2017年醫院網路安全工作自查報告

接到《關於印發《XX市衛生行業網路與資訊保安檢查行動工作方案》的通知》的通知後，我院領導高度重視，立即召開相關科室負責人會議，深入學習和認真貫徹落實檔案精神，充分認識到開展網路與資訊保安自查工作的重要性和必要性，對自查工作做了詳細部署，由主管院長負責安排、協調相關檢查部門、監督檢查專案，由資訊科負責具體檢查和自查工作，並就自查中發現的問題認真做好相關記錄，及時整改，完善。

長期以來，我院在資訊化建設過程中，一直非常重視網路與資訊保安工作，並採取目前國內較先進的安全管理規範、有效的安全管理措施。自8月21日起，全院開展網路與資訊保安工作自查，根據網際網路安全和院內區域網安全的相應特點，逐項排查，消除安全隱患，現將我院資訊保安工作情況彙報如下。

資訊保安工作情況

一、網路安全管理：

我院的網路分為網際網路和院內區域網，兩網路實現物理隔離，以確保兩網能夠獨立、安全、高效執行。重點抓好“三大安全”排查。

1.硬體安全，包括防雷、防火、防盜和UPS電源連線等。醫院HIS伺服器機房嚴格按照機房標準建設，工作人員堅持每天巡查，排除安全隱患。HIS伺服器、多口交換機、路由器都有UPS電源保護，可以保證短時間斷電情況下，裝置執行正常，不至於因突然斷電致裝置損壞。此外，區域網內所有計算機USB介面施行完全封閉，這樣就有效地避免了因外接介質(如U盤、行動硬碟)而引起中毒或洩密的發生。

2.網路安全:包括網路結構、密碼管理、IP管理、網際網路行為管理等;網路結構包括網路結構合理，網路連線的穩定性，網路裝置(交換機、路由器、光纖收發器等)的穩定性。HIS系統的操作員，每人有自己的登入名和密碼，並分配相應的操作員許可權，不得使用其他人的操作賬戶，賬戶施行“誰使用、誰管理、誰負責” 的管理制度。網際網路和院內區域網均施行固定IP地址，由醫院統一分配、管理，不允許私自新增新IP，未經分配的IP均無法實現上網。為保障醫院網際網路能夠滿足正常的辦公需要，通過路由器對於P2P等應用軟體進行了遮蔽，有效地阻止了有人利用辦公電腦在上班期間線上看視訊、玩遊戲等，極大地提高了網際網路的辦公利用率。

二、資料庫安全管理：

我院目前執行的資料庫為金衛HIS資料庫，是醫院診療、劃價、收費、查詢、統計等各項業務能夠正常進行的基礎，為確保醫院各項業務正常、高效執行，資料庫安全管理是極為有必要的。資料庫系統的安全特性主要是針對資料的技術防護而言的，包括資料安全性、併發控制、故障恢復、資料庫容災備份等幾個方面。我院對資料安全性採取以下措施：(1)將資料庫中需要保護的部分與其他部分相隔。

(2)採用授權規則，如賬戶、口令和許可權控制等訪問控制方法。

(3)對資料進行加密後儲存於資料庫;如果資料庫應用要實現多使用者共享資料，就可能在同一時刻多個使用者要存取資料，這種事件叫做併發事件。當一個使用者取出資料進行修改，在修改存入資料庫之前如有其它使用者再取此資料，那麼讀出的資料就是不正確的。這時就需要對這種併發操作施行控制，排除和避免這種錯誤的發生，保證資料的正確性;資料庫管理系統提供一套方法，可及時發現故障和修復故障，從而防止資料被破壞。資料庫系統能儘快恢復資料庫系統執行時出現的故障，可能是物理上或是邏輯上的錯誤。比如對系統的誤操作造成的資料錯誤等;資料庫容災備份是資料庫安全管理中極為重要的一部分，是資料庫有效、安全執行的最後保障，也是保障資料庫資訊能夠長期儲存的有效措施。我院採用的備份型別為完全備份，每天凌晨備份整個資料庫，包含使用者表、系統表、索引、檢視和儲存過程等所有資料庫物件。在備份資料的過程中，主、從伺服器正常執行，各客戶端的業務能正常進行，也即是熱備份。

