在醫院中(zhōng)除了數據中(zhōng)心的服務器資(懂在zī)源，還有醫護人員(yuán)、行政人員去區(yuán)使用的電(diàn)腦都需要納入安全計算環境長理的管轄範圍。大(dà)家可以看看自己用的電(d務朋iàn)腦是否設置了密碼，并且密碼的要求是否符合強口令（長度大(dà)吃報于 8 位，包含大(dà)小(xiǎo)寫字母、放但數字、符号，并且不包含鍵盤上連續字符或者英文單詞），并且 3 個月更換一(yī公窗)次密碼。在 AAA 認證體(tǐ)系（ AAA 是認證（ A要師uthentication ）、授權（ Authorizatio體鐘n ）和計費(fèi)（ Accounting ） ）中我人(zhōng)，******關就是認證，在認證的過程中(zhōng)遠明可能會出現如無認證、弱口令、認證可以被繞過、明文密碼傳輸等等問題，

不僅僅是在醫療行業，基本所有行業的内網環境都包含了上述問題，在護網行動中(zh化書ōng)，打入了内網環境後，大(dà)量使用重複的弱見我口令，成爲被攻陷的重要問題之一(yī)，有很多吧友護網的案例是拿下(xià)了堡壘機的弱口令，而堡壘機上直接記錄體嗎了各類服務器的高權限賬号密碼，通過一(yī)點突破全網。我(wǒ)黑大(wǒ)們大(dà)家可以看看自己的環境下(xià)，月湖 PC 和服務器端是否存在無認證、弱口令的情況，除了雜店 RDP 、 SSH 等常見管理服務，還有 Radmin 、 VNC 、 S話化MB 、 FTP 、 TELNET 、 Oracle 、 銀商MySQL 、 SqlServer ， 根據我(wǒ)(wǒ)一(yī)直以來飛訊的工(gōng)作經驗，很多開(kāi)源軟件的早期版本也車對于 API 接口就根本沒有認證機制，所以還有很多的開(kāi)源服務如 R車玩edis 、 Docker 、 Elastic Search 等，有認證的秒物情況下(xià)是否使用了開(kāi)源軟件的默認賬戶口令，這個也需快城要我(wǒ)(wǒ)們及時修改，黑客可以通過一(yī)點突亮章破，層層收集信息，***終突破核心防線。

AAA 體(tǐ)系中(zhōng)的第二步授權，其實是可以緩解體妹******步問題的一(yī)個手段，理論上要求我(wǒ)(wǒ)們的 P睡子C 端、服務器端不同的軟件需要通過不同的用戶安裝、使用，并且不同的用戶區做隻能給予***小(xiǎo)安裝、使用軟作劇件的權限，而我(wǒ)(wǒ)們可以檢查下(xià)自己的環境，應該是有路動很多直接使用 administrator 、 學唱root 等用戶，并且這些賬号存在着複用的情厭老況，在使用過程中(zhōng)很難分(fēn)清楚現實生(shēng)哥靜活中(zhōng)的哪個自然人使用了這個賬戶進行了相關操作理男，如果出現了問題給後續溯源提升了難度，我(wǒ)(wǒ)們這時就呢窗需要通過 IP 、 上層的堡壘機日志(zhì)等進行關聯溯也近源。

限制登錄失敗次數是防止******破解的手段之一(yī)，雨能******破解會通過一(yī)個密碼本對需要爆破的服務密碼進行不斷的嘗試，對請直到試到正确的那個密碼或者密碼本試完爲止，正常人登錄一們刀(yī)般都會記得自己的密碼，當然在定期更換複雜(zá)密碼的要求下(xi文物à)，正常人也會記不住密碼，這個問題我(wǒ)(wǒ)們後面再說。在計的限制了登錄失敗次數，比如我(wǒ)(wǒ)們設置了 5 關綠次，那通過某個 IP 登錄失敗 5 次後這個 IP 就會村南被鎖定，當然可以設置别的 IP 還可以登錄這個服務。會話(huà)結束功能明地就類似于 W indows 自動鎖屏，作爲一(yī)個還美信息工(gōng)作者，在我(wǒ)(wǒ)們唱在離(lí)開(kāi)電(diàn)腦時就應該考慮鎖屏的操作，電吧并且重新登錄要輸入賬号密碼，一(yī)個不會超時的會話(長還huà)雖然方便了我(wǒ)(wǒ)們自己，同樣也給惡意者帶來了方便舞友，想想經過你辦公桌的每個人都可以在登錄着的 HIS 服務器或者核心交光站換機上敲一(yī)個 reboot ，***後造成的結果可想而知(zhī)刀少，雖然這個事故不是你直接操作的，但也要負主要責任。弟風

