醫(yī)療行業(yè)

助力“互聯(lián)網(wǎng)+醫(yī)療”建設(shè)網(wǎng)絡(luò)安全

醫(yī)保局整體網(wǎng)絡(luò)安全解決方案

閱讀量：

國家醫(yī)療保障局于2019年6月分別下發(fā)了《醫(yī)療保障信息平臺建設(shè)指南》、《醫(yī)療保障核心業(yè)務(wù)區(qū)網(wǎng)絡(luò)安全接入規(guī)范》，按照建設(shè)指南“建設(shè)計劃”要求中的“地方建設(shè)計劃”要求，2019年底前完成設(shè)計、立項、招標(biāo)等工作；2020年底前完成相關(guān)信息系統(tǒng)建設(shè)工作；2021年完成項目驗收工作，國家醫(yī)療保障局派人參與省級驗收工作。

政策要求

? ? ? ?2018 年機(jī)構(gòu)改革，醫(yī)保局成立，同時為深入貫徹落實習(xí)近平新時代中國特色社會主義思想和黨的十九大精神，全面建成中國特色醫(yī)療保障體系，醫(yī)療保障局全面開展國家醫(yī)療保障信息平臺建設(shè)，為新時代醫(yī)療保障事業(yè)的高質(zhì)量發(fā)展提供新動能，促進(jìn)國家治理體系和治理能力現(xiàn)代化，增強人民群眾的獲得感、幸福感、安全感。

? ? ? ?為貫徹落實醫(yī)療保障信息化建設(shè)總體部署和國家醫(yī)療保障局《關(guān)于醫(yī)療保障信息化工作的指導(dǎo)意見》（醫(yī)保發(fā)【2019】1 號）、《關(guān)于開展醫(yī)療保障信息化建設(shè)試點工作的通知》（醫(yī)保發(fā)【2019】22 號）文件要求，指導(dǎo)和規(guī)范各地醫(yī)療保障信息化建設(shè)，高標(biāo)準(zhǔn)建成全國統(tǒng)一、互聯(lián)互通的醫(yī)療保障信息平臺，國家醫(yī)療保障局聯(lián)合規(guī)劃財務(wù)和法規(guī)司制定《地方醫(yī)療保障信息平臺建設(shè)指南》，嚴(yán)格根據(jù)該指南設(shè)計規(guī)劃地方醫(yī)療保障信息平臺安全防護(hù)體系建設(shè)方案。

安全需求

? ? ? 互聯(lián)網(wǎng)+醫(yī)療”的發(fā)展和醫(yī)療行業(yè)信息化的建設(shè)不斷推進(jìn)，使國家越來越重視醫(yī)療行業(yè)網(wǎng)絡(luò)安全問題，但我國醫(yī)療行業(yè)網(wǎng)絡(luò)安全建設(shè)起步較晚，目前的安全情況不容樂觀。

1.?醫(yī)療行業(yè)成重要攻擊目標(biāo)

由于醫(yī)療行業(yè)各機(jī)構(gòu)的特殊性，醫(yī)療醫(yī)保信息都是屬于需要緊急使用的敏感信息，一旦這些數(shù)據(jù)被加密勒索，就會造成很大影響。醫(yī)療行業(yè)資源分配不均衡導(dǎo)致醫(yī)療數(shù)據(jù)的價值遠(yuǎn)高于信用卡等數(shù)據(jù)信息，因此醫(yī)療行業(yè)的數(shù)據(jù)庫是黑客都覬覦的東西，欺詐者利用這些精準(zhǔn)信息可以進(jìn)行電信詐騙、虛假醫(yī)療廣告營銷等違法活動。

2.?勒索病毒等攻擊給醫(yī)療行業(yè)帶來危害嚴(yán)重

2017年以來，醫(yī)療行業(yè)已成為攻擊者實施勒索的最主要目標(biāo)，有29%的勒索軟件的攻擊目標(biāo)是各類醫(yī)療相關(guān)機(jī)構(gòu)。除勒索外，醫(yī)療業(yè)務(wù)資源被黑客濫用于挖礦，亦會破壞企業(yè)內(nèi)部IT環(huán)境、數(shù)據(jù)中心的正常運行秩序以及關(guān)鍵應(yīng)用的交付，同樣使得業(yè)務(wù)連續(xù)性遭受極大安全威脅。勒索、挖礦已經(jīng)成為影響醫(yī)療業(yè)務(wù)連續(xù)性的主要威脅。

