医院信息化终端安全管理

医学信息２００７年ｌ２月第２Ｏ卷第ｌ２期Ｍｅｄｉｃａｌ　Ｉｎｆｏｒｍａｔｉｏｎ．Ｄｅｃ．２００７．Ｖｏ１．２０．Ｎｏ．１２　医院信息化终端安全管理　陈晓铖，李少华，陈凯立，谭嘉浩　（中山市人民医院计算机管理中心，广东中山５２８４００）　摘要：在医疗机构信息化的普及过程，信息安全是不可忽视的重要环节；如何杜绝信息泄漏，保护医院的信息价值是重要的信　息管理工作。而生产终端往往成为企业网络安全”木桶”中最薄弱的一个环节。本文介绍我院如何成功通过ＫＳＭＳ软件对计算　机终端安全进行管理。　关键词：医疗信息化：终端安全；ＫＳＭＳ　０前言　识，培训的成本有多大？　在医疗机构信息化普及过程，网络在给人们带来巨大效　如何才能为每个部门、甚至每个人提供个性化的安全保　益的同时，也带来了很多严重的安全问题，继而也诞生了各　证？　种安全技术。目前网络上的各种安全技术大多将着眼点放在　如何要求所有内网终端用户在最短的时间内安装操作　网络边界，如：防火墙、安全网关、入侵检测等；或者即便部署　系统或应用软件最新发布的补丁？　在网络内部，也是针对特定安全弱点的，如：病毒防护、主机　如何知道内网哪台机器的硬盘被人拿走了？　加固软件等。内网终端的安全防护常常没有得到足够重视。　病毒库都是基于已经发现的安全问题，能否提前预防未　而网络的迅猛发展往往超乎用户想象，网络设备的流动性、　来新的蠕虫病毒？　各种复杂网络应用的引人，都会使内网安全呈现漏洞。内网　如何检查什么机器安装或运行了什么软件？　的各种漏洞源于安全策略的制定与具体执行之间的差距。执　如何能够快速发现谁的终端在上班时间玩游戏或者网　行者素养的差别，对网络安全管理理解的差别都有可能造成　上聊天？　管理上的疏漏。如果用户手中的网络安全产品和解决方案都　中办发２７号文《国家信息化领导小组关于加强信息安　只是针对特定问题的修补而且互相孤立，没有构造一个能彻　全保障工作的意见》指出：加强信息安全保障工作的总体要　底解决网络内、外共有的安全问题的统一的平台，则用户网　求是：坚持积极防御、综合防范的方针，全面提高信息安全防　络本质上仍然是脆弱的。　护能力，重点保障基础信息网络和重要信息系统安全。根据　可能面临诸如下面的问题：　公通字６６号文《关于信息安全等级保护工作的实施意见》的　哪些安全设备能够有效防止来自内部的攻击和非法访　定义，信息系统是指由计算机及其相关和配套的设备、设施　问？　构成的，按照一定的应用目标和规则对信息进行存储、传输、　哪些安全设备能够有效防止内部信息的泄漏？　处理的系统或者网络。根据该定义，计算机终端属于一种需　哪些安全设备能够有效阻止内部信息的非法篡改？　要保护的、应用最普遍的信息系统。在信息化得到大规模推　如果网络内部有人违例使用无线或拨号方式上网，如何　行的今天，计算机终端往往是创建和存放重要数据的所在，　进行限制？　也是数据泄密的重要薄弱环节。即使对网络根据重要程度进　如何降低支持中心的支持成本以让有限的管理员对成　行了安全域的划分和隔离，安全域内部的薄弱终端往往会导　百上千的终端做到集中的信息收集、诊断、监控和维护？　致整个网络的问题。　安全厂商所提倡的安全策略，如何才能快速有效地在组　计算机终端作为ｒＩ＇系统的基础组成部分，其使命是完成　织内部部署下去？　用户的业务目标。每一台终端都具有其具体的使命，也就是　如何避免终端用户擅自更改软件、逃避安全策略的限　说业务目标分解后形成每台终端的业务目的。　制？　软件和硬件是计算机终端运行的基础。软件和硬件的失　如果要所有内部相关人员遵循安全策略，了解安全知　效或意外变更可能会影响终端的正常运行和安全。所以，需　要对软硬件资产进行统计管理，并且跟踪其变更情况。计算　收稿日期：２００７－０９－３０　维普资讯 http://www.cqvip.com