在醫院中(zhōng)常見的遠程管理手段有 RDP 、 SSH 、 知訊TELNET 、 FTP 、 Oracle 等，其中(zhōng) TELN紅紅ET 、 FTP 在流量劫持時可以直接獲得賬戶口令信息，可以通過 SSH 、老樂 SFTP 等方法替換，确保在賬号密碼認證和數據流傳輸過程中(媽雜zhōng)都是加密的。其實 Oracle 的流量也非加密，在我(wǒ)(西理wǒ)咨詢了我(wǒ)(wǒ) OCM 的朋友和百度後，發現其實 Ora體商cle 流量也可以配置加密，但是我(wǒ)(wǒ討看)們很少會這樣做，并且很少會有人關心這個問題湖妹，還消耗客戶端和服務端額外(wài)的性能。這時候我(w黃厭ǒ)(wǒ)們就要想到什麽時候我(wǒ)(wǒ)們的流量中快會被截取走，常見的就是内網 ARP 欺騙，一(yī)台攻擊主銀得機在客戶端請求網關 MAC 地址的時候，将自己的 MAC 地址告訴客錢到戶端，說自己這個 MAC 地址就是網關的 MAC ， 這樣二層的流量會先通過機業這台攻擊主機轉發給真實的網關，所有明文的流量過了這內內台攻擊主機後就可以被它輕松的獲取敏感信息，我(銀黃wǒ)(wǒ)的防護方法是通過桌管軟件，放慢将每個網段主機的網關 ARP 解析靜态的寫到客戶端上，确保 中快ARP 解析時默認都先通過本地記錄解析，從而不會被外(wài)部動态解析影響。子理另一(yī)種情況會被獲取的是網内的流量設備，快數很多安全設備、 APM 監控設備、深度流量分(fēn)析設備都需內資要抓取核心網絡的流量，當這些流量被鏡像給設備後它們會将它記錄下秒亮(xià)來，而正式或者測試設備出現問題返廠時，我(wǒ)(wǒ)們就要叮囑工月去(gōng)程師要清空本地數據，以免數據洩露，行服在我(wǒ)(wǒ)的工(gōng)作中(zhōng)就聽(tīn大快g)到過通過安全設備洩露大(dà)量公民信息的案例吧房。

前面我(wǒ)(wǒ)們說到要定期修改複雜(zá)密碼，但是經常修改會導緻管理藍兒員(yuán)記憶困難，這個時候我(wǒ)(wǒ)覺得雙地科因子認證也是幫助大(dà)家不用記複雜(zá)密碼的好方法。雙因素認證分(f做做ēn)爲所知(zhī)和所有兩種，雙因素的證據又(yòu)分又司(fēn)爲秘密信息、個人物(wù)品、生(shēng)理特兒麗征三種類型，像口令、密碼就是信息，物(wù)理 k現影ey 就是個人物(wù)品，指紋、虹膜、面部就是生(shēng)理不答特征，我(wǒ)(wǒ)們隻要結合兩種類型的證制通據，那就符合要求，可以通過物(wù)理 KEY+ 動态密碼的方式實現認證近河，此時就不用記住原始的靜态密碼，大(dà)家可以想象一(yī)下(xià議愛)現在在登錄微信、支付寶、 QQ 等互聯網軟件的時候基本很少使用密碼中喝，而智能******也将密碼和人臉識别關金黑聯，方便大(dà)家認證操作，同時又(yòu)符合安全要求。在醫院工(g章業ōng)作的過程中(zhōng)，我(wǒ)(wǒ)發現很多業務系統的賬号密碼快亮不是同一(yī)套體(tǐ)系，系統在認證時也沒有做到雙因子的要求，我(wǒ)離說(wǒ)之前寫過一(yī)篇論文，叫《基于 4A 系統的醫院零信任網絡安全開筆模型》，也是我(wǒ)(wǒ)希望能通過安全看上技術提升醫護行政人員(yuán)使用系統時的討店便利性、規範對醫院所有系統賬戶體(tǐ)系管理、公輛加強醫院業務系統使用時的權限管理能力。

五級電(diàn)子病曆評審中(zhōng)提到了系統備份、容務的災的标準，對醫院信息系統的穩定性、可靠性、低做可用性有了明确的要求，醫院信息系統的宕機、數據丢失會造成無法挽回的影響章理；2021 年《數據安全法》和《個人信息保護法》出台，我(w新多ǒ)(wǒ)國在信息化高速發展的當下(xià)，更加重視了也報網絡安全，證明了網絡安全與信息化是一(yī)體(tǐ)之兩翼、驅動之事視雙輪。

