当今国内绝大多数医院已具备一定信息化程度，作为一个医疗机构其信息化系统中必定存储着大量的病患身份、诊疗信息。随着整个社会环境对于保护个人信息私密性的需要越来越高，对医院来说保障信息安全的重要性越发突出。本文主要介绍了目前医疗机构一些较普遍的信息安全管理缺陷，重点提出了对内部用户的身份鉴别、权限控制、行为审计等管理行为。和如何引入一套标准化信息管理平台来提高信息管理效率、改善管理难题。
一、现有的问题
在许多医院特别是三级甲等医院常备的信息系统维护部门早已经具备，防火墙、网闸之类的边界防护设备也早已经是标准配置，对由外部网络对内部局域网的访问隔离等功能亦是非常完备。然而纵观近年来的各种官方、非官方渠道公布的各类医疗信息泄露事件，再结合自身的多年的信息系统管理实践，我们无奈的发觉，安全事件的发生，完全由黑客等群体从外部攻破防火墙等防护措施的事例实在是九牛一毛，在绝大多数事件中，都有医院内部人员的身影，或独自、或内外勾结窃取医院数据用以牟利。当然，这并不是说想说明机构内部的员工是多么的不可信，绝大多数的同志还是好同志。我们只是想指出系统内部的信息安全防护应该与外部边界防护一样重要。
归纳了一些个人觉得较为普遍的安全问题如下：
1. 网络内部访问终端数量庞大，有限人力下难以保证终端设备合法性和安全性。
2. 缺乏标准化管理工具，导致管理效率不高。
3. 对内部员工信任较高，对于其访问权限管理粗放。
4. 由于使用者对本身私有账户概念的不重视，私有账户成了公共账户，导致身份鉴别如同虚设。
5. 相关管理制度缺失，或制度执行不到位，导致空有技术手段，却无法部署到位。
表面上看这是一个个独立的问题，深入了看能发现这些问题背后是有关联性的。出于各种原因，大部分医院的信息部门可能只有寥寥数人，一人身负数职，难以做到专人专管，基于医院的规模大量的人力都投入在了日常繁琐的各类系统维护中。此既上述提到的第一点问题，结合第二点缺乏有效的管理工具，使得管理人员难以有精力对数量庞大的员工账户进行细致的权限分级管理。账户权限管理的混乱、低效，加上缺乏相关的管理制度及执行力又间接导致了员工为了完成工作相互“借用”账号。长此以往恶性循环。
二、解决方案与实现
为了解决这些问题，走出这个死胡同，我们对这些问题进行了讨论分析。制度缺失及使用者对私有账户重视的问题并非一朝一夕能够解决，但现阶段我们可以通过有效的技术手段来尽量弥补，那目前最为行之有效的方案是引入一套标准化信息管理平台来改进多年来的网络信息管理模式，帮助我们改善现状。一套标准化管理平台需要具备哪些功能才能够达到我们的需求呢?结合资料收集及多次实地调研，我们总结出以下一些想法。
1) 网络准入控制
准入控制室此平台应该必须具有的基本功能，是为用户接入局域网的第一道关卡。其实传统的802.1x协议也能实现此功能，但并不能全面满足实际需求，实际部署时802.1x协议往往要求准入系统、交换机、客户端均出自同一厂商，才能有较好的准入效果。其次它不支持多种终端类型，一般支持主流的Windows系统，对于其他非主流桌面操作系统的支持非常有限，难以保证各类型终端的合法性和安全性。同时它不支持非PC类终端，例如网络打印机、网络摄像机、IP电话等。
故理想的准入控制系统首先应该能支持多种准入协议方式，如：802.1X、DHCP准入、IPAM准入、SNMP准入、RDP准入、网关准入等，这些准入方式可以在用户环境中任意组合使用，提供更细颗粒度的安全策略。达到灵活的部署方式和全面部署的可能。支持各类主流操作系统。
其次，尽可能不用更新网络设备、不用改变现有网络拓扑结构，尤其是主干结构的情况下，实现系统的灵活部署。
再则，应能支持外部认证源，如：LDAP/CA/Radius/AD域认证。这里提一下在我院最后实现的实际应用场景中，认证功能与我院原有的AD域用户认证系统完美的结合。目前在我院实现了一套账户各个应用平台通用的状态，包括局域网准入系统;院内邮箱系统;人事信息系统;办公报告系统;HIS系统等。尤其是结合了人事信息系统后，由于其内嵌的工资查询、个人信息等私密度较高的模块，使得账户使用人对于自身私有账户的管理保密程度有了大幅度的提升，从技术层面上很大程度地解决了原先一个制度层面上的问题。多平台的账户通用也使得员工免去了对多套系统不同账户密码记忆上的繁琐和困难，从而对新系统的接受度大大提高。
