下载文档原格式
网络准入系统集中式管理方案1、项目背景目前网络安全概况自从在股份公司和下属分公司在业务系统上大力推广信息化发展策略,目前公司运作的网络是由17家公司的内部网络通过MPLS VPN网络构成的广域网,规模庞大;同时信息技术的快速发展导致信息网络所起的作用越来越巨大,股份公司及下属分公司的连接密度越来越大,人员交流和业务系统的使用网络更为频繁,终端所面临的各种安全问题也越来越突出;各个公司的内网构建因规模大小和建设时间的不同,网络的使用情况也不一样,特别是网络设备的品牌和型号各异,而且员工和访客携带的电脑或者终端等可以随意接入公司网络,在信息安全管理上存在很大的管理难度和安全风险;2017年6月1日,国家网络安全法颁布,明确要求各单位加强网络安全建设,而且股份公司属于上市公司,在网络安全上必须加强安全防范措施,增加网络准入控制和审计手段,完善公司的信息化安全体系;网络架构概况基于业务需求和网络稳定性需求,整个股份公司的各分支公司都是通过租用联通公司的MPLS VPN专线网络解决公司之间的网络连接,其中股份公司和南沙公司的网络访问需求最大;MPLS VPN网络拓扑图大概如下：图1 MPLS VPN 网络拓扑图概图各公司内网网络架构概图如下图2所示：图2 各公司内部网络拓扑图概图各公司的调研情况从表1中可以看出各公司的人员、终端设备和网络设备等等都情况各异,需要从多角度考虑信息安全的管理技术问题和网络准入方案的技术可行性;信息安全管理的存在风险目前,各公司都存在如下的信息安全管理风险：1 公司内部无法对未授权的外来电脑及智能终端接入内网的行为进行有效的认证控制和管理;外来人员或者员工能够轻易地把终端设备接入到办公网,特别是恶意用户如黑客,商业间谍的接入,可能会导致公司机密文件被窃取,或者网络服务器被攻击等等网络安全事件发生,造成严重的后果;随着无线WIFI的普及,私自增加外联WIFI设备用于移动端设备上互联网,内部网络安全更加难以控制管理;如何做到有线和无线WIFI 统一的网络入网管理,是安全的重中之重;2 篡改终端硬件信息;比如：当某些员工知道领导的IP地址权限比较高的时候,把自己的计算机也设置为领导的IP,于是获取了和领导一样的权限,导致领导身份被假冒,或者和领导使用的计算机造成IP地址冲突而导致被冲突的计算机网络故障,这样会直接影响业务办公;3因为公司内网的很多网络设备是不可管理,当网络内部出现网络安全事件的时候,很难查询到IP地址或者设备MAC地址的使用信息,难以定位到责任人;4因各分公司和股份公司之间的网络已经通过MPLS VPN线路构建成了一个规模更大的广域网架构,只要有一个地方的网络安全出现风险,其他地方的网络安全风险也会受影响;所以,对终端设备进行网络准入控制是保证股份公司网络信息安全的一种安全边界管理手段,需要做到全局考虑,做到分布式部署、集中管理,集中信息统一展示,以股份公司为整体设计一个适合本公司的网络准入系统,构建公司内部网络的边界管理保障体系,用于保障股份公司的网络信息安全;2 网络准入系统的详细需求系统功能需求准入控制要保证网络边界的安全性以及完整性,就必须实现网络准入控制,支持对接入网络的人员和终端进行身份认证和准入检查,防止非授权用户、非法终端、不安全终端接入办公网,做到安全有效的拦截;其中终端检查包括终端硬件信息检查,防病毒软件检查,系统版本及补丁检查等;用户管理能够对用户实现按人、按部门、按级别进行管理,用户数据能够从AD域中导入;支持第三方认证服务如radius,LDAP,AD,SQL等认证方式;IP地址的管理必须做到杜绝非法设置静态IP地址并能主动检测和拦截此更改动作行为,阻拦此终端的网络连接;要能够按部门、按角色、按人ID分配IP或IP网段;能确定IP的目前使用人和过去使用者;设置访客特定区域;因公司业务交流需求,能够为访客提供特殊通道,访客经过审批授权允许后,访客可以借助公司网络资源连接互联网,还可以授权访客能够访问指定开放的内部资源;用户认证登录管理因公司的管理需求,将在股份公司范围内推广域控制管理模式,对于加入域的电脑能够结合域用户作为认证需求,域用户联网登录桌面系统时进行网络准入认证;未加入域的终端能够提供简易的认证方式,同时也可以通过域用户做认证;系统支持修改认证用户的密码;能够做到用户漫游,即在分公司能都通过内部用户登录网络,到总部和其他分部也可以用此用户登录,获取同等权限;审计日志管理系统能够详细日志的审计功能,能够审计设备、人员、使用IP地址之间的关联信息,能够快速审计到设备使用责任人;防止用户卸载软件,支持无客户端准入规则,防止网络架构变更出现准入漏洞;出于网络准入安全和严谨的控制要求,网络准入系统必须能够做到对于未安装客户端软件或者卸载安装客户端软件的终端设备先认证后才能入网;必须做到防止用户通过假冒合法电脑网络配置信息未经授权认证进入公司内网;必须做到防止用户私自增加无线路由器或者非可管交换机HUB改变了网络架构而出现网络准入控制漏洞,导致未认证进入公司内网的现象;系统的稳定性和可靠性鉴于网络准入控制的稳定性和可靠性,在网络准入系统出现宕机或者因系统故障无法提供认证时,能够提供网络准入系统在长时间内无法恢复的紧急预案措施,保证系统能够快速切换到无认证状态下,保证网络的正常使用;当网络准入系统恢复正常时候时,快速切换到认证状态,保证网络的准入认证控制;系统管理简单方便因各分公司的系统维护人员的技术水平有限,有些分公司甚至缺少系统维护岗位人员,所以此系统应该偏向简单化,易管理维护;因为考虑到本方案部署规模比较大,特别因产品方案不同对网络设备的支持功能需求也会有所不同;股份公司原有一台网络准入系统,但是有些新的功能需求不能满足,从技术和投资成本上考虑,优先考虑现有网络设备的利旧问题,减少额外的费用支出,做到真正有效的费用节省;3 