中国疾病预防控制信息系统医疗机构虚拟专网接入模式应用研究

导读：实现中国疾病预防控制信息系统的医疗机构虚拟专网全覆盖。对中国疾病预防控制信息系统医疗机构虚拟专网的三种接入模式进行分析，根据三种接入模式的优缺点提出推荐的解决方案。推荐通过SSLVPN分级部署的模式实现中国疾病预防控制信息系统医疗机构虚拟专网全覆盖。医疗机构虚拟专网接入的实施实现了中国疾病预防控制信息系统的直报用户虚拟专网全覆盖，是中国疾病预防控制中心信息化发展的重要里程碑。

中国疾病预防控制信息系统是连接各级卫生行政部门和卫生单位及相关组织机构的国家疾病预防控制监测信息系统平台，是国家疾病预防控制领域为收集、整理、存储、检索、分析、研究、决策和提供信息服务建立的综合应用信息系统平台。

随着网络安全形势的日趋严峻，中国疾病预防控制信息系统的信息安全关系到国家安全和人民生命财产安全。2016年前绝大多数医疗机构仍然通过互联网访问中国疾病预防控制信息系统，存在较大的安全隐患。文章探讨医疗机构通过虚拟专用网接入中国疾病预防控制信息系统的模式。

医疗机构未实现虚拟专网全覆盖前的中国疾病预防控制信息系统概况

中国疾控中心分别于2012年和2013年关闭了省级和地市级、县区级疾病预防控制中心直报用户公网访问中国疾病预防控制信息系统的权限，国家-省-地（市）-县（区）疾病预防控制机构的直报用户全部通过架构在公共网络平台上的逻辑网络—虚拟专用网（Virtual Private Network，VPN）访问。2016年前医疗机构等直报用户仍然通过互联网访问中国疾病预防控制信息系统。未实现虚拟专网全覆盖前的网络拓扑结构如图1所示。

图1 中国疾病预防控制信息系统网络拓扑结构图（未实现虚拟专网全覆盖前）

为了消除医疗机构直接通过互联网访问中国疾病预防控制信息系统带来的安全隐患，文章讨论如何利用虚拟专用网技术来实现公网私用，通过相应的加密和认证技术来保证中国疾病预防控制信息系统医疗机构用户内部数据在互联网上的安全传输。

医疗机构虚拟专网的接入模式及优缺点分析

中国疾病预防控制信息系统医疗机构虚拟专网的接入模式有三种方案。

第一种方案利用原有网络，增加VPN远程客户端（VRC）节点来完成医疗机构互联网方式访问中国疾病预防控制信息系统转为VPN准入方式访问该系统。此方案应扩容原有省级疾控中心平台的VPN远程客户端授权数，以保障业务正常。将VPN远程客户端下发医疗机构安装，通过各省级疾控中心分级平台认证准入，链接到中国疾控中心。中国疾控中心通过配置网络设备添加路由和策略，允许医疗机构VPN远程客户端用户访问中国疾病预防控制信息系统。拓扑图如图2所示。此方案对网络结构变更最小，但是由于原VPN设备采购时间较早，可能不能保障新增加的VPN远程客户端用户的正常访问，建议采购新设备替换或增强。

图2 方案一拓扑图

第二种方案在中国疾控中心部署SSLVPN设备集群，各地医疗机构终端节点直接通过SSLVPN客户端访问VPN网关集群认证，准入后允许访问中国疾病预防控制信息系统。拓扑结构如图3所示。

图3 方案二拓扑图

此方案因为在中国疾控中心单独添加SSLVPN设备集群，对中国疾控中心原网络没有影响，单独部署和实施能有效降低网络业务故障风险，并且SSLVPN提供了移动办公的可能性。缺点是需要中国疾控中心管理所有用户的配置内容（全国医疗机构用户为十万级别），虽然可以列表倒入，但工作量比较大，而且中国疾控中心的系统维护工作量极大，需要一个多人的SSLVPN维护团队支持。

第三种方案结合第一种解决方案和第二种解决方案，做SSLVPN分级部署。此方案需各省级疾控中心配备SSLVPN设备，医疗机构终端节点直接通过SSLVPN客户端访问本省VPN网关进行认证，准入后通过目前各省级疾控中心连接中国疾控中心的IPSEC隧道，实现医疗机构通过虚拟专用网访问中国疾病预防控制信息系统。拓扑图如图4所示。

图4 方案三拓扑图

此方案对中国疾控中心原网络结构没有影响，省级疾控中心单独部署SSLVPN网关，降低了网络故障风险，并且SSLVPN提供了终端用户移动办公的可能性。终端用户实现分级管理，各省管理各个省的SSLVPN用户，用户管理工作相对容易。

建议

通过对三种中国疾病预防控制信息系统医疗机构虚拟专网全覆盖方案及其优缺点分析，综合考虑建议采取第三种解决方案。

医疗机构虚拟专网全覆盖工作涉及中国疾病预防控制信息系统全国十多万用户，业务涵盖传染病、慢病、突发公共卫生事件等二十多个业务子系统，与人口健康业务工作密切相关。医疗机构虚拟专网全覆盖实现了业务应用与互联网安全隔离，全面提升了系统安全性，深化落实了信息系统安全等级保护的要求。

截至2016年10月31日，全国已有17个省率先实施了全省范围内中国疾病预防控制信息系统医疗机构虚拟专网接入，并关闭了公网访问权限。2016年11月1日零时，中国疾病预防控制信息系统全面实现医疗机构虚拟专网全覆盖，打通了疾控机构与医疗机构系统虚拟专网连接的最后一公里。

随着医疗机构互联网访问地址的关闭，标志着中国疾病预防控制信息系统实现了与互联安全隔离，这也是中国疾病预防控制信息化建设发展的重要里程碑。

文章来源：《中国数字医学》杂志2018年第02期，作者及单位：张烨 梁宇 杨永明 马家奇，中国疾病预防控制中心公共卫生监测与信息服务中心。

欢迎关注，CHINC服务号获取最新大会消息