- 相關(guān)推薦
標(biāo)準(zhǔn)化信息管理與信息安全研究論文
摘要:當(dāng)今國(guó)內(nèi)絕大多數(shù)醫(yī)院已具備一定信息化程度,作為一個(gè)醫(yī)療機(jī)構(gòu)其信息化系統(tǒng)中必定存儲(chǔ)著大量的病患身份、診療信息。隨著整個(gè)社會(huì)環(huán)境對(duì)于保護(hù)個(gè)人信息私密性的需要越來(lái)越高,對(duì)醫(yī)院來(lái)說(shuō)保障信息安全的重要性越發(fā)突出。該文主要介紹了目前醫(yī)療機(jī)構(gòu)一些較普遍的信息安全管理缺陷,重點(diǎn)提出了對(duì)內(nèi)部用戶的身份鑒別、權(quán)限控制、行為審計(jì)等管理行為和如何引入一套標(biāo)準(zhǔn)化信息管理平臺(tái)來(lái)提高信息管理效率、改善管理難題。
關(guān)鍵詞:信息安全；標(biāo)準(zhǔn)化信息管理平臺(tái)
1現(xiàn)有的問(wèn)題
在許多醫(yī)院特別是三級(jí)甲等醫(yī)院常備的信息系統(tǒng)維護(hù)部門(mén)早已經(jīng)具備,防火墻、網(wǎng)閘之類(lèi)的邊界防護(hù)設(shè)備也早已經(jīng)是標(biāo)準(zhǔn)配置,對(duì)由外部網(wǎng)絡(luò)對(duì)內(nèi)部局域網(wǎng)的訪問(wèn)隔離等功能亦是非常完備。然而縱觀近年來(lái)的各種官方、非官方渠道公布的各類(lèi)醫(yī)療信息泄露事件,再結(jié)合自身的多年的信息系統(tǒng)管理實(shí)踐,筆者無(wú)奈地發(fā)覺(jué),安全事件的發(fā)生,完全由黑電腦的人等群體從外部攻破防火墻等防護(hù)措施的事例實(shí)在是九牛一毛,在絕大多數(shù)事件中,都有醫(yī)院內(nèi)部人員的身影,或獨(dú)自、或內(nèi)外勾結(jié)竊取醫(yī)院數(shù)據(jù)用以牟利。當(dāng)然,這并不是說(shuō)想說(shuō)明機(jī)構(gòu)內(nèi)部的員工是多么的不可信,絕大多數(shù)的同志還是好同志。筆者只是想指出系統(tǒng)內(nèi)部的信息安全防護(hù)應(yīng)該與外部邊界防護(hù)一樣重要。歸納了一些個(gè)人覺(jué)得較為普遍的安全問(wèn)題如下。(1)網(wǎng)絡(luò)內(nèi)部訪問(wèn)終端數(shù)量龐大,有限人力下難以保證終端設(shè)備合法性和安全性。(2)缺乏標(biāo)準(zhǔn)化管理工具,導(dǎo)致管理效率不高。(3)對(duì)內(nèi)部員工信任較高,對(duì)于其訪問(wèn)權(quán)限管理粗放。(4)由于使用者對(duì)本身私有賬戶概念的不重視,私有賬戶成了公共賬戶,導(dǎo)致身份鑒別如同虛設(shè)。(5)相關(guān)管理制度缺失,或制度執(zhí)行不到位,導(dǎo)致空有技術(shù)手段,卻無(wú)法部署到位。表面上看這是一個(gè)個(gè)獨(dú)立的問(wèn)題,深入了看能發(fā)現(xiàn)這些問(wèn)題背后是有關(guān)聯(lián)性的。出于各種原因,大部分醫(yī)院的信息部門(mén)可能只有寥寥數(shù)人,一人身負(fù)數(shù)職,難以做到專(zhuān)人專(zhuān)管,基于醫(yī)院的規(guī)模大量的人力都投入在了日常繁瑣的各類(lèi)系統(tǒng)維護(hù)中。此既上述提到的第一點(diǎn)問(wèn)題,結(jié)合第二點(diǎn)缺乏有效的管理工具,使得管理人員難以有精力對(duì)數(shù)量龐大的員工賬戶進(jìn)行細(xì)致的權(quán)限分級(jí)管理。賬戶權(quán)限管理的混亂、低效,加上缺乏相關(guān)的管理制度及執(zhí)行力又間接導(dǎo)致了員工為了完成工作相互“借用”賬號(hào)。長(zhǎng)此以往惡性循環(huán)。
2解決方案與實(shí)現(xiàn)
