2023醫(yī)院網(wǎng)絡(luò)安全規(guī)劃體系方案(等保、密碼)

智慧醫(yī)院網(wǎng)絡(luò)安全建設(shè)規(guī)劃方案

目錄一、 概述 21.1項目背景 21.2編制依據(jù) 3二、 安全現(xiàn)狀 4三、 安全保障目標(biāo) 4四、 安全風(fēng)險分析 5五、 網(wǎng)絡(luò)安全建設(shè)方案 75.1總體建設(shè)目標(biāo) 75.2項目建設(shè)思路 75.3項目建設(shè)內(nèi)容 75.4安全建設(shè)方案 115.4.1網(wǎng)絡(luò)安全建設(shè)方案 115.4.2網(wǎng)絡(luò)安全建設(shè)規(guī)劃拓?fù)?155.4.3密碼應(yīng)用建設(shè)方案 165.4.4密碼應(yīng)用用建設(shè)規(guī)劃拓?fù)?185.5安全建設(shè)產(chǎn)品及預(yù)算 19六、 合規(guī)性分析 266.1網(wǎng)絡(luò)安全等級保護(hù)合規(guī)性分析（技術(shù)部分） 266.2密碼應(yīng)用基本要求合規(guī)性分析（技術(shù)部分） 316.3智慧醫(yī)院建設(shè)（網(wǎng)絡(luò)安全部分） 35

概述1.1項目背景xxx隨著“智慧醫(yī)院”建設(shè)和醫(yī)院信息化的不斷發(fā)展，醫(yī)院各項工作的開展都不同程度的采用了信息化系統(tǒng)（電子病歷、預(yù)約診療、智能導(dǎo)診、電子支付等），信息系統(tǒng)在醫(yī)院中的角色也越來越重要，現(xiàn)代醫(yī)院的發(fā)展建設(shè)已經(jīng)和信息化建設(shè)結(jié)合為一體；而醫(yī)療作為關(guān)乎民生的重要行業(yè)，在巨大商業(yè)利益的驅(qū)使下，醫(yī)療行業(yè)的數(shù)據(jù)、個人信息等面臨來自內(nèi)部威脅和外部威脅的雙重包夾。一旦數(shù)據(jù)泄露，不僅影響醫(yī)院公眾形象，甚至損害患者的個人利益，更是為本就緊張的醫(yī)患關(guān)系又增加了不和諧的色彩。而《網(wǎng)絡(luò)安全法》的出臺，也讓網(wǎng)絡(luò)安全的責(zé)任界定有了更為明確的責(zé)任主體。因此如何保證醫(yī)院信息系統(tǒng)安全成為醫(yī)院信息化建設(shè)中需重視的問題。國家公安部、保密局、國家密碼管理局、國務(wù)院信息化領(lǐng)導(dǎo)小組辦公室聯(lián)合頒布了861號文件《關(guān)于開展全國重要信息系統(tǒng)安全等級保護(hù)定級工作的通知》和《信息安全等級保護(hù)管理辦法》、智慧醫(yī)院建設(shè)相關(guān)標(biāo)準(zhǔn)，要求涉及國計民生的信息系統(tǒng)應(yīng)達(dá)到一定的安全等級，根據(jù)各類文件精神和等級劃分的原則，三級醫(yī)院信息系統(tǒng)構(gòu)筑至少應(yīng)達(dá)到三級等保防護(hù)要求。根據(jù)中共中央辦公廳國務(wù)院辦公廳關(guān)于印發(fā)《金融和重要領(lǐng)域密碼應(yīng)用與創(chuàng)新發(fā)展工作規(guī)劃（2018-2022年）》的通知中明確說明，金融和基礎(chǔ)信息網(wǎng)絡(luò)、重要信息系統(tǒng)、重要工業(yè)控制系統(tǒng)及面向社會服務(wù)的政務(wù)信息系統(tǒng)等重要領(lǐng)域的網(wǎng)絡(luò)安全，事關(guān)國家政治安全、經(jīng)濟(jì)安全、文化安全、社會安全和生態(tài)安全。密碼是保障網(wǎng)絡(luò)安全的核心技術(shù)和基礎(chǔ)支撐，在維護(hù)國家安全、促進(jìn)經(jīng)濟(jì)社會發(fā)展、保護(hù)人民群眾利益中發(fā)揮著不可替代的重要作用?！吨腥A人民共和國密碼法》的頒布實施，從法律層面為開展商用密碼應(yīng)用提供了根本遵循。同時公安部2020年9月發(fā)布《貫徹落實網(wǎng)絡(luò)安全等級保護(hù)制度和關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)制度的指導(dǎo)意見》中也要求等保第三級及以上網(wǎng)絡(luò)應(yīng)正確、有效采用密碼技術(shù)進(jìn)行保護(hù)，并使用符合相關(guān)要求的密碼產(chǎn)品和服務(wù)。要在網(wǎng)絡(luò)安全等級測評中同步開展密碼應(yīng)用安全性評估。依據(jù)《商用密碼應(yīng)用安全性評估FAQ（第二版）》指導(dǎo)文件，三級等保系統(tǒng)的密碼應(yīng)用建設(shè)要求應(yīng)達(dá)到第三級密碼應(yīng)用基本防護(hù)要求。因此在整個醫(yī)院信息化進(jìn)程中需參照《網(wǎng)絡(luò)安全法》、《數(shù)據(jù)安全法》、《密碼法》、《網(wǎng)絡(luò)安全等級保護(hù)基本要求》、《全國醫(yī)院信息化建設(shè)標(biāo)準(zhǔn)與規(guī)范》和智慧醫(yī)院建設(shè)的相關(guān)政策文件標(biāo)準(zhǔn)；在信息化建設(shè)規(guī)劃中補(bǔ)充適當(dāng)?shù)木W(wǎng)絡(luò)安全防護(hù)措施，確保信息化建設(shè)和網(wǎng)絡(luò)安全建設(shè)達(dá)到“同步規(guī)劃”、“同步建設(shè)”、“同步使用”；以此保障核心業(yè)務(wù)系統(tǒng)穩(wěn)定、持續(xù)、安全可靠的運(yùn)行。1.2編制依據(jù)《中華人民共和國網(wǎng)絡(luò)安全法》《中華人民共和國密碼法》《中華人民共和國數(shù)據(jù)安全法》GB/T22239-2019《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)基本要求》GB/T39786-2021《信息安全技術(shù)信息系統(tǒng)密碼應(yīng)用基本要求》GB/T25058-2019《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)實施指南》GBT25070-2019《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)安全設(shè)計技術(shù)要求》GB/T28448-2019《信息系統(tǒng)安全等級保護(hù)測評要求》GB/T18336《信息技術(shù)-安全技術(shù)-信息技術(shù)安全性評估準(zhǔn)則》GB/T22240-2008《信息安全技術(shù)信息系統(tǒng)安全等級保護(hù)定級指南》GB/T35281-2017《信息安全技術(shù)移動互聯(lián)網(wǎng)應(yīng)用服務(wù)器安全技術(shù)要求》GB/T35273-2017《信息安全技術(shù)個人信息安全規(guī)范》《貫徹落實網(wǎng)絡(luò)安全等級保護(hù)制度和關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)制度的指導(dǎo)意見》《關(guān)于大力推進(jìn)智慧醫(yī)院建設(shè)的通知》（川衛(wèi)發(fā)〔2019〕51號）《國家衛(wèi)生健康委辦公廳關(guān)于印發(fā)醫(yī)院智慧管理分級評估標(biāo)準(zhǔn)體系（試行）的通知》

