本书从网络安全等级保护制度发展的历史入手，讲解网络安全体系建设在我国的发展过程。基于近期开展的中国医院网络安全等级保护状况调查和北京市医疗行业网络安全等级保护现状调研，给出具体的数据分析结果；之后结合国内外文献调研，探讨适合医院的网络安全框架；然后以案例为基础，介绍定级、备案、整改、测评全过程；最后针对等级保护2.0新标准的项目逐条解读，结合案例对比新旧标准的差异，对比不同等级安全要求的差异。本书共7章，主要内容包括：网络安全等级保护制度概述、医疗行业网络安全等级保护现状及建议、医院网络安全框架、医院网络安全等级保护实施、安全通用要求——技术部分解读、安全通用要求——制度部分解读、新技术应用安全要求解读。本书可供医学信息学、网络安全等专业的相关人员学习、参考。

前 言 为配合《中华人民共和国网络安全法》的实施，推动在云计算、移动互联、物联网、工业控制和大数据等新技术、新应用情况下网络安全等级保护工作的开展，国家标准化管理委员会于2019年5月发布了《信息安全技术 网络安全等级保护安全设计技术要求》（GB/T 25070—2019）、《信息安全技术 网络安全等级保护基本要求》（GB/T 22239—2019）和《信息安全技术 网络安全等级保护测评要求》（GB/T 28448—2019）等一系列标准规范。各大医疗机构都应积极落实等保2.0条例及标准规范，积极推进网络安全等级保护定级、备案、测评和整改工作。希望本书的出版能够在各大医疗机构的网络安全等级保护工作中，发挥借鉴和参考的作用。 本书是在中国医院协会信息专业委员会（CHIMA）2018年度研究课题“新标准下卫生行业等级保护工作的调研及指导行业落实”的支持下完成的。感谢CHIMA对本书编撰工作的支持，感谢CHIMA秘书处朱丽艳，以及北京协和医院杨巍、胡海洋，他们为图书的编辑出版做了大量的组织和协调工作。 本书出版时间匆促、工作量大，各位编者按照编撰要求，以高度负责和严肃认真的态度进行了编写，虽然经过多番校订，但内容庞杂难免有疏漏之处，尚祈各位专家读者批评指正，并将您的宝贵意见函告ITsec@pumch.cn，以便再版时修正。 最后感谢以下单位和厂商的相关人员参加图书编写工作，并提供了丰富的素材、实践案例与应用成果（以下排名不分先后）。 中国信息安全测评中心：是专门从事信息技术安全测试和风险评估的权威职能机构，主要职能包括负责信息技术产品和系统的安全漏洞分析与信息通报，负责党政机关信息网络、重要信息系统的安全风险评估，开展信息技术产品、系统和工程建设的安全性测试与评估，开展信息安全服务和专业人员的能力评估与资质审核，从事信息安全测试评估的理论研究、技术研发、标准研制等。 中国软件评测中心：秉持支撑管理和服务行业的宗旨，面向政府、企业、科研机构等开展全行业的网络安全风险评估、等级保护、安全验收、安全规划咨询等业务，是网信部门、电信主管部门、公安部门的重要支撑单位。 奇安信科技集团股份有限公司：是为全球全行业提供企业级网络安全技术、产品和服务的网络安全公司，拥有员工近7000名。公司以“让网络更安全，让世界更美好”为使命，以数据为创新驱动力，以打造网络安全颠覆性和非对称性能力为目标，力争成为全球第一的网络安全公司。 华为技术有限公司：全球领先的ICT（信息与通信）基础设施和智能终端提供商，致力于把数字世界带入每个人、每个家庭、每个组织，构建万物互联的智能世界。目前华为拥有18.8万名员工，业务遍及170多个国家和地区，服务30多亿人口。 杭州安恒信息技术股份有限公司：专注于网络安全领域，主营业务包括网络安全产品的研发、生产及销售，并为客户提供专业的安全服务。公司的产品及服务涉及应用安全、大数据安全、云安全、物联网安全、工业控制安全等领域。 亚信科技（成都）有限公司：中国网络安全行业的领跑者，以安全数字世界为愿景，旨在护航产业互联网。