“一站式”准入保护数据安全 解读深圳市人民医院的“最严尺度”

时间:2022-01-11 作者:奇安信集团

分享到:

    “电子病历、影像数据、临床诊疗、疫苗研究……医疗数据是医院最宝贵的财富之一。因此面对安全与便利之间的矛盾,我们医院在信息化建设方面的原则是,绝不会在安全尺度上进行妥协。”深圳市人民医院王院长这样表示。

“一站式”准入保护数据安全 解读深圳市人民医院的“最严尺度”

    作为深圳第一家“三级甲等”医院,深圳市人民医院深知医疗数据的重要价值,以及对于社会民生的特殊意义。因此,在信息化和网络安全的建设之路上,深圳市人民医院始终坚持更高要求、更严标准,向安全事件“零事故”的目标而努力。经过近几年的探索和实践,深圳市人民医院在数据安全,尤其是终端安全准入方面,开辟出了一条值得业界借鉴的道路。


8000多个终端,意味着8000多个薄弱点

    “在规模和综合实力方面,深圳市人民医院是全市领先的三甲医院,而在信息化建设方面,医院更是给予了极高的重视程度和投入力度,并积累了大量的宝贵数据,这也让我们更容易成为攻击者的目标。”王院长表示。

    据介绍,深圳市人民医院始建于1946年,前身是宝安县人民医院,1979年随着深圳经济特区的成立,更名为深圳市人民医院。现已发展成为一个功能齐全、设备先进、人才结构合理、技术力量雄厚,集医疗、科研、教学、住院医师规培、保健为一体的深圳市最大的现代化综合性医院。

    随着《网络安全法》、《数据安全法》相继出台,网络安全是全国上下高度关注的问题。但在实际工作中,网络安全工作存在很大难度,集中体现在以下几个方面:

    首先是很多人的网络安全意识薄弱,对数据泄露风险知之甚少。

    “以医院为例,一些医护人员、专家、科研人员,他们业务熟练,专业能力很强,但网络安全意识不强,对网络安全攻防技术更是知之甚少。实际工作中可能将电脑等设备无意外联,使宝贵的医疗数据暴露在外网,很容易让攻击者得手。”医院协会信息分会会长、深圳市人民医院信息技术部李科长对医院数据面临的风险深有感触。

    Verizon曾发布的一篇网络安全报告显示,在全世界范围内,医疗行业是内部威胁高于外部威胁的唯一一个行业,内部从业人员对医疗数据的泄漏达到了惊人的程度。要避免这种情况,除了必须要加强员工的安全意识之外,还需要通过技术手段提高身份认证的安全性,并做到安全追溯、责任到人。

    其次是终端数量多,类型复杂,地域分散,防不胜防。

    据介绍,深圳市人民医院有四个院区,地理位置相对分散,各类终端多达8000多个,包括电脑、打印机、移动终端、自助机、大屏幕等。这些设备都和重要业务及敏感数据相关。在攻击者眼中,8000多个终端就如同8000多个攻击入口。仅靠技术很难防住所有薄弱环节。

    再者是接入环境复杂,准入手段单一。

    除了数量多之外,深圳市人民医院的终端接入方式多种多样,包括上万个有线网口、HUB或NAT设备接入以及无线WIFI接入等多种形式,接入形式不统一,缺少标准的准入认证流程不光给网络管理造成了巨大的困扰,缺少认证的网络接入也给网络安全防护造成巨大的挑战。大量的信息接入点缺少端口级的准入防护方案,仅使用简单的IP-MAC绑定策略,外部终端直接修改网卡MAC即可接入有线网络,或直接接入无线网络,使得医院内网在攻击者眼中近乎不设防。

    最后是黑客手段越来越高明,新型攻击形式层出不穷。

    根据奇安信威胁情报中心《2020年全球高级持续威胁(APT)年度报告》显示,2020年,医疗卫生行业首次超过政府、金融、国防、能源、电信等领域,成为全球APT活动关注的首要目标,全球23.7%的APT活动事件与医疗卫生行业相关。由于APT的目的性非常强,攻击目标明确,持续时间长,不达目的不罢休,对医院威胁很大。


从病毒查杀到“一站式”准入安全,深圳市人民医院的安全进阶

    面对层出不穷的安全风险,深圳市人民医院意识到,终端安全不仅仅局限于恶意代码防范、病毒查杀、漏洞修补等方面。首先,要保障医院安全建设满足合规标准要求,这是安全底线。其次,还需要针对终端建立起从接入感知、资产发现、认证授权、安全检查、隔离修复、访问控制到入网追溯的“一站式”准入安全管理措施,实现从事前接入发现、事中接入管理、事后接入审计的整体安全防护方案,并且需支持多种设备类型进行统一准入管理。

    更具体来说,包括五个方面:

    第一是资产发现与识别。

    医院不断有新设备接入,以及端点的改造变化,导致设备资产情况不清晰,无法做到统一接入安全管理,经常会发生资产信息不全、资产丢失等情况,更无法建立完善的设备规范化接入管理机制。

    第二是身份认证与授权。

    由于网络边界越来越模糊,开放性越来越强,深圳市人民医院意识到,如果不对接入医院的用户和设备进行身份与权限的甄别,不受任何检查和限制的话,医院开放式网络将为恶意访问和入侵提供非常便利的条件,采用简单的攻击技术便可造成巨大的破坏,同时容易增加核心数据泄露风险。