安全現(xiàn)狀XX醫(yī)院目前整體網(wǎng)絡(luò)區(qū)分為互聯(lián)網(wǎng)（以下簡稱外網(wǎng)）和工作內(nèi)網(wǎng)（以下簡稱內(nèi)網(wǎng)），整體網(wǎng)絡(luò)架構(gòu)采用三層層次化模型網(wǎng)絡(luò)架構(gòu)，即由核心層、匯聚層和接入層組成，關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)處均采用冗余雙機(jī)。全網(wǎng)辦公用計算機(jī)300臺。XX醫(yī)院現(xiàn)有網(wǎng)站、微信公眾號、微信掛號、電子病歷、LIS、HIS、PACS等業(yè)務(wù)系統(tǒng)。整體網(wǎng)絡(luò)基于業(yè)務(wù)基本使用需求已構(gòu)建有基本的安全防護(hù)措施，整體安全防護(hù)措施如下：網(wǎng)絡(luò)中重要節(jié)點(diǎn)處部署有防火墻、IPS（特征庫過期），能實現(xiàn)網(wǎng)絡(luò)邊界的安全隔離、入侵防范、病毒防范和訪問控制。全網(wǎng)辦公終端部署有防病毒軟件。外網(wǎng)區(qū)域與內(nèi)網(wǎng)區(qū)域采用防火墻+網(wǎng)閘的方式建立安全數(shù)據(jù)交換通道。網(wǎng)絡(luò)中部署有堡壘機(jī)，實現(xiàn)對運(yùn)維操作人員的運(yùn)維管理和審計。本地數(shù)據(jù)中心建設(shè)一部分采用獨(dú)立的物理服務(wù)器，一部分采用超融合的方式；超融合平臺采用分布式架構(gòu)和虛擬化特性為業(yè)務(wù)系統(tǒng)帶來了極強(qiáng)的可靠性、穩(wěn)定性；在數(shù)據(jù)備份層面，采用本地備份和超融合平臺自身的容災(zāi)機(jī)制實現(xiàn)；互聯(lián)網(wǎng)網(wǎng)站采用第三方托管方式；外網(wǎng)區(qū)域業(yè)務(wù)（微信公眾號、微信掛號等）未來將部署于公有云上，公有云部分采用運(yùn)營商專線與本地局域網(wǎng)互連。安全保障目標(biāo)按照XX醫(yī)院網(wǎng)絡(luò)劃分和業(yè)務(wù)的基本現(xiàn)狀，對本次安全建設(shè)的保障目標(biāo)梳理如下：互聯(lián)網(wǎng)側(cè)：安全保障目標(biāo)主要為互聯(lián)網(wǎng)側(cè)的業(yè)務(wù)系統(tǒng)（網(wǎng)站、微信公眾號、微信小程序掛號、OA系統(tǒng)等）注：網(wǎng)站和互聯(lián)網(wǎng)側(cè)業(yè)務(wù)分別采用第三方托管和業(yè)務(wù)上云的方式，因此互聯(lián)網(wǎng)側(cè)業(yè)務(wù)的基本安全防護(hù)由托管方和公有云運(yùn)營方負(fù)責(zé)，不在本次項目考慮范圍之內(nèi)。但針對相關(guān)業(yè)務(wù)系統(tǒng)也應(yīng)建立定期查看、巡檢等工作機(jī)制，確保安全可控和安全事件的及時處置。工作內(nèi)網(wǎng)側(cè)內(nèi)網(wǎng)各重要網(wǎng)絡(luò)邊界（縱向與外部專網(wǎng)、服務(wù)器區(qū)邊界）內(nèi)網(wǎng)人員安全管理內(nèi)網(wǎng)區(qū)主機(jī)（辦公PC和服務(wù)器主機(jī)）終端安全防護(hù)內(nèi)網(wǎng)側(cè)遠(yuǎn)程接入人員的管控和安全防護(hù)內(nèi)網(wǎng)核心業(yè)務(wù)系統(tǒng)（HIS、LIS、PACS、EMR等）的安全防護(hù)安全風(fēng)險分析XX醫(yī)院本地外網(wǎng)側(cè)因不存在業(yè)務(wù)系統(tǒng)，因此存在的安全風(fēng)險主要是公有云業(yè)務(wù)系統(tǒng)數(shù)據(jù)與醫(yī)院本地網(wǎng)絡(luò)間的數(shù)據(jù)傳輸風(fēng)險。XX醫(yī)院內(nèi)網(wǎng)與外部網(wǎng)絡(luò)通過網(wǎng)閘進(jìn)行網(wǎng)絡(luò)隔離，但由于日常的操作流程不規(guī)范、網(wǎng)閘配置不合規(guī)（透明、協(xié)議全通）、一機(jī)兩網(wǎng)等情況，仍有極高的概率遭受外部網(wǎng)絡(luò)的安全攻擊和入侵。同時醫(yī)院內(nèi)網(wǎng)與醫(yī)保等外部專網(wǎng)互聯(lián)互通、辦公終端分布廣、使用人員多等情況，也同樣存在外部專網(wǎng)的安全入侵風(fēng)險、內(nèi)網(wǎng)辦公終端安全風(fēng)險、內(nèi)網(wǎng)側(cè)遠(yuǎn)程人員安全接入等風(fēng)險。整體網(wǎng)絡(luò)遭受外部網(wǎng)絡(luò)攻擊、高級威脅攻擊、網(wǎng)絡(luò)病毒攻擊、U盤病毒、內(nèi)部業(yè)務(wù)系統(tǒng)使用等風(fēng)險依然非常艱巨。具體風(fēng)險如下：勒索病毒風(fēng)險：醫(yī)院業(yè)務(wù)信息系統(tǒng)的具備高時效性和高價值性，基于利益趨向的勒索病毒是醫(yī)療安全的主要威脅。一旦醫(yī)院核心信息化系統(tǒng)的癱瘓，對于醫(yī)院、患者來說，損失是非常巨大的，甚至危及患者的生命安全；醫(yī)院中的醫(yī)學(xué)記錄、數(shù)據(jù)、病患資料以及預(yù)約信息等等，都屬于需要緊急使用的信息，被加密后勢必會想盡辦法以最快速度恢復(fù)數(shù)據(jù)，惡意攻擊者也正是看中了這一點(diǎn)，使得醫(yī)療行業(yè)成為了勒索病毒的重災(zāi)區(qū)。內(nèi)網(wǎng)安全風(fēng)險：由于內(nèi)網(wǎng)與外部互聯(lián)網(wǎng)的物理隔離和封閉性，內(nèi)網(wǎng)的人為意識行為風(fēng)險實際上已成為醫(yī)院內(nèi)網(wǎng)最大的風(fēng)險源，急需通過安全意識提升并結(jié)合技術(shù)管控手段進(jìn)行風(fēng)險控制。具體安全風(fēng)險如下：（1）內(nèi)網(wǎng)終端通過4G/5G/WIFI等方式違規(guī)接入外網(wǎng)的風(fēng)險，正式由于內(nèi)網(wǎng)的封閉性，個別人員為了方便些將內(nèi)網(wǎng)與其它網(wǎng)絡(luò)通過某些技術(shù)手段打通，這將給某些潛伏的APT機(jī)會，將敏感的數(shù)據(jù)、文件泄露到外部網(wǎng)絡(luò)；（2）通過U盤在外網(wǎng)電腦和內(nèi)網(wǎng)電腦間互相拷貝數(shù)據(jù)，工作U盤與私人U盤混用，隨意下載各類互聯(lián)網(wǎng)文件等情況，極有可能將病毒、木馬、潛伏攻擊等帶入終端電腦，進(jìn)而引發(fā)大面積的網(wǎng)絡(luò)病毒事件。（3）第三方運(yùn)維接觸敏感信息導(dǎo)致泄露的風(fēng)險，醫(yī)院內(nèi)網(wǎng)業(yè)務(wù)系統(tǒng)眾多，由于科室人員有限絕大部分的應(yīng)用系統(tǒng)由第三方或應(yīng)用系統(tǒng)廠商代維，有機(jī)會接觸到一些敏感信息和數(shù)據(jù)，這部分人員安全和法律意識參差不齊，不免為了一己私利泄露和盜取相關(guān)信息；（4）內(nèi)部人員未經(jīng)授權(quán)訪問和操作敏感信息的風(fēng)險，因此需加強(qiáng)統(tǒng)一認(rèn)證、權(quán)限控制、過程審計方面等技術(shù)能力，強(qiáng)化重要系統(tǒng)的內(nèi)控機(jī)制是確保信息泄露的關(guān)鍵技術(shù)措施和手段。內(nèi)網(wǎng)邊界風(fēng)險：醫(yī)院內(nèi)網(wǎng)與醫(yī)保、社保等外部專網(wǎng)互聯(lián)互通，從以往眾多醫(yī)療網(wǎng)絡(luò)安全事件案例來看，外部專網(wǎng)數(shù)據(jù)中也有極大的可能存在病毒、木馬、APT等，給醫(yī)院自身內(nèi)網(wǎng)的安全會造成極大的威脅；在縱向的醫(yī)院內(nèi)網(wǎng)邊界接入?yún)^(qū)，存在訪問控制缺失、病毒、入侵事件蔓延的風(fēng)險，例如：一旦某個醫(yī)保、社保上級單位或下級其他醫(yī)院網(wǎng)絡(luò)中有勒索病毒、挖礦病毒，有很高的概率會蔓延到整個互聯(lián)的醫(yī)療大網(wǎng)絡(luò)中。應(yīng)用防護(hù)風(fēng)險：內(nèi)網(wǎng)的網(wǎng)絡(luò)業(yè)務(wù)訪問、發(fā)布服務(wù)的WEB應(yīng)用連通了內(nèi)部局域網(wǎng)和外部網(wǎng)絡(luò)，連通的同時帶來了網(wǎng)絡(luò)暴露面和安全威脅；據(jù)Gartner權(quán)威的調(diào)研報告數(shù)據(jù)顯示，目前網(wǎng)絡(luò)安全攻擊有75%都是發(fā)生在Web應(yīng)用層而非網(wǎng)絡(luò)層面，面對Web應(yīng)用攻擊，最缺乏的就是針對服務(wù)端口、Web應(yīng)用層漏洞、攻擊的檢測防護(hù)機(jī)制。Web應(yīng)用安全是網(wǎng)絡(luò)安全建設(shè)中的重中之重。高級威脅檢測和統(tǒng)一安全管理缺失：傳統(tǒng)的安全防護(hù)/檢測設(shè)施主要基于特征、規(guī)則庫，檢測已知威脅沒有問題，缺乏針對未知威脅檢測能力；缺乏長周期、行為分析、關(guān)聯(lián)分析的高級威脅檢測能力，同時缺少基于安全事件全生命周期管控的技術(shù)措施。在傳統(tǒng)的網(wǎng)絡(luò)安全防護(hù)體系中，各種網(wǎng)絡(luò)安全設(shè)備都具備一定的專向性，解決專一性問題，在網(wǎng)絡(luò)安全運(yùn)維過程中很多問題需要多種設(shè)備關(guān)聯(lián)分析、配合操作才能夠完成對應(yīng)的網(wǎng)絡(luò)防護(hù)要求，在這種情況下存在如下問題：1、對運(yùn)維人員有極高的技術(shù)要求；2、對運(yùn)維人員有極高的產(chǎn)品了解度要求；3、出錯概率高；4、安全日志高信息量、安全日志高誤報、人員高運(yùn)維壓力。資產(chǎn)管理風(fēng)險：資產(chǎn)管理是網(wǎng)絡(luò)安全管理的核心，只有準(zhǔn)確的掌握了資產(chǎn)信息才能有的放矢定位安全漏洞，及時處理資產(chǎn)的安全事件，因此建議要建立健全資產(chǎn)入網(wǎng)和清查制度，定期對資產(chǎn)管理情況(新增、在線、離線、退網(wǎng)等)進(jìn)行維護(hù)更新，確保資產(chǎn)臺賬清晰準(zhǔn)確。外網(wǎng)-內(nèi)網(wǎng)數(shù)據(jù)傳輸、交互風(fēng)險：醫(yī)院內(nèi)網(wǎng)通過前置服務(wù)器+網(wǎng)閘的方式對外網(wǎng)側(cè)數(shù)據(jù)進(jìn)行采集和交換；極大可能存在敏感數(shù)據(jù)被惡意交換的風(fēng)險；同時外網(wǎng)側(cè)數(shù)據(jù)中有很大的可能存在病毒、木馬、APT等，給內(nèi)網(wǎng)的安全造成極大的威脅。網(wǎng)絡(luò)安全建設(shè)方案5.1總體建設(shè)目標(biāo)經(jīng)過有步驟有計劃的分階段安全建設(shè)，以最大化滿足合法合規(guī)為基礎(chǔ)安全體系框架，通過解決真實存在的安全風(fēng)險，輔以安全技術(shù)、安全管理、安全能力的提升；最終形成一套動態(tài)的可持續(xù)的主動防御體系；以網(wǎng)絡(luò)安全中的安全事件為導(dǎo)向，對安全事件的事前、事中、事后進(jìn)行全生命周期管控，通過事前監(jiān)測、預(yù)警、風(fēng)險評估、漏洞修復(fù)；事中防御處置；事后應(yīng)急響應(yīng)、威脅處置、取證溯源、漏洞驗證、安全復(fù)測、事件報告等手段；構(gòu)建一套動態(tài)可持續(xù)運(yùn)轉(zhuǎn)的縱深防護(hù)體系，以此達(dá)到對抗動態(tài)安全風(fēng)險的目的。5.2項目建設(shè)思路本次安全建設(shè)規(guī)劃通過對XX醫(yī)院整體網(wǎng)絡(luò)合理劃分各類安全區(qū)域（數(shù)據(jù)交換區(qū)、內(nèi)網(wǎng)接入?yún)^(qū)、內(nèi)網(wǎng)核心交換區(qū)、內(nèi)網(wǎng)服務(wù)器區(qū)、內(nèi)網(wǎng)安全管理區(qū)、內(nèi)網(wǎng)終端接入?yún)^(qū)），通過對各安全區(qū)域補(bǔ)充各類必要的安全防護(hù)措施；采用主動防御、縱深防御理念，依托統(tǒng)一安全管理平臺、大數(shù)據(jù)分析、行為分析、高級威脅分析、威脅事件管理、欺騙防御、全流量溯源取證、零信任體系（終端和人員權(quán)限最小化）、商用密碼應(yīng)用等技術(shù)手段，結(jié)合第三方安全服務(wù)提供全方位、全天候、全時段的主動防護(hù)體系，保護(hù)組織核心業(yè)務(wù)不被網(wǎng)絡(luò)攻擊中斷，保障組織核心業(yè)務(wù)數(shù)據(jù)不被竊取。在對已知威脅有較強(qiáng)的防御能力外，對于未知威脅也具有一定的防御能力。5.3項目建設(shè)內(nèi)容依據(jù)項目建設(shè)目標(biāo)和思路，針對XX醫(yī)院本次項目建設(shè)內(nèi)容如下：序號目標(biāo)具體建設(shè)指標(biāo)1最大化收攏網(wǎng)絡(luò)暴露面（服務(wù)、端口）。1、通過對業(yè)務(wù)流程和應(yīng)用進(jìn)行全方位梳理，關(guān)閉一切非必要的端口和服務(wù)。2、通過部署零信任網(wǎng)關(guān)對醫(yī)院內(nèi)網(wǎng)和外網(wǎng)對外發(fā)布的服務(wù)進(jìn)行代理，利用零信任網(wǎng)關(guān)“SPA單包先認(rèn)證后連接技術(shù)”實現(xiàn)整個防護(hù)網(wǎng)絡(luò)的隱藏，同時零信任網(wǎng)關(guān)只對經(jīng)由認(rèn)證通過的客戶端開放，起到網(wǎng)絡(luò)隱身的作用，最大化降低了醫(yī)院外網(wǎng)和內(nèi)網(wǎng)的對外暴露面。3、通過構(gòu)建零信任體系，以應(yīng)用及數(shù)據(jù)安全為核心，以密碼、身份、授權(quán)、環(huán)境感知、可視、審計、隔離、訪問控制為技術(shù)手段，將傳統(tǒng)局域網(wǎng)網(wǎng)絡(luò)邊界，縮小到以人員為邊界，通過對人員、應(yīng)用的動態(tài)鑒權(quán)、授權(quán)，同時也實現(xiàn)了安全防護(hù)能力模型的升級。2資產(chǎn)排查梳理，資產(chǎn)全生命周期管理1、部署資產(chǎn)管理系統(tǒng)，通過自動發(fā)現(xiàn)、資產(chǎn)導(dǎo)入、主動采集等方式收集全網(wǎng)信息化資產(chǎn)，通過資產(chǎn)測繪、監(jiān)測預(yù)警、資產(chǎn)畫像、合規(guī)分析、資產(chǎn)全生命周期管理（上線、變更、退網(wǎng)）等技術(shù)能力，實現(xiàn)摸清家底，提高資產(chǎn)治理水平的目的。2、建立完善的信息化資產(chǎn)管理制度。3全方位終端安全管控1、通過部署終端安全管理系統(tǒng)，實現(xiàn)對醫(yī)院終端的全方位安全管控。終端安全管理系統(tǒng)至少應(yīng)具備如下終端安全管控能力：具備外設(shè)、移動存儲介質(zhì)管控能力具備防范內(nèi)網(wǎng)設(shè)備非法外聯(lián)能力具備遠(yuǎn)程協(xié)助、補(bǔ)丁管理和軟件分發(fā)能力具備全面的有線、無線網(wǎng)絡(luò)準(zhǔn)入能力終端安全加固、基線檢測和修復(fù)能力具備多網(wǎng)卡檢測和限制能力具備網(wǎng)絡(luò)隔離能力具備各類終端事件的審計能力具備主機(jī)防火墻、防病毒、勒索病毒免疫能力4縱深防御體系建設(shè)以分區(qū)分域，縱深防護(hù)、主動防御、動態(tài)防御、適度防護(hù)為基本設(shè)計理念，從防護(hù)、檢測、響應(yīng)、審計4個方面構(gòu)建縱深防御體系。本次針對XX醫(yī)院涉及的安全防護(hù)產(chǎn)品建議如下防護(hù)：通過在內(nèi)網(wǎng)接入?yún)^(qū)域邊界、內(nèi)網(wǎng)服務(wù)器區(qū)邊界、安全管理區(qū)邊界、數(shù)據(jù)交換區(qū)邊界等重要網(wǎng)絡(luò)邊界處根據(jù)實際需要部署各類安全防護(hù)系統(tǒng)，實現(xiàn)1-7層的安全防護(hù)。本次針對XX醫(yī)院涉及的安全防護(hù)產(chǎn)品建議如下：下一代防火墻、WEB應(yīng)用防火墻、蜜罐系統(tǒng)、終端防病毒軟件、終端安全管理軟件、零信任安全網(wǎng)關(guān)等。檢測通過在內(nèi)網(wǎng)核心交換機(jī)旁路部署專業(yè)檢測設(shè)備，實現(xiàn)全網(wǎng)的威脅檢測。本次針對XX醫(yī)院涉及的安全防護(hù)產(chǎn)品建議如下：內(nèi)網(wǎng)核心交換機(jī)旁路部署高級威脅分析平臺和威脅檢測探針（入侵檢測）發(fā)現(xiàn)內(nèi)網(wǎng)中的入侵、病毒、高級威脅、新型威脅、未知威脅等行為，同時相關(guān)檢測數(shù)據(jù)可發(fā)送至安全管理平臺進(jìn)行關(guān)聯(lián)分析。響應(yīng)處置通過部署安全態(tài)勢感知平臺（統(tǒng)一安全管理）將全網(wǎng)孤立、碎片化的信息，匯聚、關(guān)聯(lián)為可視化的信息安全事件；為全網(wǎng)安全威脅，預(yù)警、防御、應(yīng)急處置、響應(yīng)提供技術(shù)能力支撐，利用管理平臺的工單和事件系統(tǒng)實現(xiàn)安全事件處置流程閉環(huán)。同時也可依托于態(tài)勢感知平臺和各類同品牌安全設(shè)施部署，實現(xiàn)聯(lián)動和協(xié)同事件處置功能；審計通過在安全管理區(qū)部署各類安全審計設(shè)施，實現(xiàn)網(wǎng)絡(luò)流量、網(wǎng)絡(luò)協(xié)議、終端行為、數(shù)據(jù)庫操作、運(yùn)維操作、日志信息等的全方位審計。本次針對XX醫(yī)院涉及的安全審計類產(chǎn)品建議如下：日志審計系統(tǒng)、堡壘機(jī)、數(shù)據(jù)庫審計系統(tǒng)、全流量分析取證系統(tǒng)5安全服務(wù)建立常態(tài)化的安全服務(wù)機(jī)制，依托于安全運(yùn)維人員、工作流程設(shè)置、態(tài)勢感知平臺和各類安全組件的技術(shù)支撐，構(gòu)建一套基于事前監(jiān)測、預(yù)警、風(fēng)險評估、漏洞修復(fù)；事中防御處置；事后應(yīng)急響應(yīng)、威脅處置、取證溯源、漏洞驗證、安全復(fù)測、事件報告的工作機(jī)制。實現(xiàn)對信息安全事件的持續(xù)閉環(huán)流程處置。常態(tài)化開展安全服務(wù)，對防御體系和安全風(fēng)險持續(xù)改進(jìn)，以專業(yè)技術(shù)人員（管理人員+第三方技術(shù)人員）為核心紐帶將整體防御體系動態(tài)運(yùn)轉(zhuǎn)。本次針對XX醫(yī)院涉及的安全服務(wù)建議如下：安全監(jiān)測與分析服務(wù)滲透測試服務(wù)脆弱性發(fā)現(xiàn)與管理服務(wù)安全培訓(xùn)教育服務(wù)6商用密碼應(yīng)用建設(shè)密碼應(yīng)用建設(shè)主要關(guān)注的是數(shù)據(jù)本身，利用密碼技術(shù)對產(chǎn)生、傳輸、存儲的各個數(shù)據(jù)環(huán)節(jié)實現(xiàn)真實性、機(jī)密性、完整性和不可否認(rèn)性保護(hù)。從XX醫(yī)院業(yè)務(wù)使用場景總體來講分為7個大類，整體類別和安全建設(shè)建議如下所示：1、人員身份真實性鑒別（業(yè)務(wù)用戶、運(yùn)維人員）通過國密USBkey+CA證書系統(tǒng)實現(xiàn)2、網(wǎng)絡(luò)傳輸通道加密（人-系統(tǒng)、人-堡壘機(jī)、系統(tǒng)-系統(tǒng)（跨網(wǎng)））基于國密算法的網(wǎng)絡(luò)加密機(jī)的IPSECVPN和SSLVPN功能實現(xiàn)3、數(shù)據(jù)傳輸機(jī)密性、完整性保護(hù)基于國密算法的SSLVPN功能實現(xiàn)數(shù)據(jù)傳輸機(jī)密性保護(hù)，應(yīng)用系統(tǒng)調(diào)用服務(wù)器密碼機(jī)、簽名驗簽服務(wù)器實現(xiàn)重要數(shù)據(jù)在傳輸過程中的加密和完整性保護(hù)。4、應(yīng)用系統(tǒng)數(shù)據(jù)存儲加密應(yīng)用系統(tǒng)調(diào)用服務(wù)器密碼機(jī)、簽名驗簽服務(wù)器對落地數(shù)據(jù)進(jìn)行加密保護(hù)、完整性保護(hù)?；虿渴皙?dú)立的數(shù)據(jù)庫加密系統(tǒng)，實現(xiàn)存儲數(shù)據(jù)的加密。業(yè)務(wù)應(yīng)用訪問控制信息的完整性應(yīng)用系統(tǒng)調(diào)用服務(wù)器密碼機(jī)、簽名驗簽服務(wù)器對訪問控制信息進(jìn)行完整性保護(hù)。集權(quán)設(shè)備重要存儲信息、訪問控制信息機(jī)密性、完整性保護(hù)日志審計系統(tǒng)、堡壘機(jī)系統(tǒng)調(diào)用服務(wù)器密碼機(jī)、簽名驗簽服務(wù)器對訪問控制信息進(jìn)行機(jī)密性和完整性保護(hù)。高敏感操作不可否認(rèn)性保護(hù)、驗證（簽名、簽章）針對電子簽名、簽章等業(yè)務(wù)使用場景，需采用基于國密算法的產(chǎn)品，可通過部署時間戳服務(wù)器、可信電子簽章系統(tǒng)結(jié)合CA證書系統(tǒng)、國密智能密碼鑰匙等密碼產(chǎn)品，實現(xiàn)對敏感操作的不可否認(rèn)性保護(hù)。

