“網(wǎng)絡(luò)與信息安全當(dāng)前已成為醫(yī)院信息部門面臨的最大挑戰(zhàn)之一，信息部門需要建立一套完整的信息技術(shù)服務(wù)體系，堅持主導(dǎo)安全，方能掌控安全。”浙江大學(xué)醫(yī)學(xué)院附屬第二醫(yī)院(以下簡稱“浙大二院”)IT中心主任許杰在CHIMA 2023大會上演講時表示。醫(yī)院需規(guī)劃好信息化整體藍(lán)圖，全方位梳理潛在風(fēng)險點(diǎn)，培養(yǎng)錘煉安全掌控能力，建立高效可靠的安全保障工作機(jī)制。“信息安全的特征是保密、完整、可用、可控，雖然信息安全無法做到100%的完美，但要將風(fēng)險盡可能降到最低，以保障醫(yī)院信息系統(tǒng)的穩(wěn)定運(yùn)行和數(shù)據(jù)安全。”

制定網(wǎng)絡(luò)安全體系

　　許杰認(rèn)為，醫(yī)院網(wǎng)絡(luò)與信息安全管理是一個涉及資源和管理的復(fù)雜系統(tǒng)性問題，“目前醫(yī)院網(wǎng)絡(luò)與信息安全在實(shí)際信息化建設(shè)工作中主要面臨以下四方面風(fēng)險，分別是系統(tǒng)自身缺陷、運(yùn)維能力短缺、經(jīng)費(fèi)投入不足和安全意識薄弱，需要通過堅持不懈地宣傳、引導(dǎo)等方式去努力改善。在確保網(wǎng)絡(luò)安全方面，管理一定是凌駕于技術(shù)之上的，正所謂‘三分技術(shù)，七分管理’，我們必須要建立一套全方位覆蓋人員、技術(shù)、過程和資源的管理體系來應(yīng)對網(wǎng)絡(luò)安全風(fēng)險痛點(diǎn)。”他強(qiáng)調(diào)，醫(yī)院在進(jìn)行網(wǎng)絡(luò)與信息安全規(guī)劃時，需要重點(diǎn)考慮以下因素：架構(gòu)設(shè)計是否安全、運(yùn)維監(jiān)控是否主動、操作行為是否可溯、數(shù)據(jù)開放是否合理、權(quán)限管控是否嚴(yán)密、隱私保護(hù)是否全面。

　　他介紹，浙大二院把信息部門的核心能力概括為信息技術(shù)服務(wù)能力，“我們在患者與服務(wù)對象至上的核心價值觀下，以服務(wù)為核心，也就是服務(wù)沒有邊界，不僅聚焦在技術(shù)上，更多聚焦在提升管理和業(yè)務(wù)能力上，努力釋放自身的最大價值。”他指出，在這種意識和文化的長期影響下，信息部門建立了一套非常完整的服務(wù)機(jī)制，引導(dǎo)整個部門人員按照相同思路和方法完成自身角色所要求的崗位工作，以達(dá)到同質(zhì)化工作推進(jìn)的目標(biāo)。這種信息技術(shù)服務(wù)體系對于浙大二院跨院區(qū)跨分工協(xié)同開展網(wǎng)絡(luò)安全保障工作，提供了不可或缺的底座支撐。

