陳明 林志剛 林傳捷

隨著國(guó)內(nèi)外網(wǎng)絡(luò)安全形勢(shì)日益嚴(yán)峻，大型醫(yī)療機(jī)構(gòu)的網(wǎng)絡(luò)安全保障壓力與日俱增，與此同時(shí)，醫(yī)療衛(wèi)生領(lǐng)域迎來(lái)重要機(jī)遇期，信息化發(fā)揮著關(guān)鍵的支撐作用，而網(wǎng)絡(luò)信息安全作為信息化的命脈，其重要性日益凸顯[1-3]。為此，國(guó)家衛(wèi)生健康委陸續(xù)發(fā)布相關(guān)文件，以加強(qiáng)醫(yī)療衛(wèi)生機(jī)構(gòu)的網(wǎng)絡(luò)和數(shù)據(jù)安全管理，如規(guī)定各醫(yī)療機(jī)構(gòu)應(yīng)當(dāng)建立覆蓋患者診療信息管理全流程的制度和技術(shù)保障體系，對(duì)本單位運(yùn)營(yíng)范圍內(nèi)的管理信息系統(tǒng)落實(shí)等級(jí)保護(hù)定級(jí)、備案、測(cè)評(píng)、安全建設(shè)整改工作[4-5]，其中，醫(yī)院重要信息安全等級(jí)保護(hù)不低于三級(jí)，定為三級(jí)及以上的信息系統(tǒng)每年進(jìn)行等級(jí)保護(hù)測(cè)評(píng)[6-8]。因此，醫(yī)療機(jī)構(gòu)開(kāi)展網(wǎng)絡(luò)安全等級(jí)保護(hù)工作不僅是履行國(guó)家法律法規(guī)義不容辭的責(zé)任，更是保證醫(yī)療服務(wù)穩(wěn)定供給、持續(xù)改進(jìn)醫(yī)療質(zhì)量與安全、推進(jìn)公立醫(yī)院高質(zhì)量發(fā)展的前提[9-10]。

本文以某省屬三級(jí)甲等醫(yī)院為例，設(shè)計(jì)一種可行的等級(jí)保護(hù)綜合管理平臺(tái)框架，該框架基于等級(jí)保護(hù)2.0 標(biāo)準(zhǔn)體系，提供高效穩(wěn)定的等級(jí)保護(hù)管理、項(xiàng)目管理、知識(shí)庫(kù)管理及系統(tǒng)管理等模塊化機(jī)制，與醫(yī)院實(shí)際場(chǎng)景下的定級(jí)備案、安全自評(píng)、建設(shè)整改以及等級(jí)測(cè)評(píng)的業(yè)務(wù)流程相符，為醫(yī)療機(jī)構(gòu)實(shí)施網(wǎng)絡(luò)安全等級(jí)保護(hù)提供了一種可復(fù)用的模板。

1 醫(yī)院存在的主要問(wèn)題

目前醫(yī)療機(jī)構(gòu)遵循的等級(jí)保護(hù)安全規(guī)范為2019年12 月1 日正式實(shí)施的《信息安全技術(shù)—網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》（GB/T 22239-2019）[11]，簡(jiǎn)稱(chēng)等保2.0，與2008 年的《信息安全技術(shù)—信息系統(tǒng)安全等級(jí)保護(hù)基本要求》即等保1.0 相比，等保2.0的定級(jí)對(duì)象從信息系統(tǒng)擴(kuò)展為網(wǎng)絡(luò)空間，其合規(guī)標(biāo)準(zhǔn)體系、合規(guī)基本要求及合規(guī)覆蓋對(duì)象有顯著的變化，這對(duì)等級(jí)保護(hù)工作提出了新的要求[12-13]。然而，醫(yī)療衛(wèi)生機(jī)構(gòu)的系統(tǒng)部署與管理復(fù)雜，安全檢查與評(píng)估任務(wù)繁重，在人工進(jìn)行等級(jí)保護(hù)工作的方式下存在諸多問(wèn)題，以某省屬多院區(qū)三級(jí)甲等醫(yī)院為例，分析如下。