5.4安全建設(shè)方案5.4.1網(wǎng)絡(luò)安全建設(shè)方案安全區(qū)域劃分本項目根據(jù)業(yè)務(wù)功能以及安全需求的不同，將XX醫(yī)院整體網(wǎng)絡(luò)劃分為數(shù)據(jù)交換區(qū)、內(nèi)網(wǎng)接入?yún)^(qū)、內(nèi)網(wǎng)核心交換區(qū)、內(nèi)網(wǎng)服務(wù)器區(qū)、內(nèi)網(wǎng)終端接入?yún)^(qū)、內(nèi)網(wǎng)安全管理區(qū)共6類安全域。各安全區(qū)域應(yīng)根據(jù)業(yè)務(wù)流程和重要性進(jìn)行邏輯隔離，確保不同區(qū)域之間的互訪屬于可控、可信流量。安全區(qū)域劃分說明如下：數(shù)據(jù)交換區(qū)：利用網(wǎng)閘和前置服務(wù)器提供外網(wǎng)與內(nèi)網(wǎng)的數(shù)據(jù)安全交換通道。內(nèi)網(wǎng)接入?yún)^(qū)：由運(yùn)營商專線出口組成，提供上級醫(yī)保、社保等專網(wǎng)的接入。內(nèi)網(wǎng)核心交換區(qū)：部署了網(wǎng)絡(luò)的核心交換設(shè)備，用于數(shù)據(jù)的高速轉(zhuǎn)發(fā)；內(nèi)網(wǎng)服務(wù)器區(qū)：本安全區(qū)主要用于部署各類數(shù)據(jù)中心相關(guān)的生產(chǎn)/業(yè)務(wù)服務(wù)器；內(nèi)網(wǎng)終端接入?yún)^(qū)：本安全區(qū)主要用內(nèi)網(wǎng)辦公終端的接入；內(nèi)網(wǎng)安全管理區(qū)：本安全區(qū)主要用于部署各類信息安全產(chǎn)品及相關(guān)服務(wù)器；縱深防御體系設(shè)計本項目縱深防御體系設(shè)計主要從攻擊者和防御者2種視角出發(fā)。（1）從攻擊者角度出發(fā)，黑客首先突破網(wǎng)絡(luò)邊界最后到業(yè)務(wù)系統(tǒng)和數(shù)據(jù)庫，從防御體系和監(jiān)測體系兩個維度進(jìn)行設(shè)計；（2）從防御的視角出發(fā)，數(shù)據(jù)從內(nèi)網(wǎng)流向外網(wǎng)，從防御和監(jiān)測兩個維度進(jìn)行設(shè)計。依據(jù)每個視角不同的出發(fā)點(diǎn)和關(guān)注重點(diǎn)，整體縱深防御體系設(shè)計如下：（一）攻擊者視角防護(hù)體系設(shè)計第一層防護(hù)（網(wǎng)絡(luò)隱身）：通過在內(nèi)網(wǎng)接入?yún)^(qū)邊界區(qū)冗余部署零信任體系（零信任網(wǎng)關(guān)、控制器）對醫(yī)院內(nèi)網(wǎng)和外網(wǎng)對外發(fā)布的服務(wù)進(jìn)行代理，利用零信任體系“SPA單包先認(rèn)證后連接技術(shù)理念”實現(xiàn)整個防護(hù)網(wǎng)絡(luò)的隱藏，同時零信任網(wǎng)關(guān)只對經(jīng)由認(rèn)證通過的客戶端開放，起到網(wǎng)絡(luò)隱身的作用，最大化降低了醫(yī)院外網(wǎng)和內(nèi)網(wǎng)的對外暴露面。第二層防護(hù)（網(wǎng)絡(luò)層防護(hù)）：通過在內(nèi)網(wǎng)接入?yún)^(qū)邊界、服務(wù)器區(qū)冗余部署下一代防火墻，實施相應(yīng)的訪問控制策略，對進(jìn)出安全區(qū)域邊界的數(shù)據(jù)信息進(jìn)行控制，阻止非授權(quán)訪問；從入侵行為、病毒攻擊等多個維度對網(wǎng)絡(luò)訪問行為進(jìn)行控制，保證網(wǎng)絡(luò)的整體安全性。第三層防護(hù)（欺騙防御）：通過在內(nèi)網(wǎng)安全管理區(qū)部署蜜罐系統(tǒng)，蜜罐系統(tǒng)基于主動防御理念和網(wǎng)絡(luò)欺騙技術(shù)，通過在內(nèi)網(wǎng)中部署具備感知能力的探測端、管理服務(wù)端、沙盒仿真服務(wù)端來協(xié)同聯(lián)動。當(dāng)攻擊者、蠕蟲、病毒等觸碰到探測端時，探測端將收集到的數(shù)據(jù)及時上報到管理服務(wù)器并產(chǎn)生威脅告警，同時將攻擊轉(zhuǎn)移到沙盒仿真服務(wù)器，延緩攻擊時間。能及早的發(fā)現(xiàn)攻擊者或?qū)嵤┽槍π苑烙胧?，從而迅速阻斷威脅事件，保護(hù)企業(yè)核心資產(chǎn)。第四層防護(hù)（應(yīng)用層防護(hù)）：通過在內(nèi)網(wǎng)服務(wù)器區(qū)邊界冗余部署WEB應(yīng)用防火墻，從應(yīng)用協(xié)議、用戶權(quán)限控制和異常行為阻斷等方面對網(wǎng)絡(luò)訪問行為進(jìn)行控制，保證服務(wù)器的訪問安全，有效防范以服務(wù)器為目標(biāo)的攻擊行為。第五層防護(hù)（終端安全防護(hù)和主機(jī)加固）：通過內(nèi)網(wǎng)服務(wù)器區(qū)邊界部署終端安全管理系統(tǒng)，加強(qiáng)終端安全防護(hù)；可以使實現(xiàn)對惡意代碼防范、資源控制、準(zhǔn)入控制、違規(guī)外聯(lián)檢測、主機(jī)基線加固、移動存儲介質(zhì)管控、主機(jī)防火墻、勒索病毒防護(hù)等能力。終端操作系統(tǒng)安全是終端安全防護(hù)的最后一道防線，因此通過對重要主機(jī)的安全基線核查和加固，將會極大的提升安全防護(hù)能力；通過對重要主機(jī)身份鑒別、訪問控制、安全審計、防病毒防惡意代碼等方面對操作系統(tǒng)進(jìn)行基本的安全加固，使主機(jī)具有基本的安全防護(hù)能力，能抵御對操作系統(tǒng)的直接攻擊，能在發(fā)生攻擊時限制影響范圍。第六層防護(hù)（數(shù)據(jù)庫加密）：通過在安全管理區(qū)部署數(shù)據(jù)庫加密系統(tǒng)，實現(xiàn)對業(yè)務(wù)系統(tǒng)核心敏感數(shù)據(jù)加密存儲的數(shù)據(jù)防泄漏。通過數(shù)據(jù)庫的訪問授權(quán)機(jī)制，任何訪問被加密數(shù)據(jù)的人或應(yīng)用事先必須經(jīng)過授權(quán)，擁有合法訪問權(quán)限才能訪問加密數(shù)據(jù)，非授權(quán)用戶無法訪問加密數(shù)據(jù)，有效防止管理員越權(quán)訪問及黑客拖庫。（二）攻擊者視角監(jiān)測體系設(shè)計第一層監(jiān)測（已知威脅檢測）：在內(nèi)網(wǎng)核心交換機(jī)旁路部署網(wǎng)絡(luò)威脅探針，通過對內(nèi)網(wǎng)全流量的采集分析，基于系統(tǒng)內(nèi)置的強(qiáng)大特征庫和事件庫，實現(xiàn)對已知威脅的全面檢測能力。系統(tǒng)能對網(wǎng)絡(luò)側(cè)病毒、木馬、蠕蟲、僵尸網(wǎng)絡(luò)、緩沖區(qū)溢出攻擊、拒絕服務(wù)攻擊、掃描探測、欺騙劫持、SQL注入、XSS攻擊、漏洞利用、暴力破解、非授權(quán)訪問、掛馬攻擊等威脅的檢測。同時通過全流量特征識別，系統(tǒng)可以進(jìn)行元數(shù)據(jù)解析提取，輸出相關(guān)的元數(shù)據(jù)信息至上級態(tài)勢感知平臺，對態(tài)勢感知平臺的二次分析做有力的數(shù)據(jù)支撐。第二層監(jiān)測（高級威脅和未知威脅檢測）：在內(nèi)網(wǎng)核心交換機(jī)旁路部署高級威脅分析平臺，通過對內(nèi)網(wǎng)全流量的檢測，實現(xiàn)對未知威脅（沙箱檢測）、惡意軟件利用、可疑行為、攻擊利用、攻擊探測、APT攻擊、DNS惡意域名請求、DGA域名、DNS隧道、TLS加密流量等高級威脅和未知威脅攻擊類型的檢測能力。系統(tǒng)具備總多種安全分析場景（挖礦、勒索病毒、僵尸網(wǎng)絡(luò)、失陷主機(jī)等），支持對復(fù)雜的安全場景進(jìn)行關(guān)聯(lián)分析，提供持續(xù)狩獵和研判攻擊。同時平臺相關(guān)分析數(shù)據(jù)可上報至上級態(tài)勢感知感知平臺，對態(tài)勢感知平臺的二次分析做有力的數(shù)據(jù)支撐。第三層監(jiān)測（全流量溯源取證）：在內(nèi)網(wǎng)核心交換機(jī)旁路部署全流量溯源取證系統(tǒng)，通過對內(nèi)網(wǎng)全流量的存儲、元數(shù)據(jù)解析、流量過濾、流量檢索、流量加回放等功能，為全網(wǎng)流量的一次分析、事后調(diào)查取證、二次分析、溯源等行為提供強(qiáng)大的技術(shù)支撐。（三）防御者視角防護(hù)體系設(shè)計第一層防護(hù)（網(wǎng)絡(luò)準(zhǔn)入）：通過在內(nèi)網(wǎng)安全管理區(qū)部署終端安全管理系統(tǒng)（準(zhǔn)入控制功能模塊），結(jié)合終端安全管理功能，可以實現(xiàn)對非合規(guī)內(nèi)聯(lián)行為的發(fā)現(xiàn)和阻斷。對內(nèi)聯(lián)行為的合規(guī)性和合法性進(jìn)行判斷，然后根據(jù)安全策略，采用報警、引導(dǎo)至安全修復(fù)區(qū)、阻斷等多種種方式進(jìn)行處置。第二層防護(hù)（業(yè)務(wù)授權(quán)和權(quán)限控制）：通過在內(nèi)網(wǎng)安全管理區(qū)部署堡壘機(jī)結(jié)合CA證書系統(tǒng)，實現(xiàn)對運(yùn)維人員集中身份管理、集中認(rèn)證授權(quán)、集中操作審計。通過在內(nèi)網(wǎng)接入?yún)^(qū)邊界部署零信任網(wǎng)關(guān)結(jié)合CA證書系統(tǒng)，實現(xiàn)對遠(yuǎn)程接入人員的身份鑒別、業(yè)務(wù)授權(quán)、權(quán)限控制、操作審計。第三層防護(hù)（數(shù)據(jù)防泄密）：在內(nèi)網(wǎng)安全管理區(qū)部署終端安全管理系統(tǒng)（數(shù)據(jù)防泄密模塊），通過權(quán)限控制、數(shù)據(jù)透明加解密、敏感文件發(fā)現(xiàn)、文件外發(fā)管控（拷貝、粘貼、刻錄、剪切、打印）、實時水印、審核機(jī)制等功能實現(xiàn)對重要數(shù)據(jù)的全生命周期管控。確保醫(yī)院內(nèi)部核心數(shù)據(jù)資產(chǎn)不被非法泄露。通過在內(nèi)網(wǎng)安全管理區(qū)部署數(shù)據(jù)庫加密系統(tǒng)實現(xiàn)對數(shù)據(jù)庫敏感數(shù)據(jù)的防泄漏管控。第四層防護(hù)（統(tǒng)一安全管理中心、協(xié)同聯(lián)動處置）：通過在內(nèi)網(wǎng)安全管理區(qū)部署態(tài)勢感知平臺，實現(xiàn)對全網(wǎng)集中的統(tǒng)一安全管理。通過資產(chǎn)管理、脆弱性管理、日志（事件）管理、風(fēng)險管理、策略管理、運(yùn)維管理、應(yīng)急管理等手段，實現(xiàn)全網(wǎng)資產(chǎn)、安全措施的識別和風(fēng)險（安全）評估，集中的風(fēng)險預(yù)警、安全保護(hù)、安全檢測、事件響應(yīng)的技術(shù)能力支撐平臺。同時也可依托于態(tài)勢感知平臺和各類同品牌安全設(shè)施聯(lián)動功能，實現(xiàn)安全設(shè)施聯(lián)動和協(xié)同事件處置功能；（四）防御者視角監(jiān)測體系設(shè)計第一層監(jiān)測（資產(chǎn)清查和監(jiān)測）：在內(nèi)網(wǎng)安全管理區(qū)部署資產(chǎn)管理系統(tǒng)，通過自動發(fā)現(xiàn)、資產(chǎn)導(dǎo)入、主動采集等方式收集全網(wǎng)信息化資產(chǎn)，通過資產(chǎn)測繪、監(jiān)測預(yù)警、資產(chǎn)畫像、合規(guī)分析、資產(chǎn)全生命周期管理（上線、變更、退網(wǎng)）等技術(shù)能力，實現(xiàn)對全網(wǎng)信息資產(chǎn)的清查、監(jiān)測和管理。通過定期的信息化資產(chǎn)管理，及時發(fā)現(xiàn)問題資產(chǎn)。第二層監(jiān)測（漏洞發(fā)現(xiàn)）：在內(nèi)網(wǎng)安全管理區(qū)部署漏洞掃描系統(tǒng)，通過定時的漏洞掃描任務(wù)及時發(fā)現(xiàn)全網(wǎng)的安全漏洞。通過對全網(wǎng)安全漏洞的及時修復(fù)和整改，能極大的提升內(nèi)網(wǎng)安全防護(hù)能力。第三層監(jiān)測（違規(guī)外聯(lián)監(jiān)測）：在內(nèi)網(wǎng)安全管理區(qū)部署終端安全管理系統(tǒng)（準(zhǔn)入控制模塊），可以實現(xiàn)終端非法外聯(lián)行為的發(fā)現(xiàn)與管控，同時也可以實現(xiàn)對非合規(guī)內(nèi)聯(lián)行為的發(fā)現(xiàn)和阻斷。第四層監(jiān)測（行為和業(yè)務(wù)審計）：在內(nèi)網(wǎng)安全管理區(qū)部署堡壘機(jī)、數(shù)據(jù)庫審計系統(tǒng)、日志審計系統(tǒng)、態(tài)勢感知平臺，接收各個區(qū)域的審計日志，提供審計信息的存儲、分析和處理能力，審計數(shù)據(jù)作為管理員實施事件追蹤、責(zé)任認(rèn)定以及實施應(yīng)急響應(yīng)的依據(jù)。5.4.2網(wǎng)絡(luò)安全建設(shè)規(guī)劃拓?fù)?/p>

