医院信息网络系统运行中的安全管理

医院信息网络系统运行中的安全管理

作者：黄家和

来源：《中国卫生产业》2016年第31期

[摘要] 该文从医院信息网络系统的构成及其用户群体出发，对其安全管理现状与存在的问题进行了分析，并最终提出了合理的解决措施，希望能够使医院信息网络系统运行安全管理水平得到进一步的提高。

[关键词] 医院;信息网络系统;运行;安全管理

[中图分类号] R197.324 [文献标识码] A [文章编号] 1672-5654（2016）11（a）-0065-03 Safety Management in the Hospital Information Network System Operation HUANG Jia-he

Department of Information， Wuzhou Red Cross Hospital， Wuzhou， Guangxi Province， 543002 China

[Abstract] The paper analyzes the safety management status and existing issues from the composition and users of the hospital information network system and finally puts forwards the rational solutions， thus hoping to further improve the operation safety management level of the hospital information network system.

[Key words] Hospital; Information network system; Operation; Safety management

提高网络系统运行的安全性对于任何领域而言都极其重要，对于医院来说同样如此，随着计算机技术水平的不断提高，我国医院信息网络系统得到了进一步的完善，同时也采取了相应的管理措施，但其安全管理现状不容乐观，仍存在着问题需要及时解决，鉴于医院信息网络系统运行中存在的种种安全管理问题，想要使系统得到完善，从而为医院的长远发展带来更大的帮助，就必须提出相应的安全管理措施。其中对系统物理安全的保证、身份认证与访问控制的实现以及对IDS等网络通信防护措施的应用均能够起到较好的管理效果。对安全管理现状以及安全管理策略的研究是提高医院信息网络系统安全管理水平的关键，同时也是医院管理人员必须关注的一项重点问题，研究策略的实施对于医院、管理人员以及患者三者均具有重要的价值。

1 ;医院信息网络系统概述 1.1 ;医院信息网络系统构成

龙源期刊网 http://www.qikan.com.cn

医院信息网络系统的构成应与医院职能相适应，这是系统建设所凭借的关键点。目前，根据我国医院的组成以及业务情况，信息网络系统中主要包括急诊与挂号系统、收费系统、医学影像系统以及针对患者信息进行管理的系统等[1]。上述系统涵盖了医院各方面的业务内容，是医院各项工作实现信息化的主要体现，同时也为其工作效率的提高带来了极大的保证。但是，医院信息网络系统的构成并不是刻板的，在具体应用过程中，可以根据医院的实际情况对其进行适当的调整，以使其能够更好地为医院本身以及患者服务[2]。 1.2 ;医院信息网络系统用户

医院信息网络系统用户主要包括患者、门诊医师以及信息管理员。患者可以通过信息网络系统实现对一系列信息的查询工作，其中包括治疗以及住院等费用的信息，查询过程可以通过自助的形式实现，大大减轻了医生的压力，在提高了医院工作效率的同时，也为患者带来了更大的就诊便利[3]。门诊医师可以通过信息网络系统实现对种种信息的输入、修改以及查询工作。以患者信息为例，在患者就诊时，医生要针对其年龄以及病症的进行记录，并将其输入到系统当中，从而实现对其信息的管理。在上述信息需要修改时，门诊医师有权限对其进行修改，如有需要，医师还可以实现对信息的实时查询，查询信息类型即包括患者信息也包括药房信息。但需要注意的是，相对于患者而言，其对于信息的查询时间有所限制，只能在工作时实现[4]。信息管理员可以通过信息网络系统实现对访问规划的制定、对访问记录的审计以及对系统本身的维护。医院信息网络系统的安全管理工作需要由信息管理员来完成，因此，为提高安全管理水平，信息管理员应做出极大的努力[5]。 2 ;医院信息网络系统安全管理现状 2.1 ;医院信息网络系统面临的安全威胁

医院信息网络系统的用户群体较大，这是导致其面临的安全威胁增多的主要原因。按照安全威胁的来源划分，医院信息网络系统所面临的威胁主要包括内部与外部威胁两种[6]。首先，外部威胁主要体现在非医院工作人员对系统的安全性以及可靠性所造成的影响。一部分外来人员会出于某种目的，通过使用非授权电脑的方式，去入侵医院的网络系统，并在系统中传播病毒或窃取信息，这不仅会导致患者信息被泄露，同时也会使医院遭受非常严重的损失，对于医院的顺利运行十分不利。其次，内部威胁主要来自于医院工作人员。存在一部分工作人员会将私人电脑接入到系统中，这是导致安全威胁产生的主要原因。另一方面，一部分工作人员为访问Internet，会对电脑线缆进行随意的插拔，由于Internet访问过程存在极大的风险[7]，因此医院电脑便很容易受到病毒的入侵，由此所带来的影响与外部威胁所带来的影响类似，严重时甚至会导致医患纠纷的出现，对于医院的长远发展十分不利。 2.2 ;医院信息网络系统安全管理工作中存在的问题