為了解決這些問(wèn)題,走出這個(gè)死胡同,筆者對(duì)這些問(wèn)題進(jìn)行了討論分析。制度缺失及使用者對(duì)私有賬戶重視的問(wèn)題并非一朝一夕能夠解決,但現(xiàn)階段可以通過(guò)有效的技術(shù)手段來(lái)盡量彌補(bǔ),那目前最為行之有效的方案是引入一套標(biāo)準(zhǔn)化信息管理平臺(tái)來(lái)改進(jìn)多年來(lái)的網(wǎng)絡(luò)信息管理模式,幫助人們改善現(xiàn)狀。一套標(biāo)準(zhǔn)化管理平臺(tái)需要具備哪些功能才能夠達(dá)到人們的需求,結(jié)合資料收集及多次實(shí)地調(diào)研,筆者總結(jié)出以下一些想法。
2.1網(wǎng)絡(luò)準(zhǔn)入控制
準(zhǔn)入控制室此平臺(tái)應(yīng)該必須具有的基本功能,是為用戶接入局域網(wǎng)的第一道關(guān)卡。其實(shí)傳統(tǒng)的802.1x協(xié)議也能實(shí)現(xiàn)此功能,但并不能全面滿足實(shí)際需求,實(shí)際部署時(shí)802.1x協(xié)議往往要求準(zhǔn)入系統(tǒng)、交換機(jī)、客戶端均出自同一廠商,才能有較好的準(zhǔn)入效果。其次它不支持多種終端類(lèi)型,一般支持主流的Windows系統(tǒng),對(duì)于其他非主流桌面操作系統(tǒng)的支持非常有限,難以保證各類(lèi)型終端的合法性和安全性。同時(shí)它不支持非PC類(lèi)終端,例如網(wǎng)絡(luò)打印機(jī)、網(wǎng)絡(luò)攝像機(jī)、IP電話等。首先,理想的準(zhǔn)入控制系統(tǒng)應(yīng)該能支持多種準(zhǔn)入?yún)f(xié)議方式,如:802.1X、DHCP準(zhǔn)入、IPAM準(zhǔn)入、SNMP準(zhǔn)入、RDP準(zhǔn)入、網(wǎng)關(guān)準(zhǔn)入等,這些準(zhǔn)入方式可以在用戶環(huán)境中任意組合使用,提供更細(xì)顆粒度的安全策略。達(dá)到靈活的部署方式和全面部署的可能。支持各類(lèi)主流操作系統(tǒng)。其次,盡可能不用更新網(wǎng)絡(luò)設(shè)備、不用改變現(xiàn)有網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu),尤其是主干結(jié)構(gòu)的情況下,實(shí)現(xiàn)系統(tǒng)的靈活部署。再則,應(yīng)能支持外部認(rèn)證源,如:LDAP/CA/Radius/AD域認(rèn)證。這里提一下在上海市交通大學(xué)醫(yī)院最后實(shí)現(xiàn)的實(shí)際應(yīng)用場(chǎng)景中,認(rèn)證功能與該院原有的AD域用戶認(rèn)證系統(tǒng)完美的結(jié)合。目前在該院實(shí)現(xiàn)了一套賬戶各個(gè)應(yīng)用平臺(tái)通用的狀態(tài),包括局域網(wǎng)準(zhǔn)入系統(tǒng);院內(nèi)郵箱系統(tǒng);人事信息系統(tǒng);辦公報(bào)告系統(tǒng);HIS系統(tǒng)等。尤其是結(jié)合了人事信息系統(tǒng)后,由于其內(nèi)嵌的工資查詢、個(gè)人信息等私密度較高的模塊,使得賬戶使用人對(duì)于自身私有賬戶的管理保密程度有了大幅度的提升,從技術(shù)層面上很大程度地解決了原先一個(gè)制度層面上的問(wèn)題。多平臺(tái)的賬戶通用也使得員工免去了對(duì)多套系統(tǒng)不同賬戶密碼記憶上的繁瑣和困難,從而對(duì)新系統(tǒng)的接受度大大提高。最后,應(yīng)能探測(cè)到終端設(shè)備的各類(lèi)信息:IP、MAC、操作系統(tǒng)版本、上聯(lián)交換機(jī)端口等。通過(guò)多元素結(jié)合判定終端是否為合法合規(guī)設(shè)備,不符合安全要求的,將被隔離或者阻斷。
2.2終端安全管理