部署方案设计根据公司对网络准入系统的实际需求和技术讨论确认,本方案采取单控制器的集中式管理方式,在股份公司部署一套网络准入系统作为管控中心,同时也负责股份公司本地网络的网络设备的准入控制,其他16家公司根据需求不同而选择不同性能的网络准入系统,通过VPN网络连接股份公司的管控中心,由管控中心统一管控,由各公司的管理用户分角色管理;网络准入系统的网络架构图如下图3所示：图3 网络准入系统的网络架构图本方案部署详解如下：1股份公司的网络准入系统集中管控中心,其他分公司的网络准入系统为不可管控的准入代理设备,其由管控中心集中管理;2分别在股份公司和南沙公司搭建AD域控服务器,提供员工域用户信息给员工用来做认证准入功能,这两台服务器进行数据同步;其他分公司也是由网络准入系统通过网络连接AD域控制服务器读取员工域用户信息做认证;3逃生机制原理处理方法：当网络准入系统失效时,系统自动切换到无认证的网络模式,使已经准入认证过后的终端设备或新接入网的终端设备不受通信影响;4故障点详细分析和应紧处理方式：故障点1、股份公司的网络准入系统故障时,作为管控中心的单点故障将会直接影响到所有公司包括股份公司本地内网的网络准入失效,会对新需要入网的终端设备无法认证入网,而已经认证后的设备在不中断内网连接的情况下其公司的内部网络通信不受影响;此时单点故障发生后,所有公司各自启用网络逃生机制,取消网络认证功能,自动切换到无认证的网络接入模式,保证内网的正常使用;当设备系统恢复后,可切换回认证模式,恢复网络准入控制;故障点2、本方案采用的是单控制中心,当股份公司VPN线路端出现故障时,16家分公司的网络准入系统将无法通过VPN线路连接到管控中心,这会导致16家分公司的网络准入系统同时失效,会对新需要入网的终端设备无法认证入网,而已经认证后的设备在不中断内网连接的情况下在其公司的内部网通信不受影响,当此故障点发生后,16家分公司都会启用逃生机制自动切换到无认证模式的接入;故障点3、当某个分公司的VPN线路端发生单点网络故障或者网络准入系统发生的单点设备故障,此时此分公司内部的网络准入系统都会失效,会对于新需要入网的终端设备无法认证入网,而已经认证后的设备在不中断内网连接的情况下在其公司的内网通信不受影响,此分公司会启用逃生机制自动切换到无认证模式的接入;4 招标技术要求股份公司原有一套网络准入系统使用标准的DHCP和准入技术,但是不能满足此方案中的所有需求;为了做到利旧的原则,原有的网络准入系统原则上不做淘汰,新准入系统最好能兼容或者最大限度的利用原有的准入系统;具体的准入系统技术要求如下：（1）总体要求：支持总共不少于3500终端的准入性能许可,准入方案中需要说明是利用原有准入硬件系统只提供软件还是提供新的硬件系统,如果提供新硬件,需要新硬件ALL In One要求,单台设备支持所有功能,无需再配置服务器或者第三方系统软件,并说明如何利用原有准入系统;16个分公司要做到股份公司统一准入管理；准入方案要具有可扩展性,为以后公司的容灾扩展提供方便,方案中要说明;提供应急逃生方案;2内网接入控制技术要求：基于DHCP的Webportal认证接入,同时可结合准入一起使用支持无客户端准入无线接入控制支持老旧交换机和Hub的接入控制不得使用串接、策略路由、更改交换机VLAN的准入控制技术建立接入隔离网,隔离不明终端支持来宾访客网;3用户管理要求：能结合AD域用户,自动同步AD域用户,实现AD域单点登录用户自注册、自服务定制用户口令安全等级、弱口令字典、过期时间用户口令防暴力破解支持外联LDAP、SQL用户数据库4IP地址管理要求接入网络非法IP自动隔离,杜绝非法设置IP造成IP冲突内嵌DHCP服务,认证后的DHCP地址分配基于组/角色/终端的IP地址下发,IP统一可视化管理基于认证的IP地址管理交换机端口接入人及状态的图像直观显示5认证要求：可以做到无客户端强制认证支持动态口令牌和动态口令卡内嵌RADIUS服务器、RADIUS统一认证基于用户、部门或角色定义认证强度短信方式多因素认证其他网络设备的ID扩展接口API支持第三方认证系统,并实现无缝集成;6哑终端准入要求：支持哑终端设备指纹扫描,无需安装客户端或插件,识别唯一设备类型哑终端设备指纹支持：防范非法终端仿冒设备网络打印机、网络摄像头等7主机健康检测要求：强制插件安装对终端杀毒软件检查,防止无杀毒能力终端入网能够检查终端网卡的唯一性、禁止Proxy代理按不同网段定制不同主机健康检查策略按不同的终端组定制不同主机健康检查策略;8用户上网、下网审计要求：IP使用人实时和历史记录查找IP网段当前使用人及状态直观图表显示用户IP实时和历史记录查找对IP日志的按用户管理和查找可提供详尽的报表以及标准的日志导出、存贮、查询功能;9部署方式及应急灾备：旁路式部署,不改变网络结构可实现多级分布、分级部署,由一个平台统一管理可实现跨路由的数据分布式同步多台互为容灾热备Active/Active设备支持异地容灾、本地双机冗余热备HA等5 产品购买清单6 项目实施周期因本方案是以股份公司为整体设计的方案,牵涉公司单位共有17家,所以实施周期会比较长,实施安装需要分3期,由信息部系统组和厂家技术支持为主,各分公司系统管。