掌控安全主導(dǎo)能力

　　浙大二院信息技術(shù)服務(wù)的價值輸出主要包含以下工作范圍：項目和任務(wù)支撐服務(wù)，包括軟件項目、臨時任務(wù)、政策任務(wù)、評審任務(wù)、科研教學(xué)等;需求和數(shù)據(jù)支撐服務(wù)，包括軟件需求分析、數(shù)據(jù)統(tǒng)計和開發(fā)、缺陷改進(jìn)、系統(tǒng)培訓(xùn)等;設(shè)施和資源運(yùn)維服務(wù)，包括數(shù)據(jù)中心、服務(wù)器、網(wǎng)絡(luò)安全設(shè)備、數(shù)據(jù)庫、虛擬化平臺、通信設(shè)備等;終端和系統(tǒng)運(yùn)維服務(wù)，包括權(quán)限管理、各種IT硬件運(yùn)維、內(nèi)/外網(wǎng)終端運(yùn)維和管控等。對此，許杰介紹：“信息技術(shù)服務(wù)能力以服務(wù)為中心，長期不變的發(fā)展指標(biāo)是提供安全、優(yōu)質(zhì)、高效的醫(yī)療服務(wù)，其中安全排在最高優(yōu)先級。為了有效保障網(wǎng)絡(luò)與信息安全，我們建立了一種網(wǎng)絡(luò)化的責(zé)任、防御和監(jiān)管體系，相對而言總是把安全放在第一位，而質(zhì)量放在第二位，效率放在第三位。信息技術(shù)服務(wù)體系的工作機(jī)制高度依賴于數(shù)字流程，目前我們信息部門把所有工作基本都數(shù)字化和流程化了，從而實(shí)現(xiàn)工作的可管可控。”

　　他進(jìn)一步指出，信息技術(shù)服務(wù)能力包括以下四方面“核心能力要素”：(1)人員，強(qiáng)化鍛煉人員素質(zhì)和崗位能力;(2)資源，借力各種專業(yè)外包服務(wù)和工具;(3)技術(shù)，自主掌控技術(shù)架構(gòu)和應(yīng)用的核心能力;(4)過程，推行業(yè)務(wù)流程化和流程數(shù)字化，高度重視并執(zhí)行過程質(zhì)控。浙大二院在網(wǎng)絡(luò)與信息安全管理方面，始終堅守安全底線并主導(dǎo)安全，落實(shí)“誰主管誰負(fù)責(zé)、誰運(yùn)營誰負(fù)責(zé)、誰使用誰負(fù)責(zé)”責(zé)任機(jī)制，具體采取了以下措施：

　　1.架構(gòu)保障，指保障IT基礎(chǔ)架構(gòu)安全。醫(yī)院設(shè)計了多院區(qū)數(shù)據(jù)中心網(wǎng)絡(luò)安全架構(gòu)，除了建立服務(wù)器、數(shù)據(jù)庫容錯/備份/容災(zāi)架構(gòu)之外，還建立了包括終端安全管控、運(yùn)維監(jiān)控、態(tài)勢感知、運(yùn)維安全管控、互聯(lián)網(wǎng)安全管控等全方位的安全保障措施。為保證終端設(shè)備聯(lián)網(wǎng)安全，醫(yī)院采取了流程申請、安全防護(hù)、準(zhǔn)入管理和安全審計等措施。為保證服務(wù)器、軟件、數(shù)據(jù)庫聯(lián)網(wǎng)安全，醫(yī)院采取了流程申請、責(zé)任巡檢、主動防護(hù)和漏掃滲透等措施。此外，在信息系統(tǒng)故障事件應(yīng)急響應(yīng)和改進(jìn)方面主要采取服務(wù)臺發(fā)現(xiàn)故障及時上報、電話會議、原因分析、制定改進(jìn)措施、科會討論等舉措。

　　2.權(quán)限管控，指管控資產(chǎn)和訪問權(quán)限。醫(yī)院制定了全方位全流程覆蓋數(shù)據(jù)建設(shè)、數(shù)據(jù)使用、數(shù)據(jù)安全的醫(yī)院信息系統(tǒng)數(shù)據(jù)管理制度。在資產(chǎn)管控方面，醫(yī)院建立了資產(chǎn)申請、責(zé)任到人、登記備案、資產(chǎn)變更等嚴(yán)格的服務(wù)器、軟件、數(shù)據(jù)庫、數(shù)據(jù)資產(chǎn)管控機(jī)制。在權(quán)限管控方面，醫(yī)院采取“網(wǎng)格化”責(zé)任到人、“最小必要”授權(quán)原則，對服務(wù)器、軟件、數(shù)據(jù)庫和數(shù)據(jù)的使用權(quán)限進(jìn)行管控。同時，醫(yī)院通過梳理規(guī)范數(shù)據(jù)傳輸網(wǎng)絡(luò)鏈路、搭建數(shù)據(jù)共享安全管控平臺、建立院方廠商協(xié)同工作機(jī)制等多措并舉的方式推進(jìn)院外數(shù)據(jù)共享安全治理。