医学信息２００７年１２月第２０卷第１２期Ｍｅｄｉｃａｌ　Ｉｎｆｏｒｍａｔｉｏｎ．Ｄｅｃ．２００７．Ｖｏ１．２０．Ｎｏ．１２　机终端用户作为一种特殊资产，同样需要进行有效管理。　计算机终端在运行中最常遇到的就是蠕虫、病毒、木马、　为了落实医院信息化管理标准和管理规范，以及医院自　身运行管理的需求，我院在生产和管理网络中实施终端自动　入侵等安全威胁。为了保障终端系统以及其中信息的机密　性、完整性和可用性，需要整合多种安全防范技术对终端实　施全面的安全保护。同时，终端的具体业务目的决定其行为　化管理，以保证医院网络、计算机以及信息资源的安全是非　常具有现实意义的。　１终端现状与终端管理的对策　模式。由于每一台终端的具体业务目的和作用不同，其行为　模式以及运行的应用等也都不尽相同。一些业务不需要的操　作行为、应用程序等需要被禁止，并且需要有相关的监控措　经过考察与分析，我院生产终端在安全管理方面存在以　下明显问题：　施。当终端处于不同网络中或单独运行的时候，需要有相应　的保护和监管策略。生产终端往往成为企业网络安全”木桶”　中最薄弱的一个环节。　现有的终端分散管理方式，个人随意性很强；关键文件　需要保护；　外设设备的访问控制；　能禁止／允许客户端访问网络和服务的能力；　良好的审计分析机制是确保策略得到有效执行的保障　手段。在终端的使用、管理、保护以及监管的过程中，需要有　一系统资源和资产的访问控制管理；　终端数量多，日常使用人员维护管理压力大；　套行之有效的审计措施，并且由专门人员进行日志的分析　我院创建于１９５０年，现已发展为中山市集医疗、教学、　整理，发现违反策略的行为、或者策略需要改进的地方。　移动终端接入互联网后又接入生产网，所带病毒交叉感　染；　科研、预防保健为一体的”三级甲等医院”。经过多年的信息　化建设，目前已经基本实现了医院的数字化：计算机应用遍　终端私接上网或从事与工作无关的事务无法限制，同时　为企业带来安全问题；　布全院各个科室，并且在系统之间实现了无缝连接，数字化　应用涵盖了全院的所有业务部门。　特定安全手段的实现、培训成本高　控制端、服　区医院　用户设诶用户设诶　图１我院计算机终端网络分布图　维普资讯 http://www.cqvip.com 医学信息２００７年１２月第２０卷第１２期Ｍｅｄｉｃａｌ　Ｉｎｆｏｒｍａｔｉｏｎ．Ｄｅｃ．２００７．Ｖｏ１．２０．Ｎｏ．１２　ｌ医ｓ挚信息学　针对以上出现亟待解决的众多问题，根据目前的网络结　２．１策略服务器（ＫＰＳ）　构（如图１），我院研究决定在计算机中心部署终端安全服务　ＫＳＭＳ策略服务器保存并分发安全策略。ＫＰＳ负责系统　器端，在医院各个科室和分支的计算机终端上部署终端安全　的认证授权、策略管理的后台支持，负责收集整个系统的安　客户端＇由服务器端统一进行管理。　全信息、负责策略的发布和保存。支持分布式部署，能够适用　为了解决上述问题，加强生产网络整体安全，并提高生　于大规模网络环境的应用。　产终端安全管理的效率，经过综合对比，试用，筛选，我们选　２．２管理控制台（ＫＭＣ）　用冠群金辰终端安全管理系统（ＫＳＭＳ）。ＫＳＭＳ采用集成化　ＫＳＭＳ管理控制台实现系统的集中管理控制。ＫＭＣ负责　网络安全防卫思想，遵循终端生命周期管理模型，应用集成　用户的管理、策略的定义和应用、系统的设置、日志的查询和　防卫的理论与技术，采用分布式的体系结构，通过安全策略　报表的分析，为系统的管理提供一个统一的平台，并且支持　的设计及集中的安全控制管理平台，提供一套功能强大的安　基于组织机构的权限设计。　