医院业务网络割接方案(总5页)本页仅作为文档封面，使用时可以删除This document is for reference only-rar21year.MarchXXXX医院业务网络割接方案2017年9 月目录1、项目说明 (4)2、割接内容 (4)3、割接时间 (4)4、业务影响 (4)5、操作流程 (4)5.1割接步骤 (4)6、风险评估 (5)7、应急措施 (5)1、项目说明XXXX医院业务网络割接。
2、割接内容1)住院楼网络结构调整和增加核心交换机、内外网防火墙、应用网关等安全设备。
3、割接时间待定4、业务影响在对住院楼网络设备进行割接时将造成全院所有业务中断。
5、操作流程本次网络割接将尽量选择在晚上进行，具体操作流程如下：5.1割接步骤1)将网络结构改造涉及到的所有线缆放置到位做好端接和标识，以保证在割接时只需要最简单最快捷的插拔操作即可接入设备；2)将所有新增设备按照实施方案预先配置完毕；3)设备上架前，按照方案对设备进行真实环境的模拟测试，并进行记录；4)对现有网络结构下，所有设备间连接线进行标识，拍照拍视频等操作，记录好割接前的网络环境；5)设计好新增设备的安装高度，并对现有服务器机柜和网络机柜进行整合，将服务器统一挪到服务器机柜，网络设备同意挪到网络机柜。
6)测试各项业务是否正常并进行记录7)交换机、防火墙等所有新增设备上架安装、加电。
8)再次测试各项业务是否正常并进行记录。
9)将新增设备接入网络，割接正式开始。
10)连接新旧设备（注意：原来的线缆暂先不动，以备应急回退）11)应用配置，设备将自动重启。
12)对医院各网络设备进行ping测试，检查网络连通性。
13)保存设置，对业务进行测试。
14)业务测试全部正常，割接结束。
15)割接后安排工程师驻场配合甲方观察割接后业务运行情况16)整理线缆，进行绑扎和固定。
6、风险评估本次割接将涉及住院楼网络结构中设备增加，在实施过种中将会造成全院网络业务中断，部分业务无法正常行使，因此在实施割接需组织求客户、运维、监理对割接方案进行评估，征求意见，在确定割接方案后我方将再次对现场环境进行确认后尽快施工。
医院网络建设方案建议书医院网络建设方案建议书目录1.系统概述 (4)1.1系统功能概述 (4)1.2发展趋势 (7)1.3系统结构 (8)2.系统需求分析 (10)2.1项目需求 (10)2.2设计范围 (11)3.设计依据及原则 (12)3.1设计依据 (12)3.2设计原则 (12)4.内网网络系统设计 (14)4.1内网整体设计 (14)4.2网络的高可靠性设计 (16)4.2.1网络构架设计 (16)4.2.2部署网络虚拟化技术 (18)4.2.3H3C网络虚拟化技术介绍-IRF (21) 4.3内网数据中心网络设计 (24)4.3.1网络数据中心规划 (24)4.3.2服务器接入高可用设计 (27)4.4网络设备型号选择 (28)4.4.1核心交换机选型 (28)4.4.2楼层接入交换机选型 (30)4.4.3数据中心汇聚交换机选型 (31)5.外网网络系统设计 (32)5.1外网整体设计 (32)5.2网络设备型号选择 (33)5.2.1核心交换机选型 (33)5.2.2接入交换机选型 (34)6.设备网网络系统设计 (35)6.1设备网整体设计 (35)6.2网络设备型号选择 (36)6.2.1核心交换机选型 (36)6.2.2接入交换机选型 (38)7.医院无线网络设计 (38)7.1医院无线网络接入设计 (38)7.2无线802.11 ac无经接入设计 (40) 7.3医院无线AP覆盖方案 (42)7.3.1室内直接覆盖方案（放装型） (43) 7.3.2室内分布式覆盖方案（X分型） (45) 7.4医院无线AP部署图纸 (47)7.5无线AP数量统计 (49)7.6无线网络准入设计 (51)7.7无线网络运维管理设计 (53)7.8网络设备型号选择 (57)7.8.1无线控制器选型 (57)7.8.2802.11ac X分型AP选型 (62)7.8.3802.11ac 放装型AP选型 (63)8.等级保护建设技术体系设计 (64)8.1医院项目各层面安全需求 (64)8.1.1物理安全需求 (64)8.1.2网络安全需求 (64)8.1.3主机安全需求 (66)8.1.4应用安全需求 (68)8.1.5数据安全需求 (69)8.1.6安全管理需求 (71)8.2安全体系部署架构建议 (71)8.2.1医院系统安全区域的划分 (71) 8.2.2边界防护解决方案 (73)8.2.3数据中心解决方案 (87)8.2.4局域网安全解决方案 (97)8.2.5安全管理解决方案 (100)8.2.6网络安全设备选型建议 (107) 8.3对应国家三级等级保护的措施 (108)8.4对应国家三级等级管理的措施 (109)9.设备清单 (110)9.1有线设备清单 (110)9.2无线设备清单 (113)9.3等保安全设备清单 (114)。