　　3.運(yùn)維規(guī)范，指規(guī)范技術(shù)人員運(yùn)維操作。醫(yī)院要求科室運(yùn)維人員和廠商運(yùn)維人員需簽訂保密安全承諾書、提供安全背景審查后才能申請VPN和堡壘機(jī)。嚴(yán)格規(guī)定原則上在業(yè)務(wù)高峰期、接近下班前、休息時間等期間不得更新，以確保對醫(yī)院業(yè)務(wù)正常運(yùn)行影響最小。同時，醫(yī)院建立了“零信任”醫(yī)院數(shù)據(jù)庫運(yùn)維體系，對醫(yī)院核心生產(chǎn)數(shù)據(jù)庫建立了從身份->終端->應(yīng)用->賬戶->數(shù)據(jù)的全鏈路數(shù)據(jù)認(rèn)證、授權(quán)和保護(hù)機(jī)制，對數(shù)據(jù)庫數(shù)據(jù)運(yùn)維工作既進(jìn)行嚴(yán)格準(zhǔn)入控制，也進(jìn)行防御管控和審計。

　　4.監(jiān)測預(yù)警，指實(shí)時感知風(fēng)險并及時處置。醫(yī)院建立了自動化運(yùn)維監(jiān)控和應(yīng)急處置閉環(huán)工作機(jī)制，包括以下內(nèi)容：(1)網(wǎng)格管理，責(zé)任到人;(2)生成任務(wù)，定時巡檢;(3)預(yù)警提醒，實(shí)時推送;(4)督辦處理，及時響應(yīng);(5)告警解除，形成閉環(huán)。醫(yī)院通過動態(tài)防御、主動防御、縱深防御、精準(zhǔn)防護(hù)、整體防控、聯(lián)防聯(lián)控等措施對網(wǎng)絡(luò)與信息安全風(fēng)險進(jìn)行態(tài)勢感知和應(yīng)急處置，同時加強(qiáng)信息安全審計和監(jiān)控，從而實(shí)現(xiàn)實(shí)戰(zhàn)化、體系化和常態(tài)化。

　　許杰指出，當(dāng)前醫(yī)院網(wǎng)絡(luò)與信息安全形勢越來越復(fù)雜，工作范圍也越來越廣，醫(yī)院應(yīng)建立通過資源融合和團(tuán)隊協(xié)同來主導(dǎo)安全運(yùn)維的新模式。在開展網(wǎng)絡(luò)信息安全工作的過程中，醫(yī)院的主導(dǎo)地位不可動搖，醫(yī)院信息安全技術(shù)團(tuán)隊可設(shè)置院區(qū)主管和系統(tǒng)管理員、網(wǎng)絡(luò)安全管理員和安全審計員、開發(fā)組以及需求組等崗位，公司技術(shù)團(tuán)隊可提供終端運(yùn)維服務(wù)、網(wǎng)絡(luò)和數(shù)據(jù)庫運(yùn)維服務(wù)、運(yùn)維監(jiān)測服務(wù)和威脅監(jiān)測服務(wù)等服務(wù)能力。雙方專業(yè)團(tuán)隊共同協(xié)作，有助于更好的保障網(wǎng)絡(luò)與信息系統(tǒng)安全。“網(wǎng)絡(luò)與信息安全工作只有起點(diǎn)沒有終點(diǎn)，必須持續(xù)增強(qiáng)醫(yī)院自身與廠商的專業(yè)能力，努力讓‘信息安全隱患’動態(tài)清零成為可能!”他總結(jié)道。