5.4.3密碼應(yīng)用建設(shè)方案根據(jù)風(fēng)險控制需求，結(jié)合《信息系統(tǒng)密碼應(yīng)用基本要求》GB/T39786-2021密碼防護(hù)需求，擬通過密碼服務(wù)中的通道加密、身份認(rèn)證、數(shù)據(jù)加解密、完整性保護(hù)等功能，從“用戶、遠(yuǎn)程管理接入鏈路保護(hù)”、“接入身份認(rèn)證與權(quán)限控制”、“重要數(shù)據(jù)加解密”、“重要數(shù)據(jù)完整性保護(hù)”、“數(shù)據(jù)防篡改”、“數(shù)據(jù)不可否認(rèn)性保護(hù)”等方面對信息系統(tǒng)進(jìn)行防護(hù)?？傮w密碼應(yīng)用要求如下：采用支持密碼算法的SSL通道加密手段或者支持密碼算法的IPSECVPN對機(jī)構(gòu)網(wǎng)絡(luò)通訊之間、設(shè)備遠(yuǎn)程運(yùn)維管理接入鏈路進(jìn)行數(shù)據(jù)傳輸全程保護(hù)；通過簽名驗簽、對稱加密技術(shù)/非對稱加密技術(shù)實現(xiàn)對敏感信息的防篡改、防泄漏；需要采用合規(guī)的密碼技術(shù)對設(shè)備日志進(jìn)行完整性保護(hù)，對重要敏感信息和操作進(jìn)行不可否認(rèn)性保護(hù)。針對XX醫(yī)院涉及的密碼應(yīng)用場景，整體方案設(shè)計如下：物理和環(huán)境安全設(shè)計通過對原有門禁系統(tǒng)進(jìn)行國密改造。部署國密電子門禁系統(tǒng)、視頻監(jiān)控系統(tǒng)、有人值守對出入人員進(jìn)行身份鑒別，保障機(jī)房門禁出入安全、門禁記錄和視頻記錄數(shù)據(jù)安全。網(wǎng)絡(luò)和通信安全設(shè)計在網(wǎng)絡(luò)和通信安全中，提供傳輸安全服務(wù)、身份鑒別服務(wù)和安全審計服務(wù)來保障網(wǎng)絡(luò)通信的安全。涉及到兩個方面的通信安全，遠(yuǎn)程終端訪問的網(wǎng)絡(luò)通信安全和公有云側(cè)互聯(lián)網(wǎng)業(yè)務(wù)系統(tǒng)與醫(yī)院本地局域網(wǎng)間傳輸?shù)耐ㄐ虐踩?。遠(yuǎn)程訪問終端與服務(wù)端之間的通信安全：通過部署零信任網(wǎng)關(guān)，利用零信任網(wǎng)關(guān)國密雙算法引擎，建立安全傳輸通道，實現(xiàn)通信數(shù)據(jù)的機(jī)密性和完整性保護(hù)。終端和服務(wù)端之間身份鑒別采用基于CA數(shù)字證書的方式。公有云側(cè)互聯(lián)網(wǎng)業(yè)務(wù)系統(tǒng)與醫(yī)院本地局域網(wǎng)業(yè)務(wù)系統(tǒng)間數(shù)據(jù)傳輸?shù)耐ㄐ虐踩和ㄟ^在公有云端和醫(yī)院本地局域網(wǎng)側(cè)分別部署1臺網(wǎng)絡(luò)加密機(jī)，對進(jìn)行數(shù)據(jù)交換的設(shè)備在通信前進(jìn)行身份鑒別；并建立安全的數(shù)據(jù)傳輸通道（IPSECVPN），保障數(shù)據(jù)傳輸?shù)臋C(jī)密性和完整性保護(hù)。設(shè)備和計算安全在設(shè)備和計算安全中主要是指管理員在對業(yè)務(wù)系統(tǒng)進(jìn)行運(yùn)維時，需要對運(yùn)維管理員身份鑒別，保障網(wǎng)絡(luò)環(huán)境中對物理主機(jī)、服務(wù)器、設(shè)備以及醫(yī)院業(yè)務(wù)系統(tǒng)應(yīng)用程序操作維護(hù)時的訪問控制信息、日志記錄、重要數(shù)據(jù)的機(jī)密性和完整性；同時對敏感標(biāo)記信息的完整性進(jìn)行保護(hù)；管理員在運(yùn)維時分為本地運(yùn)維和遠(yuǎn)程運(yùn)維兩種方式。為運(yùn)維管理員簽發(fā)代表身份的數(shù)字證書，內(nèi)網(wǎng)密碼應(yīng)用區(qū)部署CA數(shù)字證書認(rèn)證系統(tǒng)、服務(wù)器密碼機(jī)、簽名驗簽服務(wù)器，對堡壘機(jī)登錄方式增加數(shù)字證書認(rèn)證方式。運(yùn)維過程通過USBKEY證書+零信任網(wǎng)關(guān)實現(xiàn)堡壘機(jī)的身份鑒別，使用USBKEY證書實現(xiàn)登錄認(rèn)證，并通過GMSSL協(xié)議降低堡壘機(jī)遠(yuǎn)程訪問通道安全風(fēng)險。在設(shè)備運(yùn)維過程中需要對運(yùn)維管理員的訪問控制信息、設(shè)備管理日志記錄、設(shè)備中重要程序或者文件進(jìn)行完整性保護(hù)，通過服務(wù)器密碼機(jī)，對重要程序或文件在生成時進(jìn)行數(shù)字簽名，使用或讀取這些程序和文件時，通過USBKEY進(jìn)行驗簽以確認(rèn)其完整性；通過簽名驗簽服務(wù)器調(diào)用服務(wù)器密碼機(jī)對應(yīng)用服務(wù)器、數(shù)據(jù)庫服務(wù)器等設(shè)備日志進(jìn)行完整性保護(hù)。應(yīng)用和數(shù)據(jù)安全應(yīng)用和數(shù)據(jù)安全主要保護(hù)業(yè)務(wù)系統(tǒng)重要數(shù)據(jù)、敏感信息、身份鑒別數(shù)據(jù)、個人隱私數(shù)據(jù)、審計日志等重要的數(shù)據(jù)信息安全的機(jī)密性和完整性，在PC端應(yīng)用通過USBKEY為用戶簽發(fā)數(shù)字證書提供身份鑒別服務(wù)和訪問控制服務(wù)；通過數(shù)據(jù)庫加密系統(tǒng)對存儲的重要數(shù)據(jù)提供安全加解密服務(wù)；通過服務(wù)器密碼機(jī)保障重要數(shù)據(jù)的完整性提供安全審計服務(wù)；通過網(wǎng)絡(luò)加密機(jī)，在醫(yī)院內(nèi)部業(yè)務(wù)系統(tǒng)和外接其他系統(tǒng)之間建立安全傳輸通道，保障醫(yī)院業(yè)務(wù)數(shù)據(jù)安全交互到外接的其他系統(tǒng)。通過增添可信電子簽章、時間戳服務(wù)器實現(xiàn)敏感操作的不可否認(rèn)性和抗抵賴保護(hù)。內(nèi)網(wǎng)密碼應(yīng)用區(qū)部署密碼安全設(shè)備包括，服務(wù)器密碼機(jī)、CA數(shù)字證書認(rèn)證系統(tǒng)、簽名驗簽服務(wù)器、數(shù)據(jù)庫加密系統(tǒng)、時間戳服務(wù)器、電子簽章系統(tǒng)、在內(nèi)網(wǎng)網(wǎng)絡(luò)接入?yún)^(qū)邊界部署零信任網(wǎng)關(guān)、在跨網(wǎng)數(shù)據(jù)交換通道分別部署網(wǎng)絡(luò)加密機(jī)；在PC端使用USBKEY密碼鑰匙。5.4.4密碼應(yīng)用用建設(shè)規(guī)劃拓?fù)?.5安全建設(shè)產(chǎn)品及預(yù)算序號類別功能描述數(shù)量單位預(yù)算單價預(yù)算總價一、網(wǎng)絡(luò)安全建設(shè)數(shù)據(jù)交換區(qū)防火墻（利舊）數(shù)據(jù)交換區(qū)邊界防護(hù)，在網(wǎng)絡(luò)邊界實現(xiàn)安全訪問控制、入侵防御、防病毒等功能，加強(qiáng)網(wǎng)絡(luò)邊界安全保障。1臺網(wǎng)閘（利舊）內(nèi)外網(wǎng)隔離，數(shù)據(jù)交換1臺內(nèi)網(wǎng)接入?yún)^(qū)出口防火墻內(nèi)網(wǎng)接入?yún)^(qū)邊界防護(hù)，在網(wǎng)絡(luò)邊界實現(xiàn)安全訪問控制、入侵防御、防病毒等功能，加強(qiáng)網(wǎng)絡(luò)邊界安全保障。標(biāo)準(zhǔn)1U設(shè)備，雙電源；標(biāo)配6個10/100/1000M自適應(yīng)千兆電接口及2個SPF+萬兆接口（不含光模塊）及2個接口擴(kuò)展槽，默認(rèn)支持下一代防火墻訪問控制、入侵防御、網(wǎng)絡(luò)防病毒、上網(wǎng)行為及URL分類管理、流控、IPSecVPN等模塊。整機(jī)最大吞吐量≥8Gbps，最大并發(fā)連接數(shù)≥300萬，配置3年IPS特征庫、防病毒特征庫、應(yīng)用識別及URL分類庫三年升級服務(wù)，3年質(zhì)保。2臺零信任網(wǎng)關(guān)冗余部署在內(nèi)網(wǎng)接入?yún)^(qū)邊界，實現(xiàn)終端訪問人員接入認(rèn)證、數(shù)據(jù)加密傳輸，滿足國家密碼應(yīng)用改造要求。標(biāo)準(zhǔn)1U機(jī)箱，交流單電源；內(nèi)置國家密碼局檢測通過的國家商用密碼卡；標(biāo)準(zhǔn)配置6個10/100/1000MBase-TX，一個擴(kuò)展卡槽位；明文整機(jī)吞吐2.5G，國密加密吞吐量240M；支持SM1、SM2、SM3、SM4等國家商用密碼算法，單臺設(shè)備建議最大并發(fā)用戶1000個。支持與SDP控制器和客戶端組合聯(lián)動實現(xiàn)網(wǎng)絡(luò)隱身的功能，確保只有通過認(rèn)證的主體才能接入SDP安全網(wǎng)關(guān)，SDP安全網(wǎng)關(guān)不響應(yīng)未通過認(rèn)證主體的連接請求；支持基于國密算法的傳輸加密，實現(xiàn)SDP安全網(wǎng)關(guān)和客戶端之間數(shù)據(jù)傳輸?shù)臋C(jī)密性及完整性保護(hù)；支持被保護(hù)資源的地址隱藏；支持與SDP控制器聯(lián)動，實現(xiàn)基于終端風(fēng)險感知的動態(tài)鑒權(quán)，當(dāng)終端安全風(fēng)險不符合預(yù)先設(shè)定的策略時，能夠?qū)尤胫黧w進(jìn)行權(quán)限限制或強(qiáng)制下線等處置動作。2套零信任控制器控制器，標(biāo)準(zhǔn)2U機(jī)箱，冗余電源；內(nèi)置國家密碼局檢測通過的國家商用密碼卡；標(biāo)準(zhǔn)配置6個10/100/1000MBase-TX；2個SFP千兆光口,2個SFP+萬兆光口，2個擴(kuò)展槽位；256GSSD硬盤；建議最大支持并發(fā)用戶數(shù)3000個；支持與SDP安全網(wǎng)關(guān)和客戶端組合聯(lián)動實現(xiàn)網(wǎng)絡(luò)隱身的功能，確保只有通過認(rèn)證的主體才能接入SDP安全網(wǎng)關(guān)；支持多因素身份認(rèn)證，包括口令、證書、動態(tài)令牌、UKEY等多種認(rèn)證方式靈活組合，支持基于國密SM2算法的數(shù)字證書的身份認(rèn)證，支持基于LDAP、Radius、CAS、Oauth協(xié)議標(biāo)準(zhǔn)的第三方認(rèn)證平臺；支持終端風(fēng)險感知的安全評估，能夠聯(lián)動SDP安全網(wǎng)關(guān)對不符合安全策略的接入主體進(jìn)行權(quán)限限制或強(qiáng)制下線等處置動作。配置500個并發(fā)用戶授權(quán)1臺服務(wù)器區(qū)防火墻服務(wù)器區(qū)邊界防護(hù)，在網(wǎng)絡(luò)邊界實現(xiàn)安全訪問控制、入侵防御、防病毒等功能，加強(qiáng)網(wǎng)絡(luò)邊界安全保障。標(biāo)準(zhǔn)2U設(shè)備，雙電源；標(biāo)配6個10/100/1000M自適應(yīng)千兆電接口、4個千兆SFP接口及8個SPF+萬兆接口（不含光模塊）及4個接口擴(kuò)展槽；默認(rèn)支持下一代防火墻訪問控制、入侵防御、網(wǎng)絡(luò)防病毒、上網(wǎng)行為及URL分類管理、流控、IPSecVPN等模塊。整機(jī)最大吞吐量≥25Gbps，最大并發(fā)連接數(shù)≥600萬，配置3年IPS特征庫、防病毒特征庫、應(yīng)用識別及URL分類庫三年升級服務(wù)，3年質(zhì)保。2臺服務(wù)器區(qū)WEB應(yīng)用防火墻服務(wù)器區(qū)邊界WEB應(yīng)用安全防護(hù)2U上架設(shè)備，1個HA口，1個RJ-45Console口，1個10/100/1000Base-T帶外管理口，4個業(yè)務(wù)電接口,4個業(yè)務(wù)光口、2個萬兆光口，1個網(wǎng)絡(luò)接口板擴(kuò)展槽位，整機(jī)最大吞吐量≥17Gbps，最大并發(fā)連接數(shù)≥400萬，配置3年WEB防護(hù)特征庫升級，3年質(zhì)保。2臺安全管理區(qū)防火墻（利舊）安全管理區(qū)邊界防護(hù)，在網(wǎng)絡(luò)邊界實現(xiàn)安全訪問控制、入侵防御、防病毒等功能，加強(qiáng)網(wǎng)絡(luò)邊界安全保障。1臺終端安全管理系統(tǒng)部署于安全管理區(qū)（需一臺服務(wù)器安裝），對全網(wǎng)終端實現(xiàn)全方位安全管理。包含準(zhǔn)入控制、非法外聯(lián)、安全基線、終端加固、補(bǔ)丁管理、移動存儲管理、主機(jī)防火墻、終端審計、軟件分發(fā)、資產(chǎn)管理等功能。配置900終端主機(jī)授權(quán)；配置900終端主機(jī)和80臺服務(wù)器3年病毒庫使用及升級服務(wù)授權(quán)。1套數(shù)據(jù)庫審計旁路于服務(wù)器區(qū)交換機(jī)，以流量鏡像的方式審計所有數(shù)據(jù)庫操作行為，另通過對醫(yī)療人員在HIS系統(tǒng)的操作行為進(jìn)行解析、分析、記錄、匯報，以幫助用戶實時發(fā)現(xiàn)統(tǒng)方行為、事后合規(guī)報告、事故追蹤溯源，從而加強(qiáng)內(nèi)外部網(wǎng)絡(luò)行為監(jiān)管；2U上架專用設(shè)備，配置13個被審計數(shù)據(jù)庫服務(wù)數(shù)。 1臺態(tài)勢感知平臺部署于安全管理區(qū)（需一臺服務(wù)器安裝），收集全網(wǎng)設(shè)備日志信息，設(shè)備運(yùn)行狀態(tài)等信息進(jìn)行統(tǒng)一分析和展示，形成安全集中管理體系。包含資產(chǎn)分析與管理、安全事件管理、關(guān)聯(lián)分析、標(biāo)準(zhǔn)脆弱性管理、風(fēng)險評估、情報管理、首頁、標(biāo)準(zhǔn)的報表模塊、標(biāo)準(zhǔn)的響應(yīng)管理模塊、基礎(chǔ)態(tài)勢大屏呈現(xiàn)頁面（資產(chǎn)態(tài)勢、脆弱性態(tài)勢、攻擊態(tài)勢）、權(quán)限管理、知識管理、系統(tǒng)自身管理，內(nèi)置1個本地日志采集器，配置支持200管理節(jié)點(diǎn)授權(quán)。1套日志審計系統(tǒng)部署于安全管理區(qū)收集全網(wǎng)設(shè)備日志信息，進(jìn)行統(tǒng)一存儲和分析。保存6個月以上。1U標(biāo)準(zhǔn)機(jī)架式，冗余電源，6個千兆電口4個千兆光口，2個擴(kuò)展槽位，1個管理口，2個USB接口，配置液晶屏，硬盤容量：128Gminisata+6TSATA*2raid1模式，有效存儲容量6TB。配置支持200個審計對象授權(quán)。1臺堡壘機(jī)（利舊）部署于安全管理區(qū)，對運(yùn)維行為審計1臺漏洞掃描系統(tǒng)部署于安全管理區(qū)，綜合多種國際最新的漏洞掃描與檢測技術(shù)，能夠快速發(fā)現(xiàn)網(wǎng)絡(luò)資產(chǎn)，準(zhǔn)確識別資產(chǎn)屬性，全面掃描安全漏洞，清晰定性安全風(fēng)險，給出修復(fù)建議和預(yù)防措施，并對風(fēng)險控制策略進(jìn)行有效審核1U設(shè)備，標(biāo)配6個10/100/1000MBase-TX接口、4個千兆SFP接口，1個RJ45Console口，2個USB接口，冗余電源，可掃描100個IP地址，具體IP地址不限，并發(fā)掃描40IP。含3年漏洞庫升級授權(quán)。1臺全流量分析取證系統(tǒng)具備網(wǎng)絡(luò)全流量存儲、攻擊取證（原始數(shù)據(jù)）、攻擊鏈溯源、攻擊證據(jù)在線分析、攻擊報告數(shù)據(jù)支撐等能力，可以在HVV、網(wǎng)絡(luò)重保中，為安全檢測產(chǎn)品和平臺產(chǎn)品提供全包的自動化攻擊取證、任意時刻的威脅溯源分析、歷史流量的回放重復(fù)檢測，并內(nèi)置異常行為分析算法，結(jié)合全流量數(shù)據(jù)，可有效應(yīng)發(fā)現(xiàn)加密流量對各種攻擊的取證溯源和0day/1day等新型攻擊的溯源。2U上架設(shè)備，提供2個1000MBase-T網(wǎng)絡(luò)接口，2個萬兆光接口，冗余電源，24T容量硬盤；開通全流量數(shù)據(jù)存證軟件模塊，包含數(shù)據(jù)存儲、檢索、流量回放等功能。具備1TB秒速檢索能力。實際網(wǎng)絡(luò)環(huán)境處理能力1Gbps，整機(jī)數(shù)據(jù)檢索速度 10TB/秒。1臺威脅檢測探針旁路部署于核心交換機(jī)，對網(wǎng)絡(luò)全流量進(jìn)行實時采集，通過威脅分析發(fā)現(xiàn)流量中的網(wǎng)絡(luò)安全事件并上報給安全管理平臺1U上架設(shè)備（1個RJ-個Console口，6個10/100/1000Base-T接口，2個USB口，2個千兆光接口插槽（不包含光模塊），2個萬兆光口插槽（不包含光模塊），支持2個擴(kuò)展插槽，冗電，包含2T硬盤，實際網(wǎng)絡(luò)檢測流量1Gbps；最大并發(fā)連接數(shù)300萬。配置3年特征庫和威脅情報升級。 1臺高級威脅分析平臺部署于安全管理區(qū)，接入核心流量鏡像，實現(xiàn)未知威脅攻擊檢測，并能對網(wǎng)絡(luò)內(nèi)的安全事件攻擊鏈進(jìn)行統(tǒng)一分析和溯源。2U上架設(shè)備，提供2個1000MBase-T網(wǎng)絡(luò)接口，2個10/100/1000MBase-T網(wǎng)絡(luò)接口,2個萬兆光口，支持6個擴(kuò)展槽位，冗余電源，32T容量硬盤；網(wǎng)絡(luò)層吞吐3G,處理文件性能15萬/24小時（每個文件10M計算）;新建連接數(shù)2.5萬/秒。1臺蜜罐系統(tǒng)采用應(yīng)用和服務(wù)仿真方式，利用欺騙防御技術(shù)提升內(nèi)網(wǎng)安全防護(hù)水平2U上架專用設(shè)備，8電口（含管理口）4SFP，2擴(kuò)展槽，1個RJ45串口，硬盤2*2T，冗余電源；支持系統(tǒng)服務(wù)仿真、數(shù)據(jù)庫仿真、應(yīng)用仿真等不少于15個，50個軟件誘捕探針；系統(tǒng)具備攻擊行為捕獲、攻擊數(shù)據(jù)分析和告警上報等功能；3年威脅情報庫升級1臺資產(chǎn)管理系統(tǒng)對全網(wǎng)信息化資產(chǎn)進(jìn)行全生命周期管理2U機(jī)架式型號、冗余電源、專用硬件平臺；自帶1塊128GSSD硬盤，默認(rèn)支持RAID5，有效存儲4TB；具有6個千兆電口，4個千兆光模塊插槽（不含光收發(fā)模塊），2個萬兆光模塊插槽（不含光收發(fā)模塊）。包含資產(chǎn)發(fā)現(xiàn)與管理的基本功能，包括首頁、資產(chǎn)管理、資產(chǎn)畫像、告警管理、合規(guī)分析、處置響應(yīng)、報表等模塊。內(nèi)置一個本地資產(chǎn)采集器,包含512個資產(chǎn)管理節(jié)點(diǎn)授權(quán)。1臺安全服務(wù)安全監(jiān)測與分析服務(wù)（1人5*8H駐場運(yùn)維服務(wù)）滲透測試服務(wù)脆弱性發(fā)現(xiàn)與管理服務(wù)安全培訓(xùn)教育服務(wù)1項小計1網(wǎng)絡(luò)安全建設(shè)小計二、商用密碼應(yīng)用建設(shè)服務(wù)器密碼機(jī)提供基于國密算法的數(shù)據(jù)加解密功能。符合密評要求中“物理與環(huán)境”、“設(shè)備與計算層”、“應(yīng)用和數(shù)據(jù)層”中對身份鑒別、數(shù)據(jù)傳輸和存儲的機(jī)密性、以及數(shù)據(jù)傳輸和存儲的完整性保護(hù)。2臺網(wǎng)絡(luò)密碼機(jī)公有云業(yè)務(wù)區(qū)至本地局域網(wǎng)區(qū)，提供IPSEC國密隧道。1U機(jī)架式設(shè)備，1個RJ-45Console口，6個10/100/1000M自適應(yīng)電口，2個千兆SFP插槽，2個萬兆SFP+插槽，2個網(wǎng)絡(luò)接口擴(kuò)展槽位，2個USB口，交流單電源；SSL加密吞吐400Mbps，推薦并發(fā)用戶數(shù)2000，IPSec加密吞吐400Mbps，整機(jī)吞吐5Gbps。 2臺零信任網(wǎng)關(guān)（復(fù)用）內(nèi)網(wǎng)安全管理區(qū)運(yùn)維人員利用SSLVPN功能登錄堡壘機(jī),內(nèi)網(wǎng)及外網(wǎng)用戶遠(yuǎn)程接入提供SSLVPN功能./臺簽名驗簽服務(wù)器實現(xiàn)數(shù)字簽名和簽名驗證的功能，大大提高了簽名運(yùn)算的效率，符合電子簽名的安全性要求和統(tǒng)一管理策略，用于應(yīng)用身份認(rèn)證與簽名驗證；M2算法數(shù)字簽名性能≥11000次/秒；SM2算法簽名驗證性能≥10000次/秒；SM2算法制作信封性能≥4000次/秒；SM2算法解密信封性能≥4500次/秒。1臺數(shù)據(jù)庫加密系統(tǒng)向業(yè)務(wù)應(yīng)用系統(tǒng)提供數(shù)據(jù)加解密服務(wù)，支持?jǐn)?shù)據(jù)庫字段級或表級加密與完整性保護(hù)，支持文件數(shù)據(jù)加密與完整性保護(hù)；1臺時間戳服務(wù)器采用精確的時間源、高強(qiáng)度高標(biāo)準(zhǔn)的安全機(jī)制、能夠為用戶提供精確的、可信賴的且不可抵賴的時間戳服務(wù)，用于日志記錄完整性保護(hù)、抗抵賴；制作時間戳≥4500次/秒，驗證時間戳≥4000次/秒。1臺電子簽章系統(tǒng)支持PC端簽章、手機(jī)端簽章，支持網(wǎng)頁簽章、PDF版式文件、OFD版式文件簽章；支持印章生成、更新、銷毀等全生命周期管理；支持簽章驗證；1臺CA認(rèn)證系統(tǒng)CA數(shù)字證書系統(tǒng)軟件，簽發(fā)用戶證書和手機(jī)終端設(shè)備證書，實現(xiàn)數(shù)字證書注冊、申請、審核、簽發(fā)、凍結(jié)、解凍、吊銷等全生命周期管理。1套國密智能密碼鑰匙應(yīng)用/設(shè)備管理員、系統(tǒng)用戶/管理員登錄身份鑒別20個統(tǒng)一密碼服務(wù)平臺對外統(tǒng)一提供認(rèn)證、簽驗、加解密等密碼功能。提供對稱密鑰全生命周期管理功能。對密碼設(shè)備進(jìn)行統(tǒng)一管理。對密碼業(yè)務(wù)進(jìn)行統(tǒng)一管理、配置、監(jiān)控、統(tǒng)計、分析。1套國密門禁卡及國密視頻監(jiān)控系統(tǒng)為機(jī)房提供基于國密算法的門禁系統(tǒng)，確保門禁身份鑒別安全，門禁記錄存儲完整性，符合國密算法相關(guān)技術(shù)要求，提供視頻監(jiān)控，并確保視頻監(jiān)控數(shù)據(jù)存儲完整性，符合國密算法相關(guān)技術(shù)要求1套密碼應(yīng)用改造適配1、密碼應(yīng)用適配改造技術(shù)支撐；提供接口對接設(shè)計、改造適配、接口調(diào)試服務(wù)；調(diào)用服務(wù)器密碼機(jī)接口對存儲數(shù)據(jù)、訪問控制列表等進(jìn)行保護(hù)。2、對關(guān)鍵權(quán)限控制設(shè)備（堡壘機(jī)、日志審計、網(wǎng)絡(luò)加密機(jī)）提供密碼應(yīng)用改造適配配合服務(wù)，調(diào)用密碼服務(wù)接口對存儲數(shù)據(jù)、訪問控制列表等進(jìn)行保護(hù)。1項小計2密碼應(yīng)用建設(shè)小計總計：合規(guī)性分析6.1網(wǎng)絡(luò)安全等級保護(hù)合規(guī)性分析（技術(shù)部分）參照GB/T22239-2019《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護(hù)基本要求》第三級要求，本次項目建設(shè)符合第三級等保建設(shè)要求，合規(guī)性分析如下表所示：網(wǎng)絡(luò)安全等級保護(hù)基本要求（三級）類別要求指標(biāo)項本項目防護(hù)措施安全通信網(wǎng)絡(luò)網(wǎng)絡(luò)架構(gòu)a)應(yīng)保證網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力滿足業(yè)務(wù)高峰期需要；

