随着互联网、大数据、云计算等新技术的快速发展，推动着我国医疗机构的信息化建设逐步向智慧医疗方向迈进，也使医疗行业面临的安全风险逐渐增多。据verizon数据泄露报告显示：在全球范围内，医疗行业是唯一一个内部威胁大于外部威胁的行业。
医院内部系统账号权限管控不足、数据泄露防护技术手段不强、终端管控措施薄弱，导致内部人员越权访问、数据泄露、恶意运维等事件时有发生，不仅影响着医院业务的正常运行，也关系到千千万万患者的隐私和健康安全。为指导医疗机构加强网络安全管理，避免网络安全事件发生，国家卫生健康委、国家中医药管理局、国家疾控局三部门联合发布的《医疗卫生机构网络安全管理办法》，明确提出医疗机构需加强网络运维管理，警惕内部人员违规操作引发的安全风险。
基于对医疗卫生客户在智能化、数字化建设过程中所面临安全风险的深度理解，天融信采用运维安全审计系统、下一代防火墙、终端威胁防御系统及数据库安全网关等安全产品，为医疗机构三步打造内控安全基底，帮助客户快速理清内部资产、管控终端安全准入、严控严审内部人员的访问行为，协助医疗机构建立体系化的安全管理措施，有效应对医疗信息系统面临的诸多威胁。
01 理清资产，划分责任
我国医疗机构信息化建设工作已开展20多年，各医疗机构信息化资产数量已是海量状态，远超其他行业。同时大多数医疗机构信息化管理人员数量较为欠缺，资产管理者无法及时清楚地掌握所有信息资产，导致部分资产无法得到有效运维管理，从而滋生安全风险。
天融信运维安全审计系统（简称“堡垒机”）可集中纳管所有用户账号和信息资产，部署时进行一次资产梳理，形成永久资产台账，避免“漏网之鱼”存在。通过建立“内部人员-用户账号-资产账号”一一对应的授权控制体系，不仅能严格控制内部人员对资产的访问，更能搭配审计模块建立完备的责任认定体系，同时大幅降低管理人员的工作难度，提升工作效率，有效避免因人手不足问题而带来的管理窘境。
02 终端管理，安全准入
医疗机构内部的终端是各个关键系统的访问入口，若不对其加以完备的保护措施，这些日常使用的终端则很可能感染恶意病毒或恶意软件，从关键系统的“访问入口”变为“攻击入口”，使机构内部的网络安全遭受威胁。
天融信终端威胁防御系统topedr可实时感知终端安全状态，并定期生产安全报告，帮助管理人员对内部终端进行定期的安全评估，及时处置被恶意病毒感染的终端，避免终端成为黑客的攻击入口。
topedr集中控制中心还可与下一代防火墙进行协同联动，将终端安全状态信息上传至防火墙使其感知终端风险，针对风险等级高的终端，一键生成对应防护策略或动态阻断该终端入网，实现安全准入，有效提升内部网络的威胁防御能力。
03 严格控权，双重审计
医疗机构频繁出现数据泄露事件和恶意运维事故，核心关键点是需要对资产的访问和操作权限的进行严格管控。不仅需要划分资产与人员之间的访问权限，还需要控制人员对资产实行的高危操作，如删除、上传、下载等动作，避免安全事故的发生。
天融信堡垒机可在事前设置权限规则和运维规则，根据权限列表控制内部人员对资产的访问，通过运维规则可对访问过程中的剪切板复制粘贴、高危命令操作以及文件的上传下载等行为进行管控。在数据库区域前端部署数据库安全网关并建立访问策略，只允许堡垒机和应用系统访问数据库，可严格控制内部人员与敏感数据直接交互，使所有操作数据库的行为都可被管控和审计。通过堡垒机和数据库安全网关组成的“双闸门”，过滤未授权访问以及对数据库的高危操作，同时阻止对数据库的攻击行为，全方位守护数据库安全。
堡垒机的录屏审计功能可全程以录屏形式记录内部人员对资产的操作，若出现安全事故，通过双记录路径可快速且精准地进行溯源定责。针对数据库等关键资产的访问，堡垒机和数据库安全网关可形成完备的双审计记录，确保审计信息无死角，有力震慑内部网络犯罪行为。
多年来，天融信持续在医疗领域深耕，目前已推出《医疗行业应用安全综合凯发官网入口首页的解决方案》《医院“动态一体化”网络病毒防御凯发官网入口首页的解决方案》《医院等保2.0快速合规方案》《医院智慧无线网络建设方案》《基于sd-wan的医疗专网建设方案》等系列行业专用方案，旨在为医疗行业客户信息保护构建安全防护体系，以专业的产品与服务筑牢医疗行业网络安全屏障。
在医疗行业网络安全建设需求日益突出的背景下，天融信作为国内领先的网络安全企业，将积极发挥引领优势，以实际行动全面提升医疗卫生客户的智慧医疗服务建设能力，为医疗卫生行业的高质量发展保驾护航。
- 关键词标签：
- 天融信 运维安全审计系统 下一代防火墙 终端威胁防御系统 医院内控安全基底