3.?醫(yī)療信息泄露問題不可小覷

隨著業(yè)務(wù)網(wǎng)應(yīng)用的深入，各種移動辦公、遠(yuǎn)程辦公、移動掛號等便捷式服務(wù)的出現(xiàn)，勢必會有交叉進(jìn)行數(shù)據(jù)交互的情況存在。醫(yī)院網(wǎng)絡(luò)具有開放網(wǎng)絡(luò)的基本特征，具有很大的安全風(fēng)險，醫(yī)療數(shù)據(jù)泄露事件頻發(fā)。

4.?云計算的融合與發(fā)展帶來網(wǎng)絡(luò)安全新的問題

云計算在技術(shù)方面逐漸走向成熟，云端數(shù)據(jù)體量不斷增長，全球因惡意攻擊活動、云平臺漏洞被利用及云賬戶配置錯誤造成的數(shù)據(jù)泄漏事件時有發(fā)生，涉及個人健康信息、財務(wù)信息、個人身份信息、知識產(chǎn)權(quán)等大量非公開數(shù)據(jù)，成為當(dāng)前云計算為人們所帶來的主要網(wǎng)絡(luò)安全風(fēng)險。

5.?大數(shù)據(jù)技術(shù)衍生新風(fēng)險

現(xiàn)今時代是大數(shù)據(jù)時代，數(shù)據(jù)的產(chǎn)生、流通和應(yīng)用愈加普遍和密集，信息系統(tǒng)的安全邊界更加模糊，并可能引入新的、未知的安全漏洞和隱患。

解決方案

省/地市醫(yī)療保障信息平臺數(shù)據(jù)中心采用租用專享云數(shù)據(jù)中心的方式部署，醫(yī)療保障核心業(yè)務(wù)區(qū)為非涉密網(wǎng)絡(luò)，通過內(nèi)外網(wǎng)數(shù)據(jù)交換區(qū)與醫(yī)療保障公共服務(wù)網(wǎng)進(jìn)行連

接，省市醫(yī)療保障平臺核心業(yè)務(wù)網(wǎng)絡(luò)。本方案將從通用安全、云安全、網(wǎng)絡(luò)安全態(tài)勢感知以及安全服務(wù)體系設(shè)計四個維度來構(gòu)建醫(yī)保局整個網(wǎng)絡(luò)安全體系。

依據(jù)國家信息安全等級保護(hù)制度和信息保障技術(shù)框架，根據(jù)系統(tǒng)在不同階段的需求、業(yè)務(wù)特性及應(yīng)用重點，采用層次化與區(qū)域化相結(jié)合的安全體系設(shè)計方法，幫助構(gòu)建一套覆蓋全面、重點突出、節(jié)約成本、持續(xù)運行的安全防御體系。

用戶價值

醫(yī)保局是國家新成立的部門，很多省市都是剛開始醫(yī)療保障信息平臺的規(guī)劃建設(shè)工作，安恒信息全國各個區(qū)域正在積極了解網(wǎng)絡(luò)和配合跟進(jìn)中，后續(xù)將逐步完善和改進(jìn)解決方案。本次設(shè)計方案的幾個核心優(yōu)勢點為：

1. 合法合規(guī)，本方案符合國家在醫(yī)保局建設(shè)的政策要求，依據(jù)國家網(wǎng)絡(luò)安全法，《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例（征求意見稿）》、嚴(yán)格按照等保2.0 安全標(biāo)準(zhǔn)進(jìn)行方案設(shè)計，從通用安全、云安全、網(wǎng)絡(luò)安全態(tài)勢感知以及安全服務(wù)體系設(shè)計多個角度確保醫(yī)療保障信息平臺符合三級等保要求的同時具備完善的安全保障能力。

2. 借助基礎(chǔ)安全設(shè)施和安全態(tài)勢感知平臺的強大技術(shù)能力，通過使用具備安全合規(guī)、安全監(jiān)測、安全策略分析等功能的安全態(tài)勢感知運營平臺，醫(yī)療保障局網(wǎng)絡(luò)安全風(fēng)險預(yù)警能力能得到全面提升。

3. 云計算環(huán)境下，通過建設(shè)統(tǒng)一的安全資源池，提供一個安全可視、可控、安全資源自動化部署、彈性擴(kuò)展、平臺開放的一體化安全資源平臺，可以滿足等保 2.0?中云計算環(huán)境的安全要求。

4. 產(chǎn)品與服務(wù)結(jié)合的安全模式。本方案設(shè)計了產(chǎn)品結(jié)合安全服務(wù)的模式，通過安全服務(wù)，提升信息系統(tǒng)的安全保障能力，彌補用戶專業(yè)網(wǎng)絡(luò)安全人員的不足。7＊24 小時的應(yīng)急響應(yīng)服務(wù)，讓醫(yī)保信息平臺在網(wǎng)絡(luò)及重要系統(tǒng)任何時間發(fā)生任何安全問題都能夠及時得到支持和解決。