| 项目背景project
卫生信息安全工作是我国卫生事业发展的重要组成部分，根据《卫生部办公厅关于全面开展卫生行业信息安全等级保护工作的通知》（卫办综函〔2011〕1126号），“十二五”期间包括三甲医院在内的所有卫生行业单位全面开展信息系统定级、备案、整改建设和等级测评工作。 等级保护工作是三甲医院建设的重要内容之一。《三级综合医院评审标准实施细则（2011 年版）》（卫医管发【2011】33号文）第六章对三甲医院有如下要求：“实施国家信息安全等级保护制度，实行信息系统操作权限分级管理，保障网络信息安全，保护患者隐私，推动系统运行维护的规范化管理，落实突发事件响应机制，保证业务的连续性。”对信息系统的安全措施、防病毒、防入侵、安全监管、安全运维及安全保护等级等做出了详细规定。 针对深圳市医疗卫生行业信息安全等级保护工作中存在“缺乏定级标准”、“定级备案不规范”、“测评难覆盖”、“整改建设不合理”等问题，深圳市卫健委联合深圳市公安局公共信息网络安全监察分局，启动了全市卫生健康行业信息系统等级保护集中定级备案和测评工作。 在此背景下，深圳市某医院按照深圳市卫健委的工作部署，开展了等级保护安全保障体系建设工作，以提升信息系统安全防护水平，并满足相关监管要求。
..................................................................................................................................................................................................................................................................
| 项目内容 content
深圳某医院的his、lis、pacs、oa等系统是本单位信息化管理的重要组成部分，根据《信息安全等级保护建设指南》，his系统和lis系统定为三级，pacs和oa系统定为二级，整体网络按照三级要求进行安全建设。 结合某医院的实际情况，从技术、管理、服务三个层面，对his、pacs和oa等核心业务系统的安全进行整改和建设，形成完善的等级保护安全保障体系，以符合国家卫健委和深圳市卫健委对三甲医院信息化等级保护工作的要求。 等级保护安全保障体系是在某医院前期安全建设的基础上技术体系和管理体系，并在安全建设过程中进行相应的风险评估、安全加固、安全培训等安全服务。具体包括：
安全技术体系建设
安全技术体系是通过相应的安全技术手段补足，控制策略细化等措施弥补等保基本要求之间的差距，并围绕防范来自内部、外部的攻击及病毒等安全威胁等进行建设。通过防火墙、入侵防御、漏洞扫描、安全审计、病毒防护、web信息防篡改、终端安全管理等基础安全产品的部署和设置，在统一安全策略的基础上，通过大数据安全管理平台实现安全态势感知和安全运营。
安全管理体系建设
安全管理体系包括总体策略、规章制度、法律法规、安全标准。本次安全建设为深圳市某医院设计总体安全策略以及安全管理制度，并通过多次培训保障相关制度的落地。
安全服务体系建设
为适应上述安全体系的建设，安恒信息提供了专业的安全服务团队的参与到项目的建设过程中，将网络安全风险评估工作贯穿到信息系统的整个生命周期中，并结合安全加固、安全预警和应急处置服务，保障医院信息系统的持续、安全、稳定运行。
..................................................................................................................................................................................................................................................................
| 项目价值value
> 符合深圳市卫生健康行业等级保护工作要求
通过对安全技术体系，安全管理体系和安全运行体系建设，使深圳市某医院的信息系统安全保障水平符合《信息安全等级保护建设指南》的要求，并通过等级保护测评
> 构建纵深防御体系
针对xx人民医院的通信网络、区域边界、计算环境，综合采用访问控制、入侵防御、恶意代码法防范、安全审计、防病毒、终端管理等多种技术和措施，实现业务应用的可用性、完整性和保密性保护，并在此基础上实现综合集中的安全管理，并充分考虑各种技术的组合和功能的互补性，合理利用措施，从外到内形成一个纵深的安全防御体系
> 实现集中的安全管理与态势感知
通过建设大数据安全管理平台，实现对医院所有it资产的安全事件、安全风险、访问行为等的统一分析与监管，使管理人员能够迅速发现问题，定位问题，实现医院整体安全态势感知，有效应对安全事件的发生
