广州某医院拥有专业技术人员1100余人、床位850张、专业学科43个，现已发展成为集医疗、教学、科研、预防、保健、康复功能于一体的、面向海内外开放的综合性现代化医院。随着信息化的发展，该医院的医疗系统也进入了数字化和信息化时代，大型的数字化医疗设备、各种医院管理信息系统和医疗临床信息系统在医院中得到应用。数字化医疗建设，不但使医院的工作流程发生了变化，同时也对医院信息化建设提出了更高的要求。
目前，该医院已应用了HIS、EMR、LIS、PACS等信息系统，涵盖了医院日常工作流程，比如挂号、诊疗、化验、划价、收费等，同时也覆盖医院各个角落，如病房、药房、医疗设备等。随着电子病历、远程医疗的不断发展，病人在就医过程中的信息将越来越多地以数字化的方式保存在医院的医疗信息系统中。
如何保证这些医疗数据的安全性、有效性，是医院信息系统所面临的、不可回避的问题。
2011年底，该医院新大楼建成，华侨医院的信息网络改造项目也同步启动。这次改造不仅要提高网络与信息系统基础设施建设，而且还将信息系统安全建设纳入其中。该医院的信息安全主管人员清醒地认识到：医院信息系统的正常运行，不仅包含网络、主机设备的正常运行，还包括存储在医院应用系统中的各种数据的安全性和可靠性得到保障。
此前，该医院的信息系统已部署了防火墙、入侵检测系统和网络防病毒系统等安全产品。为了此次新大楼的网络安全改造建设，医院邀请产品供应商和业界优秀的公司共同探讨新信息系统的安全建设方案。该医院希望其安全建设方案能够实现以下功能：既要考虑现有系统的安全、有效运行，又要兼顾华侨医院未来五年的信息化发展。
作为该医院原有信息安全产品供应商，北京冠群金辰软件有限公司（简称冠群金辰）也参与了新信息系统的安全建设，并提出针对该医院的安全解决方案建议。
解决之道
冠群金辰认为，该医院现有信息安全系统中的防火墙、防毒墙、IDS和防病毒的防护架构可以保留，但随着医院新大楼投入使用，网络中的终端节点会增多，网络流量将大幅增长，所以，需要对现有防火墙、IDS等系统进行升级，提升现有防护系统的处理能力，以适应网络提速的要求，保障正常的网络业务运行；同时，针对网络中新增的客户端节点，继续部署防病毒系统和终端安全管理系统，以应对越来越复杂的终端安全防护问题。
针对目前医院网站服务器保护的安全盲点，冠群金辰提出了针对Web网站安全建议：使用专业的网站防护系统采用层次化的Web主动防护技术，对医院网站服务器进行有效防护。
实际上，冠群金辰为该医院提出的网络安全整体解决方案涵盖了从边界、网络到主机，多层次的纵深防御体系。该方案在边界通过防火墙、物理隔离设备将非法访问、病毒、入侵攻击等阻挡在网络外部。在网络层面，该解决方案对网络中的流量进行检测，查找正在发生或将要发生的网络攻击，并及时采取措施，比如报警、阻断、记录等。
对于网络安全中常见的病毒、信息泄露等安全威胁，该方案中的防病毒软件和终端安全管理系统为主机系统提供了基本的安全保障。
冠群金辰为此方案提供了KILL系列安全产品，即KILL防火墙、KILL入侵检测系统、KILL上网行为管理系统、KILL防毒墙、KILL网络防病毒系统、KILL终端安全管理系统和KILL Web安全网关，为该医院的网络构筑了一个多层次的安全防护体系。从网络访问控制、流量控制、入侵攻击、病毒查杀、终端准入和Web防护等方面，该方案对该医院的网络提供全面的安全保护。
关键词：中小型医院；网络建设；组建方案；网络安全
中图分类号：TP311文献标识码：A文章编号：1009-3044(2012)02-0265-02
随着信息技术和信息产业的飞速发展，建立一个高效、高水平、高质量、高保障的医院管理信息系统是医院发展的重要内容，是医院不可缺少的基础设施建设，同时也是衡量医院现代化管理水平的重要标志。随着医院信息化应用的发展，需要建设一个支持现代化医院发展所需要的先进的基础网络平台，并保证基本能够满足医院信息化建设的中长期要求。网络方案的设计与实用直接影响到医院的正常运行，如何保护医院网络的安全成为管理者必须要考虑的重要问题。笔者结合自己几年来工作经验与大家共同探讨医院网络系统的设计与安全管理。