1.1 無(wú)法實(shí)施標(biāo)準(zhǔn)化等級(jí)保護(hù)管理

等級(jí)保護(hù)工作的過(guò)程復(fù)雜，涉及的標(biāo)準(zhǔn)多、范圍廣，其中三級(jí)系統(tǒng)211 個(gè)指標(biāo)項(xiàng)，二級(jí)系統(tǒng)135個(gè)指標(biāo)項(xiàng)，結(jié)合醫(yī)院實(shí)際形成的評(píng)估項(xiàng)達(dá)數(shù)千條。安全管理人員在缺乏相關(guān)專(zhuān)業(yè)知識(shí)和工作手段的情況下，難以對(duì)其進(jìn)行合理有效的控制，無(wú)法將安全要求同步到信息系統(tǒng)規(guī)劃與管理的各階段，導(dǎo)致等級(jí)保護(hù)工作雜亂無(wú)章、不成體系。

1.2 無(wú)法掌握信息系統(tǒng)安全狀態(tài)

該醫(yī)院的信息資產(chǎn)龐大，種類(lèi)多、分布廣、業(yè)務(wù)多[14]，其等級(jí)保護(hù)工作產(chǎn)生的數(shù)據(jù)未統(tǒng)一匯總和存儲(chǔ)[15]，安全管理人員無(wú)法清晰了解各信息系統(tǒng)安全建設(shè)整改情況，無(wú)法感受等級(jí)保護(hù)工作為各信息系統(tǒng)帶來(lái)的成效，無(wú)法把握下一階段等級(jí)保護(hù)的工作重點(diǎn)。

1.3 難以高效完成檢查任務(wù)

隨著公安機(jī)關(guān)、上級(jí)主管部門(mén)對(duì)網(wǎng)絡(luò)安全監(jiān)管力度的持續(xù)增強(qiáng)[16]，醫(yī)院承擔(dān)著密集的檢查和評(píng)估任務(wù)，在整理等級(jí)保護(hù)工作相關(guān)文檔的過(guò)程中，存在響應(yīng)慢、效率低、無(wú)法高效輸出安全檢查需要的信息等問(wèn)題，耗費(fèi)大量人力物力的同時(shí)處于被動(dòng)狀態(tài)。

2 國(guó)內(nèi)主要解決方案

因?yàn)榈燃?jí)保護(hù)是根據(jù)我國(guó)實(shí)際情況開(kāi)展的，國(guó)外學(xué)者對(duì)此鮮有研究，而國(guó)內(nèi)同行已開(kāi)展了諸多工作，在實(shí)踐方面主要圍繞著等級(jí)保護(hù)工作的輔助系統(tǒng)進(jìn)行[17-18]。目前國(guó)內(nèi)同行主要研究的輔助系統(tǒng)是等級(jí)保護(hù)檢查工具箱和信息安全等級(jí)保護(hù)管理系統(tǒng)。等級(jí)保護(hù)檢查工具箱具備完善的等級(jí)保護(hù)檢查知識(shí)庫(kù)，從安全檢查的視角出發(fā)，對(duì)各運(yùn)營(yíng)單位進(jìn)行單次評(píng)估并出具評(píng)估報(bào)告，可有效輔助公安機(jī)關(guān)測(cè)評(píng)機(jī)構(gòu)執(zhí)法檢查和實(shí)施測(cè)評(píng)[19-20]；信息安全等級(jí)保護(hù)管理系統(tǒng)適用于政府及企事業(yè)單位，可實(shí)現(xiàn)等級(jí)保護(hù)信息及數(shù)據(jù)的集中管理和分析處理，有效提升信息安全工作透明度。

即便如此，國(guó)內(nèi)的研究仍然存在不足：等級(jí)保護(hù)檢查工具箱缺乏對(duì)等級(jí)保護(hù)管理流程的把控，對(duì)系統(tǒng)運(yùn)營(yíng)單位的等級(jí)保護(hù)管理無(wú)法提供有力的支撐；信息安全等級(jí)保護(hù)管理系統(tǒng)的功能更偏向于各環(huán)節(jié)工作結(jié)果的填報(bào)，其設(shè)計(jì)缺乏交互體驗(yàn)和流程式的引導(dǎo)，不能充分滿足等保2.0 工作中的資產(chǎn)梳理、指標(biāo)自評(píng)、人員管理、建設(shè)管理等方面的需求。

3 方案設(shè)計(jì)目標(biāo)及依據(jù)