三、軟體管理：

目前我院在執行的軟體主要分為三類：HIS系統、常用辦公軟體和防毒軟體。HIS系統是我院日常業務中最主要的軟體，是保障醫院診療活動正常進行的基礎，自2006年上線以來，執行很穩定，未出現過重大安全問題，並根據業務需要，不斷更新充實。對於新入職的員工，上崗前會進行一次培訓，向其講解HIS系統操作流程、規範，也包括安全知識，確保其在使用過程中不會出現重大安全問題。常用辦公軟體均由醫院資訊科統一安裝，維護。防毒軟體是保障電腦系統防病毒、防木馬、防篡改、防癱瘓、防攻擊、防洩密的有效工具。所有電腦，均安裝了正版防毒軟體(瑞星防毒軟體和360安全衛士)，並定期更新病毒庫，以保證防毒軟體的防禦能力始終保持在很高的水平。

四、應急處置：

我院HIS系統伺服器執行安全、穩定，並配備了大型UPS電源，可以保證大面積斷電情況下，伺服器堅持執行八小時。雖然醫院的HIS系統長期以來，執行良好，伺服器未發生過長時間宕機時間，但醫院仍然制定了應急處置預案，並對收費操作員和護士進行過培訓，如果醫院出現大面積、長時間停電情況，HIS系統無法正常執行，將臨時開始手工收費、記賬、發藥，以確保診療活動能夠正常、有序地進行，待到HIS系統恢復正常工作時，再補打發票、補記收費專案。

總體來說，我院的網路與資訊保安工作做得很成功的，從未發生過重大的安全事故，各系統運轉穩定，各項業務能夠正常執行。但自查中也發現了不足之處，如目前醫院資訊科技人員少，資訊保安力量有限;資訊保安意識還不夠，個別科室缺乏維護資訊保安的主動性和自覺性。今後要加強資訊科技人員的培養，更進一步提高資訊保安技術水平;加強全院職工的資訊保安教育，提高維護資訊保安的主動性和自覺性;加大對醫院資訊化建設投入，提升計算機裝置配置，進一步提高工作效率和系統執行的安全性。

經過了為期一週的自查工作，我院充分意識到安全工作是一個需要常抓不懈的工程，同時要不斷創新，改變舊有的管理方法和理念，以適應新形勢下的'安全管理需要。

為了認真貫徹落實公安部《關於開展重要資訊系統和重點網站網路安全保護狀況自檢自查工作的通知》檔案精神，為進一步做好我院網路與資訊系統安全自查工作，提高安全防護能力和水平，預防和減少重大資訊保安事件的發生，切實加強網路與資訊系統安全防範工作，創造良好的網路資訊環境。近期，我院進行了資訊系統和網站網路安全自查，現就我院網路與資訊系統安全自查工作情況彙報如下：

一、網路與資訊保安自查工作組織開展情況

(一)自查的總體評價

我院嚴格按照公安部對網路與資訊系統安全檢查工作的要求，積極加強組織領導，落實工作責任，完善各項資訊系統安全制度，強化日常監督檢查，全面落實資訊系統安全防範工作。今年著重抓了以下排查工作：一是硬體安全，包括防雷、防火和電源連線等;二是網路安全，包括網路結構、網際網路行為管理等;三是應用安全，公文傳輸系統、軟體管理等，形成了良好穩定的安全保密網路環境。

