网络安全丨网络信息爆炸时代,行心科技助力茂名慢性病医院网络安全改造

2019-09-23 15:51:01 【his_his系统_emr电子病历_医院信息管理系统_养老系统】-行心医疗云 阅读

2019年国家网络安全宣传周在天津梅江会展中心开幕。本届宣传周以“网络安全为人民,网络安全靠人民”为主题,期间将举办网络安全博览会、网络安全技术高峰论坛、网络安全主题日等活动。

 

宣传周将深入贯彻落实习近平总书记关于网络强国的重要思想围绕中华人民共和国成立70周年特别是党的十八大以来网络安全领域取得的重大成就,贯彻落实《网络安全法》以及数据安全管理、个人信息保护等方面的法律、法规、标准,通过展览、论坛、知识技能竞赛、公益广告等多种形式,以及报刊、电台、电视台、网站等传播渠道,发动企业、媒体、社会组织、群众广泛参与,深入开展宣传教育活动。

 

1.png

 

中共中央总书记、国家主席、中央军委主席习近平对国家网络安全宣传周作出重要指示强调,举办网络安全宣传周、提升全民网络安全意识和技能,是国家网络安全工作的重要内容。

四个坚持”:

要坚持网络安全为人民、网络安全靠人民,保障个人信息安全,维护公民在网络空间的合法权益。

要坚持网络安全教育、技术、产业融合发展,形成人才培养、技术创新、产业发展的良性生态。

要坚持促进发展和依法管理相统一,既大力培育人工智能、物联网、下一代通信网络等新技术新应用,又积极利用法律法规和标准规范引导新技术应用。

要坚持安全可控和开放创新并重,立足于开放环境维护网络安全,加强国际交流合作,提升广大人民群众在网络空间的获得感、幸福感、安全感。

 

习近平论网络安全十大金句

在信息时代,网络安全对国家安全牵一发而动全身,同许多其他方面的安全都有着密切关系。

没有网络安全就没有国家安全,没有信息化就没有现代化。

网络安全和信息化是一体之两翼、驱动之双轮,必须统一谋划、统一部署、统一推进、统一实施。

网络空间是亿万民众共同的精神家园。网络空间天朗气清、生态良好,符合人民利益。网络空间乌烟瘴气、生态恶化,不符合人民利益。谁都不愿生活在一个充斥着虚假、诈骗、攻击、谩骂、恐怖、色情、暴力的空间。

网络安全为人民,网络安全靠人民,维护网络安全是全社会共同责任,需要政府、企业、社会组织、广大网民共同参与,共筑网络安全防线。

网络空间不是“法外之地”。网络空间是虚拟的,但运用网络空间的主体是现实的,大家都应该遵守法律,明确各方权利义务。

互联网核心技术是我们最大的“命门”,核心技术受制于人是我们最大的隐患。

维护网络安全不应有双重标准,不能一个国家安全而其他国家不安全,一部分国家安全而另一部分国家不安全,更不能以牺牲别国安全谋求自身所谓绝对安全。

中国是网络安全的坚定维护者。中国也是黑客攻击的受害国。中国政府不会以任何形式参与、鼓励或支持任何人从事窃取商业秘密行为。

网络空间是人类共同的活动空间,网络空间前途命运应由世界各国共同掌握。各国应该加强沟通、扩大共识、深化合作,共同构建网络空间命运共同体。

 

茂名慢性病防治医院网络安全现状

 

茂名市慢性病防治中心是茂名地区防治结核病、皮肤病、性病、精神病等慢性疾病的国家法定专业机构。医院信息化建设已运行多年,信息系统覆盖全院各个部门,涵盖患者就诊的各个环节。一般来说人为因素、外界因素、系统自身因素都有可能影响医院网络安全。

人为因素:人为因素是威胁网络安全的重要因素、也是造成各类损失的主要源头。随着科学技术的发展,许多恶意攻击者和黑客,通过计算机网络,。采用特殊的网络软件和工具,对医院内部的网络设备进行攻击。恶意攻击的过程会造成网络运行不稳定、信息数据丢失和被破坏。

外界因素:环境中的温度、湿度不符合计算机硬件设备运行要求,电流电压不稳定以及雷击等不同因素,都会对网络系统的运行带来一定的负面影响。

系统自身因素:在网络运行过程中,各种安全策略是保证网络正常、运行稳定的关键。在现有医院的网络系统中,存在着一些协议、软件以及硬件方面管理的不足并且操作系统中也存在漏洞。恶意攻击者可以通过漏洞,对医院的网络进行攻击。安全漏洞可以使黑客通过相应的操作来获得最高权限,实现私自访问和对信息的窃取和破坏。

 

需求分析

 

