背景：
某市三甲醫(yī)院在部署互聯網醫(yī)療體(tǐ)系，電(diàn)子病曆，集成平台之後，所有(yǒu)的業務都通(tōng)過數(shù)據中心以及網絡進行(xíng)生(shēng)産數(shù)據支撐，加上(shàng)移動oa的大(dà)面積鋪開(kāi)，網絡的安全越來(lái)越重要，醫(yī)院信息化已成為(wèi)醫(yī)療服務的重要支撐體(tǐ)系，醫(yī)院信息系統的建設已經成為(wèi)建設的熱點，信息系統是支撐醫(yī)院系統運作(zuò)及各部門(mén)共同合作(zuò)與營運的關鍵應用，承載着醫(yī)院主要的業務數(shù)據。而醫(yī)院信息系統的安全性直接關系到醫(yī)院醫(yī)療工作(zuò)的正常運行(xíng)，一旦信息系統出現問題或遭受安全攻擊，會(huì)給醫(yī)院和(hé)病人(rén)帶來(lái)巨大(dà)的災難和(hé)難以彌補的損失。同時(shí)，醫(yī)院信息系統涉及大(dà)量醫(yī)院經營數(shù)據及患者醫(yī)療等私密信息，信息的洩露會(huì)給醫(yī)院、社會(huì)和(hé)患者帶來(lái)安全風險
安全現狀分析：
由于信息安全工作(zuò)具有(yǒu)很(hěn)強的技(jì)術(shù)特性，安全漏洞等安全技(jì)術(shù)威脅對信息安全的影(yǐng)響随着信息化程度的不斷深入也在不斷加大(dà)，醫(yī)院現有(yǒu)的信息安全技(jì)術(shù)防護設施老化嚴重，安全防範能力逐漸落後，面對新型的APT攻擊，勒索病毒，webshell後門(mén)、XSS攻擊無法形成完整的防範體(tǐ)系
目前信息系統面臨的主要技(jì)術(shù)風險集中體(tǐ)現在以下幾個(gè)方面：
一. 內(nèi)外網沒有(yǒu)做(zuò)到完全隔離，部分網絡設備配置不當，安全防護措施薄弱；
二. 部分操作(zuò)系統的主機安全層面基本處于零防護狀态；
三. 終端用戶沒有(yǒu)準入系統，業務數(shù)據安全，審計(jì)無足夠保障；
四. 缺乏整體(tǐ)性信息安全技(jì)術(shù)防護體(tǐ)系考慮，需要重視(shì)信息系統的安全防護和(hé)安全檢測。
五. 信息系統安全監控檢測機制(zhì)不完善，缺乏安全管理(lǐ)中心，不能實現安全的“統一監控、統一管理(lǐ)”，無法實現動态的安全保障體(tǐ)系。
解決方案
外聯區(qū)域：由于醫(yī)院的業務需要，需要跟醫(yī)保、銀行(xíng)、衛生(shēng)專網等相連接，為(wèi)了避免外部的威脅，本域的安全策略采用防火(huǒ)牆進行(xíng)隔離，并根據實際需要配置相關訪問控制(zhì)策略。
核心交換區(qū)域：醫(yī)院業務內(nèi)網的網絡架構核心，都是以核心交換機作(zuò)為(wèi)數(shù)據轉發和(hé)彙總，劃分出核心交換域保障業務數(shù)據的正常流轉，實施VLAN、ACL技(jì)術(shù)，隔離相關的安全域，在安全方面主要部署安全域流監控系統及入侵檢測設備，檢測與預警內(nèi)網的安全狀況。
服務器(qì)區(qū)域：醫(yī)院業務內(nèi)網規劃服務器(qì)域作(zuò)為(wèi)重點保障的區(qū)域，部署了醫(yī)院重要臨床應用業務系統和(hé)數(shù)據庫，如LIS、PACS、HIS等，通(tōng)過與其它安全域的安全隔離保證應用服務和(hé)業務數(shù)據的安全，主要采用下一代防火(huǒ)牆、入侵防禦進行(xíng)安全防護、數(shù)據庫審計(jì)+醫(yī)療防統方等技(jì)術(shù)措施，通(tōng)過交換機鏡像數(shù)據到網絡安全審計(jì)+醫(yī)療防統方設備，審計(jì)用戶網絡操作(zuò)行(xíng)為(wèi)和(hé)數(shù)據庫操作(zuò)行(xíng)為(wèi)，達到對服務器(qì)應用和(hé)數(shù)據庫的訪問審計(jì)、入侵檢測和(hé)訪問控制(zhì)。
運維管理(lǐ)區(qū)域：業務內(nèi)網劃分出運維管理(lǐ)域，主要承擔日常運維管理(lǐ)、內(nèi)網基礎設施監控、安全監測中心的活動，為(wèi)全院的主機、應用、網絡、數(shù)據提供統一收集、監測、日志(zhì)審計(jì)、管理(lǐ)。并将其他安全設備都規劃于此，利用現有(yǒu)一體(tǐ)化安全網關進行(xíng)訪問控制(zhì)
內(nèi)網接入區(qū)域：規劃為(wèi)醫(yī)院業務內(nèi)網門(mén)診和(hé)住院終端接入域，所有(yǒu)需要接入網絡的用戶都将按照本域的安全策略進行(xíng)目标訪問，任何越權訪問都将被隔離，可(kě)以提高(gāo)訪問的安全性，避免用戶的惡意攻擊。部署防病毒客戶端和(hé)終端安全管理(lǐ)客戶端，有(yǒu)效管控終端免受惡意代碼攻擊和(hé)監管終端狀态管理(lǐ)。
互聯網區(qū)域：暫将醫(yī)院外網部分整體(tǐ)規劃為(wèi)外網區(qū)域，通(tōng)過在內(nèi)網與外網之間(jiān)部署網閘，将整個(gè)網絡有(yǒu)效地進行(xíng)安全域隔離，實現內(nèi)外網之間(jiān)數(shù)據的安全交換，在互聯網出口邊界部署入侵防禦、上(shàng)網行(xíng)為(wèi)管理(lǐ)等設備，可(kě)以同時(shí)針對互聯網訪問，實現安全控制(zhì)、入侵防禦，并針對外網辦公子域終端對互聯網訪問的控制(zhì)管理(lǐ)以及審計(jì)。
同時(shí)利用現有(yǒu)VPN設備，實現員工遠程辦公需求。
