1、安全隐患的背景 当前医院各类信息系统数据库存在大量的安全威胁和监管漏洞,主要有三类信息安全问题: ·患者隐私信息批量泄密风险 从患者入院登记到治疗、安排手术,需要经过很多程序,病人的手机号码等信息,只要是有内网账号的医务人员都可以查询到。医院系统中存储大量患者隐私信息,这些信息对整个医疗产业链如医药公司、健诊中心、广告、中介、保险等行业具有重要的价值,新兴的信息倒卖公司已经将批量患者信息作为重要的商品,通过雇佣黑客入侵医院系统,或收买医院业务人员、信息中心人员、第三方维护和开发人员对批量患者数据进行窃取。 ·药品“统方”信息被非法查询风险 过去的几年中,“统方”事件频频发生,有关医药代表与医生、信息科人员勾结,非法获取医疗统方数据的报道层出不穷。 非法“统方”势头一直不减的原因是无有效的技术手段帮助医院防止“统方”,存在着无法有效区分正常统方和非法统方的行为差异,不具备主动预防信息科人员、其他业务科室、系统维护人员等各内部人群通过数据库、应用系统等主动获得处方数据的各种统方行为。 ·医疗财务数据被非法篡改风险 以住院费用查询系统为例,住院病人费用明细清单包括床位费用、医生诊疗费用、药品费用、检查费用等重要信息,这些医疗财务数据出现异动的原因,有可能是人为输入有误,但主要原因是被非法篡改。 维护人员、程序开发人员、信息中心业务人员拥有数据库的高级别权限,正常的数据维护工作和敏感数据的非法篡改,从权限上无法分离;同时,医疗信息系统往往是院方内部人员、厂商程序开发人员和实施人员共同维护数据。一旦发生了违规的数据篡改行为,也无法有效界定到底是哪方人员造成的安全事故。 2、安全风险与需求分析 2.1、风险分析 在医院信息系统中,数据库访问有如下渠道存在数据泄露和篡改风险: 1. 内网:敏感信息泄密风险 ·信息中心数据库管理员: ·开发商实施人员: ·内网中其他业务处室人员: 2.内网:敏感数据篡改风险 ·数据库DBA:可随时任意访问数据库,直接修改敏感信息; 3.外网:患者敏感信息批量泄漏 ·外部黑客攻击:以外网应用系统作为跳板,利用数据库的漏洞,直接进行sql注入或权限提升等操作,批量获得数据库的敏感信息; 2.2、需求分析 从使用人群上分析,信息中心、其他业务处室、厂商开发运维人员能接触到数据库敏感信息的人员有数十人,其他医疗窗口及管理人员间接接触数据库敏感信息的人员有几百人,他们有不同的应用或数据库访问权限,存在越权查询敏感信息,批量查询和导出信息等风险情况 从数据库访问行为控制分析,防高危操作,防SQL注入,对批量数据查询的实时告警,同时对数据库的恶意访问将记入审计日志,进行事后分析。具体的技术分析如下: ·防止外部黑客攻击 ·防止内部高危操作 ·防止敏感数据泄漏 ·审计追踪非法行为 从数据库自身安全加固的技术层面分析,在核心信息系统中至少存在以下重要数据库安全威胁,能够直接导致敏感信息泄密的发生: ·系统维护人员导出或篡改数据 因此,医院信息系统的数据库信息安全核心需求就是要重点解决以上三大数据库安全威胁。此外卫生部对医疗行业“防统方”有政策要求:2010年6月21日颁发的《卫生部关于进一步深化治理医药购销领域商业贿赂工作的通知》中明确指出,“未经批准不得统方,严禁为商业目的统方”。 3、安全解决之道 3.1、解决方案 天融信公司凭借长期积累的信息安全经验提出,医院信息系统数据安全防护解决思路需分为两部分,一是从技术手段上解决数据篡改和泄密的安全隐患,二是从管理手段上解决数据库管理员权限过大,无法进行安全管理的问题。 技术措施包括: ·数据库防火墙 ·天融信数据库审计系统(防统方专用版) 系统针对医疗系统进行深度协议与数据分析,通过旁路方式抓取所有医生使用的医疗终端和HIS服务器之间的通信数据,使用特定的脚本处理业务数据,得出其操作行为,并针对危险操作通过邮件、短信等方式告警并记录其行为,同时也可以配置响应处理策略,将损失降到最低。 符合国家等级保护等政策法规、标准、规定的要求,是提高医院进行防统方建设不可或缺的产品。 管理措施包括: ·对所有数据库定期进行安全巡检; 3.2、系统部署图 综合分析医院信息系统中的数据库安全威胁,以“保护敏感信息泄密、防止数据异动”为最终目标,以“最小的代价换取尽量大的安全提升”的原则,定义出该系统的核心敏感数据,并进行有效的安全访问控制和事后审计。 3.3、特色说明 1) 防护思路的先进性 传统的安全解决方案,注重于网络安全防护、应用安全防护、认证安全防护,但忽略了数据库安全防护。 2) 数据安全防护的全面性 A、 防护时机的全面性 3) 防护技术的领先性 天融信公司提供专业数据库安全防护产品——数据库防火墙和数据库审计系统(防统方版);数据库安全产品不同于传统的网络安全产品,能够实现对数据库的整体安全加固。 |
正在阅读:天融信新方案 旨在保护医院信息系统安全天融信新方案 旨在保护医院信息系统安全
2014-07-24 18:36
出处:PConline原创
责任编辑:shengyongzhen