《WS-T-447-2014-基于电子病历的医院信息平台技术规范(安全规范部分)》由会员分享，可在线阅读，更多相关《WS-T-447-2014-基于电子病历的医院信息平台技术规范(安全规范部分)（11页珍藏版）》请在金锄头文库上搜索。
1、9 安全规范9.1 安全设计原则9.1.1 规范性原则医院信息平台需按照信息系统等级保护三级（或以上的要求进行安全建设，安全设计应遵循已颁布的相关国家标准。9.1.2先进性和适用性原则安全设计应采用先进的设计思想和方法，尽量采用国内外先进的安全技术。所采用的先进技术应符合实际情况；应合理设置系统功能、恰当进行系统配置和设备选型，保障其具有较高的性价比，满足业务管理的需要。9.1.3可扩展性原则安全设计应考虑通用性、灵活性，以便利用现有资源及应用升级。9.1.4 开放性和兼容性原则对安全子系统的升级、扩充、更新以及功能变化应有较强的适应能力。即当这些因素发生变化时，安全子系统可以不做修改或少量修
2、改就能在新环境下运行。9.1.5 可靠性原则安全设计应确保系统的正常运行和数据传输的正确性，防止由内在因素和硬件环境造成的错误和灾难性故障，确保系统可靠性。在保证关键技术实现的前提下，尽可能采用成熟安全产品和技术，保证系统的可用性、工程实施的简便快捷。9.1.6 系统性原则应综合考虑安全子系统的整体性、相关性、目的性、实用性和适应性。另外，与业务系统的结合相对简单且独立。9.1.7 技术和管理相结合原则安全体系应遵循技术和管理相结合的原则进行设计和实施，各种安全技术应该与运行管理机制、人员思想教育与技术培训、安全规章制度建设相结合。从社会系统工程的角度综合考虑，最大限度发挥人防、物防、技防相结
3、合的作用。9.2 总体框架总体框架的设计要求包括：医院信息平台安全体系从安全技术、安全管理为要素进行框架设计；应从网络安全（基础网络安全和边界安全）、主机安全（终端系统安全、服务端系统安全）、应用安全、数据安全几个层面实现安全技术类要求；应从安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理几个层面实现安全管理类要求。9.3 技术要求9.3.1 物理安全物理安全主要是指医院信息平台所在机房和办公场地的安全性，主要应考虑以下几个方面内容。物理位置的选择：应满足GB/T 22239-2008申7.1.1.1的要求；物理访问控制：应满足GB/T 22239-2008中7.1.1.2
4、的要求；防盗窃和防破坏：应满足GB/T 22239-2008中7.1.1.3的要求；防雷击：应满足GB/T 22239-2008中7.1.1.4的要求；防火：应满足GB/T 22239-2008中7.1.1.5的要求；防水和防潮：应满足GB/T 22239-2008中7.1.1.6的要求；防静电：应满足GB/T 22239-2008中7.1.1.7的要求；温湿度控制：应满足GB/T 22239-2008中7.1.1.8的要求；电力供应：应满足GB/T 22239-2008中7.1.1.9的要求；电磁防护：应满足GB/T 22239-2008中7.1.1.10的要求。9.3.2 网络安全9.3.
5、2.1 基础网络安全9.3.2.1.1 结构安全结构安全要求包括：应保证主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要；关键网络设备的业务处理能力至少为历史峰值的3倍；应保证网络各个部分的带宽满足业务高峰期需要；应绘制与当前运行情况相符完整的网络拓扑结构图，有相应的网络配置表，包含设备IP地址等主要信息，与当前运行情况相符，并及时更新；网络系统建设应符合8.5的要求。9.3.2.1.2 网络设备防护网络设备防护要求包括：应对登录网络设备的用户进行身份鉴别；应删除默认用户或修改默认用户的口令，根据管理需要开设用户，不得使用缺省口令、空口令、弱口令；应对网络设备的管理员登录地址进行限制
6、；网络设备用户的标识应唯一；身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换；应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施；当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听。9.3.2.2 安全区域边界安全安全区域边界安全要求包括：在医院信息平台和外部网络边界处应部署防火墙设备或其他访问控制设备，访问控制设备需具备以下功能： 实现基于源目的IP地址、源MAC地址、服务端口、用户、时间、组（网络，服务，用户，时间）的精细粒度的访问控制； 应设定过滤规则集；规则集应涵盖财所有出入边界的数据包的处理方式； 能对
7、连接、攻击、认证和配置等行为进行审计，并且可以对审计事件提供的告警； 实现日志的本地存储、远端存储、备份等存储方式； 应对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、 POP3等协议命令级的控制； 应在会话处于非活跃一定时间或会话结束后终止网络连接； 重要网段应采取技术手段防止地址欺骗；应禁用网络设备的闲置端口，采用对非虚拟IP进行设备地址绑定等方式防止地址欺骗。在平台和外部网络边界部署检测设备实现探测网络入侵和非法外联行为，检测控制设备需具备以下功能： 能够监测以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网