方案及網(wǎng)絡(luò)設(shè)備保障b)應(yīng)保證網(wǎng)絡(luò)各個部分的帶寬滿足業(yè)務(wù)高峰期需要；通過防火墻抗DOOS模塊過濾異常流量c)應(yīng)劃分不同的網(wǎng)絡(luò)區(qū)域，并按照方便管理和控制的原則為各網(wǎng)絡(luò)區(qū)域分配地址；網(wǎng)絡(luò)規(guī)劃設(shè)計時進(jìn)行網(wǎng)絡(luò)區(qū)域劃分。d)應(yīng)避免將重要網(wǎng)絡(luò)區(qū)域部署在網(wǎng)絡(luò)邊界處且沒有邊界防護(hù)措施；邊界防護(hù)（數(shù)據(jù)交換區(qū)、內(nèi)網(wǎng)邊界接入?yún)^(qū)、安全管理區(qū)、內(nèi)網(wǎng)服務(wù)器區(qū)采用防火墻進(jìn)行邊界防護(hù)，其中服務(wù)器區(qū)增加WAF對應(yīng)用層進(jìn)行安全防護(hù)）e)應(yīng)提供通信線路、關(guān)鍵網(wǎng)絡(luò)設(shè)備的硬件冗余，保證系統(tǒng)的可用性。本項目線路及關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)設(shè)備均進(jìn)行進(jìn)行冗余設(shè)計。通信傳輸a)應(yīng)采用校驗碼技術(shù)或加解密技術(shù)保證通信過程中數(shù)據(jù)的完整性；利用內(nèi)網(wǎng)網(wǎng)絡(luò)邊界處部署的零信任網(wǎng)關(guān)實現(xiàn)遠(yuǎn)程傳輸通道數(shù)據(jù)的安全保障b)應(yīng)采用加解密技術(shù)保證通信過程中敏感信息字段或整個報文的保密性。利用內(nèi)網(wǎng)網(wǎng)絡(luò)邊界處部署的零信任網(wǎng)關(guān)實現(xiàn)遠(yuǎn)程傳輸通道數(shù)據(jù)的安全保障可信驗證a)可基于可信根對通信設(shè)備的系統(tǒng)引導(dǎo)程序、系統(tǒng)程序、重要配置參數(shù)和通信應(yīng)用程序進(jìn)行可信驗證，并在應(yīng)用程序的關(guān)鍵執(zhí)行環(huán)節(jié)進(jìn)行動態(tài)可信驗證，在檢測到其可信性受到破壞后進(jìn)行報警，并將驗證結(jié)果形成審計記錄送至安全管理中心。通信設(shè)備應(yīng)具有此功能，或利用密碼技術(shù)進(jìn)行定制開發(fā)，本項目不適用安全區(qū)域邊界邊界防護(hù)a）應(yīng)保證跨越邊界的訪問和數(shù)據(jù)流通過邊界防護(hù)設(shè)備提供的受控接地進(jìn)行通信在各個區(qū)域邊界部署防火墻b）應(yīng)能夠?qū)Ψ鞘跈?quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)的行為進(jìn)行限制或檢查；部署終端安全管理系統(tǒng)（準(zhǔn)入控制模塊）對內(nèi)部終端進(jìn)行管控。c）應(yīng)能夠?qū)?nèi)部用戶非授權(quán)聯(lián)到外部網(wǎng)絡(luò)的行為進(jìn)行限制或檢查；部署終端安全管理系統(tǒng)（違規(guī)外聯(lián)模塊）對內(nèi)部終端進(jìn)行管控。d）應(yīng)限制無線網(wǎng)絡(luò)的使用，確保無線網(wǎng)絡(luò)通過受控的邊界防護(hù)設(shè)備接入內(nèi)部往來；不涉及訪問控制a)應(yīng)在網(wǎng)絡(luò)邊界或區(qū)域之間根據(jù)訪問控制策略設(shè)置訪問控制規(guī)則，默認(rèn)情況下除允許通信外受控接口拒絕所有通信；