(二)積極組織部署網路與資訊保安自查工作

1、專門成立網路與資訊保安自查協調領導機構

成立了由分管領導、分管部門、網路管理組成的資訊保安協調領導小組，確保資訊系統高效執行、理順資訊保安管理、規範資訊化安全等級建設。

2、明確網路與資訊保安自查責任部門和工作崗位

我院領導非常注重資訊系統建設，多次開會明確資訊化建設責任部門，做到分工明確，責任具體到人。

3、貫徹落實網路與資訊保安自查各項工作檔案或方案

資訊系統責任部門和工作人員認真貫徹落實市工業和資訊化委員會各項工作檔案或方案，根據網路與資訊保安檢查工作的特點，制定出一系列規章制度，落實網路與資訊保安工作。

4、召開工作動員會議，組織人員培訓，專門部署網路與資訊保安自查工作

我院每季度召開一次工作動員會議，定期、不定期對技術人員進行培訓，並開展考核。技術人員認真學習貫徹有關檔案精神，把資訊保安工作提升到重要位置，常抓不懈。

二、資訊保安主要工作情況

(一)網路安全管理情況

1、認真落實資訊保安責任制

我院制定出相應資訊保安責任追究制度，定崗到人，明確責任分工，把資訊保安責任事故降低到最低。

2、積極推進資訊保安制度建設

(1)加強人員安全管理制度建設

我院建立了人員錄用、離崗、考核、安全保密、教育培訓、外來人員管理等安全管理制度，對新進人員進行培訓，加強人員安全管理，不定期開展考核。

(2)嚴格執行機房安全管理制度

我院制定出《機房管理制度》，加強機房進出人員管理和日常監控制度，嚴格實施機房安全管理條例，做好防火防盜，保證機房安全。

(二)技術安全防範和措施落實情況

1、網路安全方面

我院配備了防病毒軟體、網路隔離卡，採用了強口令密碼、資料庫儲存備份、移動儲存裝置管理、資料加密等安全防護措施，明確了網路安全責任，強化了網路安全工作。計算機及網路配置安裝了專業防毒軟體，加強了在防病毒、防攻擊、防洩密等方面的有效性。並按照保密規定，在重要的涉密計算機上實行了開機密碼管理，專人專用，杜絕涉密和非涉密計算機之間的混用。

2、資訊系統安全方面

涉密計算機沒有違規上國際網際網路及其他的資訊網的情況，未發生過失密、洩密現象。實行領導審查簽字制度凡上傳網站的資訊，須經有關領導審查簽字後方可上傳;二是開展經常性安全檢查，主要對SQL注入攻擊、跨站指令碼攻擊、弱口令、作業系統補丁安裝、應用程式補丁安裝、防病毒軟體安裝與升級、木馬病毒檢測、埠開放情況、系統管理許可權開放情況、訪問許可權開放情況、網頁篡改情況等進行監管，認真做好系統安全日記。

(三)應急工作情況

1、開展日常資訊保安監測和預警

我院建立日常資訊保安監測和預警機制，提高處置網路與資訊保安突發公共能力事件，加強網路資訊保安保障工作，形成科學、有效、反應迅速的應急工作機制，確保重要計算機資訊系統的實體安全、執行安全和資料安全，最大限度地減輕網站網路與資訊保安突發公共事件的危害。

2、建立安全事件報告和響應處理程式

我院建立健全分級負責的應急管理體制，完善日常安全管理責任制。相關部門各司其職，做好日常管理和應急處置工作。設立安全事件報告和相應處理程式，根據安全事件分類和分級，進行不同的上報程式，開展不同的響應處理。

3、制定應急處置預案，定期演練並不斷完善

我院制定了安全應急預案，根據預警資訊，啟動相應應急程式，加強值班值守工作，做好應急處理各項準備工作。定期演練預警方案，不斷完善預警方案可行性、可操作性。

(四)安全教育培訓情況

為保證我院網路安全有效地執行，減少病毒侵入，我院就網路安全及系統安全的有關知識進行了培訓。期間，大家對實際工作中遇到的計算機方面的有關問題進行了詳細的諮詢，並得到了滿意的答覆。

三、網路與資訊保安存在的問題

經過安全檢查，我單位資訊系統安全總體情況良好，但也存在了一些不足：

1、資訊保安意識不夠。員工的資訊保安教育還不夠，缺乏維護資訊保安主動性和自覺性。

2、裝置維護、更新還不夠及時。

3、專業技術人員少，資訊系統安全力量有限，資訊系統安全技術水平還有待提高。

4、資訊系統安全工作機制有待進一步完善。

四、網路與資訊保安改進措施

根據自查過程中發現的不足，同時結合我院實際，將著重以下幾個方面進行整改：

一是要繼續加強對全員的資訊保安教育，提高做好安全工作的主動性和自覺性。

二是要切實增強資訊保安制度的落實工作，不定期的對安全制度執行情況進行檢查，對於導致不良後果的責任人，要嚴肅追進責任，從而提高人員安全防範意識。

三是要加強專業資訊科技人員的培養，進一步提高資訊保安工作技術水平，便於我們進一步加強計算機資訊系統安全防範和保密工作。

四是要加大對線路、系統、網路裝置的維護和保養，同時，針對資訊科技發展迅速的特點，要加大系統裝置更新力度。

五是要創新完善資訊保安工作機制，進一步規範辦公秩序，提高資訊工作安全性。

五、關於加強資訊保安工作的意見和建議

我們在管理過程中發現了一些管理方面存在的薄弱環節，今後我們還要在以下幾個方面進行改進：

一是對於線路不整齊、暴露的，立即對線路進行限期整改，並做好防鼠、防火安全工作。

二是加強裝置維護，及時更換和維護好故障裝置。

三是自查中發現個別人員電腦保安意識不強。在以後的工作中，我們將繼續加強電腦保安意識教育和防範技能訓練，讓員工充分認識到計算機案件的嚴重性。人防與技防結合，確實做好單位的網路安全工作。