醫(yī)院信息系統(tǒng)防統(tǒng)方技術(shù)策略論文
摘 要：隨著信息產(chǎn)業(yè)的迅速發(fā)展，醫(yī)院的醫(yī)療業(yè)務(wù)和信息化日益緊密結(jié)合，使得醫(yī)院信息管理系統(tǒng)自身的安全性問題愈發(fā)突出。目前，對(duì)數(shù)據(jù)庫(kù)的非法查詢?nèi)缟虡I(yè)目的“統(tǒng)方”，嚴(yán)重影響了醫(yī)院的公眾形象，也嚴(yán)重?fù)p害了患者利益。為此，從技術(shù)角度來探討醫(yī)院信息系統(tǒng)防統(tǒng)方策略，通過事前權(quán)限管理防范、實(shí)時(shí)監(jiān)控和審計(jì)追蹤等多種措施，來降低統(tǒng)方發(fā)生概率，從而促進(jìn)醫(yī)療服務(wù)工作健康快速發(fā)展。
關(guān)鍵詞：醫(yī)院信息系統(tǒng);防統(tǒng)方;敏感數(shù)據(jù)
商業(yè)目的“統(tǒng)方”是建立醫(yī)藥回扣黑鏈的重要一環(huán)，是國(guó)家和媒體關(guān)注的重要社會(huì)焦點(diǎn)問題，不僅嚴(yán)重影響了醫(yī)院的公眾形象，也嚴(yán)重?fù)p害了患者的利益。為滿足衛(wèi)生部關(guān)于進(jìn)一步深化治理醫(yī)藥購(gòu)銷領(lǐng)域商業(yè)賄賂的工作要求，促進(jìn)醫(yī)療服務(wù)工作健康快速發(fā)展，從技術(shù)角度來探討醫(yī)院信息系統(tǒng)防統(tǒng)方的策略。
1 醫(yī)院信息系統(tǒng)中存在的安全隱患
1.1 主機(jī)防護(hù)不完善
系統(tǒng)主機(jī)缺乏保護(hù)機(jī)制，前端沒有任何保護(hù)設(shè)備，即使安裝上保護(hù)設(shè)備，也僅能針對(duì)IP地址/端口等進(jìn)行保護(hù)，無法識(shí)別數(shù)據(jù)層的信息，同時(shí)也會(huì)影響整個(gè)系統(tǒng)的響應(yīng)時(shí)間。操作系統(tǒng)或者應(yīng)用軟件本身存在隱患，利用應(yīng)用系統(tǒng)和中間件的各種安全漏洞尤其難于防范。
1.2 系統(tǒng)超級(jí)用戶管理不嚴(yán)
管理員賬戶和超級(jí)用戶賬號(hào)/密碼管理不嚴(yán)格，或者利用權(quán)限違規(guī)進(jìn)行數(shù)據(jù)操作，而且沒有相應(yīng)的監(jiān)管和記錄。
1.3 保密制度形同虛設(shè)
即使制定了嚴(yán)格的管理制度，也沒有行之有效的執(zhí)行手段。
1.4 缺乏有效的數(shù)據(jù)監(jiān)管
沒有有效的數(shù)據(jù)審核機(jī)制，敏感數(shù)據(jù)管理普遍存在安全策略的缺失。
1.5 敏感數(shù)據(jù)從內(nèi)部流出
軟件供應(yīng)商、服務(wù)外包、數(shù)據(jù)維護(hù)人員或院內(nèi)人員利用軟件后門，或者職務(wù)便利獲取敏感數(shù)據(jù)，沒有一套完整、有效的技術(shù)手段對(duì)其進(jìn)行保護(hù)。
2 防統(tǒng)方的技術(shù)策略
通過引入第三方軟件防統(tǒng)方系統(tǒng)來對(duì)訪問醫(yī)院信息系統(tǒng)的手段和數(shù)據(jù)進(jìn)行監(jiān)控和控制，采用事前權(quán)限管理防范、實(shí)時(shí)監(jiān)控報(bào)警和審計(jì)追蹤等手段，能有效降低非法統(tǒng)方發(fā)生概率，從而滿足醫(yī)院“教育為先、制度為主、技術(shù)為輔”多管齊下的管理要求。
2.1 防統(tǒng)方系統(tǒng)的部署
醫(yī)院防統(tǒng)方系統(tǒng)采用旁路部署方式，只需連接在醫(yī)院網(wǎng)絡(luò)核心交換機(jī)的數(shù)據(jù)鏡像端口上，不改變醫(yī)院原有網(wǎng)絡(luò)配置，針對(duì)主機(jī)的Telnet、FTP、SSH等訪問行為進(jìn)行詳細(xì)記錄監(jiān)控;針對(duì)特定的應(yīng)用及客戶端主機(jī)，實(shí)現(xiàn)訪問控制，禁止其訪問敏感資源，從而保護(hù)醫(yī)院HIS系統(tǒng)，電子病歷系統(tǒng)等。
2.2 事前權(quán)限管理防范