亚信科技（成都）有限公司是云安全、身份安全、终端安全、安全管理、高级威胁治理、威胁情报技术的领导者，同时是5G、云计算、物联网、大数据、工控、移动六大安全场景的引领者。在国内拥有两个独立研发中心，以及2000人规模的安全专业团队。 深信服科技股份有限公司：专注于企业级安全、云计算及基础架构的产品和服务供应商，是企业级安全的领先品牌，其多款产品的中国市场占有率第一，且为首批获等保安全建设服务资质的厂商。在医疗行业耕耘多年，深信服已服务超过6000家医疗客户。 北京圣博润高新技术股份有限公司：是专注于网络安全技术研究、产品研发和安全服务的高新技术企业，是国家网络安保技术支持单位，深耕等级保护十余年，拥有一系列等级保护管理工具、平台和专业的咨询服务团队，产品体系覆盖传统安全和工控安全。 北京安信天行科技有限公司：以提供专业的网络安全服务为核心，专注于网络安全领域，具有完备的资质，为政务、卫生、金融、教育、广电等行业保驾护航；同时，承担重大会议和活动的网络安全保障工作，专注于为用户提供高品质的网络安全服务，帮助用户创造安全的网络空间。 杭州恒生芸泰网络科技有限公司：国内领先的互联网医疗生态运营商，是恒生电子的子公司，专注于为医院提供互联网医院、云医院、云药房等解决方案，拥有国内首创的金融安全级移动医疗技术和相关安全专利，可全面保障信息安全。 东华医为科技有限公司：成立于2012年，目前员工近2500名。前身为成立于1999年的东华软件股份公司医疗卫生事业部。经历二十年的发展，从最初的HIS开发商发展为在“一链三云加AI”的战略下打造大健康IT云端生态系统iMedical Cloud的专业大健康科技公司。 2019年9月

目 录 第1章 网络安全等级保护制度概述 1 1.1 网络安全等级保护的发展 1 1.2 网络安全等级保护制度体系 4 第2章 医疗行业网络安全等级保护现状及建议 6 2.1 中国医院网络安全等级保护现状 6 2.2 相关政策建议 8 第3章 医院网络安全框架 11 3.1 网络安全框架概述 11 3.1.1 主流企业网络安全框架 11 3.1.2 网络安全等级保护安全框架 16 3.2 医院网络安全框架 23 3.2.1 整体框架 23 3.2.2 安全技术体系 24 3.2.3 安全管理体系 25 3.3 医院网络安全规划方法 26 3.3.1 网络安全规划概述 26 3.3.2 规划咨询方法论 26 3.3.3 安全规划实施流程 27 3.4 医院网络安全规划实践 28 3.4.1 安全规划的背景 28 3.4.2 安全规划的开展 29 3.4.3 安全需求分析 29 3.4.4 总体安全设计 31 3.4.5 安全建设项目规划 36 第4章 医院网络安全等级保护实施 39 4.1 定级 39 4.1.1 定级要求 39 4.1.2 定级原则 39 4.1.3 定级原理及流程 40 4.1.4 确定定级对象 44 4.1.5 初步确定等级 46 4.1.6 专家评审 49 4.1.7 主管部门审核 49 4.1.8 公安机关备案审查 49 4.1.9 等级变更 49 4.2 备案 50 4.2.1 备案与受理 50 4.2.2 公安机关受理备案要求 52 4.2.3 对定级不准及不备案情况的处理 53 4.3 安全建设整改 54 4.4 等级测评 54 4.4.1 测评周期 54 4.4.2 测评内容 55 4.4.3 测评机构选择 60 4.5 监督检查 60 4.6 等级保护实施案例 61 4.6.1 系统定级 63 4.6.2 系统备案 63 4.6.3 建设与整改 65 4.6.4 等级测评 68 4.6.5 监督检查 70 第5章 安全通用要求——技术部分解读 71 5.1 安全物理环境 71 5.1.1 一览表 71 5.1.2 物理位置选择 73 5.1.3 物理访问控制 75 5.1.4 防盗窃和防破坏 75 5.1.5 防雷击 76 5.1.6 