全管理控制系统；在降低网络安全管理成本的同时，能有效　２．３安全客户端（ＫｓＡ）　的保护网络和主机系统的安全，既能防止内部的信息泄漏，　ＫＳＭＳ安全客户端接受安全策略和控制台的管理。ＫＳＡ　也可以阻止外部的攻击。ＫＳＭＳ也能和目前绝大多数的应用　部署在需要保护用户ＰＣ和服务器上，负责保护计算机终端　软件稳定兼容、并支持与主流防病毒产品互动。能够满足用　和服务器的安全，收集系统的各种安全信息和日志，执行定　户对终端管理所提出的身份认证、访问控制、资源保护、用户　制的安全策略。　审计等目标。　２．４分布式的体系结构　ＫＳＭＳ系统采用分布式体系结构，部署在网络范围内所　２　ＫＳＭＳ体系结构介绍　有需要保护的计算机终端，通过集中的管理中心进行控制管　冠群金辰公司的ＫＳＭＳ由三个部分组成：策略服务器　理．、ＫＳＭＳ提供灵活、强大的部署能力，具有良好的扩展性。　（ＫＰＳ）、管理控制台（ＫＭＣ）、安全客户端（ＫＳＡ　ｏ　ＫＳＭＳ体系结构框架如下图所示：　图２　ＫＳＭＳ体系框架图　维普资讯 http://www.cqvip.com

医学信息２００７年１２月第２Ｏ卷第１２期Ｍｅｄｉｃａｌ　Ｉｎｆｏｒｍａｔｉｏｎ．Ｄｅｃ．２００７．Ｖｏ１．２０．Ｎｏ．１２　３功能目标的实现　况进行监控，判断并维护终端系统的完整性，维护操作系统，　应用系统补丁通知、分发和管理。　３．３终端系统安全管理　ＫＳＭＳ能够对用户权限分类分级控制，通过安全域的建　３．１终端接入及配置　对于用户所有接入的终端，ＫＳＭＳ都可以针对其制定相　应的策略。所有的安全管理都是通过策略集的定制和分发来　完成的，支持集中的安全管理，便于整个系统的统一管理。　ＫＳＭＳ包括多种安全策略：元策略、环境策略、应用策略、　内容策略、流量策略和分组策略等。不同类型的策略负责在　不同的范围内对网络安全行为进行规范，并且可能适用于不　同类型的网络节点。　对于移动终端（如临时访客或前来实施项目的厂商单位工程　立，相同的访问权限只能执行一致的安全策略；管理员还可　以维护终端的文件共享，根据业务需要开启相应端口服务，　以及部署、检测、升级全网统一的网络版防病毒系统。　３．４终端上网管理　通过防火墙策略，ＫＳＭＳ可以禁止生产终端以任何方式　绕过用户网关私接因特网；并且可以限制所有允许上网的生　产终端必须通过在网络边界统一设置的代理服务器访问因　特网。　师所携设备），可以通过ＫＳＭＳ设置限制其对用户资源的访　问。　３．２终端应用软件管理　通过应用程序策略，ＫＳＭＳ能够严格限定指定用户在指　定电脑上的合法行为和禁止行为，任何未经许可的程序都将　被禁止。这保证了用户只能在合法范围内正常使用电脑，即　避免了用户对资源的滥用，也避免了由此造成的维护成本升　高。　３．５终端外设安全管理　通过设备控制策略和打印机控制策略，ＫＳＭＳ能够禁用　一切终端外设包括软驱、光驱、移动存储、调制解调器、红外　设备、蓝牙设备、串口、并口设备等等，消除由此可能带来的　旁路以及恶意代码、病毒的引入。　４软件部署　ＫＳＭＳ也可以对生产终端操作系统、应用系统的运行情图表３　中山市人民医院终端安全管理系统部署圈　维普资讯 http://www.cqvip.com