1医院信息系统的基础网络建设
医院网络平台建设是一项大型系统工程,其设计方案对医院网络的未来发展和管理信息系统作用的发挥都起着极为重要的作用。一个经济实用的网络应该能够保证网络系统具有完善的功能、较高的可靠性和稳定安全性。
1.1设计原则
根据医院管理信息系统一般采用服务器/客户端模式，医院网络平台建设必须要稳定、安全、可靠，且便于管理和维护的基础网络，实际应用中能支持与外部网络的兼容，在确保院内网络能互通互联的同时，保证医技、管理、检验等职能科室的相对独立，接入层支持百兆到桌面，核心层支持全千兆向万兆速率平滑扩容的能力，同时支持东区分院网络系统与西区总院联合办公。根据这一要求，网络关键节点必须具备高宽带、高安全、高性能的特质，且能保障系统的连续稳定运行。
1.2综合布线和机房建设
网络布线应能满足当前和一段时期内网络通讯技术发展的要求，同时确保医院影像（PACS）、检验数据（LIS）、电子病历等系统的彼此相连，并可与外部网络连接，确保远程会诊的需要。在设计中，首先必须科学、合理的确定中心机房的具体方位，建立符合国家标准的机房（包括恒温、防尘、防水、相对安静等），各种计算机、网络及安全设备能满足医院业务扩展的需要。中心机房与医技、行政、住院等楼宇间多模光纤联接并留有备份线路。光纤到终端用户采用屏蔽双绞线，各线路之间避免交叉，并与强电保持相对稳定距离，减少对传输线路的互相干扰。日常维护中做好跳线备份，以备应急使用。新增用户终端距离网络联接设备尽可能控制距离，减少传输信号的衰弱。
1.3划分子网
1.3.1虚拟子网
根据医院不同职能部门处于不同的地理位置，医院网络系统可以使用虚拟局域网（VLAN），VLAN可以根据医院各职能部门、不同权限用户组或者将不同方位、不同楼层的网络用户划分为一个逻辑网段。在不改动网络物理连接的情况下可以任意地将终端用户在工作组或划分的子网之间移动。利用虚拟网络技术，可以控制网上的广播风暴，对一些需要单独设置的部门实施了安全保护，且当某一部门位置发生了变化，对交换机进行设置，就可以实现网络的重组，大大减轻了网络管理和维护工作的负担，降低了网络维护费用。中小型医院划分VLAN采用的主要是基于端口的VLAN划分方式，一般按物理位置方便实用原则。中小型医院的网络方案将整个网络划分成多个VLAN，分别包括服务器VLAN1、交换机VLAN2、住院VLAN3、门急诊VLAN4、影像科VLAN5、检验科VLAN6，和行政办公VLAN7，将各部门的业务在网络中相对独立，提高网络的利用率。
1.3.2应用子网
现在医院已建立自己的HIS系统，但是由于地域上的距离和网络发展的不平衡，医院与医保中心、卫生局、疾病控制中心等医疗卫生分支部门等网络之间缺少互联互通。网络间的资源不能共享，造成网络的割裂。可采用最常用的传输技术――VPN。充分利用公网资源，建立安全可靠，经济高效的传输链路。在VPN技术的支持下，位于不同地点的医疗部分只需联入当地互联网，就可以组成一个可靠高效的虚拟专用网络。便于门诊收费人员及时结账报销医疗费用，为医疗卫生行业提供一个高性能，高质量，高可靠性的信息访问的解决方案。
2医院网络系统安全管理
随着医院信息化战略的推进，网络安全问题也被越来越多的医院所重视。如何让医院摆脱网络安全的威胁，是医院在信息化建设过程中首要解决的问题。
2.1硬件系统的物理安全措施
硬件系统的安全措施是整个网络系统运行的物理基础。是指网络系统中各计算机通迅设备的物理保护，避免其受到外界和人为的破坏。硬件系统的主要安全隐患有中心机房的供电、网络和设备等几个方面的故障。主要解决措施有安装严格的防雷防静电措施，对服务器、交换机、路由器等中心节点设备采用不间断电源，有条件的地方可以建立电路双回路系统，保证断电后能实时供电。医院信息系统应用网络与互联网实行物理隔离。各终端都安装杀毒软件，并确保及时升级。对各终端用户的密码确保专人使用。对网络进行适时监控，确定专人对网络病毒情况进行扫描监测。为更好的防止外来病毒入侵，各交换设备均安装防火墙对所有进出数据进行过滤。各终端用户计算机在上线前一律进行空白检测，不得安装光驱、软驱，并将部分没有USB接口打印机的主机的USB口屏蔽，采取多种措施来保护设备的物理安全和媒体安全，为整个网络可以提供终端到终端的可靠性。