邊界防護(hù)（數(shù)據(jù)交換區(qū)、內(nèi)網(wǎng)邊界接入?yún)^(qū)、安全管理區(qū)、內(nèi)網(wǎng)服務(wù)器區(qū)采用防火墻進(jìn)行邊界防護(hù)，其中服務(wù)器區(qū)增加WAF對應(yīng)用層進(jìn)行安全防護(hù)）b)應(yīng)刪除多余或無效的訪問控制規(guī)則，優(yōu)化訪問控制列表，并保證訪問控制規(guī)則數(shù)量最小化；人工加固c)應(yīng)對源地址、目的地址、源端口、目的端口和協(xié)議等進(jìn)行檢查，以允許/拒絕數(shù)據(jù)包進(jìn)出；邊界防護(hù)（數(shù)據(jù)交換區(qū)、內(nèi)網(wǎng)邊界接入?yún)^(qū)、安全管理區(qū)、內(nèi)網(wǎng)服務(wù)器區(qū)采用防火墻進(jìn)行邊界防護(hù)，其中服務(wù)器區(qū)增加WAF對應(yīng)用層進(jìn)行安全防護(hù)）d)應(yīng)能根據(jù)會話狀態(tài)信息為進(jìn)出數(shù)據(jù)流提供明確的允許/拒絕訪問的能力，控制粒度為端口級；邊界防護(hù)（數(shù)據(jù)交換區(qū)、內(nèi)網(wǎng)邊界接入?yún)^(qū)、安全管理區(qū)、內(nèi)網(wǎng)服務(wù)器區(qū)采用防火墻進(jìn)行邊界防護(hù)，其中服務(wù)器區(qū)增加WAF對應(yīng)用層進(jìn)行安全防護(hù)）e)應(yīng)對進(jìn)出網(wǎng)絡(luò)的數(shù)據(jù)流實現(xiàn)基于應(yīng)用協(xié)議和應(yīng)用內(nèi)容的訪問控制。邊界防護(hù)（數(shù)據(jù)交換區(qū)、內(nèi)網(wǎng)邊界接入?yún)^(qū)、安全管理區(qū)、內(nèi)網(wǎng)服務(wù)器區(qū)采用防火墻進(jìn)行邊界防護(hù)，其中服務(wù)器區(qū)增加WAF對應(yīng)用層進(jìn)行安全防護(hù)）入侵防范a)應(yīng)在關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)處檢測、防止或限制從外部發(fā)起的網(wǎng)絡(luò)攻擊行為；