防火 78 5.1.7 防水和防潮 79 5.1.8 防静电 81 5.1.9 温湿度控制 82 5.1.10 电力供应 83 5.1.11 电磁防护 84 5.2 安全通信网络 85 5.2.1 一览表 85 5.2.2 通信传输 86 5.2.3 可信验证 88 5.2.4 网络架构 90 5.3 安全区域边界 94 5.3.1 一览表 94 5.3.2 边界防护 96 5.3.3 访问控制 98 5.3.4 可信验证 101 5.3.5 入侵防范 102 5.3.6 恶意代码和垃圾邮件防范 106 5.3.7 安全审计 107 5.4 安全计算环境 109 5.4.1 一览表 109 5.4.2 身份鉴别 112 5.4.3 访问控制 118 5.4.4 安全审计 123 5.4.5 入侵防范 126 5.4.6 恶意代码防范 133 5.4.7 可信验证 135 5.4.8 数据完整性 136 5.4.9 数据保密性 138 5.4.10 数据备份恢复 140 5.4.11 剩余信息保护 143 5.4.12 个人信息保护 144 5.5 安全管理中心 145 5.5.1 一览表 145 5.5.2 系统管理 146 5.5.3 审计管理 148 5.5.4 安全管理 152 5.5.5 集中管控 153 第6章 安全通用要求——制度部分解读 158 6.1 安全管理制度 158 6.1.1 一览表 158 6.1.2 评测实践 159 6.1.3 一至三级所需制度参考清单 159 6.2 安全管理机构 160 6.2.1 一览表 160 6.2.2 评测实践 163 6.2.3 一至三级所需制度参考清单 164 6.3 安全管理人员 164 6.3.1 一览表 164 6.3.2 评测实践 167 6.3.3 一至三级所需制度参考清单 168 6.4 安全建设管理 168 6.4.1 一览表 168 6.4.2 评测实践 173 6.4.3 一至三级所需制度参考清单 174 6.5 安全运维管理 175 6.5.1 一览表 175 6.5.2 评测实践 186 6.5.3 一至三级所需制度参考清单 186 第7章 新技术应用安全要求解读 190 7.1 云计算安全 190 7.1.1 一览表 190 7.1.2 安全物理环境 193 7.1.3 安全通信网络 194 7.1.4 安全区域边界 198 7.1.5 安全计算环境 204 7.1.6 安全管理中心 216 7.1.7 安全建设管理 218 7.1.8 安全运维管理 223 7.2 移动互联安全 223 7.2.1 一览表 224 7.2.2 无线接入点的物理位置 225 7.2.3 边界防护 226 7.2.4 访问控制 227 7.2.5 入侵防范 228 7.2.6 移动终端管控 229 7.2.7 移动应用管理 230 7.2.8 移动应用软件采购 230 7.2.9 移动应用软件开发 231 7.2.10 配置管理 232 7.3 物联网安全 232 7.3.1 一览表 233 7.3.2 安全物理环境 234 7.3.3 安全区域边界 236 7.3.4 安全计算环境 238 7.3.5 安全运维管理 243 7.4 工业控制系统安全扩展要求 244 7.4.1 一览表 244 7.4.2 室外控制设备物理防护 246 7.4.3 网络架构 247 7.4.4 通信传输 250 7.4.5 访问控制 250 7.4.6 拨号使用控制 252 7.4.7 无线使用控制 253 7.4.8 控制设备安全 255 7.4.9 产品采购和使用 257 7.4.10 外包软件开发 257 7.5 大数据安全 258 7.5.1 一览表 259 7.5.2 安全物理环境 261 7.5.3 安全通信网络 262 7.5.4 安全计算环境 263 参考文献 282