2.2软件系统的安全措施
2.2.1病毒安全防治
医院与医保中心、卫生局、疾病控制中心等医疗卫生分支部门采用VPN互联，个别终端用户不可避免的与外界网络有了连接，也就有可能会遭受到病毒的攻击。由于医院网络实行集中式管理，可以采用各终端安装网络版杀毒软件，客户端自动分发安装，服务器定期实时升级，各终端病毒自动升级。建立计算机病毒防范措施，经常升级操作系统的安全补丁。
2.3服务器及工作站管理
2.3.1服务器管理
及时安装操作系统和服务器软件的最新版本和修补程序。不断会有一些系统的漏洞被发现，通常软件厂商会新的版本或补丁程序，以修补安全漏洞，保持使用的版本是最新的可以使安全的威胁最小；加强登录过程的身份认证，设置不易猜测的登录口令，严密保护帐号口令并做到定期变更，防止非法用户轻易猜出口令，确保用户使用的合法性，限制未授权的用户对主机的访问；严格限制系统中关键文件的使用许可权限；充分利用系统本身的日志功能，对所有用户的所有访问作记录，服务器启停记录；不定期检查系统安全日志、系统状态和服务器性能监测记录，以便及早发现系统中可能出现的非法入侵行为，为管理员的安全决策提供依据，为事后审查提供依据。
2.3.2工作站管理
工作站是用户操作管理系统的直接平台，遵循“谁使用、谁负责”的原则进行，各工作站使用部门要定期检查电脑使用情况、密码管理、防病毒设置等。各工作站电脑一律只装入需要的程序。网管人员能定期检查机器维护情况，任何电脑需要安装软件时，由相关专业人员填写安装申请表，经系统管理员查核无误后，方可安装。
2.4网络用户的安全管理
由于医院网络用户涉及操作人员、医护人员、管理人员等诸多使用者，覆盖面大，给系统带来了不少的安全隐患。因此，对于网络用户的安全管理也成为网络安全管理中必不可少的一部分。
2.4.1建立安全管理制度
针对技术管理人员，建立健全管理制度，规范行为，避免事故的发生。通常应当建立的制度包括工作站管理维护日志、工作站系统操作规程、机房管理工作制度、机房计算机系统管理操作规范、机房数据安全保障工作制度、信息系统故障应急方案、信息系统保密制度、病毒防范制度等。这些制度都将有助于规范我们的工作流程，保证医院信息系统稳定运行和数据的完整安全。
2.4.2加大人员培训力度
人员培训是保证系统正常运行的关键。要由技术精湛的技术人员负责人员培训，以提高他们的操作水平，减少失误，并对其进行考核，把操作人员计算机知识考核纳入员工总体考核目标，只有考核合格的操作员才能上岗。
2.4.3强化用户安全意识
要提高认识，加强责任意识、安全意识,强化网络信息安全管理工作的重要性。定期举办网络安全讲座，经常强调网络安全关系到医院工作的正常运行,要使每个工作人员都意识到安全的重要性,要督促各操作人员严格执行规章和操作规范。
3结束语
医院的网络建设与安全管理是一项复杂的系统工程。在建设中一开始就要充分考虑到网络安全对整个系统应用的重要性，同时也要充分的认识到，网络安全硬件防护没有绝对保险的安全措施，必须要不断健全网络建设安全保护工作机制，建立安全防护工作预案，从技术上、思想上更加多层次进行预防，并在实践中不断完善，同时提高日常管理中的安全警惕，才能确保网络建设方案科学、安全、有效。
参考文献：
[1]李炎伶.医院网络安全状况及其防范措施[J].医疗装备,2010,(7):48-49.
[2]张剑,张岩.医院网络安全探讨[J].华北国防医药,2007,19(5):20-21.
[3]刘聪.浅析医院网络建设中存在的问题及对策[J].电脑知识与技术,2011(7):2805-2806.