XXX医院网络解决方案建议书杭州华三通信技术有限公司郑州办事处目录1.XXX医院简介 (3)2.医院信息化发展趋势 (3)3.医院业务应用分析 (4)3.1.医院业务划分 (4)3.2.应用系统分类 (4)3.3.医院业务系统的需求 (5)4.XXX医院网络建设需求 (6)5.XXX医院网络系统设计 (6)5.1.网络设计原则 (6)5.2.网络设计概述 (7)5.3.网络各层次设计分析 (8)5.3.1.汇聚层分析 (8)5.3.2.接入层分析 (8)5.3.3.链路层分析 (9)5.4.网络设备厂商选择 (9)6.XXX中医院网络系统设计 (11)6.1.网络拓扑设计 (11)6.2.网络拓扑说明 (12)6.2.1.关键技术详解 (12)6.2.1.1.智能弹性架构技术 (12)◆虚拟化 (13)◆高可靠性 (14)◆IRF的技术优势 (17)7.网络部署 (19)7.1.IP地址规划 (19)7.2.VLAN设计 (20)7.3.QOS部署 (21)1. XXX医院简介2. 医院信息化发展趋势经历了20多年发展，中国的医院信息化已从早期的单机单用户应用转变为部门级和全院级管理信息系统应用；从以财务、药品和管理为中心，向以支持临床业务和电子病历应用为中心转变；从局限在医院内部应用，发展到区域医疗信息化应用，取得了长足的进步，但与发达国家相比，整体水平上存在一定差距。
当前适逢医改大潮，很多医院都将加大对信息化投入，医院的信息化水平提升迎来了新的契机；同时，信息化建设可以优化就诊流程，减少患者排队挂号等候时间，实现挂号、检验、交费、取药等一站式、无胶片、无纸化服务，简化看病流程，杜绝“三长一短”现象，有效解决了群众“看病难”问题，医院的整体诊疗水平也将得进一步的提升。
数字化医疗建设涵盖下图所示内容：图1 医院信息系统组成3. 医院业务应用分析3.1. 医院业务划分医院的业务系统有很多，而且不同的医院业务系统也有很大区别，但以下一些业务系统是医院都具有的：◆门诊系统◆住院系统◆体检系统◆PACS系统◆医院管理经济系统◆区域医疗系统3.2. 应用系统分类医院信息系统主要分成以下两类：●医院管理系统◆门、急诊挂号子系统◆门、急诊病人管理及计价收费子系统◆住院病人管理子系统◆药库、药房管理子系统◆病案管理子系统◆医疗统计子系统◆人事、工资管理子系统◆财务管理与医院经济核算子系统◆医院后勤物资供应子系统◆固定资产、医疗设备管理子系统◆院长办公综合查询与辅助决策支持系统●临床医疗信息系统◆住院病人医嘱处理子系统◆护理信息系统◆门诊医生工作站系统◆临床实验室检查报告子系统◆医学影像诊断报告处理系统◆放射科信息管理系统◆手术室管理子系统◆功能检查科室信息管理子系统◆病理卡片管理及病理科信息系统◆血库管理子系统◆营养与膳食计划管理子系统◆临床用药咨询与控制子系统3.3. 医院业务系统的需求1）门诊系统门诊业务作为医院直接面对患者的窗口具有非常重要的地位和自己的特点（包括焦急的病人无法忍受长时间的等待、门诊业务主要集中在上午等），门诊业务具有可靠性高、并发性、实时性和突发性强等特点。
医院计算机终端安全管理策略陈利民;宋莉莉;郭雪清;程冰【摘要】目的规范内网计算机管理,净化网络环境,提高医院信息网络安全.方法搭建计算机终端安全管理平台,结合医院实际,制定相应的管理策略,包含8个模块共23种策略.结果实现了对网内计算机终端的集中管控,95％以上的软件问题能够通过远程进行处理.结论终端安全管理系统能够有效地管理和规范计算机终端使用,有利于提高工作效率,减少信息维护量.【期刊名称】《实用医药杂志》【年(卷),期】2014(031)009【总页数】4页(P854-857)【关键词】医院信息系统;计算机终端;内网安全;管理策略【作者】陈利民;宋莉莉;郭雪清;程冰【作者单位】430070 湖北武汉,广州军区武汉总医院;430070 湖北武汉,广州军区武汉总医院;430070 湖北武汉,广州军区武汉总医院;430070 湖北武汉,广州军区武汉总医院【正文语种】中文【中图分类】TP319随着医院信息化建设的不断普及和深入，医院信息系统已覆盖了日常医疗、管理、后勤、财务等多个业务子系统，一个稳定、可靠的医院网络信息环境已成为医院正常运行的重要保障。
然而，由于医院的特殊环境，工作人员的计算机水平普遍偏低，系统操作不当，非法存储接入，硬件设备变更，非法IP接入等都可能给医院信息网络安全带来风险，医院计算机终端的安全管理已成为当前医院信息管理部门的重要内容。
随着医院规模的不断扩大，各种终端设施分散，给网络信息管理部门的日常维护带来了极大困难，迫切需要一个便捷的有效的手段及集中终端监管平台来控制和预防这些有意或无意的破坏行为。
1 计算机终端安全管理需求分析笔者所在医院是一所三甲综合性医院，全院共有计算机终端2000余台，并且还在不断增长，终端设备型号多，分布广，用途也不尽相同，因此给网络信息管理部门的工作带来了极大挑战。
目前医院终端安全管理主要存在以下几个方面的困难：一是终端涉及军网、专网和内网等多种网络，终端安全级别也略有差别，基本应用程序需求也不尽相同，基于内网的医院办公系统由于工作需要，时常会发布一些包含不同信息的通知和命令；二是不利于终端资产监管，系统补丁升级困难，缺乏集中统一的监控平台，依靠信息维护人员手工维护，工作量巨大；三是终端接入混乱，特别是移动存储设备的随意使用，经常导致网络特别是内网系统病毒木马入侵，网络瘫痪，随着物联网、无线网的应用，甚至还有非法接入内网的情况；四是人员计算机水平参差不齐，特别是新入人员，不熟悉HIS系统，误操作后缺乏有效的监控机制来辅助日常维护。
医院网络解决方案(模板)综合文库一、项目背景近年来，随着互联网技术的飞速发展，医院信息化建设已经成为提升医疗服务质量和效率的重要手段。
为了满足患者日益增长的医疗服务需求，提高医院内部管理效率，我们团队特制定此网络解决方案。
二、需求分析1.信息安全：医院内部数据涉及患者隐私，必须确保数据传输的安全性。
2.网络稳定性：医院业务量大，对网络稳定性要求极高，不能出现中断或卡顿现象。
3.业务覆盖：网络需覆盖医院各科室、病房、门诊等区域，满足医疗业务需求。
