一、建設背景
“十二五”期間衛(wèi)生信息化建設總體框架和重點任務目標已初步確定，這個初步框架簡單地描述為“35212”工程。即建立國家級、省級和區(qū)域三級信息平臺，也就是國家綜合衛(wèi)生管理信息平臺，省級衛(wèi)生綜合管理信息平臺，和地市級區(qū)域衛(wèi)生信息平臺；在三家平臺的基礎之上建立公共衛(wèi)生，醫(yī)療服務，醫(yī)療監(jiān)管，綜合管理，新農合五大業(yè)務應用系統(tǒng)；建立以電子健康檔案為基礎和以電子病歷為基礎的兩大數(shù)據(jù)庫；建立一個衛(wèi)生專網網絡；逐步建設信息安全體系和信息標準體系兩個體系。
二、面臨的主要安全問題分析
1. 由于衛(wèi)生信息平臺的建設中涉及到與橫向（醫(yī)療服務、疾病控制、衛(wèi)生監(jiān)督、婦幼保健、健康教育等機構）及縱向（市、縣、鄉(xiāng)、村醫(yī)療衛(wèi)生機構）的眾多機構之間的互聯(lián)，在網絡的邊界根據(jù)國家信息安全等級保護制度（二級或三級）的要求，需要進行邊界的入侵防護和惡意代碼防護。需要部署應用層防火墻等相關安全防護設備。
2.在平臺的橫向與縱向聯(lián)網建設過程中，由于接入單位多，完全采用專線的方式費用較高，因此針對部分機構，比如醫(yī)院，鄉(xiāng)鎮(zhèn)衛(wèi)生機構等采用IPSEC VPN的接入方式，針對村級衛(wèi)生所采用SSL VPN的接入方式會更加符合實際的組網需求。需要部署IPSEC/SSL VPN等安全接入設備。
3.衛(wèi)生信息平臺中承載著5大業(yè)務系統(tǒng)（公共衛(wèi)生，醫(yī)療服務，醫(yī)療監(jiān)管，綜合管理，新農合）和2大數(shù)據(jù)庫（電子健康檔案和電子病歷），其業(yè)務安全關系著千家萬戶老百姓的個人隱私信息安全，根據(jù)國家信息安全等級保護制度的要求，至少定級為3級，需要在衛(wèi)生信息平臺的主機前面進行安全隔離，入侵防護，惡意代碼防護以及敏感個人信息的防泄密。需要部署應用層防火墻等相關安全防護設備。
4.通過衛(wèi)生信息平臺的運作，大量市民的健康以及就醫(yī)的信息將會匯總在衛(wèi)生數(shù)據(jù)中心中，為了更好的為廣大市民服務，各級衛(wèi)生局也都陸續(xù)在其門戶網站上開通了個人健康信息服務系統(tǒng)，方便市民隨時隨地查詢跟蹤自己的健康情況。由于該網站直接發(fā)布在互聯(lián)網上，同時又需要與衛(wèi)生專網中的信息平臺進行數(shù)據(jù)交互，因此需要對其安全做進一步的加固，通過新的應用層技術手段實現(xiàn)SQL注入、跨站腳本等WEB攻擊的防護，實現(xiàn)市民個人信息的防泄密以及整體門戶網站的防篡改。
三、深信服安全解決方案
根據(jù)上述的安全需求，建議衛(wèi)生單位用戶在衛(wèi)生專網的橫向及縱向邊界部署深信服下一代應用層防火墻實現(xiàn)網絡邊界的入侵防御與防病毒；在區(qū)縣衛(wèi)生平臺與醫(yī)院、鄉(xiāng)鎮(zhèn)衛(wèi)生機構以及村衛(wèi)生所等單位的互聯(lián)方面采用IPSEC+SSL VPN的方式，通過部署深信服VPN設備實現(xiàn)衛(wèi)生專網的互聯(lián)；在衛(wèi)生信息平臺的前面部署下一代應用層防火墻，實現(xiàn)業(yè)務安全隔離、入侵防御、防病毒以及敏感個人信息的防泄密。最后，在衛(wèi)生局對外發(fā)布業(yè)務的DMZ區(qū)前面部署深信服下一代應用層防火墻，全面解決衛(wèi)生門戶網站的底層漏洞攻擊、WEB攻擊、網頁防篡改以及信息防泄密的問題。詳細的網絡拓撲圖如下所示：
四、方案價值及優(yōu)勢
通過下一代防火墻的部署，實現(xiàn)了扁平化的網絡安全架構，在最少的IT投資前提下，實現(xiàn)高效的衛(wèi)生專網組網效果、更全面的安全防護效果，實現(xiàn)了從網絡層到應用層的完整安全防護，構建了防攻擊、防病毒、防篡改以及防泄密的四大安全體系，全面滿足國家信息安全等級保護的安全需求。
五、部分防火墻及VPN客戶案例
|
衛(wèi)生部 |
湖北省衛(wèi)生廳 |
安徽省衛(wèi)生廳 |
貴州省衛(wèi)生廳 |
廣西區(qū)衛(wèi)生廳 |
|
湖南省衛(wèi)生廳 |
上海市衛(wèi)生局 |
河北省衛(wèi)生廳 |
山東省衛(wèi)生廳 |
北京市衛(wèi)生局 |