2010年，卫生系统各单位、各部门围绕继续扩大卫生信息化覆盖的范围和领域，提高卫生信息化应用水平，保障系统安全，持续努力工作，取得了显著成绩。受北京市卫生系统信息化领导小组委托，现在由我向大家做工作报告，总结2010年工作，部署2011年重点任务。
2010年卫生信息化工作情况
1. 积极推动医改各项工作
2009年国家颁布新医改方案，2010年北京市制定“北京市2010~2011深化医药卫生体制改革实施方案”。关于卫生信息化工作，在北京的医改文件中提出：“启动医药卫生信息综合服务平台建设前期工作。探索利用网络信息技术，试点发展远程会诊。推进信息化标准建设，逐步统一规范医院信息系统数据接口和信息采集，推进公共卫生、医疗、医保、药品、财务监管等信息系统互联互通工作。提高信息化水平，城乡居民电子健康档案建档率达到20%。”
2. 卫生信息化人员机构和队伍建设又见成效
2010年，昌平区卫生局新成立了信息中心，使我市16个区县中，区县卫生局成立信息中心的数量达到12个。目前，只有海淀、丰台、通州、门头沟4个区县卫生局仍然没有成立信息中心。
3. 坚持卫生信息化行业管理不松懈
自2003年后，为避免信息化建设各自为政、重复建设、盲目建设、数据多头采集，北京卫生信息化按照“统一规划、统一标准、统一建设、统一管理”的“四统一”原则开展工作。
起草《北京市“十二五”卫生信息化规划》
2010年是十二五规划之年，《北京市“十二五”卫生信息化规划》专项规划是《北京市卫生事业发展改革“十二五”规划》的重要组成部分。市卫生局全面征求区县卫生局、直属事业单位和直属三级医院的意见，多次组织召开专题研讨会征求意见。目前，已经完成了规划的制订，准备近期。
制订医院门急诊信息系统相关标准规范
完成《北京地区医院门急诊信息系统基本功能规范和数据采集规范》（试行稿），于9月19日向北京地区50家三级医院及11家远郊区县中心医院下发《关于建立北京地区医疗机构门急诊信息报告制度的通知》（京卫医字〔2010〕212号）以及《关于做好门急诊信息系统接口改造工作的通知》，该规范作为医院门、急诊信息系统改造以及数据采集的规范依据正式试行。
完成了《北京市药品分类与代码规范》，北京市质量技术监督局已经将其列入2011年北京市地方标准修订计划之中。
完成卫生信息化项目前置审核工作
按照《北京市卫生信息化项目建设管理办法》（京卫办字〔2008〕107号），做好卫生信息化项目的前置审核评审等项目管理工作。2010年共收到各单位上报项目76项，涉及资金3亿元。经市卫生局信息化领导小组审核，通过22项。
通过统一评审和归口管理，可以全面了解各单位的卫生信息化情况，做到统筹管理，使得各部门的信息化建设符合卫生信息化总体规划和发展方向；同时利用市公共卫生信息中心及相关专家资源对于项目建设方案进行评估，使得方案在总体设计、安全管理、网络建设、国产软硬件产品和信息共享等方面更加全面、科学。
4. 重点应用系统建设取得实效
新社区卫生信息系统推广实施顺利
新社区卫生服务综合管理信息系统是全面覆盖社区卫生服务机构和社区卫生管理机构，以建立居民健康档案为核心，支持基本医疗和公共卫生服务的信息系统，符合社区卫生改革的要求。
在新社区卫生服务综合管理信息系统中，着力建设社区卫生业务和财务等应用系统，实现市、区县和基层三层体系架构。2010年完成了试点项目验收，6月24日启动全市推广。截至到2011年3月6日，在西城、原崇文、原宣武、顺义、朝阳、海淀、石景山等8个区县、52个社区卫生服务中心、178个社区卫生服务站稳定运行，建立电子健康档案526万份，原东城、西城、崇文、宣武四个城区基本完成实施推广任务，顺义、海淀、石景山、昌平区、密云县进展顺利。
借助医联码系统，实现门急诊信息采集
北京市实名就诊卡完善（医联码系统）项目是我市建立门急诊信息报告制度的支撑项目，是我局针对目前管理需求对原北京市实名就诊卡完善项目进行变更后重新启动的项目。该项目在全市三级医院及十一家区级中心医院实施，将为非医保患者建立统一的条码，通过此条码采集门急诊就诊信息。项目实施至今，已在全市推开，医联码发放及信息采集工作业已开始。截至3月15日，已有39家医院完成接口改造，大兴人民医院、妇产医院、同仁医院、房山第一医院等31家医院共计发放医联码28.95万条。朝阳医院、妇产医院、人民医院、北医三院、中日友好医院等17家医院已经上报门急诊信息，共计93.8万条。