4.易用性：网络设备和管理系统需简单易用，便于医护人员操作和维护。
三、解决方案1.网络架构设计（1）核心层：采用高性能三层交换机，实现数据的高速转发和路由功能。
（2）接入层：采用接入层交换机，连接各科室、病房等区域，提供接入网络服务。
（3）汇聚层：采用汇聚层交换机，连接核心层和接入层，实现数据的高速传输。
（4）无线接入：部署无线AP，实现医院内部无线网络覆盖。
2.信息安全策略（1）防火墙：部署防火墙，实现内外网隔离，防止外部攻击。
（2）VPN：采用VPN技术，实现远程访问安全。
（3）入侵检测：部署入侵检测系统，实时监控网络流量，发现异常行为。
（4）数据加密：对敏感数据进行加密存储和传输，保障数据安全。
3.网络设备选型（1）交换机：选择具有高性能、高稳定性、易于管理的交换机。
（2）路由器：选择具有高性能、多端口、支持多种协议的路由器。
（3）无线AP：选择具有高稳定性、信号覆盖范围广、支持多用户的无线AP。
4.网络管理（1）设备监控：采用网络管理系统，实时监控设备运行状态。
（2）故障处理：建立故障处理机制，确保网络故障得到及时解决。
（3）性能优化：定期对网络性能进行优化，提高网络运行效率。
四、实施步骤1.项目启动：明确项目目标、范围、时间表等。
2.网络设计：根据需求分析，设计网络架构。
3.设备采购：根据设备选型，采购相关设备。
4.网络部署：按照设计图，进行网络设备安装和调试。
医院统一支付平台技术方案书变更记录注：对该文件内容增加、删除或修改均需填写此变更记录，详细记载变更信息，以保证其可追溯性。
目录XX湖南省分行医院实施案例 (7)1.引言 (9)1.1.项目背景 (9)1.2.建设目标 (9)1.3.实施范围 (9)1.4.名词解释 (10)2.系统功能简介 (11)2.1.系统概述 (11)2.1.1.XX医院系统现状分析 (11)2.1.2.解决现有问题的主要技术方法 (12)2.1.3.产品定位 (13)2.1.4.XX医院统一支付平台先进性 (13)2.1.5.设计目标 (14)2.1.6.系统特点 (14)2.2.系统功能 (16)2.2.1.功能概述 (16)2.2.2.诊疗卡充值及缴费 (17)2.2.3.退款 (19)2.2.4.统一对账 (20)2.2.5.薪资发放 (21)2.2.6.对外付款 (22)3.技术方案 (25)3.1.系统架构 (25)3.1.1.技术架构图 (25)3.1.2.网络拓扑 (26)3.1.3.系统架构说明 (27)3.1.4.系统的灵活性 (28)3.1.5.系统稳定性 (31)3.1.6.系统安全体系 (35)3.1.7.开发流程完整 (42)3.1.8.源代码及文档 (46)3.2.支付业务模块构成 (46)3.2.1.平台整体模块结构 (46)3.2.2.平台技术功能层 (47)3.2.3.平台业务功能层 (49)3.3.应用设计说明 (51)23.3.2.支付系统业务规则管理 (51)3.3.3.业务公共控制管理 (52)3.3.4.日终处理应用 (53)3.3.5.业务监控应用 (54)3.4.统一支付平台功能 (54)3.4.1.统一对账及异常处理 (54)3.4.2.业务处理公共流程功能 (56)3.4.3.服务控制管理 (57)3.4.4.日志管理 (57)3.5.综合运营管理平台 (57)3.5.1.分层管理 (57)3.5.2.日常运维管理 (58)3.5.3.数据管理 (58)3.5.4.综合运营管理平台部分功能展示 (58)3.6.版本管理 (62)3.6.1.版本管理概述 (62)3.6.2.版本发布流程 (63)3.6.3.系统与CVS的整合 (76)3.6.4.系统与ClearCase的整合 (76)3.6.5.系统对其它配置管理工具的支持 (77)3.6.6.应用系统部署方式 (77)3.7.运维管理方案 (78)3.7.1.过程定义 (79)3.7.2.角色定义与职责 (83)3.7.3.流程描述 (84)3.8.XX医院统一支付平台方案优势 (98)4.系统部署及实施方案 (100)4.1.应用系统配置 (100)4.1.1.业务处理平台AF A (100)4.1.2.通讯前置AFE (101)4.2.应用系统性能 (102)4.2.1.业务处理平台性能 (102)4.2.2.通讯前置处理性能 (104)4.3.应用系统软、硬件配置及部署方案 (105)4.3.1.设计容量 (105)4.3.2.性能要求 (105)4.3.3.系统综合部署架构 (106)4.3.4.软、硬件配置清单一览表 (107)4.4.网络部署方案 (109)34.4.2.设备型号建议 (122)5.技术平台 (124)5.1.业务处理平台 (124)5.1.1.系统架构 (124)5.1.2.功能特点 (126)5.1.3.架构特性 (128)5.1.4.渠道及公共信息管理 (131)5.1.5.对账处理 (134)5.2.外联前置 (135)5.2.1.系统架构 (135)5.2.2.主要功能说明 (139)5.3.综合运营管理平台 (147)6.项目计划 (148)6.1.里程碑计划 (148)6.1.1.项目时间安排表 (148)6.2.资源管理计划 (154)6.2.1.项目开发环境资源需求计划 (154)6.3.问题管理计划 (154)6.3.1.未解决问题沟通 (154)6.3.2.登记未解决问题 (155)6.3.3.问题上报流程 (155)6.3.4.问题反馈流程 (155)6.3.5.