最后，应能探测到终端设备的各类信息：IP、MAC、操作系统版本、上联交换机端口等。通过多元素结合判定终端是否为合法合规设备，不符合安全要求的，将被隔离或者阻断。
2) 终端安全管理
终端安全管理是指对计算机类终端的强控制，应能实现资产管理、外设管理、软件下发、远程协助等主要功能。各功能描述如下：
终端健康检查：检查终端硬件信息、防病毒软件、病毒库版本、系统补丁、系统弱口令检查等。
终端外联控制：可实现控制计算机的多种外联方式，例如3G/4G网卡、各种拨号、多网卡、代理服务、静态路由等，并可以与准入控制功能联动隔离非法计算机终端。
终端资产管理：自动收集计算机终端的硬件和软件信息，管理员可以对计算机终端的硬件和安装的软件进行查询，软硬件信息变更告警和审计。
终端外设管理：控制计算机终端硬件外设的使用，启用或者禁用光驱、USB设备、打印机、Modem、串行并行口等等。
终端软件分发：可以向计算机终端分发指定的补丁、各种类型的安装包、自定义文件。文件分发带宽优化及控制，可自定义并发分发数量。
终端远程协助：管理员可以发起远程协助，在用户授权后，登录用户计算机终端桌面进行维护。
3) 网络访问控制
网络访问控制既是可以针对不同用户/用户组实现不同的访问权限分配，达到不同员工的不同访问需求。一般有两种实现方式，一种是通过客户端软件实现，集成在安装在终端上的客户端软件内，以安全策略形式实现基于用户、终端、子网定义访问控制。另一种是通过准入系统实现，系统服务器端在终端接入准入系统是直接向计算机终端下发访问控制策略.
4) 实名制行为审计
这又是一个标准化信息管理平台需要具备的一个基础功能，对用户的准入、退网、访问目的、访问端口等重要事件和时间节点进行记录，结合目前日趋普及的堡垒机的操作行为录像记录功能，为网络安全事件分析和审计、追溯提供重要的手段和依据。同时也应该要能提供包含安全事件、违规事件、入网用户、入网终端、终端检查等各类情况生产的可导出的统计报表。
5) 局域网可视化管理
这个功能主要是帮助管理人员提高工作效率，省却部分命令行管理方式的负担，在人力资源相对紧张的信息部门必不可少。
实时网络发现：自动化网络数据收集，对接入局域网的设备进行实时或定期监视，能够发现各种主流网络类设备、服务类设备、终端类设备。自动化技术减轻管理员的工作量。
IP地址管理：实时有效地对全网的IP地址进行管理和监控，简化IP地址管理，减少手工IP管理工作。发现非法或者异常使用IP地址时，可以给出安全告警信息，供管理员分析、定位和排障使用。丰富的IP分配记录和报表，以及灵活方便的搜索功能，提高IP地址管理效率。
交换机管理：图形化方式管理交换机端口，兼容SNMP V1/2/3协议，自动化显示交换机端口下接的终端和设备信息。让管理员一目了然的掌握端口的连接类型：Uplink、单台终端、连接HUB等。与准入功能结合，即可提供端口级别的合规管理。与IP地址管理结合，可以提供故障、威胁定位的管理。
6) 局域网运行数据实施展现
许多网络管理员可能都会碰到这样的情况，我们管理着局域网，但对于局域网常常处于一种模糊的认识状态。我们不能非常明确的知道局域网内现在有多少人、多少终端、什么人正在使用;不知道主干链路带宽占用率现在是多少;不知道IP地址的使用情况;不知道是否有不合规的网络设备(如：私带的路由器、无线AP等)正在局域网内运行。当然我们可以通过使用不同的管理工具，使用多条操作指令分别去获取所需要的数据，但如果有这样一个平台能自动化记录一些这类的网络主要运行数据，并实时展示，能一目了然地查看比较，显然我们会很欢迎。
三、结论与展望
通过上述总结出功能需求，以此为据，经过多次的、较长时间调查研究，测试试用，我们最终确定了一套最大限度符合我们预计想法的标准化信息管理平台。我院于2014年初正式将这套系统上线。经过半年多的使用，目前这套管理平台运行平稳，并从根本上改变着我们的网络管理模式，改善了曾经的管理难点。
展望未来，会有越来越多的类似信息管理平台涌现，功能更强大、策略颗粒性更细致化、与堡垒机整合实现更丰富的行为审计能力。更甚至吸收越来越多的单一管理工具的功能，实现统一界面接口的多领域的多元化的管理方式，自动化技术更多的引入，使运维人员的工作方式日趋便捷。这，也许正是一种趋势。
作者：王弢 金蕾 来源：科技资讯 2016年16期
