7安全保障体系详解.PDF

7 安全保障体系 7.1 概述 随着卫生业务对信息系统的依赖程度越来越强，信息化环境也日益恶劣，安 全问题越来越突出。在这种情况下，各医疗卫生机构对信息安全保障工作给予了 极大重视，卫生部于 2010 年颁布《电子病历基本规范（试行）》，其中第二章第 十三条明确规定：“基于电子病历医院信息平台各业务应用应当满足国家信息安 全等级保护制度与标准”,各方面的信息安全保障工作都在逐步推进。 为实现基于电子病历的医院信息平台与各类业务应用的动态整合、信息数据 规范共享的目标，其安全架构设计需以等级保护为基本指导思想，从技术措施、 安全管理两方面构建医院信息平台的综合信息安全保障体系，确保平台承载业务 信息的安全可靠及业务服务的连续运行，并可随着未来业务及管理所需的不断发 展而动态性调整，最终实现“政策合规、资源可控、数据可信、持续发展”的生 存管理与安全运维目的。 7.2 安全等级 《信息系统安全等级保护管理办法》中将信息系统划分为五级，前3 级分别 为： 第一级为自主保护级，信息系统受到破坏后，会对公民、法人和其他组织的 合法权益造成损害，但不损害国家安全、社会秩序和共利益。 第二级为指导保护级，信息系统受到破坏后，会对公民、法人和其他组织的 合法权益产生严重损害，或者对社会秩序和公共利益造成损害，但不损害国家安 全。 第三级为监督保护级，信息系统受到破坏后，会对社会秩序和公共利益造成 787 严重损害，或者对国家安全造成损害。 7.2.1 定级过程 GB/T22240-2008《信息系统安全等级保护定级指南》为信息系统运营使用单 位确定信息系统安全保护等级的工作提供指导，基于电子病历的医院信息平台定 级可依据本标准，结合基于电子病历的医院信息平台承载的业务信息情况及服务 对象来进行定级细则，保证医院信息平台在不同医院单位地区等级的一致性，以 指导各医院用户进行定级工作的开展。 信息系统定级既可以在新系统规划、设计时进行，也可在已建成系统中进行。 对于新建系统，尽管信息系统尚未建成，但信息系统的运营使用者应首先分析该 信息系统处理哪几种主要业务，预计处理的业务信息和服务安全被破坏所侵害的 客体、以及根据可能的对信息系统的损害方式判断可能的客体侵害程度等基本信 息，确定信息系统的安全保护等级；对于已建系统，可以通过系统基本情况调查、 调查结果分析、等级确定、编制定级报告等环节完成定级工作。 基于电子病历的医院信息平台定级过程，需首先通过定级调查，了解各单位 对使用医院信息平台及各业务系统的情况，了解定级对象信息系统与单位其他信 息系统的关系。根据用户需求或工作需要，定级调查活动既可以针对单位整个信 息系统进行，也可在用户指定的范围内进行。 识别单位基本信息 调查了解基于电子病历的医院信息平台负有安全责任的医院的性质、隶属关 系、所属行业、业务范围、地理位置等基本情况，以及其上级主管机构的信息。 了解单位基本信息有助于判断单位的职能特点，单位所在行业及单位在行业所处 的地位和作用，由此判断单位主要信息系统的宏观定位。 识别管理框架 788 调查了解基于电子病历的医院信息平台所在单位的组织管理结构、管理策 略、部门设置和部门在业务运行中的作用、岗位职责。了解基于电子病历的医院 信息平台的管理、使用、运维的责任部门，特别是当基于电子病历的医院信息平 台在各单位医院所分布于不同的物理区域的情况变化时，应了解不同区域系统运 行的安全管理责任。安全管理的责任单位就是等级保护备案工作的责任单位。了 解管理框架还有利于将来对整个单位制定等级保护管理框架及单个定级对象等 级管理策略。 识别业务种类、流程和服务 调查了解基于电子病历的医院信息平台内部处理的业务种类，各项业务具体 要完成的工作内容、服务目标和业务流程等。了解这些业务与单位职能的关联， 单位对定级对象信息系统完成业务使命的期待和依赖程度，由此判断该信息系统 在单位的作用和影响程度。调查还应关注每个信息系统的业务流，以及不同信息 系统之间的业务关系，因为不同信息系统之间的业务关系和数据关系表明其他信 息系统对该信息系统的服务的关联和依赖。应重点了解定级对象信息系统中不同 业务系统提供的服务在影响履行单位职能方面具体方式和程度，影响的区域范 围、用户人数、业