3.1 設(shè)計(jì)目標(biāo)

針對(duì)上述存在的問(wèn)題，醫(yī)院需要建立一個(gè)系統(tǒng)、規(guī)范、全面的等級(jí)保護(hù)工作管理平臺(tái)，平臺(tái)具有簡(jiǎn)潔明了的人機(jī)交互界面、靈活的權(quán)限設(shè)置，幫助醫(yī)院規(guī)范有序地開(kāi)展等級(jí)保護(hù)工作，完整識(shí)別資產(chǎn)構(gòu)成情況，明晰地呈現(xiàn)安全狀態(tài)，高效輸出安全相關(guān)文檔，形成系統(tǒng)化、標(biāo)準(zhǔn)化、規(guī)范化的安全管理體系。

3.2 設(shè)計(jì)依據(jù)

依據(jù)國(guó)家等保2.0 的基本要求以及安全設(shè)計(jì)技術(shù)要求，醫(yī)院根據(jù)實(shí)際需求，從安全物理環(huán)境、安全通信網(wǎng)絡(luò)、安全區(qū)域邊界、安全計(jì)算環(huán)境、安全管理中心、安全管理制度、安全管理機(jī)構(gòu)、安全人員管理、安全建設(shè)管理以及安全運(yùn)維管理等方面對(duì)平臺(tái)的配置、檢查與管理功能進(jìn)行設(shè)計(jì)，平臺(tái)涉及信息系統(tǒng)的定級(jí)、備案、自評(píng)、建設(shè)整改、測(cè)評(píng)和監(jiān)督檢查等管理環(huán)節(jié)[11,21]。

4 平臺(tái)流程及架構(gòu)設(shè)計(jì)

4.1 流程設(shè)計(jì)

根據(jù)醫(yī)院多院區(qū)、多場(chǎng)景的特點(diǎn)，等級(jí)保護(hù)綜合管理平臺(tái)的用戶(hù)分為3 類(lèi)：醫(yī)院信息中心、各分院區(qū)及第三方機(jī)構(gòu)。第三方機(jī)構(gòu)包含軟件開(kāi)發(fā)商、安全服務(wù)商、監(jiān)管單位、主管單位及測(cè)評(píng)機(jī)構(gòu)。醫(yī)院信息中心對(duì)全院等級(jí)保護(hù)工作進(jìn)行監(jiān)督和統(tǒng)計(jì)，各分院區(qū)負(fù)責(zé)信息系統(tǒng)定級(jí)、備案、測(cè)評(píng)等業(yè)務(wù)，第三方機(jī)構(gòu)輔助或者監(jiān)管醫(yī)院安全信息管理人員進(jìn)行信息采集、業(yè)務(wù)分析、文檔輸出等工作。該平臺(tái)的等級(jí)保護(hù)業(yè)務(wù)流程設(shè)計(jì)見(jiàn)圖1。

圖1 醫(yī)院等級(jí)保護(hù)工作業(yè)務(wù)流程

4.2 架構(gòu)設(shè)計(jì)

等級(jí)保護(hù)的綜合管理平臺(tái)對(duì)外可實(shí)現(xiàn)展示安全狀態(tài)、統(tǒng)計(jì)輸出上級(jí)主管部門(mén)安全檢查所需的文檔，對(duì)內(nèi)可形成高效便捷的等級(jí)保護(hù)業(yè)務(wù)處理體系。該平臺(tái)以等級(jí)保護(hù)業(yè)務(wù)處理平臺(tái)為核心，包括等級(jí)保護(hù)業(yè)務(wù)管理平臺(tái)、等級(jí)保護(hù)業(yè)務(wù)處理平臺(tái)、等級(jí)保護(hù)信息采集平臺(tái)3 個(gè)子系統(tǒng)。

