各地市医院二级等保测评项目解决方案（完整版）.docx

《各地市医院二级等保测评项目解决方案（完整版）.docx》由会员分享，可在线阅读，更多相关《各地市医院二级等保测评项目解决方案（完整版）.docx（54页珍藏版）》请在第一文库网上搜索。

1、XX医院二级等保项目解决方案vl.O项目文档编号：2号服务报告-XX医院二级等保项目解决方案项目名称：XX医院二级等保项目编写人：XX编写日期：20XX年X月X日审批人：XX审批日期：20XX年X月X日第一章报告概述1.1 客户概述.1.2 建设目标1.3 建设范围第二章安全分析说明21 ,总2.2 分析原则2.3 分析依据第三章现状分析321机房现状3.2.1机房架构分析322网络拓扑322网络分析323整改建议3.3.1 问题发现滞后3.3.2 风险分析333整改建议3.4网络安全保障现状分析第四章系统分析4.1 风险分析4.2 风险存在的问题第五章安全需求分析13第六章方案设计与安全规划

2、146.2 总体安全体系设计156.3 安全域划分说明17第七章解决方案187.1 安全建设项目规划187 1.1 187.1.2形成安全建设项目计划187.3技术详细设计说明207.3.2基础安全建设方案217.4方案优势247.4.1下一代防火墙247.4.2互联网出口上网行为管理系统297.4.3远程接入SSLVPN 17.4.4数据库审计系统7.4.5堡垒机33第八章详细安全整改方案设计378.1对外业务服务378.2门户网站安全检测39第九章方案预算4 1第十章维保及服务支持4210.1项目支持服务简述4210.2服务类型44第十一章服务顾问介绍错误!未定义书签。第十二章XX公司介绍

3、 第一章报告概述1.1 客户概述网络的飞速发展促进了医院的信息化建设，近几年来XX医院走过了不断发展、完善的信息化历程，先后经过了几次网络升级和改造，构成了一个配置多样的综合性网络平台。XX医院需要针对主要的互联网出口、HIS系统系统等做一个全面可靠的安全防护。为促进信息化建设、应用、管理和服务水平的持续提高，保障XX医院内部网络、信息系统的安全、稳定运行，同时为了落实公安部、国务院信息化工作办公室共同印发信息安全等级保护管理办法的通知(公通字(2007) 43号)和关于开展全国重要信息系统安全建设工作的通知(公信安(2007) 861号)的要求，需要对目前的网络进行网络改造及安全加固，并严格

4、参照信息系统安全基本要求、信息系统安全实施指南等标准开展信息系统安全评估、整改，目前已经达到等级保护二级建设要，但是安全建设是需要动态防御的，要不断更新防御手段和新增更多的防御措施。同时，2015年国家颁布了网络安全法草案，明确提出国家实行等级保护制度，并要求“健全网络与信息安全法律法规，完善信息安全标准体系和认证认可体系，实施信息安全建设保护、风险评估等制度。标志着信息安全建设工作已经上升到国家战略层面，成为关系国计民生的重要任务，并在2017年6月1日正式实施，因此，对XX医院信息管理系统进行网络安全建设工作是非常重要的任务。1.2 建设目标本项目的建设目标是结合XX医院网络的安全分析，确

5、定XX医院信息管理系统安全建设需求，并且解决“内网资产防御”、“内部僵尸网络及安全防护缺失”的网络现状，全面提升XX医院的网络安全保护及上网办公体验水平。同时通过网络改造和安全加固，使XX医院网络安全建设处于动态防御的状态。1.3建设范E EJ我院本次项目建设范围为信息系统安全加固，包括整体网络安全规划、增补安全设备等,信息系统面向整体网络环境。第二章安全分析说明2.1 总述根据第一章的描述，针对xx医院的网络现状进行安全分析，同时按照国家信息安全等级保护相应的标准进行分析。分别从物理安全、网络安全、主机安全、应用安全及数据备份与恢复的角度进行分析，不过根据不同的安全环境侧重点不一样，本次分析

6、重点在物理机房安全、网络架构安全及主机系统漏洞安全上进行分析，同时在满足等级保护建设合规性要求的前提下，适当考虑未来的安全风险，实现网络安全的动态防御。2.2 分析原则本次的网络与信息安全分析的原则如下：最小影响原则：分析的时候应尽可能小的影响系统和网络的正常运行，不能对现有网络的运行和业务的正常提供产生明显影响；标准性原则：服务方案的设计与实施应依据国内、国际、等级化保护相关要求、相关标准进行；规范性原则：工作中的过程和文档，具有很好的规范性，可以便于项目的跟踪和控制；整体性原则：应从各个方面整体考虑，包括了安全涉及的各个层面，避免由于遗漏造成未来的安全隐患；可控性原则：方法和过程要在双方认

7、可的范围之内，安全分析的进度要按照进度表进度的安排，在技术实施、产品提供、售后保障上都要求可控性，保证XX医院对于服务工作的可控性；保密原则：对过程数据和结果数据严格保密，所有参与项目人员均有保密义务，不能将测试数据及报告进行公开。2.3 分析依据根据xx医院网络安全建设工作，是在深刻理解并贯彻应用如下文件和标准的基础上进行的，本文参考以下国家信息安全政策法规、信息安全标准以及相关规范：政策法规指导思想中办200327号文件（关于转发国家信息化领导小组关于加强信息安全保障工作的意见的通知）公通字200466号文件（关于印发信息安全等级保护工作的实施意见的通知）国发20137号国务院关于推进物联