為加強(qiáng)醫(yī)院信息系統(tǒng)藥品和耗材統(tǒng)計(jì)功能管理，信息科采取授權(quán)、加密、控制終端信息采集范圍等有效措施，對(duì)各個(gè)部門通過計(jì)算機(jī)網(wǎng)絡(luò)查詢醫(yī)院信息的權(quán)限實(shí)行分級(jí)管理。未獲授權(quán)和備案，任何部門和個(gè)人不得調(diào)用醫(yī)院信息系統(tǒng)與藥品有關(guān)的功能菜單。
2.3 實(shí)時(shí)監(jiān)控報(bào)警和審計(jì)追蹤
根據(jù)統(tǒng)方操作常用語句和行為方式，制訂相應(yīng)識(shí)別規(guī)則，對(duì)醫(yī)院應(yīng)用系統(tǒng)中海量、無序的數(shù)據(jù)進(jìn)行整理分析，還原所有工作人員的操作，包括業(yè)務(wù)訪問、系統(tǒng)維護(hù)、策略配置等。同時(shí)，建立一套HIS系統(tǒng)(醫(yī)院信息系統(tǒng))數(shù)據(jù)庫(kù)的用戶訪問行為模型，包括帳號(hào)、IP地址、客戶端工具、SQL語句、返回結(jié)果等成千上萬的動(dòng)態(tài)元素，再結(jié)合管理員的設(shè)置，篩選記錄統(tǒng)方行為，并針對(duì)可疑統(tǒng)方行為在第一時(shí)間報(bào)警，并以短信、郵件、閃爍、網(wǎng)頁(yè)等多種形式加以提醒和警示。讓管理者在第一時(shí)間掌握誰(who)在什么時(shí)刻(when)在哪里(where)使用什么工具(way)對(duì)數(shù)據(jù)庫(kù)進(jìn)行了哪些操作，拿走了哪些數(shù)據(jù)(what)。在一定條件下，防統(tǒng)方系統(tǒng)可以根據(jù)源/目的IP地址、源/目的MAC地址、訪問時(shí)間、訪問內(nèi)容等條件對(duì)系統(tǒng)訪問進(jìn)行阻斷操作，從而達(dá)到控制客戶端對(duì)非授權(quán)應(yīng)用系統(tǒng)的訪問。
3 防統(tǒng)方的應(yīng)用成效
通過采取技術(shù)手段防統(tǒng)方系統(tǒng)來杜絕醫(yī)院內(nèi)的統(tǒng)方行為，不僅實(shí)現(xiàn)了對(duì)各級(jí)管理員操作行為的審計(jì)，有效防止管理員的權(quán)限濫用，還為統(tǒng)方行為的溯源提供保證，降低了系統(tǒng)維護(hù)人員的安全隱患;不僅完整記錄、分析對(duì)敏感數(shù)據(jù)的查詢、變更、刪除等操作，保護(hù)重要數(shù)據(jù)的安全，還能控制非法終端對(duì)系統(tǒng)的訪問，保障業(yè)務(wù)的連續(xù)性。
4 結(jié) 語
醫(yī)院信息安全的建設(shè)是醫(yī)院信息化建設(shè)的重要一環(huán)，對(duì)患者隱私、醫(yī)生用藥信息、財(cái)務(wù)信息等重要數(shù)據(jù)的保護(hù)，都是醫(yī)院安全運(yùn)營(yíng)的保障。通過各種管理制度，技術(shù)手段對(duì)醫(yī)院的信息進(jìn)行保護(hù)，特別是防統(tǒng)方系統(tǒng)及利用審核機(jī)制事后對(duì)統(tǒng)方記錄進(jìn)行追查，是醫(yī)院信息安全建設(shè)的重要內(nèi)容。
參考文獻(xiàn)
[1]賴煒,辛小霞,吳汝明,等.區(qū)域醫(yī)療信息共享平臺(tái)的數(shù)據(jù)審計(jì)研究[J].醫(yī)學(xué)信息學(xué)雜志,2010,31(12):14-17.
[2]綠盟科技.重新定位運(yùn)維安全審計(jì)[J].網(wǎng)管員世界,2012(24):48-49.
[3]力竟成.醫(yī)院信息安全建設(shè)[J].計(jì)算機(jī)光盤軟件與應(yīng)用,2012(15):14-15.
【醫(yī)院信息系統(tǒng)防統(tǒng)方技術(shù)策略論文】相關(guān)文章：
醫(yī)院成本核算的問題及策略論文11-14
信息系統(tǒng)應(yīng)用論文03-21
路橋施工技術(shù)與質(zhì)量控制策略論文02-23
醫(yī)院財(cái)務(wù)成本控制策略論文03-11
計(jì)算機(jī)信息管理技術(shù)有效策略論文02-16
- 相關(guān)推薦