等級(jí)保護(hù)業(yè)務(wù)管理平臺(tái)的主要任務(wù)是維護(hù)單位日常等級(jí)保護(hù)項(xiàng)目的事務(wù)管理，包括對(duì)等級(jí)保護(hù)項(xiàng)目的添加、修改、刪除、存檔等業(yè)務(wù)管理，對(duì)等級(jí)保護(hù)業(yè)務(wù)處理平臺(tái)的數(shù)據(jù)進(jìn)行統(tǒng)計(jì)與展示，幫助用戶(hù)全局掌控本單位的網(wǎng)絡(luò)安全和等級(jí)保護(hù)工作運(yùn)行情況，迎接公安部門(mén)或上級(jí)主管部門(mén)的檢查。等級(jí)保護(hù)業(yè)務(wù)處理平臺(tái)的主要任務(wù)是完成信息系統(tǒng)定級(jí)、備案、整改、測(cè)評(píng)的具體項(xiàng)目。項(xiàng)目涉及的表格、文檔等各類(lèi)數(shù)據(jù)材料可以由等級(jí)保護(hù)業(yè)務(wù)管理平臺(tái)輸出，也可以在等級(jí)保護(hù)業(yè)務(wù)處理平臺(tái)獨(dú)立添加。等級(jí)保護(hù)信息采集平臺(tái)的主要任務(wù)是為等級(jí)保護(hù)業(yè)務(wù)處理平臺(tái)提供各類(lèi)文檔和材料，將現(xiàn)場(chǎng)采集或者從外聯(lián)系統(tǒng)導(dǎo)入的信息錄入等級(jí)保護(hù)業(yè)務(wù)處理平臺(tái)。信息采集平臺(tái)的工作依托資產(chǎn)管理模塊和漏洞管理模塊進(jìn)行自動(dòng)化導(dǎo)入和生成，也可以根據(jù)實(shí)際情況手動(dòng)添加需要提取的數(shù)據(jù)項(xiàng)。這3 個(gè)子系統(tǒng)相互獨(dú)立又存在聯(lián)系，各子系統(tǒng)有機(jī)組合形成等級(jí)保護(hù)綜合管理平臺(tái)的架構(gòu)，見(jiàn)圖2。

圖2 等級(jí)保護(hù)綜合管理平臺(tái)架構(gòu)

5 應(yīng)用效果

該省屬三級(jí)甲等醫(yī)院依據(jù)以上設(shè)計(jì)方案，開(kāi)發(fā)醫(yī)院網(wǎng)絡(luò)安全等級(jí)保護(hù)綜合管理平臺(tái)，見(jiàn)圖3，于2022 年6 月開(kāi)始上線，經(jīng)過(guò)半年多的運(yùn)行，使醫(yī)院核心信息系統(tǒng)的等級(jí)保護(hù)工作高效有序地進(jìn)行，取得明顯的成效。

圖3 醫(yī)院網(wǎng)絡(luò)安全等級(jí)保護(hù)綜合管理平臺(tái)安全狀態(tài)展示界面

5.1 等級(jí)保護(hù)管理趨于規(guī)范化和標(biāo)準(zhǔn)化

醫(yī)院將9 套重要信息系統(tǒng)納入等級(jí)保護(hù)綜合管理平臺(tái)，進(jìn)行基本信息維護(hù)、定級(jí)、備案、指標(biāo)自評(píng)、等級(jí)測(cè)評(píng)的全流程管理，其中三級(jí)系統(tǒng)8 個(gè)，分別是醫(yī)院信息管理系統(tǒng)、電子病歷管理系統(tǒng)、影像歸檔和通信系統(tǒng)、實(shí)驗(yàn)室信息管理系統(tǒng)、醫(yī)院信息集成平臺(tái)、互聯(lián)網(wǎng)+醫(yī)療健康系統(tǒng)、科研大數(shù)據(jù)平臺(tái)、門(mén)戶(hù)網(wǎng)站，二級(jí)系統(tǒng)1 個(gè)，為財(cái)務(wù)一體化系統(tǒng)。醫(yī)院重要信息系統(tǒng)涉及資產(chǎn)包括網(wǎng)絡(luò)設(shè)備29 臺(tái)、安全設(shè)備45 臺(tái)、服務(wù)器172 臺(tái)、數(shù)據(jù)庫(kù)36 臺(tái)等。

針對(duì)資產(chǎn)管理、制度管理、漏洞管理、定級(jí)管理、備案管理、測(cè)評(píng)管理各環(huán)節(jié)所涉及的各類(lèi)數(shù)據(jù)、信息和材料，平臺(tái)為各系統(tǒng)配套綜合填報(bào)與收集等功能，將形成的各類(lèi)材料統(tǒng)一納入管理，使醫(yī)院的等級(jí)保護(hù)管理趨于規(guī)范化和標(biāo)準(zhǔn)化。

