医院等级保护建设介绍.ppt

物理安全的整改要点物理位置的选择基本防护能力高层、地下室物理访问控制基本出入控制分区域管理在机房中的活动电子门禁防盗窃和防破坏存放位置、标记标识监控报警系统防雷击建筑防雷、机房接地设备防雷防火灭火设备、自动报警自动消防系统区域隔离措施防静电关键设备主要设备防静电地板电力供应稳定电压、短期供应主要设备冗余/并行线路备用供电系统电磁防护线缆隔离接地防干扰电磁屏蔽防水和防潮温湿度控制基本要求－－GB/T22239*网络安全控制点一级二级三级四级结构安全****访问控制****安全审计***边界完整性检查－（S）***入侵防范***恶意代码防范**网络设备防护****合计3677结构边界设备要求二级解决方案三级解决方案差异分析结构安全关键设备选择高端设备，处理能力具备冗余空间，合理组网，绘制详细网络拓扑图在二级基础上，合理规划路由，避免将重要网段直接连接外部系统，在业务终端与业务服务器之间建立安全路径、带宽优先级管理三级根据要求在以下方面进行加强设计；主要网络设备的处理能力满足高峰需求，业务终端与业务服务器之间建立安全路径、重要网段配置ACL策略带宽优先级安全域（第3级）安全域（第2级）监督保护级网络安全域（第3级）安全域（第2级）安全域（第2级）?控制高敏感级信息由高等级安全域流向低等级安全域：分域分级防护示意安全域划分示意考虑的主要因素：按数据类型公开、敏感、受控按用户类别医院、病人、卫生医疗管理机构科研机构、银行保险等合作机构按信息流向各级卫生机构及非卫生机构间数据共享和交互公众数据查询、等级保护整改方案设计类别要求二级解决方案三级解决方案差异分析网络安全访问控制防火墙，制定相应的ACL策略防火墙配置包括：端口级的控制力度；常见应用层协议命令过滤；会话控制；流量控制；连接数控制；防地址欺骗等策略三级在配置防火墙设备的策略时提出了更高的要求安全审计部署网络安全审计系统部署网络安全审计系统，部署日志服务器进行审计记录的保存三级对审计日志保存提出更高要求，需要采用日志服务器进行审计记录的保存边界完整性检查部署终端安全管理系统，启用非法外联监控以及安全准入功能部署终端安全管理系统，在进行非法外联和安全准入检测的同时要进行有效阻断三级相对二级要求在检测的同时要进行有效阻断——之技术设计等级保护整改方案设计类别要求二级解决方案三级解决方案差异分析网络安全入侵防范部署入侵检测系统部署入侵检测系统，配置入侵检测系统的日志模块三级相队二级要求配置入侵检测系统的日志模块，记录攻击源IP、攻击类型、攻击目的、攻击时间等相关信息，并通过一定的方式进行告警恶意代码防范无要求部署UTM或AV、IPS三级系统要求具备网关处恶意代码的检测与清除并定期升级恶意代码库网络设备保护配置网络设备自身的身份鉴别与权限控制对主要网络设备实施双因素认证手段进行身份鉴别三级对登陆网络设备的身份认证提出了更高要求，需要实施双因素认证，设备的管理员等特权用户进行不同权限等级的配置——之技术设计网络安全的整改要点结构安全关键设备冗余空间主要设备冗余空间访问控制访问控制设备（用户、网段）应用层协议过滤拨号访问限制会话终止安全审计日志记录审计报表边界完整性检查内部的非法联出非授权设备私自外联子网/网段控制核心网络带宽整体网络带宽重要网段部署路由控制带宽分配优先级端口控制最大流量数及最大连接数防止地址欺骗审计记录的保护定位及阻断入侵防范检测常见攻击记录、报警恶意代码防范网络边界处防范网络设备防护基本的登录鉴别组合鉴别技术特权用户的权限分离基本要求－－GB/T22239*主机安全控制点一级二级三级四级身份鉴别－S****安全标记－S*访问控制－S****可信路径－S*安全审计***剩余信息保护－S**入侵防范****恶意代码防范****资源控制－A***合计4679服务器；终端/工作站On操作系统；数据库系统等级保护整改方案设计类别要求二级解决方案三级解决方案差异分析主机安全身份鉴别对操作系统和数据库系统配置高强度用户名/口令启用登陆失败处理、传输加密等措施对主机管理员登陆时进行双因素身份鉴别（USBkey+密码）三级要求采用两种或两