医学信息２００７年１２月第２Ｏ卷第１２期Ｍｅｄｉｃａｌ　Ｉｎｆｏｒｍａｔｉｏｎ．Ｄｅｃ．２００７．Ｖｏ１．２０．Ｎｏ．１２　我院的内网（终端）管理由专人负责，分为ＩＴ系统管理员　户主机，避免了现场维护。同时安全策略的自动部署和执行，　和审计员不同角色。系统管理员主要职责是负责维护目前的　可以非常迅速地在组织内部构建起统一、高效的安全防御体　安全终端管理系统，而审计员则对日志信息和审计记录进行　系，大大简化了安全管理的工作量。　详细而审慎的核查。　５．３降低总成本　在组织内所有的用户主机和服务器上安装策略执行引　ＫＳＭＳ通过集中的策略制定可以使得终端用户在得到安　擎。当子网用户登录网络时，引擎会从所属的服务器上自动　全性保证的同时，从对安全的学习和理解中彻底解脱出来，　下载安全策略，并且在本地自动执行。部署ＫＳＭＳ后，有效地　更加专注于自己的核心业务。　解决和预防了原来系统中出现的各种安全和管理问题，极大　管理员通过集中的策略设定，就可以避免在用户现场无　地减少了管理员对用户主机的维护和管理成本，透明有效地　休止的维护工作。通过全组织的安全策略部署，既可以有效　保证了用户主机的安全。　避免对其他传统安伞设备的需要，降低设备采购的成本，也　ＫＳＭＳ的部署包括如下几个部分：①管理端软件的安装：　可以作为传统安全解决手段的互补品，有效保护现有投资。　运行于管理员主机，进行整体的管理策略配置；是一个标准　ＫＳＭＳ的部署不需要变更现有的网络结构，这可以有效降低　的Ｗｉｎｄｏｗｓ程序；②服务器的安装：服务器已经在出厂时进　项目实施的成本。　行了所有的主要配置工作；管理员只需要将其连入以太网、　５．４适应未来需求　启动，并同管管理端软件为其分配适当的ＩＰ地址即可；③客　有效的主动策略控制将使得该系统一次部署之后，可以　户端程序的安装：客户端的安装是ＫＳＭＳ中工作量最大的内　在未来的大规模安全事件爆发之前有效地解决可能出现的　容。有以下几种安装方式：项目实施人员在客户端主机现场　安全问题。例如：由于策略限制了每个用户可以使用的资源　逐一安装；客户端远程安装；客户端自行安装。④日志服务器　和内容，因此可以有效地防范针对系统漏洞的新型病毒。　的安装：日志采用ＳＱＬ　Ｓｅｒｖｅｒ存储，标准的Ｍｓ　ＳＱＬ　Ｓｅｒｖｅｒ安　对于不断出现的网络边界（例如无线、移动等），ＫＳＭＳ都　装。　能保证在不增加设备投入的情况下有效适应。　５　ＫＳＭＳ提升我院业务优势　６总结　在成功部署ＫＳＭＳ后，并经过近一年的使用，发现通过　今后５年将是我国卫生信息化发展的高速增长时期，”　安全策略在组织内部所有桌面主机、服务器、网络设备、网络　十一五”期间全国卫生信息化投入规模将保持稳定快速增长　安全设备上的部署和执行，为我院带来了前所未有的价值和　的趋势；在信息化发展的同时，信息化的安全是不可忽视的　安全体验。　重点。而我院成功使用策略控制的高度对信息化的终端进行　５．１全面的安全保障　有效的安全管理，杜绝了医疗信息化安全最薄弱的环节。　ＫＳＭＳ摆脱了传统安全设备专注于单一安全功能的局　限，解决了安全、性能和业务之间的冲突和统一；通过单一系　参考文献：　统部署，就可为客户带来全面、丰富的安全保障。系统的保护　［１】蒋水林．医疗信息化呼唤安全平台．人民邮件报，２００６．６．　覆盖了物理安全、网络安全、系统安全、应用安全、管理安全　［２】刘艳辉，徐香．医院信息系统的数据安全策略．医学信息．２００６．　的多个层面，提供了丰富的安全保障功能。　［３】冠群金辰软件有限公司．ＫＩＬＬ终端安全管理系统用户手册．２００５．　５．２简化安全管理　编辑／任鸿兰　ＫＳＭＳ的部署使得管理员可以远程维护、管理和加固用　依托信息平台，促进医保管理　王继伟，曾晨曦，杨毕辉　（解放军第１７４　ＩＫ院，福建厦门３６１００３）　摘要：本文针对医院医保管理中存在的实际困难，介绍了如何发挥医院信息化建设的优势，利用信息平台为医保管理服务的做　法，阐明了医保管理信息化、现代化、规范化和精细化的发展方向。　关键词：信息平台：医保管理　收稿日期：２００７—１０—１６