8、网有序健康发展的指导意见公信安20142182号关于加强国家级重要信息系统安全保障工作有关事项的通知（公信安12014J2182 号）建设标准GB 17859-1999计算机信息系统安全保护等级划分准则GB/T25058-20I0信息系统安全等级保护实施指南技术方面GB/T25066-20I0信息安全产品类别与代码GB/T17900-1999网络代理服务器的安全技术要求GB/T20010-2005包过滤防火墙评估准则GB/T20281 -2006防火墙技术要求和测试评价方法GB/T20272-2006操作系统安全技术要求GB/T20275-2006入侵检测系统技术要求和测试评价方法GB/T20

9、277-2006网络和终端设备隔离部件测试评价方法GB/T20279-2006网络和终端设备隔离部件安全技术要求GB/T20278-2006网络脆弱性扫描产品技术要求GB/T20280-2006网络脆弱性扫描产品测试评价方法GB/T20945-2007信息系统安全审计产品技术要求和测试评价方法GB/T 21028-2007服务器安全技术要求GB/T25063-2010服务器安全侧评要求GB/T 21050-2007网络交换机安全技术要求（EAL3）GB/T28452-2012应用软件系统通用安全技术要求GB/T29240-2012终端计算机通用安全技术要求与测试评价方法第三章现状分析3.2.1

10、机房现状3.2.1机房架构分析(1) 民航医院机房有一条水下管直接从三楼机房内直穿而下，严重影响了机房的整体美观,现需对下水管进行封装。（2）由于客户在设备上架后未对连接设备的网络跳线、光纤跳线和电源线及时进行整理，导致现大量设备上架后，各个设备连接线路杂乱无章，旦各个设备之间连接线束未做标识，对后期维护造成不便利性，现需对机房内所有几个进行整理（3） 机房基础设备在监控上未进行记录保存，并没有对机房进行全方位监控，不能保障机房事故问题的及时知会与处理。（4） 机房窗户未进行安全防护，随时可以敞开对外，不能保证机房内部设备的安全，给人员有意或其他因素带来的设备破坏导致的安全隐患。（5） 机房未

11、形成有效的规则制度管理，导致进出人员不明身份以及没有相应的规范，将会导致机房内设施设备的人为破坏或者管理不当造成的不必要损失。3.2.2网络拓扑根据医院现有网络拓扑结构，可以做出分析如下：VPN万兆交换机万兆交换机T财若部隹千接线架医疗系统数据中心图1 XX医院现有网络拓扑结构3.2.2网络分析(1)网络架构：一是医院与集团网络的链接，财务数据到出口防火墙通过VNP进行。所以在互联网的出口处，设计方案的时候，考虑到不同业务所需要的流量，网络出口带宽按照一定的管理进行规划。医院网络中，业务系统直接与核心交换机进行链接，需要做安全域的隔离和划分。另外医院财务在经过VPN传输时，随时会有数据被窃取，

12、数据丢失的风险。(2)安全设备分析：在互联网出口区域，目前比较缺少上网行为管理系统，对内部上网业务进行安全防护。而且出口防火墙是现有戴尔的防火墙，但是比较老旧，不具备L2-L7层安全防御能力，对于新型威胁或者是应用的攻击来说，目前防火墙的功能较弱，无法满足当今的网络安全防护的需要，比如应用层的攻击、信息泄露、僵尸网络等都无法防护。所有本方案中，考虑将原有的防火墙设备进行替换，升级到最新的下一代防火墙设备，能够实现L2L7层的安全防护，提高防护效果。(3)安全风险分析：在网络中，数据中心未有进行隔离防御，是直接连入内部服务器和内部楼层交换机，这样对于来自内部的跳板攻击就无法防御，同时会来的整体网

13、络安全的防护短板，在互联网出口部署僵尸网络检测设备或者具备僵尸网络检测的安全设备，及时发现内网中的异常流量和异常主机。(4)外部接入说明：目前对于外部网络的接入，目前没有做详细的权限划分和认证识别，而且直接发布服务器的方式进行，不能实现数据的加密传输，将服务器放置在内网环境。(5)虚拟化环境安全：目前在从化校区做了 VM的服务器虚拟化，但是对服务器虚拟化的安全防御目前还没做，同样存在虚拟化环境下的安全问题，如果流量不可视、东西向南北向数据流向可视化等。随着业务的不断迁移，必将会将重要业务系统进行虚拟化环境下的迁移,所以数据越来越重要，必须考虑虚拟化安全。网络架构上，建议分区域进行部署，并且在服务器前面部署融合性防火墙设备，同时在网络出口部署审计设备。另外，除了对内网用户访问互联网的审计外，还要加强外网用户防护数据库的审计，同时加强数据库的安全性，通过部署数据库审计设备对访问数据库的用户进行审计。对于外部人员接入或者运维人员接入的时候，可以通过SSL VPN来实现，并且可以通过VPN来实现接入认证和权限划分，在服务器虚拟化环境下部署安全防御设备，可通过软件实现。331问题发现滞后检测发现4曼!响应处置T曼!桧测发现数据泄密网页篡改被监管机构通报用户发现投诉反复协调专家难到位经验不足定位不准缺乏工具效率低