5. 固化卫生行业信息安全保障成果，提高安全管理水平
2010年的卫生行业信息安全的重点工作是固化奥运和国庆信息安全保障工作成果，在行业内以推动等级保护为依托，进一步提高全行业信息安全管理水平。在各级领导的重视下，各单位圆满完成了2010年信息安全相关工作。
开展卫生行业信息安全检查
2010年，为督促我市卫生行业各单位做好信息安全保障工作，细化各项信息网络安全工作措施，进一步提升网络与信息系统支撑医疗服务工作的效率和水平，确保我市卫生行业网络与信息系统安全稳定运行，市公安局和市卫生局对全市大中型医院及市属医疗卫生机构开展了网络和信息系统安全检查。
出台《医疗卫生信息安全等级保护实施指南》
2010年，结合近几年信息安全联合检查中遇到的各类问题，信息中心组织出版了《医疗卫生信息安全等级保护实施指南》。规范了医疗卫生信息安全等级保护工作的基本思路和实施方法，指导我市医疗卫生信息建设中的信息安全保障工作，对搞好医疗卫生信息安全保障具有十分重要的现实意义。
开展信息安全培训
2010年，在卫生局直属单位开展了信息安全员信息安全保障知识培训，共进行了8次授课，共400余人次接受了培训，提高了信息安全员的信息安全保障能力，为各单位的信息安全保障奠定了基础。
2011年卫生信息化重点任务
1. 十二五期间信息化建设基本任务
未来五年，卫生信息化建设的主要任务是建立“基于电子病历和居民健康档案的医药卫生信息化工程”，主要内容可以概括为一张网络、两级平台、三个基础数据库。
一张网络，是指全市各级各类医疗卫生机构与行政管理部门互联互通的信息传输网络；两级平台，是指市、区/县两级卫生信息交换平台；三个基础数据库，是指执法相对人数据库、医疗卫生资源数据库和居民健康档案数据库。实现上述目标，依靠的是标准规范和信息安全保障两个体系。
2. 推进医院信息化建设
电子病历试点工作
卫生部为推进医药卫生体制改革，加强医院信息化建设，于2010年9月下发了《关于开展电子病历试点工作的通知》（卫医政发〔2010〕85号）文件，决定在北京市等22个省（区、市）部分区域和医院开展电子病历试点工作，确定试点工作时间为1年。市卫生局根据卫生部文件的精神和要求，组织制定了《北京市以电子病历为核心的医院信息化试点工作实施方案》，明确了指导思想、工作目标、组织管理、实施步骤及工作要求。同时还制定了《北京地区电子病历试点技术方案》，指导试点医院推进电子病历工作。
医联码相关工作
医联码系统为北京地区医疗机构门急诊信息采集提供了支持，奠定了基础。根据北京市卫生局《关于建立北京地区医疗机构门急诊信息报告制度的通知》（京卫医字〔2010〕212号）文件要求，三级医疗机构及11家远郊区县区域医疗中心2011年1月起，正式启用门急诊信息上报工作。今年要继续推进医联码相关工作，希望各医院建立院内的组织协调工作机制，积极开展医联码接口改造、信息上传、门急诊就诊信息上传等工作。
3. 推广实施社区卫生信息系统
市卫生局、市编办、市发改委、市财政等八部门联合下发的《关于进一步推进社区卫生改革与管理工作的意见》（京卫基层字〔2010〕25号）要求，“以有利于工作开展、有利于方便居民、有利于加强管理为目标，全面推广应用全市统一的新社区卫生服务综合管理信息系统，并不断完善功能。到2011年底，建立起以健康档案为基础的覆盖全市社区卫生服务和管理机构的信息化管理体系，搭建完成覆盖全市社区卫生服务管理中心、社区卫生服务中心、社区卫生服务站的互联互通的网络。加强市、区两级社区卫生服务综合管理信息平台的建设。”
各区县积极推进社区卫生信息化工作，年底之前，完成16区县推广应用部署工作。目前，推进较好的区县为东城、西城、顺义、海淀、石景山、昌平、密云、大兴等。
4. 加强公共卫生和卫生管理信息化建设和综合利用
推动居民电子健康档案建立工作
根据医改要求，把为辖区常住人口重点人群自愿建立统一、规范的居民健康档案，及时更新健康档案，并逐步试行计算机管理等工作列为本市为居民提供的基本公共卫生服务项目。2011年的医改任务责任书中，各区县居民电子健康档案建档率指标有所不同，但全市总体要求达到50%以上。北京市新社区卫生服务信息系统已经提供了电子健康档案建立的工具，请各区县组织人员开展电子健康档案相关工作，以便建立实时动态变化的社区居民电子健康档案，为社区居民服务，为家庭医生服务。
启动妇幼保健网络信息系统二期