終端安全管理是指對(duì)計(jì)算機(jī)類(lèi)終端的強(qiáng)控制,應(yīng)能實(shí)現(xiàn)資產(chǎn)管理、外設(shè)管理、軟件下發(fā)、遠(yuǎn)程協(xié)助等主要功能。各功能描述如下:終端健康檢查:檢查終端硬件信息、防病毒軟件、病毒庫(kù)版本、系統(tǒng)補(bǔ)丁、系統(tǒng)弱口令檢查等。終端外聯(lián)控制:可實(shí)現(xiàn)控制計(jì)算機(jī)的多種外聯(lián)方式,例如3G/4G網(wǎng)卡、各種撥號(hào)、多網(wǎng)卡、代理服務(wù)、靜態(tài)路由等,并可以與準(zhǔn)入控制功能聯(lián)動(dòng)隔離非法計(jì)算機(jī)終端。終端資產(chǎn)管理:自動(dòng)收集計(jì)算機(jī)終端的硬件和軟件信息,管理員可以對(duì)計(jì)算機(jī)終端的硬件和安裝的軟件進(jìn)行查詢,軟硬件信息變更告警和審計(jì)。終端外設(shè)管理:控制計(jì)算機(jī)終端硬件外設(shè)的使用,啟用或者禁用光驅(qū)、USB設(shè)備、打印機(jī)、Modem、串行并行口等等。終端軟件分發(fā):可以向計(jì)算機(jī)終端分發(fā)指定的補(bǔ)丁、各種類(lèi)型的安裝包、自定義文件。文件分發(fā)帶寬優(yōu)化及控制,可自定義并發(fā)分發(fā)數(shù)量。終端遠(yuǎn)程協(xié)助:管理員可以發(fā)起遠(yuǎn)程協(xié)助,在用戶授權(quán)后,登錄用戶計(jì)算機(jī)終端桌面進(jìn)行維護(hù)。
2.3網(wǎng)絡(luò)訪問(wèn)控制
網(wǎng)絡(luò)訪問(wèn)控制既是可以針對(duì)不同用戶/用戶組實(shí)現(xiàn)不同的訪問(wèn)權(quán)限分配,達(dá)到不同員工的不同訪問(wèn)需求。一般有兩種實(shí)現(xiàn)方式,一種是通過(guò)客戶端軟件實(shí)現(xiàn),集成在安裝在終端上的客戶端軟件內(nèi),以安全策略形式實(shí)現(xiàn)基于用戶、終端、子網(wǎng)定義訪問(wèn)控制。另一種是通過(guò)準(zhǔn)入系統(tǒng)實(shí)現(xiàn),系統(tǒng)服務(wù)器端在終端接入準(zhǔn)入系統(tǒng)是直接向計(jì)算機(jī)終端下發(fā)訪問(wèn)控制策略.
2.4實(shí)名制行為審計(jì)
這又是一個(gè)標(biāo)準(zhǔn)化信息管理平臺(tái)需要具備的一個(gè)基礎(chǔ)功能,對(duì)用戶的準(zhǔn)入、退網(wǎng)、訪問(wèn)目的、訪問(wèn)端口等重要事件和時(shí)間節(jié)點(diǎn)進(jìn)行記錄,結(jié)合目前日趨普及的堡壘機(jī)的操作行為錄像記錄功能,為網(wǎng)絡(luò)安全事件分析和審計(jì)、追溯提供重要的手段和依據(jù)。同時(shí)也應(yīng)該要能提供包含安全事件、違規(guī)事件、入網(wǎng)用戶、入網(wǎng)終端、終端檢查等各類(lèi)情況生產(chǎn)的可導(dǎo)出的統(tǒng)計(jì)報(bào)表。
2.5局域網(wǎng)可視化管理
這個(gè)功能主要是幫助管理人員提高工作效率,省卻部分命令行管理方式的負(fù)擔(dān),在人力資源相對(duì)緊張的信息部門(mén)必不可少。實(shí)時(shí)網(wǎng)絡(luò)發(fā)現(xiàn):自動(dòng)化網(wǎng)絡(luò)數(shù)據(jù)收集,對(duì)接入局域網(wǎng)的設(shè)備進(jìn)行實(shí)時(shí)或定期監(jiān)視,能夠發(fā)現(xiàn)各種主流網(wǎng)絡(luò)類(lèi)設(shè)備、服務(wù)類(lèi)設(shè)備、終端類(lèi)設(shè)備。自動(dòng)化技術(shù)減輕管理員的工作量。