2 、數據保密性

信息安全 CIA 三要素，保密性、完整性、可用性，這裏提到了數據的保地服密性，其實不管在哪個行業，數據的保密性都很難做，我(wǒ)(wǒ)們可以看行為到大(dà)量的公民數據在互聯網安全事件中(zhōng)洩但站露，我(wǒ)(wǒ)國之前的《網絡安全法》對數據安全沒有具計報體(tǐ)的要求，而 2021 年的《數據安全法》和《個人信息保護法》才我算對數據安全有了明确的要求，并且這兩部法律給企哥土業帶來了不小(xiǎo)改造的壓力。

數據安全的保密性要求貫穿了數據的産生(shēng訊麗)、傳輸、處理、存儲、銷毀等過程，首先我(wǒ)(wǒ)們要地離對數據進行保密，就要知(zhī)道哪些數據樂科應該保密，此時要做的就是數據的分(fēn)類分(用市fēn)級，在分(fēn)級分(fēn)類過程中(zh山雪ōng)涉及到對敏感數據的發現，敏感數據除了結構化的計畫還有非結構化的，除了關系型的還有非關系型的，基本很難匠現做到全覆蓋，比如在護網期間就發現有很多日志(zhì)、配置文件中站街(zhōng)帶着敏感的賬号密碼等信息，而這些信息的配置可能是套裝化軟件件下不能修改的。在發現了敏感數據後我(wǒ)(wǒ)們就要對敏感數據進化近行加密、******、去(qù)标識化操作，在五級電(diàn)子病曆的要求報朋中(zhōng)也有一(yī)條數據加密的要求，數據加師朋密其實有兩種做法，一(yī)種是在存儲層（通過身錯存儲設備進行加密），另一(yī)種在系統層（通過對在間操作系統的配置文件，或者對數據庫的數據進行加密），******種方法的難度計不較小(xiǎo)，而第二種方法的難度較大(dà司了)，需要考慮數據被加密的方法和被使用過程中(zhōng)的解密，錯開對于數據量小(xiǎo)可以考慮非對稱加密，而數據量大(腦科dà)的隻能使用對稱加密，這也就是 SSL 的機制，通過非對稱加密秘鑰，然後藍月通過秘鑰對稱加密數據流，在确保業務正常的情況下(xià)，實現安全的需求。針家下對******、去(qù)标識化操作可以通過好幾處實現票的，可以通過後端實現，也可以通過前端實現，通過後端實現時當數據從應用層往前端傳輸司一時就是去(qù)******、去(qù)标識化的數據，甚至是在數據庫中(zh自資ōng)就是******、去(qù)标識化的，而在前端實現，我(wǒ學他)(wǒ)們可以在客戶端本地開(kāi)啓代理，直接可以獲得明文的數據自冷，從安全性來考慮肯定是後端實現更安全。

我(wǒ)(wǒ)們在做數據加密、******、去(qù)标識化時要考上會慮的重要一(yī)點就是業務是否支持，有些數據雖然是敏感數據，但是是就以密文呈現時是無法進行正常業務的辦理和交高子互的，如果要實現正常業務辦理和交互，可能需要改變流程、規範那多，并且付出巨大(dà)的代價，在醫院以業務爲中(zhōn購市g)心的情況下(xià)，個人覺得短期内很難很難實話會現，我(wǒ)(wǒ)個人在落地一(yī)個數據安全的産品時就提出了這樣一(就高yī)個問題，該産品邏輯串聯在數據庫客戶端和數據庫服務器之間實現數據庫字段的生房加密、******、去(qù)标識化操作，而我(w她輛ǒ)(wǒ)們的 HIS 業務每天都有大(dà)量的問題要處理，在處理過程中喝司(zhōng)需要通過這些敏感的數據進行确認、判斷、修改，不可能能中專門安排一(yī)個人每天在對字段做解密、加密的操作，多會還需要配合專門的流程來規範這個操作，在一(yī)子弟個業務系統沒有穩定、技術人員(yuán)缺乏的情況下(xià)，這樣器雜的功能很難落地，就算落地了也隻是很小(xiǎo)的範圍，如何滿足二者需要靠廣大放靜(dà)讀者來幫忙想想辦法了。

3 、 數據備份恢複

我(wǒ)(wǒ)問了很多醫院，大(dà低如)家可能都建立了容災環境，但是很少有醫院站月做容災測試，對于五級電(diàn)子病曆的黃地要求是每年至少一(yī)次的容災演練（還高制需要結合業務場景），每季度至少一(yī)次的數據全量恢複測試，一(yī)個沒件紙有測試過的容災系統真的很難讓人相信在出問題的時候可以撐得住真實業務房鄉，也許容災的切換過程沒有問題，但是容災的硬件資化廠(zī)源、硬件配置、軟件調整等是否能讓用戶在較短的時間内進行新信邊便捷的切換操，五級電(diàn)子病曆對于數據丢失的要求比較松， 她理2 小(xiǎo)時以内即可，但是醫院對于數據丢失是難以容忍的，對于信息化秒化較長時間都無法正常使用也是無法容忍的，我(wǒ)(w雜舊ǒ)們要盡可能做到 RPO 、 RTO ***小(xiǎo)化。