3月启动妇幼保健二期建设，系统将覆盖北京市妇幼保健院、16所区县妇幼保健院（所）、近800家承担妇幼保健服务与管理工作的医疗保健机构、1000余家托幼园所等机构，以妇幼健康档案为核心，实现与医院和社区信息共享的、完整的、动态的、连续的妇女儿童保健信息库。计划9月开发完成，试运行。各区县不需再单独建立妇幼信息系统。
2011年工作要求
1. 领导重视，加快落实信息化机构和人才队伍建设
目前，仍有部分区县没有成立信息中心，部分直属机构没有信息管理部门，卫生人才队伍薄弱，严重影响了信息化建设。各单位领导要高度重视，尽快落实机构设置和人员配置问题。
2. 加强管理，保障信息系统安全
今年市卫生局将继续以信息系统等级保护工作为依托，继续加强全市卫生行业信息安全管理工作。
继续联合市公安局对行业进行信息安全检查，重点针对电子病历试点单位、重要公共卫生部门进行安全检查。
按照市信息安全协调领导小组工作部署要求，进一步加快推动等级保护。
3. 树立大局观念，加快社区卫生信息系统的推广应用
要求各区县加强组织，落实责任，协调相关部门，加大推广力度，2011年底之前完成任务。
使用全市统一的新社区卫生服务信息系统。
1.1网络通讯技术软件故障
1.1.1交换机系统是硬件和软件的结合体
交换机所必需的软件系统都是通过交换机内部的只读存储器来保存的。这类错误也和我们常见的WINDOWS、Linux一样，面对这样的问题，我们必须要做到经常浏览设备厂商的习惯，及时更新补丁才能避免导致交换机满载、错包、丢包等情况的发生。
1.1.2配置问题。配置交换机时出现的错误往往是初学者由于各种交换机配置不一样导致的。出现的原因有很多：比如端口被错误地关闭、VLAN划分不名犬导致网络不通等。如果工作者不是经验很多是很难发现故障的，那么可以先恢复出厂默认配置，然后再一步一步来。
1.1.3密码问题
我们在平时上网的时候会遇到密码丢失的情况，这是一件非常头疼的事。一旦忘记密码，会导致进不去系统，使得工作根本无法进行。但是，往往系统都会有找回密码的功能，当然网络通讯技术也不例外。有的方法比较简单，但有些则需要一步一步操作完成的。不过，密码丢失也不是经常发生的事，通常都是工作人员忘记密码或者交换机出现故障导致的。
1.1.4某台主机由于病毒或者黑客的存在导致向所连接的端口发送一些不符合封闭规则泽的数据包
造成在交换处理器处于非常繁忙的工作状态，最终导致缓冲区丢包的现象。其次就是大量占用网络宽带的广播风暴现象，使得CPU的处理时间大大加长了。长时间下去，就会导致无法正常进行点对通信，网速也就大大降低了。出现广播风暴的原因有很多，比如网卡或者端口出现损坏都会出现广播风暴。
2网络通讯问题的改进策略
做好计算机日常的维护和解决网络通讯出现的问题是保证网络稳定性的必要工作。集体有以下几个方面：
2.1日常维护计算机的硬件若想使计算机处于正常的工作状态
对计算机进行软件维护和硬件检查是非常重要的。网线、路由器、电脑显示器、集线器、交换机这些都是硬件检查的基本项目。这些硬件一旦出现问题要及时修理，严重的还要更换。而检查计算机的安全性，系统的完备性，和一些对一些网络进行设置和更新，这些都是在维护软件时做的工作。
2.2加强安全管理、构建网络安全保障体系网络安全非常的重要
这就要求我们要做到加强网络管理技术，加强计算机自我工作的能力以此来减少人为的操作。培养高级的网络安全管理人员，并且加强网络安全工作人员的培训队伍，不仅要教会他们如何工作，还要培养他们的职业修养，定期上一些思想教育课，让管理人员少喝酒，真正做到爱岗敬业。
3改进安全控制，保障网络通讯安全进行
通过技术的强化来加强网络通讯的安全，主要包括以下几点：
3.1对计算机系统中所存在的缺陷以及后门都要进行严格管理
要填补计算机安全漏洞，做认真的评估以便能够准确地进行修复，这样才能很好地完成维护网络安全的工作。
3.2防火墙技术要加强
通过多个网络设备加强访问控制的技术叫做防火墙。它的作用就是能够构成安全的网络环境，降低不安全服务所造成的风险。而通过防火墙的全都是经过精细挑选的应用协议，因此更增加了网络安全系数。安全软件由于配置在了防火墙上，使得强化了网络的安全策略。而防火墙的集中安全的管理要比分散到各个主机的网络传统安全管理更加实用。内部网络通过防火墙对内部网络的划分可实现重点网段的隔离，从而实现了网络的安全以及对全局网络造成的影响。为了防止主机的IP地址被外部人士所研究透，可以通过通防火墙来隔离内部网络中的DNS信息。这样就避免了一些商业机密被外泄的危险。