8、络蠕虫攻击等； 当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警； 应能够对内部网络用户私自联到外部网络的行为进行检查，准确定出位置，并对其进行有 效阻断； 能够检查网络用户终端采用双网卡跨接外部网络，或采用电话拨号、ADSL拨号、手机、无线上网卡等无线拨号方式连接其他外部网络。应在平台和外部网络边界处对恶恚代码进行检测和清除，包括： 在不严重影响网络性能和业务的情况下，应在网络边界部署恶意代码检测系统； 如果部署了主机恶意代码检测系统，可选择安装部署网络边界部署恶意代码检测系统。9.3.2.3 安全审计在平台和外部网络边界处部署审计系统，收集、
9、记录边界的相关安全事件，并将审计记录转换为标准格式，上报审计管理中心。边界审计系统需具备以下功能：收集、记录网络系统中的网络设备运行状况、网络流量、用户行为的日志信息；审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；支持使用标准通讯协议将探测到的各种审计信息上报审计管理中心；应能够根据记录数据进行分析，并生成审计报表；应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等。9.3.3 服务端系统安全9.3.3.1 身份鉴别通过使用安全操作系统或相应的系统加固软件实现用户身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查以及登录失败处理功能，并根据
10、安全策略配置相关参数，安全操作系统或系统加固软件需具备以下功能：在每次用户登录系统时，采用强化管理的口令或具有相应安全强度的其他机制进行用户身份鉴别，并对鉴别数据进行保密性和完整性保护，要求包括： 宜支持数字证书+USB KEY的认证方式实现强身份鉴别； 配置用户名口令认证方式时，口令设置应具备一定酌复杂度，不合格的口令被拒绝；口令 应具备采用3种以上字符、长度不少于8位，并设置定期更换要求；应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证系统中不存在重复用户身份标识，身份鉴别信息不易被冒用；应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施；当对服务器进行远程管理时
11、，应采取必要措施，防止鉴别信息在网络传输过程中被窃听；应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别，要求包括： 通过本地控制台管理主机设备时，应采用一种或一种以上身份鉴别技术； 以远程方式登录主机设备，应采用两种或两种以上组合的鉴别技术进行身份鉴别。9.3.3.2访问控制通过使用安全操作系统或相应的系统加固软件进行系统加固实现自主访问控制安全要求。安全操作系统或系统加固软件需具备以下功能：策略控制：能接收到管理中心下发的安全策略，并能依据此策略对登录用户的操作权限进行控制；客体创建：用户可以在管理中心下发的安全策略控制范围内创建客体，并拥有对客体的各种访问操作（读、写、修改和删除等
12、）权限；授权管理：用户可以将自己创建的客体的访问权限（读、写、修改和删除等）的部铃或全部授予其他用户；访问控制主体的粒度为用户级，客体的粒度为文件或数据库表级；应对重要信息资源设置敏感标记；应依据安全策略严格控制用户对有敏感标记重要信息资源的操作；应对重要服务器进行监视，包括监视服务器的CPU、硬盘、内存、网络等资源的使用情况；应能够对系统的服务水平降低到预先规定的最小值进行检测和报警。重要服务器的CPU利用率、内存、磁盘存储空间等指标超过预先规定的阈值后应进行报警。9.3.3.3 安全审计在管理区域部署审计系统，对医院信息平台范围内的主机探测、记录、相关安全事件，实现系统安全审计。审计系统需
13、具备以下功能：审计范围应覆盖到服务器上的每个操作系统用户和数据库用户；审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件，审计内容至少包括：用户的添加和删除、审计功能的启动和关闭、审计策略的调整、权限变更、系统资源的异常使用、重要的系统操作（如用户登录、退出）等。审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等；应保护审计记录，避免受到未预期的删除、修改或覆盖等；审计记录应至少保存6个月；应能够根据记录数据进行分析，并生成审计报表；应保护审计进程，避免受到未预期的中断。9.3.3.4 恶意代码防范通过部署病毒防护系统或配置具有相应功能的
14、安全操作系统，实现主机计算环境的病毒防护以及恶意代码防范。病毒防护系统需具备以下功能：远程控制与管理；保持操作系统补丁及时得到更新；全网查杀毒；防毒策略的定制与贫发实时监控；客户端防毒状况；病毒与事件报警；病毒日志查询与统计；集中式授权管理；全面监控邮件客户端。9.3.3.5剩余信息保护剩余信息保护技术要求包括：应保证操作系统和数据库系统用户的鉴别信息所在的存储空间，被释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中；应确保系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除。9.3.3.6 入侵防范入侵防范技术要求包括：操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新；应能够检测到对重要服务器进行入侵的行为，能够记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警；应能够对重要程序的完整性进行检测，并在检测到完整性受到破坏后具有恢复的措施，如不能正常恢复，应停止有关服务，并提供报警。9.3.4 终端系统安全通过使用安全操作系统或相应的系统加固软件进行系统加固实现终端系统安全加固。安全操作系统或系统加固软件硬件需具备以下功能：应对登录终端操作系统的用户进行身