恶意攻击、软件运行环境、软硬件管理不足、系统操作存在漏洞等情况,这些都会给医院网络安全带来一定的危害。医院信息系统的安全性直接关系到医疗工作的正常运行,一旦网络瘫痪或数据丢失,将会给医院带来巨大的灾难和难以弥补的损失。因此,为保证医院信息系统安全正常工作,必须采用必要的安全管理措施来保障医院信息网络系统持久、稳定、安全地运行。


整改前:

1、应用系统未提供安全日志审计功能,未对应专门的安全审计模块。

2、应用系统未提供登会话超时自动退出功能。

3、策略相关参数的配置不满足安全策略的要求。

4、系统存在默认用户,但未对默认用户的访问权限进行严格限制。

5、审计记录缺乏对事件操作的关键记录。

6、应用系统在通信双方建立连接之前未采用加密技术进行会话初始化。

7、应用系统未对通信过程中的敏感信息字段进行加密。

8、加密技术未采用符合国家相关规定的算法。

9、应用系统(或中间件)不具有超时检验功能,不能够自动结束无响应的通信连接。

10、应用系统未提供数据完整性恢复措施。

11、未对网络设备、服务器、工作站、安全设备、数据库、业务系统的管理数据、鉴别信息及重要业务数据的存储采用的保密性保护措施。

12、未按时定期备份最新的路由器、交换机和防火墙设备的配置信息。

13、关键出口网络链带宽仅为单链路,不可保障可用性;关键系统内部采用单网,带宽100m不可保障可用性。

 

助力茂名慢性病防治医院安全等级保护改造工程

 

茂名市慢性病防治中心为提高网络安全,与行心科技携手合作医院安全等级保护改造工程,行心科技针对一系列问题提出解决和应对方案,主要从应用安全和数据安全及备份恢复两方面来说明。

 

整改后:

1.应用系统提供用户登录失败处理功能。如:限制用户连续登录10次错误,结束用户会话、锁定用户帐号、锁定IP等在一段时间内(如10分钟)自动解锁,或由管理员进行解锁等。

2.提供满足安全策略的配置要求:用户登录失败处理功能,连续登录10次错误锁定帐号、结束会话等;提供用户口令复杂度检测功能,规定用户口令由数字、大小写字母、特殊字符组成。

3.开启应用系统日志审计功能,审计记录覆盖到每个用户。设置合理的安全事件记录,如:帐户建立、用户权限分配、重要业务数据操作、用户身份鉴别成功/失败等行为。

4.审计记录提供对事件操作的关键记录。提供应用系统日志审计功能,审计日志记录内容要包括:用户名、时间、日期、发起者信息、IP地址、类型、描述、操作结果等。

5.应用系统在通信双方建立连接之前采用利用密码技术进行会话初始化验证。

6.应用系统(或中间件)配置具有超时检验功能,实现(20分钟内)能够自动结束无响应的通信连接。

7.对主要主机操作系统、主要网络设备操作系统、主要数据库管理系统和主要应用系统数据在传输过程需采取完整性保护措施;在检测到完整性错误时能采取必要的恢复措施。对鉴别数据、重要业务数据在传输过程中可采用以下技术手段:a.应用系统使用CRC循环校验机制(非TCP协议原有);b.使用SSL/SSH等加密协议进行传输;c.使用HASH、MD5、SHA-1等算法)。

8.对网络设备、服务器、工作站、安全设备、数据库、业务系统的管理数据、鉴别信息和重要业务数据采用加密或其他措施实现存储保密性。

9.对网络、主机、数据库及应用的本地完全数据备份至少每天一次。

10.实现关键网络通信线路、关键网络设备冗余部署。增加系统容量空间,保障关键设备的CPU、内存占用不高于70%。关键应用采用负载均衡技术(或集群技术)实现系统访问的高可用性。

11.应用系统维护不同的管理角色。如:将系统管理员、安全员和审计员的权限分离。

12.应用系统设计“三权分立”和根据最小原则进行授权,各用户之间形成相互制约的关系。如:审批流程要经过不同的用户审批后才能完成;操作与监督分离。

 

结语

 

维护网络安全是全社会的责任,不仅要靠政府的指导和人民的参与,企业更需要发挥自身的价值所在,在未来的日子里行心科技将继续深入细致的钻研大数据安全领域,不断打造出更加专业的解决方案,对系统内部业务需求的有关信息、与外部交换的业务信息、以及向社会发布的服务信息所面临的和潜在的安全风险,制定与各类信息系统安全需求相应的安全目标,严格杜绝外部的侵入,并进行有效的管理和身份认证,保证系统的整体安全性,维持整个系统有关应用业务的畅通及系统的正常运行。