3.3对网络信息加密也是保证网络安全的有效方法，这属于存取控制技术领域的范畴
它对于网内数据和网内信息都是非常管用的一种技术。在防治非法访问等难题上，加密都是一个很有效的手段。所以对加强网络安全来说，加密也是一个非常重要的网络安全管理方法。
3.4加强安全审计技术
目前，主机审计、应用审计、数据库审计是比较成熟的安全设计技术。而授权信息和安全策略的制定是两种主要的审核技术。这项技术目前可以通过用户活动，并根据NTFS未经授权的访问进行检测。
4结语
关键词：信息安全；等级保护；技术方案
中图分类号：TP393.092
随着采供血业务对信息系统的依赖程度越来越高，信息安全问题日益突现，各采供血机构对信息安全保障工作给予了高度重视，各方面的信息安全保障工作都在逐步推进。《卫生行业信息安全等级保护工作的指导意见》（卫办发[2011]85号）指出[1]，依据国家信息安全等级保护制度，遵循相关标准规范，全面开展信息安全等级保护定级备案、建设整改和等级测评等工作，明确信息安全保障重点，落实信息安全责任，建立信息安全等级保护工作长效机制，切实提高卫生行业信息安全防护能力、隐患发现能力、应急能力，做好信息安全等级保护工作，对于促进采供血机构信息化发展，维护公共利益、社会秩序和国家安全具有重要意义。
1 信息安全等级保护概述
1994年国务院147号令《中华人民共和国计算机信息系统保护条例》，规定我国实行“计算机信息安全等级保护制度”[2]。根据147号令的要求，公安部制定了《计算机信息等级划分标准》（GB17859-1999以下简称GB17859），该标准是我国最早的信息安全等级标准。
当前实施的信息安全等级保护制度是由公安部等四部委联合发文《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）及《信息安全等级保护管理办法》（公通字[2007]43号），文件明确了信息安全等级保护制度的原则、内容、工作要求、部门分工和实施计划，为信息安全工作提供了规范保障。这些信息安全的有关政策法规主要是从管理角度划分安全等级的要求。
2006年，国家信息安全技术标准化技术委员会以GB17859为基本依据，提出并制定了一系列信息安全国家标准（GB/T20269-2006《信息安全技术 信息系统安全管理要求》等）。这一系列规范性文件体现了从技术角度划分信息安全等级的要求，主要以信息安全的基本要素为单位，对实现不同安全要求的安全技术和机制提出不同的要求。本文主要讨论以GB17859为依据从技术角度探讨信息安全等级保护技术在采供血机构中的实践。
2 等级保护技术方案
信息安全等级保护制度明确了信息安全防护方案，要求确保信息系统安全稳定运行，确保信息内容安全。保证业务数据在生成、存储、传输和使用过程中的安全，重要业务操作行为可审计，保证应用系统可抵御黑客、恶意代码、病毒等造成的攻击与破坏，防范恶意人员对信息系统资源的非法、非授权访问。
2.1 实现要求。三级安全应用平台安全计算环境的安全目标是保护计算环境的终端、重要服务器、乃至上层的应用安全和数据安全，并对入侵事件进行检测/发现、防范/阻止和审计/追查。依据GB17859-1999等系列标准把相关技术要求落实到安全计算环境、安全区域边界和安全通信网络、安全管理中心及四个部分，形成“一个中心”三重保障体系[3]。
图1 三级安全应用平台TCB模型
2.2 安全计算机环境。安全计算机环境是由安全局域通信网络连接的各个安全的计算资源所组成的计算环境，其工作方式包括客户/服务器模式；主机/终端模式；服务器/工作站模式。
2.3 安全区域边界。是安全计算环境通过安全通信网络与外部连接的所有接口的总和，包括防火墙、防病毒网关及入侵检测等共同实现。
2.4 安全通信网络。实现信息系统中各个安全计算机环境之间互相连接的重要设施。包括安全性检测、安全审计病毒防杀、备份与故障恢复以及应急计划与应急反应。
2.5 安全管理中心。针对安全计算机环境、安全区域边界和安全通信网络三个部分的安全机制的集中管理设施。针对安全审计网络管理、防病毒等技术的安全集中管理。
3 采供血机构信息系统等级保护建设
3.1 定级。采供血机构为地市级公益卫生事业单位，信息管理系统受到破坏会严重损害社会秩序，采供血业务停滞会严重损害公共利益，信息泄露则会严重影响公众利益，按信息系统安全等级保护定级指南，确定采供血信息系统安全保护等级为第三级。