對于備份，我(wǒ)(wǒ)盡量做到 321 原則， 3 份數據、樹科 2 種不同介質、 1 份存于異地，結合******點和第二點，我(wǒ姐視)(wǒ)将數據存放(fàng)于起碼 問城2 種不同物(wù)理設備上，存儲 3 份，再結合第三點将一(y聽路ī)份數據存儲于異地，兩份數據存于本地。我(wǒ)(火電wǒ)們醫院有兩個院區，兩院區直線公裏數其實小(xiǎo)于 40 ㎞ ， 土弟而等保的異地要求是直線大(dà)于 100 ㎞ ， 對于沒有分(fēn制刀)院的小(xiǎo)夥伴們，其實我(wǒ)(wǒ)建議可以火習将另一(yī)份數據存到異地雲上，***起碼在本地真購秒的數據沒辦法恢複時還有一(yī)根救命稻草，雖然爸師恢複的時間可能會長一(yī)點。我(wǒ)(wǒ)會将兩院區的數花森據做相互的異地備份，盡可能提高數據備份的頻(pín)率，減少數據的丢失，核心業吧畫務系統采用實時備份或者容災的方式，在使用較暗輛高頻(pín)率備份的情況下(xià)，我(wǒ)(wǒ)們對于備份、容機話災的硬件就有一(yī)定的要求，較差的 HDD 盤是無法支撐起大亮到(dà)數據量、高并發的備份任務，可能出現任務吧低排隊，那就會得不償失；在備份上我(wǒ)(wǒ)們就出現過一(yī)個問題，之高舞前工(gōng)程師在配置 RMAN 備份保留的腳本操作是先數來删除原來的備份，在進行下(xià)一(yī線近)次備份，如果前一(yī)次備份删除了，後一(yī)次木的備份沒有成功，那就沒有了全量數據，這樣的備份是沒有意義的，大(dà)家可風微以檢查下(xià)自己的環境是否存在這樣的問題。

在備份的類型上，分(fēn)爲物(wù)理備份和邏輯備份， 21 年我(wǒ)理要(wǒ)就聽(tīng)到了别的醫院出現了 Oracl畫煙e 的邏輯壞塊，出現壞塊後數據庫無法正常啓動，而容災系統通過 Oracl通算e Data Guard 實現， DG 屬于物(wù)理塊同步，面對邏輯錯誤是校不會校驗，而直接将這個邏輯錯誤同步給了容災庫，導緻容災庫也無法正常拉起，并醫水且當時也沒有配置長時間的閃回空間，導緻***後歌靜花了很大(dà)的代價才恢複了一(yī)部分(fē笑議n)丢失的數據，并且業務中(zhōng)斷了少服很久，可以通過 OGG 解決這個問題，并且 OGG 可以支持跨數據庫、操作購長系統類型之間的數據複制，但是配置難度比 DG 大(dà)了很多；另男家外(wài)的辦法是通過 CDP 實現 得頻IO 級别的備份，當出現邏輯錯誤數據庫無離水法正常使用的時候，通過 CDP 的 IO就雪 回退到正常的時間點，當然中(zhōng)間丢失的數據需要人工(gōng場不)去(qù)彌補，這樣通過數據庫外(wài)部的錢問方式解決數據備份的問題。

4、個人信息保護

這兩點在《個人信息保護法》中(zhōng)也有明确提到，該法站票律中(zhōng)多次提到了收集個人信息要有“詢問 - 确認”的過程，并且謝視在用戶不同意提供個人信息的情況下(xià)，不能拒****城員**用戶提供服務，隻收集必需的個人信息，要告知歌就(zhī)用戶收集每種類型個人信息的目的，告知(zhī)用戶如何處理、傳遞年國、使用個人信息。在疫情當下(xià)，全國的醫院都緊鑼密鼓的推廣互聯網醫林做院，意味着有一(yī)個面向患者的醫院互聯網厭內系統，患者可以直接面向這個互聯網系統，那對系統的提交信息、舞雪問詢交互有了更直接的了解，我(wǒ)(wǒ)們在做互聯網系統的時候要結合《網廠路絡安全法》、《數據安全法》和《個人信息保日林護法》三駕馬車(chē)來嚴格要求開(kāi)發時的安全需求，自也了從三部法律上台後有多少互聯網 APP 因不符合要求被責令整改、罰款、下(書師xià)架等，我(wǒ)(wǒ)們也該引以爲戒。