區(qū)域人口健康信息平臺安全解決方案

一、背景需求

區(qū)域人口健康信息平臺又稱區(qū)域衛(wèi)生信息平臺（以下簡稱“平臺”），是以區(qū)域內(nèi)電子健康檔案信息的采集、存儲、利用為基礎(chǔ)，連接區(qū)域內(nèi)的醫(yī)療衛(wèi)生機(jī)構(gòu)基本業(yè)務(wù)信息系統(tǒng)的數(shù)據(jù)交換和共享的平臺，是不同系統(tǒng)間進(jìn)行信息匯集整合和挖掘利用的載體。區(qū)域人口健康信息平臺是人口健康信息化和健康醫(yī)療大數(shù)據(jù)基礎(chǔ)，是人口健康信息化建設(shè)的首要任務(wù)。

隨著區(qū)域人口健康信息平臺建設(shè)的逐步推進(jìn)，平臺安全和病人隱私保護(hù)問題也隨之出現(xiàn)。結(jié)合衛(wèi)生計生行業(yè)信息安全調(diào)研反饋情況，當(dāng)前平臺建設(shè)普遍缺乏信息安全體系的總體規(guī)劃，缺乏總體的安全防御體系。一方面，區(qū)域人口健康平臺信息化建設(shè)過程中往往未與信息安全建設(shè)相結(jié)合，沒能做到同步規(guī)劃、同步建設(shè)、同步運(yùn)維；另一方面，盡管許多醫(yī)療衛(wèi)生機(jī)構(gòu)已經(jīng)堆砌式地部署了大量的信息安全產(chǎn)品，但隨著信息安全的需求不斷變化與增加，已不能滿足實際需要，導(dǎo)致很多信息安全問題仍然存在。這在一定程度上成了制約人口健康信息平臺發(fā)展的重要瓶頸。

需求

(1)符合國家等級保護(hù)要求

(2)平臺網(wǎng)絡(luò)接入安全可信

(3)健康信息安全互聯(lián)互通

(4)云平臺大數(shù)據(jù)安全可控

(5)注重公眾健康隱私保護(hù)

(6)安全管理措施規(guī)范有效

二、解決方案

區(qū)域人口健康信息平臺安全總體解決方案依據(jù)國家等級保護(hù)制度要求，按照區(qū)域人口健康信息化平臺統(tǒng)一規(guī)劃，進(jìn)行人口健康信息化平臺安全一體化設(shè)計，采用“集中安管、分區(qū)分域、縱深防御、業(yè)務(wù)與安全相互融合”的設(shè)計思想，綜合運(yùn)用數(shù)據(jù)全生命周期安全分析方法，利用自主的云計算安全技術(shù)，數(shù)據(jù)隱私保護(hù)技術(shù)，圍繞人口健康信息化平臺的安全需求，建設(shè)全方位、一體化的安全防護(hù)體系。

集中管控。以業(yè)務(wù)信息系統(tǒng)為核心，從監(jiān)控、審計、風(fēng)險、運(yùn)維四個維度搭建綜合安全監(jiān)管平臺，通過態(tài)勢感知、安全預(yù)警、綜合運(yùn)維、應(yīng)急處置等方面的能力建設(shè)，增強(qiáng)對區(qū)域人口健康信息平臺的統(tǒng)一安全監(jiān)管及整體安全防護(hù)能力，確保平臺業(yè)務(wù)的安全、可靠運(yùn)行。

縱深防御。采用防火墻將不同安全等級要求的區(qū)域進(jìn)行隔離，將內(nèi)部網(wǎng)絡(luò)分成若干個子區(qū)域，明確安全防護(hù)重點(diǎn)；通過建設(shè)安全隔離與交換平臺，實現(xiàn)電子政務(wù)外網(wǎng)、互聯(lián)網(wǎng)的跨網(wǎng)交換和信息共享，保證信息系統(tǒng)的橫向融合；通過安全系統(tǒng)，實現(xiàn)統(tǒng)一的用戶管理、授權(quán)管理和身份認(rèn)證。

等級防護(hù)。依據(jù)《衛(wèi)生行業(yè)信息安全等級保護(hù)工作的指導(dǎo)意見》文件精神，按照國家信息安全等級保護(hù)要求，從物理安全、網(wǎng)絡(luò)安全、主機(jī)安全、應(yīng)用安全、數(shù)據(jù)安全等方面進(jìn)行體系化設(shè)計，保證平臺滿足等級保護(hù)測評要求。并結(jié)合云計算、大數(shù)據(jù)等信息技術(shù)發(fā)展趨勢，進(jìn)行增強(qiáng)性設(shè)計。

業(yè)務(wù)與安全融合。在進(jìn)行信息安全設(shè)計的同時，注重業(yè)務(wù)系統(tǒng)服務(wù)可用。針對業(yè)務(wù)系統(tǒng)安全防護(hù)重點(diǎn)進(jìn)行設(shè)計，保障人口健康信息全生命周期安全。

三、效能體現(xiàn)

（1）   符合國家等級保護(hù)要求

（2）   實現(xiàn)網(wǎng)絡(luò)可信接入

（3）   安全與業(yè)務(wù)貼合緊密

（4）   體系化信息安全防護(hù)

（5）   安全風(fēng)險防控能力顯著提升