3.2 系统分析。采供血信息系统覆盖采供血业务和相关服务过程，包括献血者档案、血液采集、制备、检验和发放等信息记录必须妥善保存并保持可溯性。艾滋病疫情信息根据国家相关法律法规的要求，必须防止泄露，以免产生对国家安全及社会稳定的负面影响。
信息系统核心由两台双机热备服务器、磁盘阵列柜组成，采用硬件VPN、硬件防火墙作为网络安全设备。应用VPN技术将远离采供血机构本部的献血屋、移动采血车及医院输血科使用的业务计算机与站内的服务器联网。
3.3 等级保护建设。依据GB17859-1999等系列标准把相关技术要求落实到安全计算环境、安全区域边界和安全通信网络和安全管理中心四部分。构建“一个中心”管理下的“三重保障体系”，实现拓朴图如下：
图2 采供血机构拓扑图
3.3.1 安全计算环境。系统层主要进行身份认证及用户管理、访问控制、安全审计、审恶意代码防范，补丁升级及系统安全性检测分析。安全计算环境主要依靠在用户终端或是服务器中充分挖掘完善现有windows/Linux操作系统本身固有的安全特性来保证其安全性。在应用系统实现身份鉴别、访问控制、安全审计等安全机制。
3.3.2 安全区域边界。在网络边界处以网关模式部署深信服下一代防火墙AF-1320，电信及联通两条线路都接入其中，达到以下防护目的：（1）区域边界访问控制：逻辑隔离数据、透明并严格进行服务控制，隔离本单位网络和互联网，成为网络之间的边界屏障，单位内部电脑上网，实施相应访问控制策略，设置自主和强制访问控制机制；（2）区域边界包过滤：通过检查数据包源地址、过滤与状态检测提供静态的包过滤和动态包过滤功能；（3）区域边界安全审计：由内置数据中心和独立数据中心记录各类详细事件，并产生统计报表。还可根据管理者定义的风险行为特征自动挖掘并输出风险行为智能报表；（4）完整性保护：保护计算机网络免受非授权人员的骚扰与黑客的入侵，过滤所有内部网和外部网之间的信息交换。该防火墙具有IPS入侵防护，防护类型包括蠕虫/木马/后门/DoS/DDoS攻击探测/扫描/间谍软件/利用漏洞的攻击/缓冲区溢出攻击/协议异常/ IPS逃逸攻击等；具有网络应用层防护，识别及清杀恶意代码功能。
3.3.3 安全通信网络。当用户跨区域访问时，根据三级标准要求，需要进行数据传输保护。通过部署VPN安全设备构建安全隧道，实施机密性和完整性保护，实现对应用数据的网络传输保护。（1）本单位用采两台深信服VPN网关为跨区域边界的通信双方建立安全的通道。一台为IPsec VPN用于连接采供血机构的分支机构如大型献血屋，另一台为SSL VPN用于小型捐血屋、流动采血车、各医院与采供血机构的数据通信。VPN设备可为采供血机构内部网络与外部网络间信息的安全传输提供加密、身份鉴别、完整性保护及控制等安全机制。另外，VPN安全网关中设计了审计功能来记录、存储和分析安全事件，可为安全管理员提供有关追踪安全事件和入侵行为的有效证据；（2）在防火墙下端部署华为S5700系列三层核心交换机，并在网络中划分VLAN，设置部门应用终端的访问权限，规定哪些部门可以访问哪些服务器等以减少网络中的广播风暴，提高网络效率；（3）在行政办公区域利用深信服上网行为管理（Sinfor-M5000-AC）有效管理与利用互联网资源，合理封堵非业务网络应用。
3.3.4 安全管理中心。信息安全等级保护三级的信息系统，应建立安全管理中心，主要用于监视和记录信息系统中比较重要的服务器、网络设备等环节，以及所有应用系统和主要用户的安全状况。本单位目前安全管理中心由两部分组成，配置赛门铁克赛门铁克SEP12.1，采用分布式的体系结构部署了防病毒系统中心、防病毒服务器端、防病毒客户端、防病毒管理员控制台。防病毒软件与防火墙、VPN及上网行为管理协同完成通信线路、主机、网络设备、应用软件的运行等监测和报警，并形成相关报表。对设备状态、恶意代码、补丁升级及安全审计等相关事项进行集中管理。
4 结束语
按照等级保护的相关规范和技术要求，结合采供血机构具体网络和系统应用，设计三级信息安全等级保护方案并建设，保证采供血机构网络的安全、稳定、通畅，保障了整个采供血业务的正常运转，更好地服务于广大患者。
参考文献：
[1]网神信息技术（北京）股份有限公司[J].信息网络安全，2012（10）：28.
[2]郎漫芝，王晖，邓小虹.医院信息系统信息安全等级保护的实施探讨[J].计算机应用与软件，2013（01）：206.