业务及技术问题提出及反馈流程 (155)6.4.配置管理计划 (156)6.4.1.文档管理 (156)6.4.2.文档的版本控制方法 (157)6.4.3.软件分布及源代码版本控制管理 (157)6.4.4.应用配置管理 (158)6.4.5.后台应用配置管理 (158)6.4.6.信息交流 (158)6.4.7.数据安全 (159)6.4.8.责任 (159)6.5.变更控制计划 (159)6.5.1.变更控制总述 (159)6.5.2.变更处理流程图 (160)6.5.3.变更处理流程描述 (161)6.5.4.登记事件 (161)6.5.5.争议解决 (161)46.7.实施沟通计划 (162)6.7.1.沟通要求 (162)6.7.2.沟通方法 (162)6.7.3.沟通手段 (166)7.服务与技术支持承诺 (167)7.1.关于服务费用的承诺 (167)7.2.关于知识产权的承诺 (167)7.3.维护服务支持承诺 (167)7.4.培训承诺 (168)7.5.其他升级维护承诺 (168)7.5.1.统一支付平台系统与操作系统的升级相兼容 (168)7.5.2.变更管理和版本控制 (169)附录1：技术服务商-赞同公司资质 ................ 错误!未定义书签。
医院无线网络整体解决方案————————————————————————————————作者：————————————————————————————————日期：2乐词WIFI_医疗智能无线解决方案林昌盛威（北京）科技有限公司2014年06月一. 应用需求随着信息技术的快速发展，医院信息系统在我国已得到了较快发展，国内多数医院已建立起以管理为主的HIS 系统，建立了以管理为主的HIS 系统，当前的发展重点则是建设以病人为中心的临床信息系统CIS（Clinical Information System）。
临床信息化系统包括医生工作站系统、护理信息系统、检验信息系统（LIS）、放射信息系统（RIS）、手术麻醉信息系统、重症监护信息系统、医学图像管理系统（PACS）等子系统，而这些系统将以病人电子病历EMR（Electronic Medical Record，EMR）为核心整合在一起。
随着医疗改革的推进，医院正朝着以终末质量管理向环节质量管理转变，从而提高医疗服务质量，缓和医患关系，提高医院的服务效率。
与以病人为中心的服务理念相适应，医院信息化也从传统的内部管理为主的HIS 系统，向以病人为核心的临床信息化系统转变。
伴随着临床信息化，医院正逐步地实现无纸化、无胶片化和无线化。
随着无线局域网技术的不断成熟和普及，无线局域网在全球范围内医疗行业中的应用已经成为了一种趋势。
作为医院有线局域网的补充，无线局域网（WLAN ）有效地克服了有线网络的弊端，利用PDA 、平板无线电脑和移动手推车随时随地进行生命体征数据采集、医护数据的查询与录入、医生查房、床边护理、呼叫通信、护理监控、药物配送、病人标识码识别，以及基于WLAN 的语音多媒体应用等等，充分发挥医疗信息系统的效能，突出数字化医院的技术优势。
二. 无线网络整体设计方案2.1. LECI医疗行业WLAN设计思想2.1.1. 医院中WLAN的设计要求为客户提供好的系统解决方案，首先要准确地了解该系统应用的具体业务模式，以及实现该业务模式所需要的技术。
医院网络解决方案模板随着互联网技术的发展，医院信息化已经成为现代化医疗服务的重要标志。
建立高效、安全、可靠的医院网络解决方案，不仅可以提升医院的管理和服务水平，也能够降低医疗成本，提高医患满意度。
本文将从医院网络建设的需求、建设方案、实施过程、应用效果等方面，详细介绍医院网络解决方案的相关内容。
一、医院网络建设需求1、高效的信息共享医院是一个大型复杂的组织体系，各个部门之间需要频繁的沟通和协作。
医院网络可以建立起多个部门之间的信息传递平台，提高医疗信息的共享效率，防止信息孤岛和重复录入，减少数据错误和遗漏，提高临床诊疗效率和准确性。
2、安全的信息保障医疗信息的保密性和完整性是医院网络建设的重点。
医院网络需要建立完备的信息安全保障机制，防范网络攻击、数据泄露和信息破坏。
同时，医院网络也需要建立健全的备份和恢复机制，确保重要数据的安全存储和及时恢复。
3、优质的服务体验医院网络不仅可以提高医务人员的工作效率和精准度，还可以为患者提供更为优质的服务体验。
通过数字化的患者档案、门诊预约、在线咨询等服务，可以缩短患者等待时间，便捷化就医流程，增强患者对医院的信任感和满意度。
二、医院网络建设方案1、网络规划医院网络规划是医院网络建设的首要任务。
医院网络的规划需要考虑以下几个方面：（1）医院网络的规模：根据医院的功能和流量需求，确定网络的规模和扩展能力。
（2）网络拓扑结构：根据医院实际情况和拓扑结构的特点，确定医院网络的拓扑结构，建立网络层次结构、划分网络子网等。
（3）网络设备配置：根据医院网络的规模和需求，选购相应的网络设备，如交换机、路由器、防火墙、负载均衡器等，以保证网络运行的高效性和稳定性。
2、网络安全网络安全是医院网络建设的重要组成部分。
医院网络安全需要考虑以下几个方面：（1）网络隔离：为了减少网络风险和安全问题，医院网络需要按照不同的功能划分为多个子网，并对子网进行分别管理，实现网络隔离。
（2）网络入侵检测：医院网络需要安装入侵检测系统，及时发现网络攻击和入侵行为，并采取相应的防范措施。
