案例丨堡垒机如何让医疗机构运维更安全？
2020-09-24
随着我国医疗机构的快速发展，医疗机构已逐步建成薪酬系统、就诊卡管理系统、固定资产管理系统、输血库存管理系统等HIS系统，不少医院还出现了两个或多个院区。在医院信息化能力不断提高的同时，LIS、PACS、RIS等运维安全管理问题逐步凸显。
1. 信息化资产多，运维管理人员少
院方HIS系统在经过多年长期建设后，信息化系统设备与机房数量越来越多，机房中设备种类和网络结构日趋复杂；而运维管理工作人员数量，无法适应快速发展的信息化建设，信息化系统管理工作愈发繁重。
2. 运维分散，管理难度大
医院LIS、PACS、RIS等HIS建设主要依靠第三方力量，如何有效管理信息化系统维护工作是医院信息化管理工作的重点。信息化系统常常面临运维人员身份滥用、信息系统账号保管不当出现泄密、运维访问权限混乱不清、运维过程违规操作访问机密数据、运维安全事故缺乏审计、无法开展安全事件分析和责任认定、医患信息泄露、“统方”和病毒蠕虫泛滥等信息安全风险。
3. 合规建设难，法规监管风险高
在网络安全相关法律出台后，信息化建设不满足等保合规要求将是违法行为，医院主管负责人不但要承担经济处罚，还要被监管单位行政处罚，导致严重后果甚至将被法律处罚。医疗机构在承担繁重的医疗和科研任务时，依靠自身信息化力量建设网络安全，满足合规监管和业务防护完全不切实际，迫切需要借助专业信息安全厂商对医疗信息化设备进行保驾护航。
4. 等保合规建设需求
医院HIS、LIS、CIS等系统因其业务与数据的重要性，均需满足等保合规要求。等保2.0中，在“安全区域边界”、“安全计算环境”中均明确提出恶意代码防范的要求，需要在满足等保合规的基础上，针对勒索病毒进行重点防护。
运维安全管理的转变
经过对医疗行业当前运维安全现状的深入分析与调研后，海王捕鱼将运维管理过程划分为事前识别、事中控制和事后审计三个阶段，采用海王捕鱼运维安全管理系统（俗称堡垒机，英文简称OSMS）进行运维安全管理。
第一步，对医疗机构运维管理中的自然人和设备资产进行精准的事前识别
首先，对运维管理工作设立三员角色，形成角色相互独立、权限相互牵制的运维管理员、安全审计员和系统管理员三个缺省角色。由医疗结构信息系统建设负责人担任运维系统管理员角色，统筹运维堡垒机建设，协调运维安全管理系统建设厂商赋能和维护工作；信息科主要运维人员担任运维管理员角色，将现有运维人员和设备资产录入运维堡垒机中；信息科负责人担任安全审计员，对系统管理员和运维管理员对运维系统操作系统进行安全审计。
其次，对所有运维访问用户在运维堡垒机上注册唯一身份标识，设置用户采用双因素身份鉴别方式，解决运维用户身份混乱问题。
接着，为了提升运维管理员角色管理效率，运维管理员依据业务系统类型和维护厂商，划分出多个管理域，例如LIS系统由厂商A建设和维护，运维管理员将LIS厂商负责人设立为LIS运维管理域负责人，允许LIS厂商负责人将具体LIS运维操作员和LIS业务设备录入运维堡垒机。
最后，形成运维管理概要全景图，运维管理员在运维堡垒机上获取到所有运维用户和设备资产信息。
第二步，对运维过程进行精细的事中控制
运维管理员对长期固定运维工作设置访问策略，设置运维人员可访问的资产设备、运维时间和可信网络环境等粒度管控。对于短期临时的运维访问工作，运维人员在运维堡垒机上申请运维工单，运维管理员审批工单时，设置可执行的运维操作行为、使用的设备账号等权限。对于高价值资产设备运维操作，运维管理员还可实时在线查看，一旦发现违规行为立即切断运维会话。
第三步，对运维事件进行精确的事后审计，形成运维安全管理闭环
运维人员一旦登录堡垒机便在安全审计监管下，运维人员运维服务器后，在运维堡垒机上可录屏回放审计运维操作过程。同时，为了保证运维核心数据机密性，运维堡垒机支持自动巡检托管设备账号，发现运维过程中新建的幽灵账号，或者长期无人使用的孤儿账号等异常设备信息，降低设备资产在运维过程中出现的安全风险。
方案效果
医疗机构在使用了海王捕鱼运维安全管理系统后，IDC运维管理工作满足了等级保护下身份鉴别、访问控制和安全审计合规监管要求。将原有分散的运维人员、设备资产和访问权限，全部集中在一个平台上进行管理和展示。明确标识资产管理负责人，划清安全责任田。通过唯一身份标识、双因素身份鉴别和全程录屏安全审计，安全事件可追溯可定责。运维行为监控可视化管理，及时预警发现违规行为。运维人员只需记忆一个账号和口令，一次登录，便可实现对其所维护的多台设备的访问。医疗机构管理员轻松管理多台设备和运维人员，人员权限和设备资产信息清晰明了。建立面向用户的集中、主动的运维安全管控模式，降低人为安全风险，满足合规要求，保障院方效益。
