信息系统安全方案

内外网安全等级保护建设项目

初步设计方案

编制单位：

编制时间： 二〇一五年三月

目录

1.信息安全概述 ................................................ 77

什么是信息安全？ .............................................. 77

为什么需要信息安全 ............................................ 77

1.1 安全理念 .................................................. 88

1.1.1 系统生命周期与安全生命周期 ....................... 88

1.1.2 ..........................3S安全体系－以客户价值为中心 88

1.1.3 关注资产的安全风险 ............................... 99

1.1.4 安全统一管理 ................................... 1010

1.1.5 安全 = 管理 + 技术 ............................. 1010

1.2 计算机系统安全问题 ...................................... 1010

1.2.1 从计算机系统的发展看安全问题 ................. 1111

1.2.2 从计算机系统的特点看安全问题 .................. 1111

2.物理安全 .................................................. 1212

2.1 设备的安全 .............................................. 1212

医疗信息系统安全实施方案

随着数字化医院建设的不断发展和深入，医院的数字化应用越来越多，目前我院已实现了区域HIS、LIS、PACS等系统的应用，主要业务实现了电子化，处方、医嘱、病历、慢病等已实现了无纸化。医院信息系统在医院运行中占据了非常重要的地位，但随之而来系统安全管理的重要性也越来越突出，系统的稳定性和安全性关系到医院各项业务能否顺利开展，关系到患者就诊信息的安全性及连续性，为保障信息系统的安全和运行，特制订以下方案：

一、 成立领导小组

医院主任为组长，各副主任为副组长，各科室科长为成员，医院办公室为具体执行科室。

二、 建立健全规章制度

建立各项规章制度，如医疗服务档案管理制度、信息管理制度、网络系统管理制度、计算机使用和管理制度等，据统计90%以上的管理和安全问题来自终端，提高各部门人员的安全意识非常重要，我院由分管主任负责组织协调有关人员，加强培训与安全教育，强化安全意识和法制观念 ,提升职业道德 ,掌握安全技术 ,确保这些措施落实到位，责任到人。

三、保证网络的安全

我院采用的是区域HIS、LIS、PACS系统，服务器设在市卫生局，故服务器的安全问题不用我们考虑，目前需要我们解决的是医院网络的安全问题，为了保障单位内部信息安全，规范职工上网行为、降低泄密风险、防止病毒木马等网络风险，我院将统一安装上网行为管理器及管理软件，通过此方法可实现以下主要功能：

通过制定统一的安全策略，限制了移动电脑和移动存储设备随意接入内网；杜绝内网电脑通过拨号、ADSL、双网卡等方式非法外联；保证了医院内网与外界的隔离度，从而大大提高了医院内网的安全性。

通过网络流量控制模块，实时地临控网络终端流量，对异常网络行为，如大流量下载、并发连接数大、网络垃圾广播等行为可以进行自动预警、阻断和事件源定位，极大减少网络拥堵事件，大大提高了网络利用率。 通过统一的杀毒软件、防火墙管理，能够识别医院内几乎所有的杀毒软件，及时检测网络内防病毒弱点，便于及时补救；远程调用杀毒软件进行查杀病毒，全面利用网络内已有杀毒软件；全面的系统漏洞检测、补丁分发策略，有效地防范大面积病毒发作,集中管理系统升级的能力大大提高，避免人为升级的疏漏。

信息系统安全建设方案

随着信息化程度的不断提高，各种信息系统在企业中的应用越来越广泛。但与此同时，网络攻击、数据泄露等安全问题也日益严重，给企业的信息系统安全带来了很大的挑战。因此，企业需要建立一套科学、健全的信息系统安全建设方案，来保护企业的信息系统安全。

一、建立安全管理制度

建立与信息系统安全相关的管理制度，包括安全政策、安全手册、安全流程和规程等。明确责任，明确员工在信息系统安全方面的职责和义务。定期对员工进行培训，提高员工的安全意识和技能。

二、加强网络安全

对企业内外网进行分段管理，设置防火墙和入侵检测系统，对网络进行隔离和监控，阻止黑客入侵。使用加密技术保护数据的传输和存储，建立虚拟专网(VPN)等安全通信渠道，确保数据的机密性和完整性。

三、强化身份认证与访问控制

建立强密码机制，强制员工定期更换密码，并设置密码复杂度要求。采用多因素身份认证方式，如指纹识别、动态密码等，提高身份认证的安全性。对员工的访问权限进行严格控制，根据岗位需求分配最低权限原则，确保员工只能访问其需要的信息资源。

四、加强应用系统安全

对企业的应用系统进行全面风险评估，识别应用系统可能存在的安全隐患。对系统进行漏洞扫描和安全测试，及时修补系统漏洞和弱点。建立应急响应机制，及时处理系统安全事件，防止数据丢失和系统瘫痪。 五、完善数据备份与恢复机制

建立全面的数据备份和恢复机制，包括定期备份数据、多地存储备份数据、加密备份数据等。测试恢复方案的可行性，确保在系统故障、病毒攻击、自然灾害等情况下，能够迅速恢复数据和系统运行。

六、加强内部安全管理

加强对员工的安全教育和宣传工作，提高员工对信息安全的重视和意识。限制员工的移动存储设备使用，防止敏感信息通过移动存储设备外泄。建立审计制度，对员工和系统进行监控和审计，及时发现和阻止安全问题的发生。

七、引入第三方安全评估

定期请第三方安全专业机构对企业的信息系统安全进行评估，发现潜在的安全隐患。修复评估中发现的问题，提高企业的信息系统安全防护水平。

信息系统安全设计方案(1)1

XX公司

××项目

安全设计方案

（模板）

XX公司

二〇一X年X月

批准：

审核：

校核：

编写：

版本记录

目录

1编写依据 0

2安全需求说明 0

2.1风险分析 0

2.2数据安全需求 0

2.3运行安全需求 0

3系统结构及部署 (1)

3.1系统拓扑图 (1)

3.2负载均衡设计 (2)

3.3网络存储设计 (2)

3.4冗余设计 (3)

3.5灾难备份设计 (3)

4系统安全设计 (3)

4.1网络安全设计 (3)

4.1.1访问控制设计 (3)

4.1.2拒绝服务攻击防护设计............................ 错误！未定义书签。

4.1.3嗅探（sniffer）防护设计 (4)

4.2主机安全设计 (5)

4.2.1操作系统 (5)

4.2.2数据库 (7)

4.2.3中间件 (9)