医院下属入网终端接入管理方案建议书目录项目概述 (4)第一章项目背景 (5)1.1安全动态及风险分析 (5)1.2安全法律法规 (6)1.3项目建设目标 (7)第二章技术方案 (9)2.1 技术设计的指导思想 (9)2.1.1 终端接入管理系统部署的目的 (9)2.1.2 终端接入管理系统解决方案设计原则 (9)2.2 技术设计方案 (11)2.2.1 方案概述 (11)2.2.2 高可靠性应急预案 (13)2.2.3 主要业务流程 (13)2.2.4 终端接入管理系统部署后的影响? (14)第三章产品功能说明 (15)3.1 能够对人员和设备提供双实名认证 (15)3.2 能够提供来宾管理功能 (15)3.3 能够提供用户与设备的“人机对应”负责制 (15)3.4 多种杀毒软件厂商支持，快速补丁扫描与修复 (16)3.5 提供有贵单位特色的安全检查规范库 (17)3.6 能够对漏洞设备进行“一键式”智能修复 (17)3.7 能够基于人员角色进行动态授权 (17)3.8 提供无客户端agentless的准入部署模式 (18)3.9 能够提供实名制日志审计报表 (18)3.10 能够提供网络边界可视化管理 (18)3.11 能够提供及时的报警响应 (18)3.12 多个3000点以上的大规模部署案例 (18)3.13 终端接入管理系统主要功能及特点说明 (19)3.13.1 创新的安全策略引擎 (19)3.13.2 贴身的行业管理规范 (19)3.13.3 全面的网络环境支持 (19)3.13.4 快速的系统实施部署 (20)3.13.5 智能的违规引导修复 (20)3.13.6 丰富的管理要求规则 (20)第四章项目效果 (22)4.1 入网流程 (22)4.1.1 入网引导 (22)4.1.2 身份验证 (23)4.1.3 安全性评估与修复 (24)4.1.4 安全报表 (25)4.2 平台建设收益 (26)4.3 其他安全贴士 (27)4.4 总体安全效果图 (28)项目概述医院（以下简称：）下属入网终端数目众多，信息化程度高，具有良好的基础网络架构。
目前为适应单位内部对于信息安全的要求，规范IT 安全管理，特提出本次终端接入控制系统的建设目标。
通过采用合适的技术手段对单位网络的入网终端范进行统一管理，对网络接入、访问情况进行统一授权和管理，对外网用户的入网流程进行规范，有效地避免各类违规事件的发生，提高网络的整体维护效率和管理力度，符合相关信息安全管理规范要求。
为此，盈高科技特针对本次项目提出基于无客户端Agentless模式的国际领先的第三代准入技术架构Appliance-based技术解决方案。
通过先进的第三代准入技术解决方案，盈高科技能够帮助XXXX医院实现如下的终端接入管理系统体系建设目标：防范非法接入，并实现外网接入设备的授权、身份验证、安全规范管理等一系列标准流程保证单位网络的安全性、可控性、统一管理性、稳定及可扩展性构建技术与管理相结合的全方位、多层次、可动态发展的网络安全规范体系根据不同员工的身份细化不同的访问权限，以保证企业内部网络的机密性第一章项目背景近年来国际国内网络安全事件频发，信息资源在不同程度上存在着各种各样的安全风险。
并且随着信息技术的迅速发展和内网中有效安全机制的缺乏，内部漏洞对重要资源造成的的威胁远远大于从外部穿越防火墙造成的入侵，而传统的防护技术如防火墙、IDS等均无法有效地进行防范。
2012年6月份温州附一医院存在着“统方”泄漏的隐患，非法人员利用内部网络存在的漏洞将机密数据等带到医院外；此外在日常工作中也存在各种违规网络行为（如私自访问互联网、程序安装无法有效管理等），计算机主动抵御攻击能力弱（如系统补丁无法及时更新、部分机器漏装杀毒软件等），安全性低下的单台终端极易成为影响全网的威胁来源和跳板（如ARP病毒攻击），并且对分布广泛的各楼层接入计算机缺乏有效的远程维护及管理手段，信息部门工作人员管理维护难度大，效率较低。
1.1 安全动态及风险分析近年来各地有关“统方”数据的违法犯罪案件多有发生，利用内部网络将“统方”信息带出并流入医药代表的行为依然较为普遍的存在。
从2008年海宁市人民医院惊爆“统方案”后，浙江省多家医院就加强了对“统方”的管控力度，制定了相应的管理规定，并与相关人员签订了保密协议，但由于缺少对网络技术层面的管控，外部人员依然能够通过各种手段拿到医院的“统方”信息。
“统方”数据泄漏网络技术层面分析：●泄漏途径一：外来人员非法接入外来人员携带笔记本进入医院，通过访问内部网络获取数据。
●泄漏途径二：PC桌面未设置屏保电脑未设置屏保，在工作人员暂时离开后，其他人员通过操作电脑窃取数据。
●泄漏途径三：非法外联这种数据泄漏方式更是防不胜防。
随着3G的日益普及，越来越多的人使用3G无线网卡接入网络，这也给医院的数据安全带来巨大的挑战。
通过3G网络，可以轻易把获取到的内部数据通过邮箱、网盘、QQ等方式泄漏出去。
●泄漏途径四：存在共享的文件夹数据存放在共享文件夹下，其他人员可以通过局域网获取文件夹文件。
如果该共享文件夹包含内部机密数据，将导致该数据泄密。
●泄漏途径五：网络越权访问网络间各个网段（安全域）之间未设置相应的访问权限，外来人员终端也能随意访问内部数据，导致网络越权访问行为极易发生，为内部数据泄漏提供便利温床。
鉴于以上情况，由于XXXX医院信息化程度较高，终端点数较多，对IT软硬件的资产管理及故障维护靠人工施行难度较大，且效率低下。
同时员工存在对管理制度执行不到位的情况，迫切需要通过技术手段规范员工入网行为。
1.2 安全法律法规国家以及国外各权威机构对于内网安全都很早就明确了准入控制相关的法律法规。