防火墻開啟入侵防御模塊、威脅檢測探針、高級威脅分析平臺b)應(yīng)在關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)處檢測、防止或限制從內(nèi)部發(fā)起的網(wǎng)絡(luò)攻擊行為；防火墻開啟入侵防御模塊、威脅檢測探針、高級威脅分析平臺c)應(yīng)采取技術(shù)措施對網(wǎng)絡(luò)行為進(jìn)分析，實現(xiàn)對網(wǎng)絡(luò)攻擊特別是新型網(wǎng)絡(luò)攻擊的分析；高級威脅分析平臺d)當(dāng)檢測到攻擊行為時，記錄攻擊源IP、攻擊類型、攻擊目的、攻擊時間，在發(fā)生嚴(yán)重入侵事件時應(yīng)提供報警。防火墻、威脅檢測系統(tǒng)、WAF惡意代碼和垃圾郵件防范a)應(yīng)在關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)處對惡意代碼進(jìn)行檢測和清除，并維惡意代碼護(hù)防機(jī)制的升級和更新；防火墻開啟防病毒模塊b)應(yīng)在關(guān)鍵網(wǎng)絡(luò)節(jié)點(diǎn)處對垃圾郵件進(jìn)行檢測和防護(hù)，并維護(hù)垃圾郵件防護(hù)機(jī)制的升級和更新。不涉及安全審計a）應(yīng)在網(wǎng)絡(luò)邊界、重要網(wǎng)絡(luò)節(jié)點(diǎn)進(jìn)行安全審計，審計覆蓋到每個用戶，對重要的用戶行為和重要安全事件進(jìn)行審計；