5.2 提升醫(yī)院網(wǎng)絡(luò)安全管理效率和質(zhì)量

醫(yī)院通過(guò)建設(shè)等級(jí)保護(hù)綜合管理平臺(tái)，建立等級(jí)保護(hù)工作管理機(jī)制，提升等級(jí)保護(hù)工作效率，表現(xiàn)如下：等級(jí)保護(hù)工作產(chǎn)生的各類(lèi)數(shù)據(jù)收集并匯總在平臺(tái)上統(tǒng)一管理，縮減后期重復(fù)錄入和評(píng)估的人力支出，提高管理人員的工作效率；通過(guò)平臺(tái)開(kāi)展指標(biāo)自評(píng)，增強(qiáng)網(wǎng)絡(luò)安全自查能力，針對(duì)突出問(wèn)題跟蹤整改，提高等級(jí)保護(hù)信息系統(tǒng)測(cè)評(píng)通過(guò)率；通過(guò)平臺(tái)的合規(guī)狀態(tài)和安全風(fēng)險(xiǎn)的綜合展示，避免人員變更導(dǎo)致的信息斷層，使安全建設(shè)與安全運(yùn)維質(zhì)量更加可控。

等級(jí)保護(hù)綜合管理平臺(tái)內(nèi)容覆蓋等級(jí)保護(hù)合規(guī)基本要求的全部指標(biāo)，以2022 年度醫(yī)院信息系統(tǒng)為例，其安全指標(biāo)自評(píng)每月進(jìn)行1 次，在管理人員持續(xù)改進(jìn)下，其分?jǐn)?shù)呈上升趨勢(shì)，見(jiàn)圖4。醫(yī)院重要信息系統(tǒng)以較高的等級(jí)保護(hù)測(cè)評(píng)分?jǐn)?shù)通過(guò)年度安全測(cè)評(píng)，見(jiàn)圖5。此外，醫(yī)院通過(guò)平臺(tái)的資產(chǎn)管理及漏洞管理等功能，重點(diǎn)對(duì)醫(yī)院互聯(lián)網(wǎng)的資產(chǎn)、脆弱性、威脅、事件進(jìn)行持續(xù)安全運(yùn)維，譬如將漏洞導(dǎo)入平臺(tái)進(jìn)行管理與展示，有效提高漏洞管理的閉環(huán)率等，截至2022 年12 月，其總體的安全狀態(tài)良好，見(jiàn)圖6。

圖4 醫(yī)院信息管理系統(tǒng)等級(jí)保護(hù)合規(guī)指標(biāo)自評(píng)分?jǐn)?shù)變化趨勢(shì)

圖5 醫(yī)院重要信息系統(tǒng)等級(jí)保護(hù)測(cè)評(píng)分?jǐn)?shù)

圖6 醫(yī)院外網(wǎng)資產(chǎn)總體安全狀態(tài)

6 討論

該省屬多院區(qū)三級(jí)甲等醫(yī)院建成的網(wǎng)絡(luò)安全等級(jí)保護(hù)綜合管理平臺(tái)，幫助醫(yī)院建立起有效的網(wǎng)絡(luò)安全等級(jí)保護(hù)工作機(jī)制，實(shí)現(xiàn)對(duì)其核心信息系統(tǒng)安全等級(jí)保護(hù)工作的標(biāo)準(zhǔn)化管理，簡(jiǎn)化工作要素，提升安全管理效率和質(zhì)量，為貫徹國(guó)家網(wǎng)絡(luò)安全等級(jí)保護(hù)制度、推動(dòng)公立醫(yī)院高質(zhì)量發(fā)展提供支撐作用。但是，現(xiàn)階段該平臺(tái)仍然存在一些不足。一是目前安全管理人員主要是以手工錄入的方式將等級(jí)保護(hù)對(duì)象的相關(guān)信息或文檔錄入平臺(tái)，其工作量大、效率低，錄入結(jié)果容易出錯(cuò)。改進(jìn)的建議是將平臺(tái)與關(guān)鍵安全設(shè)備、網(wǎng)絡(luò)設(shè)備、業(yè)務(wù)系統(tǒng)進(jìn)行對(duì)接，建立自動(dòng)與半自動(dòng)相結(jié)合的評(píng)估機(jī)制，實(shí)現(xiàn)對(duì)等級(jí)保護(hù)信息系統(tǒng)的相關(guān)資產(chǎn)進(jìn)行常態(tài)化的合規(guī)監(jiān)測(cè)和評(píng)估。二是目前安全運(yùn)維廠商的人員離職變動(dòng)較為頻繁，由于原有人員的經(jīng)驗(yàn)未及時(shí)落實(shí)到平臺(tái)，造成等保運(yùn)維知識(shí)流失，內(nèi)部管理和服務(wù)效率低下。改進(jìn)的建議是開(kāi)展等級(jí)保護(hù)知識(shí)管理系統(tǒng)的規(guī)劃與全程建設(shè)，將日常運(yùn)維過(guò)程中獲取的知識(shí)進(jìn)行記錄、歸納、總結(jié)，形成專(zhuān)用知識(shí)庫(kù)，并定期更新評(píng)審，使各角色可基于知識(shí)庫(kù)開(kāi)展運(yùn)維，提高醫(yī)院整體安全運(yùn)維效率。