《信息安全等级保护管理办法》等级保护中从技术和管理两个方面整体上规定了信息系统的安全保护等级。
内网安全的相关内容包括：●终端接入控制●边界完整性检查●主机身份鉴别●内网访问控制●恶意代码防范和系统安全管理等《ISO 27001 信息安全管理体系》ISO27001指出：信息安全是通过实现组合控制获得的，用以防止信息受到的各种威胁，确保业务连续性，使业务受到损害的风险减至最小，使投资回报和业务机会最大。
安全控制可以是策略、惯例、规程、组织结构和软件功能。
ISO27001中明确指出了接入网络的管理规范和设备要求规范。
1.3 项目建设目标从各类相关安全动态及法律法规都中都集中体现出，在目前的系统应用过程中，确保网络的安全运行和使用环境规范化相当重要，不仅要建立规范的计算机管理规章制度和运行规程，制定综合的安全管理策略，更需要从技术手段上进行安全措施的落实，在安全事故发生之前就进行预防和治理，从而减少和杜绝来自外部人员或单位内部的各类违规操作，真正有效、便捷地保障单位网络的安全可靠性。
因此，建立起一套行之有效的可操控和集中管理的信息安全保障系统势在必行，从而能够对安全风险做到可知、可控、可防。
对于目前的网络环境而言，推荐采用网络准入控制NAC作为入网的安全保障平台，对设备、人员进行授权-安全评估-实时监测-智能管控的一体化管理体系，从接入与使用两个角度建设全网立体安全防护体系，真正做到对资源分配和网络安全的全面管理，全面提升网络性能及安全架构。
第二章技术方案2.1技术设计的指导思想2.1.1终端接入管理系统部署的目的现在XXXX医院的业务内网是XXXX医院的核心业务运营平台，业务应用的多样性，特别是无线查房应用的出现，致使网络安全建设越来越重要，同时内部网及部分外部单位用户均需要进行访问，为了避免因为终端自身问题带来的安全隐患，针对办公计算机的系统安全以及访问区域管理显的尤为重要，如果出现安全管理漏洞，将会严重影响整体业务运行安全。
为加强网络安全管理及加强内部PC的安全管理，准备在XXXX医院建立终端接入管理系统，终端接入管理系统将重点解决以下问题：入网终端登记注册认证化违规终端不准入网入网终端必合规安全检查一目了然、智能化修复根据用户身份指定不同的访问权限2.1.2终端接入管理系统解决方案设计原则盈高科技认为有必要参考国际、国内的安全管理经验，来设计XXXX医院办公网络的终端接入管理系统解决方案。
BS7799作为英国政府颁发的一项信息系统安全管理规范，目前已经成为全球公认的安全管理最佳实践，成为全国大型机构在设计、管理信息系统安全时的实践指南。
BS7799认为，设计信息安全系统时，必须掌握以下安全原则：⏹相对安全原则✓没有100%的信息安全，安全是相对的，在安全保护方面投入的资源是有限的✓保护的目的是要使信息资产得以有效利用，不能为了保护而过度限制对信息资产的使用⏹分级/分组保护原则✓对信息系统分类，不同对象定义不同的安全级别✓首先要保障安全级别高的对象⏹全局性原则✓解决安全问题不只是一个技术问题✓要从组织、流程、管理上予以整体考虑、解决在设计XXXX医院办公网络的终端接入管理系统解决方案时，非常有必要参考BS7799中的有关重要安全原则。
BS7799中，除了安全原则之外，给出了许多非常细致的安全管理指导规范。
在BS7799中有一个非常有名的安全模型，称为PDCA安全模型。
PDCA安全模型的核心思想是：信息系统的安全需求是不断变化的，要使得信息系统的安全能够满足业务需要，必须建立动态的“计划、设计和部署、监控评估、改进提高”管理方法，持续不断地改进信息系统的安全性。
以下是PDCA安全模型。
PDCA安全模型XXXX医院终端接入管理系统的建设也将是一个持续、动态、不断改进的过程，终端接入管理系统将为其提供统一的、集成化的平台和工具，融合检查、告警、修复等机制，帮助XXXX医院对其终端进行统一的安全控制、安全评估、安全审计及安全改进策略部署。
XXXX医院终端接入管理系统解决方案的设计应坚持使用户网络安全防护具有先进性、实用性、可靠性、兼容性、可扩充性和灵活性原则。
2.2技术设计方案2.2.1方案概述经过前期与XXXX医院信息部门领导的交流、了解，在这里推荐采用两台INFOGO-ASM 入网规范管理系统方案来实现内网准入建设，设备的部署建议采用旁路方式连接部署在路由器，并结合MVG虚拟网关（PBR策略路由）环境进行网络准入控制NAC,如下图所示：（此处按需求插入图片）XXXX医院终端接入管理部署示意图在基于MVG技术的准入平台下，ASM准入控制设备采用旁路方式连接到核心交换机，将接入层可网管交换机在ASM设备上进行注册，准入技术的关键视ASM设备与边界可网管交换机联动下实现的vlan切换功能，原理如下：1、终端机器入网访问网络，ASM比对终端信息和自身合格终端数据信息a)终端信息在ASM合格终端数据信息中，则为合格终端，即可访问内部网络；b)终端信息未在ASM合格终端数据信息中，则为存在问题终端或新入网终端，ASM通过和交换机的联动将此终端所在端口vlan切换到隔离vlan（不可信vlan）中；此终端流量均定向到ASM设备；2、ASM设备对新入网设备访问进行审核，非授权终端禁止接入3、审核通过的设备将得到访问网络的授权，并遵循ASM策略进行认证安检流程；4、终端设备进行身份认证、安全检查及修复，判断终端是否合格a)未合格终端仍处在隔离vlan中，无法访问内部资源b)终端认证安检均符合要求，ASM与交换机联动将交换机端口切换回正常vlan，获得内部网络访问权限，终端按正常方式访问网络。