医院信息网络系统安全管理工作包含的管理内容有很多，其中对电脑的杀毒、对系统补丁的更新以及对IDS入侵检测系统的设置均属于其中的重要部分，上述措施的实施对于系统安全

龙源期刊网 http://www.qikan.com.cn

性以及可靠性的保证具有重要价值，但就目前的情况看，我国大部分医院信息网络系统的安全管理工作在上述方面均存在着严重问题[8]。

首先。对电脑的杀毒以及对系统补丁的更新需要及时进行，这样才能保证医院电脑能够长期的正常运行，目前，很多医院虽在电脑中安装了杀毒软件，但却并没有对其进行使用，这是造成医院信息网络系统容易被病毒入侵的主要原因。

其次，存在一部分医院，为了防止外部威胁，会通过对IP以及MAC地址绑定的方式来对外来入侵者进行组织，理论上讲，上述措施能够达到一定的效果，但在操作方面却具有很大的困难[9]。在上述措施下，为了使避免安全威胁的发生，管理人员需要对每台交换机进行单独操作，这不仅增加了操作困难，同时也并不具备较高的技术含量。再次，IDS入侵检测系统的应用能够使医院信息网络系统受到威胁时发出警告，并提醒有关人员威胁的存在，但由于这一系统仅仅能够实现警告的功能，无法真正地实现对危险的防御，因此大部分医院均没有对这一系统进行采纳。最后，在数据库的审计过程中，实现对每一位访问者IP地址的定位能够有效避免安全威胁的出现，若已经出现了安全问题，则可以通过对IP地址的查询实现对问题根源的追究，这能够极大地提高问题的解决效率，属于安全管理过程中较为有效的一种手段，但就目前的情况看，国内医院还并不存在这一技术，由此可见，对信息网络系统技术含量的提升也十分必要。

3 ;提高医院信息网络系统运行中安全管理水平的措施 3.1 物理安全管理措施

保证医院信息网络系统的物理安全是促使其能够发挥价值的关键，对此，主要需要做好对中心机房与服务器的安全维护工作以及对工作站与硬件结构设备的管理等工作。首先，中心机房是医院信息网络系统的核心，为保证系统能够得到顺利运行，首先必须做好中心机房的维护工作。对中心机房室内温度以及湿度的控制属于维护工作中的主要部分，除此之外，还要严格禁止非专业人员进入到机房内部，以为机房运行提供更好的环境[10]。另一方面，鉴于机房的运行需要电源的支持，因此保证电源不中断也非常重要。其次，服务器故障会导致医院信息以及数据的丢失，对于信息网络系统安全管理工作会带来一定的影响。针对这一点，有必要加强对服务器的维护工作。可以采用双服务器的方式为系统运行提供支持，一旦其中一与服务器出现问题，另一可以实现正常运行，从而避免系统数据丢失问题的出现。另一方面，服务器的电源可以设置为UPS电源，并采取冗余配置的方式为供电的连续性提供保证[11]。最后，针对工作站以及硬件结构设备的管理而言，管理人员一定要严禁医生以及护士将个人设备与医院电脑连接，并禁止其利用医院电脑访问Internet，从而切断病毒来源。除此之外，还要保证路由器以及光纤等接入的有效性及安全性，这样才能为系统的运行提供物理方面的基础。 3.2 ;身份认证与访问控制

龙源期刊网 http://www.qikan.com.cn

3.2.1 ;身份认证 ;加强身份认证与访问控制是避免系统被外来人员入侵的关键策略。传统认证方式已经无法适应时代的发展，改革过程可以保留原有的认证方式，并通过在其基础上加入信息绑定过程的方式来实现。即，传统的用户名+口令的认证方式可以保留，与此同时，将IP或MAC绑定的方式与其结合，从而使系统能够得到双重的安全保证。需要注意的是，利用这一方式实现身份认证，在操作方面具有一定的复杂性，针对这一问题，有关人员一定要加强研究，从而使其应用过程能够更加便利。

