人服務(wù)能力。SAS能夠提供在集中訪問授權(quán)里強調(diào)的“集中”是邏輯上的集中，而不是物理上的集中。即在各網(wǎng)絡(luò)設(shè)備、服務(wù)器主機系統(tǒng)中可能擁有各自的權(quán)限管理功能，管理員也由各自的歸口管理部門委派，但是這些管理員在SAS上，可以對各自的管理對象進行授權(quán)，而不需要進入每一個被管理對象才能授權(quán)。授權(quán)的對象包括用戶、用戶角色、資源和用戶行為。系統(tǒng)不但能夠授權(quán)用戶可以通過什么角色訪問資源這樣基于應(yīng)用邊界的粗粒度授權(quán)，對某些應(yīng)用還可以限制用戶的操作，以及在什么時間進行操作等的細粒度授權(quán)，從根源上避免了由于人為誤操作或蓄意操作等對整個網(wǎng)絡(luò)的安全威脅。

　　加強醫(yī)療衛(wèi)生機構(gòu)職員的安全意識，明確安全責任

　　SAS可以對整個IT環(huán)境提供全天候監(jiān)控自動化審計，前瞻性的發(fā)現(xiàn)潛在威脅，發(fā)現(xiàn)違規(guī)操作實時告警與阻斷，發(fā)生問題能夠更快追溯并解決問題，對系統(tǒng)運維操作過程中的問題和責任，準確的進行定位、取證和舉證，對不合規(guī)的系統(tǒng)運維操作從技術(shù)上建立運維安全的重要防線。