各類安全設(shè)備具備審計功能（防火墻、WAF、終端安全管理系統(tǒng)、日志審計系統(tǒng)、威脅檢測系統(tǒng)）b）審計記錄應(yīng)包括事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關(guān)的信息；各類安全設(shè)備具備審計功能（防火墻、WAF、終端安全管理系統(tǒng)、日志審計系統(tǒng)、威脅檢測系統(tǒng)）c）應(yīng)對審計記錄進(jìn)行保護(hù)，定期備份，避免受到未預(yù)期的刪除、修改或覆蓋等；日志審計系統(tǒng)e）應(yīng)能對遠(yuǎn)程訪問的用戶行為、訪問互聯(lián)網(wǎng)的用戶行為等單獨(dú)進(jìn)行行為審計和數(shù)據(jù)分析。零信任網(wǎng)關(guān)可信驗證a)可基于可信根對通信設(shè)備的系統(tǒng)引導(dǎo)程序、系統(tǒng)程序、重要配置參數(shù)和通信應(yīng)用程序進(jìn)行可信驗證，并在應(yīng)用程序的關(guān)鍵執(zhí)行環(huán)節(jié)進(jìn)行動態(tài)可信驗證，在檢測到其可信性受到破壞后進(jìn)行報警，并將驗證結(jié)果形成審計記錄送至安全管理中心。通信設(shè)備應(yīng)具有此功能，或利用密碼技術(shù)進(jìn)行定制開發(fā)。本項目不適用安全計算環(huán)境身份鑒別a)應(yīng)對登錄的用戶進(jìn)行身份標(biāo)識和鑒別，身份標(biāo)識具有唯一性，身份鑒別信息具有復(fù)雜度要求并定期更換；

堡壘機(jī)b)應(yīng)具有登錄失敗處理功能，應(yīng)配置并啟用結(jié)束會話、限制非法登錄次數(shù)和當(dāng)?shù)卿涍B接超時自動退出等相關(guān)措施；應(yīng)用系統(tǒng)或安全設(shè)備應(yīng)具備此功能c)當(dāng)進(jìn)行遠(yuǎn)程管理時，應(yīng)采取必要措施，防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽；遠(yuǎn)程管理采用零信任網(wǎng)關(guān)的VPN功能接入，安全管理采用HTTPS協(xié)議d)應(yīng)采用口令、密碼技術(shù)、生物技術(shù)等兩種或兩種以上組合的鑒別技術(shù)對用戶進(jìn)行身份鑒別，且其中一種鑒別技術(shù)至少應(yīng)使用密碼技術(shù)來實現(xiàn)。堡壘機(jī)訪問控制a)應(yīng)對登錄的用戶分配賬號和權(quán)限；堡壘機(jī)b)應(yīng)重命名或刪除默認(rèn)賬戶，修改默認(rèn)賬戶的默認(rèn)口令；人工加固c)應(yīng)及時刪除或停用多余的、過期的賬號，避免共享賬號的存在；人工加固d)應(yīng)授予管理用戶所需的最小權(quán)限，實現(xiàn)管理用戶的權(quán)限分離；堡壘機(jī)、人工加固e)應(yīng)由授權(quán)主體配置訪問控制策略，訪問控制策略規(guī)定主體對客體的訪問規(guī)則；堡壘機(jī)、人工加固f)訪問控制的粒度應(yīng)達(dá)到主體為用戶級或進(jìn)程級，客體為文件、數(shù)據(jù)庫表級；堡壘機(jī)、人工加固g)應(yīng)對重要主體和客體設(shè)置安全標(biāo)記，并控制主體對有安全標(biāo)記信息資源的訪問。堡壘機(jī)、人工加固安全審計a)應(yīng)啟用安全審計功能，審計覆蓋到每個用戶，對重要的用戶行為和重要安全事件進(jìn)行審計；主機(jī)、網(wǎng)絡(luò)設(shè)施均開啟日志審計功能，通過日志審計系統(tǒng)進(jìn)行統(tǒng)一收集和管理b)審計記錄應(yīng)包括事件的日期和時間、用戶、事件類型、事件是否成功及其他與審計相關(guān)的信息；日志審計系統(tǒng)c)應(yīng)對審計記錄進(jìn)行保護(hù)，定期備份，避免受到未預(yù)期的刪除、修改或覆蓋等；日志審計系統(tǒng)d)應(yīng)對審計進(jìn)程進(jìn)行保護(hù)，防止未經(jīng)授權(quán)的中斷；日志審計系統(tǒng)入侵防范a)應(yīng)遵循最小安裝的原則，僅安裝需要的組件和應(yīng)用程序。

人工加固b)應(yīng)關(guān)閉不需要的系統(tǒng)服務(wù)、默認(rèn)共享和高危端口；人工加固c)應(yīng)通過設(shè)定終端接入方式或網(wǎng)絡(luò)地址范圍對通過網(wǎng)絡(luò)進(jìn)行管理的管理終端進(jìn)行限制；人工加固或堡壘機(jī)d)應(yīng)能發(fā)現(xiàn)可能存在的漏洞，并在經(jīng)過充分測試評估后，及時修補(bǔ)漏洞；人工加固、漏洞掃描系統(tǒng)e)應(yīng)能夠檢測到對重要節(jié)點(diǎn)進(jìn)行入侵的行為，并在發(fā)生嚴(yán)重入侵事件時提供報警。防火墻開啟入侵檢測模塊、威脅檢測系統(tǒng)、高級威脅分析平臺惡意代碼防范a）應(yīng)采用免受惡意代碼攻擊的技術(shù)措施或主動免疫可信驗證機(jī)制及時識別入侵和病毒行為，并將其有效阻斷。威脅檢測系統(tǒng)、高級威脅分析平臺、防火墻開啟入侵防御模塊、終端安全管理系統(tǒng)、主機(jī)防病毒軟件（利舊）可信驗證a)可基于可信根對通信設(shè)備的系統(tǒng)引導(dǎo)程序、系統(tǒng)程序、重要配置參數(shù)和通信應(yīng)用程序進(jìn)行可信驗證，并在應(yīng)用程序的關(guān)鍵執(zhí)行環(huán)節(jié)進(jìn)行動態(tài)可信驗證，在檢測到其可信性受到破壞后進(jìn)行報警，并將驗證結(jié)果形成審計記錄送至安全管理中心。通信設(shè)備應(yīng)具有此功能，或利用密碼技術(shù)進(jìn)行定制開發(fā)，本項目不適用數(shù)據(jù)完整性a）應(yīng)采用校驗技術(shù)或密碼技術(shù)保證重要數(shù)據(jù)在傳輸過程中的完整性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)、重要審計數(shù)據(jù)、重要配置數(shù)據(jù)、重要視頻數(shù)據(jù)和重要個人信息等

密碼應(yīng)用建設(shè)已涵蓋此項要求b）應(yīng)采用校驗技術(shù)或密碼技術(shù)保證重要數(shù)據(jù)在存儲過程中的完整性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)、重要審計數(shù)據(jù)、重要配置數(shù)據(jù)、重要視頻數(shù)據(jù)和重要個人信息等密碼應(yīng)用建設(shè)已涵蓋此項要求數(shù)據(jù)保密性a）應(yīng)采用校驗技術(shù)或密碼技術(shù)保證重要數(shù)據(jù)在傳輸過程中的保密性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)和重要個人信息等

密碼應(yīng)用建設(shè)已涵蓋此項要求b）應(yīng)采用校驗技術(shù)或密碼技術(shù)保證重要數(shù)據(jù)在存儲過程中的保密性，包括但不限于鑒別數(shù)據(jù)、重要業(yè)務(wù)數(shù)據(jù)和重要個人信息等密碼應(yīng)用建設(shè)已涵蓋此項要求數(shù)據(jù)備份恢復(fù)a）應(yīng)提供重要數(shù)據(jù)的本地數(shù)據(jù)備份與恢復(fù)功能；本地自建備份系統(tǒng)，或采用超融合平臺自身的容災(zāi)機(jī)制b）應(yīng)提供異地實時備份功能，利用通信網(wǎng)絡(luò)將重要數(shù)據(jù)實時備份至備份場地；未涉及c）應(yīng)提供重要數(shù)據(jù)處理系統(tǒng)的熱冗余，保證系統(tǒng)的高可用性重要系統(tǒng)應(yīng)采取冗余性設(shè)計剩余信息保護(hù)a）應(yīng)保證鑒別信息所在的存儲空間被釋放或重新分配前得到完全消除

人工加固，在終端Windows操作系統(tǒng)啟用“關(guān)機(jī)前清除虛擬內(nèi)存頁面”功能項。b）應(yīng)保證存有敏感數(shù)據(jù)的存儲空間被釋放或重新分配前得到完全消除人工加固，在終端Windows操作系統(tǒng)啟用“關(guān)機(jī)前清除虛擬內(nèi)存頁面”功能項。個人信息保護(hù)a）應(yīng)僅采集和保存業(yè)務(wù)必需的用戶個人信息；

業(yè)務(wù)系統(tǒng)方功能控制b）應(yīng)禁止未授權(quán)訪問和非法使用用戶個人信息。業(yè)務(wù)系統(tǒng)方功能控制安全管理中心系統(tǒng)管理a)應(yīng)對系統(tǒng)管理員進(jìn)行身份鑒別，只允許其通過特定的命令或操作界面進(jìn)行系統(tǒng)管理操作，并對這些操作進(jìn)行審計

堡壘機(jī)b)應(yīng)通過系統(tǒng)管理員對系統(tǒng)的資源和運(yùn)行進(jìn)行配置、控制和管理，包括用戶身份、系統(tǒng)資源配置、系統(tǒng)加載和啟動、系統(tǒng)運(yùn)行的一場處理、數(shù)據(jù)和設(shè)備的備份與恢復(fù)等。人工優(yōu)化審計管理a)應(yīng)對審計管理員進(jìn)行身份鑒別，只允許其通過特定的命令或操作界面進(jìn)行安全審計操作，并對這些操作進(jìn)行審計

堡壘機(jī)b)應(yīng)通過審計管理員對審計記錄進(jìn)行分析，并根據(jù)分析結(jié)果進(jìn)行處理，包括根據(jù)安全審計策略對審計記錄進(jìn)行存儲、管理和查閱等。堡壘機(jī)安全管理a)應(yīng)對安全管理員進(jìn)行身份鑒別，只允許其通過特定的命令或操作界面進(jìn)行安全管理操作，并對這些操作進(jìn)行審計

堡壘機(jī)b)應(yīng)通過安全管理員對系統(tǒng)的安全策略進(jìn)行配置，包括安全參數(shù)的設(shè)置，主題、客體進(jìn)行統(tǒng)一安全標(biāo)記，對主題進(jìn)行授權(quán)，配置可信驗證策略等。堡壘機(jī)集中管控a)應(yīng)劃分出特定的管理區(qū)域，對分布在網(wǎng)絡(luò)中的安全設(shè)備或安全組件進(jìn)行管控劃分安全管理區(qū)b)應(yīng)能夠建立一條安全的信息傳輸路徑，對網(wǎng)絡(luò)中的安全設(shè)備或安全組件進(jìn)行管理堡壘機(jī)c)應(yīng)對網(wǎng)絡(luò)鏈路、安全設(shè)備、網(wǎng)絡(luò)設(shè)備和服務(wù)器等的運(yùn)行狀況進(jìn)行集中監(jiān)測安全態(tài)勢感知平臺d)應(yīng)分散在各個設(shè)備商的審計數(shù)據(jù)進(jìn)行收集匯總和集中分析，并保證審計記錄的留存時間符合法律法規(guī)要求日志審計系統(tǒng)e)應(yīng)對安全策略、惡意代碼、補(bǔ)丁升級等安全相關(guān)事項進(jìn)行集中管理安全態(tài)勢感知平臺、終端安全管理系統(tǒng)f)應(yīng)能對網(wǎng)絡(luò)匯總發(fā)生的各