3.2.2 ;访问控制 ;用户对系统的访问时间需要受到限制，在传统的访问控制程序下，这一限制过程无法实现，这是导致医院信息被大量泄漏的主要原因，同时也是造成系统出现安全问题的关键因素。为提高访问控制的有效性，从而使外来人员能够被有效的隔离，需要从技术角度出发，对访问控制策略进行进一步的优化与升级。基于时间与空间环境制约因素的角色访问控制模型的建立能够有效解决这一问题。对此，医院需要将这一访问控制方式引入到具体的管理工作中，这样才能使管理水平得到进一步的提高。模型构成情况如下。 图1 ; 角色访问控制模型构成

3.2.3 ;网络通信防护措施 ;为使安全问题发生时，系统能够实现自动的防御与修复，仅仅利用IDS系统无法达成，将其与安全策略服务器相连接能够有效地解决这一问题，从而达到更好的安全管理效果。两者结合的实现具有一定的困难，首先，IDS需要发挥其流量监测的工作，一旦发生流量异常的情况，要将其反馈给安全策略服务器;在这一基础上，服务器能够有效获取有关威胁的来源以及类型等一系列信息，因此也就能够提出具有针对性的防御策略，以实现对威胁的防御，从而达到保护系统安全性的目的。

3.2.4 ;构建备份系统 ;随着以数据库为核心的医院信息系统的不断深入应用，医院对计算机系统的依赖程度也日益增加[12]，一旦系统遭遇过大的威胁，信息以及数据非常有可能大量的丢失，这不仅会造成患者隐私泄露的问题的出现，同时也会对医院造成重大损失，为了解决这一方面的问题，需要构建一份长久的备份系统，要保证在源数据丢失的情况下，备份系统能够发挥其功能，使数据得以完整的保存，这一系统的构建对于医院的运行具有重要价值。鉴于一台服务器很容易存在单点故障，因此有必要应用两台服务器实现集群，从而为备份系统的构建提供基础性的保证。 4 ;结语

综上所述，医院信息网络安全系统是医院各项功能实现的主要媒介，在系统的运行过程中，受内部以及外部种种因素的影响，很容易出现安全问题，因此做好安全管理工作十分重要。鉴于目前国内医院在上述管理工作方面存在的问题，必须从技术角度出发，构建一系列的威胁语境系统以及防御系统，同时对信息以及数据等进行备份，这样才能使系统运行的安全性得到最大程度的保证，从而使安全管理效果得到进一步的提升。 [参考文献]

龙源期刊网 http://www.qikan.com.cn

[1] ;沈惠德，陆培明，范启勇.《上海市医院计算机信息网络系统安全策略》的制定实施与效果[J].中国医院管理，2005（2）：20-22.

[2] ;郭雪清，王光华，黄正东. 医院信息网络系统运行中的安全管理[J]. 医疗设备信息，2005（4）：53-54.

[3] ;刘政. 新时期医院信息系统网络的安全管理[J]. 医学信息，2010（1）：20-22. [4] ;陈晓云. 浅谈医院信息系统的网络建设及安全管理[J]. 中华医学图书情报杂志，2010（2）：57-60，77.

[5] ;何磊.试论新环境下医院信息网络系统的安全管理策略[J]. 通讯世界，2015（22）：19-20.

[6] ;郭雪清，汪君. 医院信息网络系统运行中的安全管理[C]// 中华医学会医学工程学分会.中华医学会医学工程学分会第七次学术年会论文集.北京：中华医学会医学工程学分会，2004：3.

[7] ;张桂华，罗平，郭剑峰.医院信息系统的网络安全管理思路[J].中国医药科学，2011（12）：140-141.

[8] ;范若愚. 基于ISMS的医院体检中心信息安全管理系统的设计与实现[D].济南：山东大学，2015.

[9] ;黄伟. 医院信息系统中的网络安全与管理[J]. 网络安全技术与应用，2010（12）：22-24. [10] ;莫非. 医院信息系统中的网络安全与管理[J].计算机光盘软件与应用，2012（14）：8，10.

[11] ;高亚君，于明臻，王蕾，等.医院信息网络中的安全管理[J]. 科技资讯，2006（20）：88.

[12] ;付耕，梅磊.浅谈医院信息管理系统的安全问题及其解决方法[C]//中华医学会医学信息分会.中华医学会第十二次全国医学信息学术会议论文汇编.北京：中华医学会医学信息分会，2006：3.

（收稿日期：2016-08-06）

龙源期刊网 http://www.qikan.com.cn