此外，從等級(jí)保護(hù)管理工作的痛點(diǎn)、難點(diǎn)來(lái)看，醫(yī)院當(dāng)前信息系統(tǒng)涉及廠家多，各個(gè)廠家的規(guī)范化水平與配合程度不一，這給等級(jí)保護(hù)工作帶來(lái)困難。建議醫(yī)院規(guī)范安全管理組織，明確各人員職責(zé)，將等級(jí)保護(hù)相關(guān)要求貫徹落實(shí)到醫(yī)院信息化各參與角色，使院方、系統(tǒng)廠家及安全廠家充分參與、各盡其責(zé)。針對(duì)部分廠家等級(jí)保護(hù)整改工作存在拖延的現(xiàn)象和未解決的問(wèn)題，院方需要通過(guò)培訓(xùn)以提高其安全意識(shí)，必要時(shí)建立懲罰機(jī)制，從而確保等級(jí)保護(hù)的有效實(shí)行。另外，在開(kāi)展等級(jí)保護(hù)工作的過(guò)程中，安全廠商擁有醫(yī)院重要信息系統(tǒng)的測(cè)試賬戶(hù)，這可能導(dǎo)致院方敏感信息泄露或者重要數(shù)據(jù)被誤刪除，針對(duì)這一問(wèn)題，醫(yī)院應(yīng)和安全廠商簽署精細(xì)到個(gè)人的信息安全保密協(xié)議，遵循按需知道的原則賦予其訪問(wèn)重要數(shù)據(jù)的最低權(quán)限，并對(duì)其權(quán)限進(jìn)行有效管控，在逐步完善信息安全應(yīng)急處置機(jī)制的同時(shí)，加強(qiáng)數(shù)據(jù)安全監(jiān)測(cè)和運(yùn)維行為審計(jì)。

最后，信息網(wǎng)絡(luò)安全工作應(yīng)該讓系統(tǒng)開(kāi)發(fā)人員、業(yè)務(wù)負(fù)責(zé)人員、安全管理人員及安全技術(shù)人員多方參與進(jìn)來(lái)，通過(guò)安全意識(shí)培訓(xùn)、網(wǎng)絡(luò)攻防演練及績(jī)效考核讓其在思想上重視安全工作。該省屬醫(yī)院高度重視網(wǎng)絡(luò)安全工作，建立信息系統(tǒng)運(yùn)行維護(hù)管理、信息系統(tǒng)變更管理、密碼管理、資產(chǎn)安全管理、漏洞和風(fēng)險(xiǎn)管理及運(yùn)維人員安全管理等制度，從主機(jī)系統(tǒng)安全檢測(cè)、應(yīng)用安全檢測(cè)、安全設(shè)備分析、安全滲透測(cè)試、應(yīng)急安全演練、響應(yīng)與處置及安全培訓(xùn)等方面進(jìn)行安全自查，并將其過(guò)程通過(guò)平臺(tái)進(jìn)行記錄，有效提升醫(yī)院信息系統(tǒng)運(yùn)行的可靠性與安全性。