IP地址管理:實(shí)時(shí)有效地對(duì)全網(wǎng)的IP地址進(jìn)行管理和監(jiān)控,簡(jiǎn)化IP地址管理,減少手工IP管理工作。發(fā)現(xiàn)非法或者異常使用IP地址時(shí),可以給出安全告警信息,供管理員分析、定位和排障使用。豐富的IP分配記錄和報(bào)表,以及靈活方便的搜索功能,提高IP地址管理效率。交換機(jī)管理:圖形化方式管理交換機(jī)端口,兼容SNMPV1/2/3協(xié)議,自動(dòng)化顯示交換機(jī)端口下接的終端和設(shè)備信息。讓管理員一目了然的掌握端口的連接類(lèi)型:Uplink、單臺(tái)終端、連接HUB等。與準(zhǔn)入功能結(jié)合,即可提供端口級(jí)別的合規(guī)管理。與IP地址管理結(jié)合,可以提供故障、威脅定位的管理。
2.6局域網(wǎng)運(yùn)行數(shù)據(jù)實(shí)施展現(xiàn)
許多網(wǎng)絡(luò)管理員可能都會(huì)碰到這樣的情況,大家管理著局域網(wǎng),但對(duì)于局域網(wǎng)常常處于一種模糊的認(rèn)識(shí)狀態(tài)。人們不能非常明確地知道局域網(wǎng)內(nèi)現(xiàn)在有多少人、多少終端、什么人正在使用;不知道主干鏈路帶寬占用率現(xiàn)在是多少;不知道IP地址的使用情況;不知道是否有不合規(guī)的網(wǎng)絡(luò)設(shè)備(如:私帶的路由器、無(wú)線AP等)正在局域網(wǎng)內(nèi)運(yùn)行。當(dāng)然人們可以通過(guò)使用不同的管理工具,使用多條操作指令分別去獲取所需要的數(shù)據(jù),但如果有這樣一個(gè)平臺(tái)能自動(dòng)化記錄一些這類(lèi)的網(wǎng)絡(luò)主要運(yùn)行數(shù)據(jù),并實(shí)時(shí)展示,能一目了然地查看比較,顯然大家會(huì)很歡迎。
3結(jié)語(yǔ)
通過(guò)上述總結(jié)出功能需求,以此為據(jù),經(jīng)過(guò)多次、較長(zhǎng)時(shí)間調(diào)查研究,測(cè)試試用,筆者最終確定了一套最大限度符合預(yù)計(jì)想法的標(biāo)準(zhǔn)化信息管理平臺(tái)。該院于2014年初正式將這套系統(tǒng)上線。經(jīng)過(guò)半年多的使用,目前這套管理平臺(tái)運(yùn)行平穩(wěn),并從根本上改變著該院的網(wǎng)絡(luò)管理模式,改善了曾經(jīng)的管理難點(diǎn)。展望未來(lái),會(huì)有越來(lái)越多的類(lèi)似信息管理平臺(tái)涌現(xiàn),功能更強(qiáng)大、策略顆粒性更細(xì)致化、與堡壘機(jī)整合實(shí)現(xiàn)更豐富的行為審計(jì)能力。更甚至吸收越來(lái)越多的單一管理工具的功能,實(shí)現(xiàn)統(tǒng)一界面接口的多領(lǐng)域的多元化的管理方式,自動(dòng)化技術(shù)更多的引入,使運(yùn)維人員的工作方式日趨便捷。這,也許正是一種趨勢(shì)。
參考文獻(xiàn)
[1]馮國(guó)登.計(jì)算機(jī)通信網(wǎng)絡(luò)安全[M].清華大學(xué)出版社,2001.
[2]趙樹(shù)升.信息安全原理與實(shí)現(xiàn)[M].清華大學(xué)出版社,2004.
【標(biāo)準(zhǔn)化信息管理與信息安全研究論文】相關(guān)文章：
企業(yè)應(yīng)用信息管理系統(tǒng)的問(wèn)題研究論文10-09
云計(jì)算下檔案信息管理的研究論文10-12
特種設(shè)備檢驗(yàn)檔案信息管理研究論文10-10
電力信息安全監(jiān)控研究論文10-12
大壩安全預(yù)警信息管理的分析論文10-12
信息安全審計(jì)機(jī)制研究與設(shè)計(jì)論文10-12
數(shù)字檔案信息安全研究論文10-09
醫(yī)院信息安全與系統(tǒng)監(jiān)控研究論文10-11
檔案信息安全策略研究論文10-11