    第三是合规检查与评估。

    医院有大量的工作终端,如果有“亚健康”终端接入内部网络,如:重要补丁没有安装、风险端口、非法外联等,随时都可能成为“定时炸弹”。以2017年肆虐全网的“永恒之蓝”事件为前车之鉴,一旦攻击者利用高危端口和漏洞等实现大规模传播,就会给医院带来不可估量的损失。所以,医院必须对终端进行合规检查和安全性评估才能接入网络。

    第四是设备异常监测。

    医院终端接入比较分散、数量又非常巨大,出现仿冒和劫持无法避免,需要进行监测和时候追踪。

    第五是入网追溯审计。

    只有知己知彼,才能百战不殆。管理员还需要了解什么人、什么时间、是什么设备、从哪里接入了医院网络,都有哪些安全风险项、网络接入情况等,需要全程追溯和审计。


与天擎实现一体化,部署和运维成本显著下降

    2019年12月开始,深圳市人民医院和多家网络安全厂商进行了接触,经过对产品性能、场景应用、可实施性等多方面综合比较之后,最终选择了和奇安信合作,为其提供终端安全准入(NAC)整体解决方案。

    “在网络攻防对抗中,终端历来是攻防双方的必争之地。”李科长表示,一方面是终端防御难,由于终端数量庞大、操作系统各异、用户安全意识薄弱等问题,容易成为突破口;另一方面,终端又是所有网络攻击的“着陆点”,核心重要数据的承载设施,一旦终端失陷,或者直接数据泄密被窃,或者成为攻击者横向移动的跳板,危害极大。

“一站式”准入保护数据安全 解读深圳市人民医院的“最严尺度”

    图:802.1x认证

    为此,奇安信终端安全准入系统(NAC),满足了医院多个方面的需求。

    首先采用端口级准入技术,完全满足政策合规要求,为医院提供可靠安全保障。

    医院属于关系国计民生的卫生行业,也是国家网络空间安全的组成部分,应符合国家关于网络与关键信息基础设施、云计算、大数据、等保2.0等相关的安全政策标准、法令法规和指导文件的要求,在合规的基础上考虑整体安全保障方案设计,尤其要符合国家《网络安全法》的要求。

    “目前医院采用了最严格的802.1x端口模式认证,保证每一个接入到网络中的终端均需要进行认证,其严格程度在业内是少见的。”李科长表示。

    据奇安信工程师介绍,这是IEEE制定关于用户接入网络的认证标准,它作为最为严格的端口级准入技术,未经身份认证与合规验证的终端接入交换机端口,除eapol报文外无法传输任何网络流量。同时认证通过后也受授权策略控制,仅可以访问指定的目标地址。

    可以说,奇安信NAC方案不仅保障了用户网络或设备接入内部网络的安全可信,保护IT基础设施的稳定运行和数据安全,同时也满足国家或行业的安全技术规范要求。

    其次是一体化管理,解决了传统散兵模式的部署难题,降低运维成本。

    在过去,安全准入和终端安全软件往往是相互独立的,这给管理和部署带来了一些难题。而奇安信NAC可以基于天擎集中统一管理,可在天擎“一体化”平台对引擎设备进行集中策略下发、设备批量升级、设备统一监测、区域分权管理等方式,适应超大规模用户的部署,多种灵活的手段满足大型网络架构下的业务管理需求,解决了传统方式的独立管理、散兵模式的部署难题。

    同时,这种一体化管理显著减轻了用户运维人员的工作量。另一方面,由于NAC和天擎终端安全进行一体化的联动,使得终端只需打开一个进程,避免多进程对计算资源的消耗。

    第三是旁路部署可不改变既有架构,实施成本更低。

    奇安信NAC方案的最显著优势就是部署更灵活。NAC可采用旁路部署方式,对网络环境依赖较小,不改变用户网络架构,支持集中和分布式部署方式。而且,该产品支持多种准入技术混合部署模式,可实现核心区域的准入控制、终端层的准入控制、接入层边界的准入控制,满足不同场景下的应用部署需求。

    最后是支持多种认证方式,满足用户入网多样性需求。

    天擎强制合规组件支持多凭证认证方式,支持用户名密码、主机MID、MAC、快速认证应用准入等多种凭证认证方式,支持多条件绑定认证入网,满足用户入网多样性需求建立多层入网防护体系,兼容与AD、LDAP等联动认证。同时,它确保实名制统一认证管理,使终端接入管理变得安全、透明、可控,满足信息安全管理要求。


强管控显著降低风险,安全事件实现“零事故”

    “我们使用最严格的安全准入制度,初期给医院的医生、科研人员及相关员工带来的操作不便等问题,是显而易见的。”李科长回忆到,“刚开始部分科室,例如急诊科,反馈比较多,但磨合一段时间之后,大家意识到安全的必要性和重要性,很快适应了新的安全准入管理体系。”

    “安全不能抱有侥幸心理,严格合规是我们的红线,不能贪图便利就放弃安全”。王院长反复强调了安全意识的重要性。据介绍,随着时间的推进,以及安全准入项目的实施,这些安全意识和理念,逐渐渗透到深圳市人民医院每个员工的头脑意识之中,整个安全的要求,不再是负担,而是日常的习惯。

    安全准入项目上线到现在,深圳市人民医院真正实现了安全事件“零事故”,相比之前每年有数起的情况,有了立竿见影的显著效果。不仅如此,在每年组织的实战攻防演习中,深圳市人民医院均实现了核心目标“零失陷”的佳绩。


奇安信 95015网络安全服务热线

95015网络安全服务热线

扫一扫关注

奇安信 在线客服 奇安信 95015

您对奇安信的任何疑问可用以下方式告诉我们

将您对奇安信的任何疑问

用以下方式告诉我们