安恒信息医疗行业安全解决方案

1

项目背景

近几年医院信息化迅猛发展，正逐步建立统一高效、资源整合、互联互通、信息共享、透明公开、使用便捷的医疗信息系统。医疗信息系统互联互通的实现，使其面临的外部安全威胁也日益增长；同时，由于内部安全意识淡薄以及管理制度的缺失，易导致来自内部的人为误操作或蓄意破坏、信息窃取等问题。随着医疗改革的逐步深入，国家层面也出台了相关政策及法律法规，在这种情况下，如何保证信息安全是医院信息化建设必须解决的关键问题之一。

2

解决方案

数据安全是整个医疗单位网络安全防护工作的核心。安恒信息数据安全智能防护管控平台以数据安全为核心，从业务系统的视角，以业务数据流为导向，结合内部管理流程及运维制度，从数据流经的各个环境实现整体全流程防护、管控及审计的能力，立体化保护数据的安全，为用户提供一套整体防护监控审计的平台，解决各个设备不能有机协同工作的风险难题，自动化的防护和预警各种数据安全事件，同时为用户建立全流程事后事件调查取证的能力，规避管理层的风险，真正实现数据安全防护能力的极大提升。

多层攻击智能防护

安恒信息数据安全智能防护管控平台提供web门户、web后台管理系统、数据库攻击、运维管控、APT病毒木马等多重防护能力，从多个层面对数据所涉及的组件进行全流程防护，避免外部和内部的各种攻击手段，精准的识别攻击行为并进行阻断，有力的保护数据的整体安全。

多重精细化智能合规管控

对内部web服务器、数据库服务器、备份服务器实现精细化的接口访问控制、运维访问控制、异常流量识别实现精细化的合规访问控制，通过数据库防火墙、堡垒机、全流量DPI自动建立对应的安全防护基线，智能对内部各种合法的系统管理员、数据库管理员、应用系统管理员进行管控，避免非授权人员对核心系统的访问，保证数据的安全，并实时对访问日志进行挖掘关联分析，同安全管理员对安全访问基线进行动态调整，杜绝没有权限访问的人员的越权访问操作。

全流程一键式审计调查取证

安恒信息数据安全智能防护管控平台通过web层审计、运维审计、数据库审计、系统异常日志审计、全流量DPI审计所有访问渠道，提供一键式审计取证功能，通过多审计事件关联取证完整还原事件攻击流程。建立全局全流量的事后审计调查系统，并对可能的内鬼数据泄露行为在事前进行威慑，从而通过监督审计加强内部数据安全的防护。

典型场景风险智能预警关联分析

安恒信息数据安全智能防护管控平台从数据安全防护全局出发，针对日常典型的风险进行场景化的预警和管控，杜绝各种绕过安全设备的攻击及越权行为，并通过策略联动对应的行为及时进行阻断或预警，以便管理员及时处置对应的风险行为，平台内置近百种典型攻击威胁场景，如非法绕过堡垒机运维、木马非法外连、系统账号暴力破解、非法系统扫描、非法数据库扫描、拖库、撞库、敏感数据批量泄露等场景，用户可以直接根据实际情况启用各种攻击场景防护和预警，同时可以根据用户管理流程定制部分适合用户的典型风险检测预警处置能力。

安全方案防护拓扑图

涉及产品

外网接入区：下一代防火墙（含入侵检测、病毒网关）、全流量深度威胁检测平台、APT预警平台。

外网业务区：web应用防火墙、ssl加密网关。

中间业务区：下一代防护墙、数据库审计。

终端业务区：网络安全准入系统、内网终端管理系统、企业版防病毒系统。

外连单位接入区：下一代防火墙（含入侵检测、病毒网关）。

中间交换区：上网行为审计系统、全流量深度威胁检测平台、APT预警平台。

核心服务器区：下一代防火墙（含入侵检测、病毒网关）、全流量深度威胁检测平台、APT预警平台、数据库防火墙、数据库审计系统、云web应用防火墙。

安全管理区：下一代防火墙、运维审计与风险控制、综合日志审计系统、远程安全评估系统（含系统软件漏洞扫描模块、数据库漏洞检测模块、网站漏洞检测模块、基线核查模块）、信息安全等级保护检查工具箱、数据库审计管理中心、大数据智能安全平台。

3

方案价值

安全

以业务系统及数据流向为导向的整体防护体系，采用多重内控访问边界，确保内部人员访问更合规，从事前的安全风险评估到事中的实时防护，到事后审计监控分析预警，真正实现全生命周期无死角的安全防护，保护数据更安全。

智能

采用同品牌防护产品，通过内部API自动完成防护策略设定及动作响应，彻底解决多品牌产品独立工作的安全防护孤岛，安全数据无法共享、无法协同的问题，使数据安全防护更智能。

全面从整体规划到局部落地防护，即保护整体的安全防护无短板，也保证每个数据处理单元都有业内专业级的防护实行精准的安全防护，让数据安全防护更专业、更全面。

精准

以典型场景为导向，重点分析特定威胁场景，通过大数据对相关日志进行智能建模和关联挖掘分析，使安全预测更加精准，解决传统安全防护设备大量误告警日志问题。

威慑力全局的事件审计取证能力，通过全面的事件调查取证能力对内部能形成极大的威慑，从心理上威慑内部各种维护、管理、开发人员肆意的数据泄露行为，极大的降低数据泄露的可能。

医疗信息系统是关键信息基础设施的重要组成部分，是关系到民生和社会安全、稳定的关键问题。探讨医疗行业网络安全建设和保护迫在眉睫。在河南省卫计委、河南省工信委指导下，由中国信息安全认证中心主办，中国关键信息基础设施技术创新联盟承办的“医疗关键信息基础设施保护论坛”即将举办。论坛将邀请中国工程院、中国科学院院士，相关主管部门领导、医疗行业代表和网络安全专家共同聚焦医疗关键信息基础设施安全保护工作，通过分析需求、讨论方案、展示产品、推动应用，为医疗行业网络安全建设提供战略、技术和产业支撑。

杭州安恒信息技术股份有限公司(DBAPPSecurity)是中国关键信息基础设施技术创新联盟会员单位。由国家千人计划专家范渊先生于2007年创办。作为云安全、互联网应用安全、大数据安全和智慧城市安全等前沿领域的领先品牌，多次入选全球网络安全500强。曾先后为北京奥运会、国庆60周年庆典、上海世博会、广州亚运会、抗战七十周年、连续四届世界互联网大会、G20峰会、厦门金砖峰会等众多重大活动提供网络信息安全保障。

注：本文转自关键信息基础设施技术创新联盟