构建安全稳定的医院信息网络管理系统

　　2009年4月6日， 历时两年多时间的, 倍受关注的新一轮医改方案(《中共中央国务院关于深化医药卫生体制改革的意见》)正式出台，国家将对新医改的投入达到空前的8500亿元，医疗行业无疑将迎来重要的政策机遇，计算机技术在医疗行业的应用也备受关注。卫生部部长陈竺在谈到新医改时曾经表示，将医疗信息化与医疗管理机制、医疗运行机制、投入机制、价格形成机制、监管机制、科技和人才保障、法律制度并列，信息系统第一次被明确为支撑医疗体系改革的“四梁八柱”之一。因此，新医改也无疑将是我国医疗信息化发展的历史性机遇。

　　根据中国医院协会信息管理专业委员会所做的“中国医院信息化状况调查报告”显示，近年来数据安全技术排在关注度比例的第一位。构建安全稳定的基础网络已经成为医院信息化的第一需求，尤其是重点三甲医院在行业内享有权威专业的地位，其内部业务数据的安全直接影响着业务的正常发展，同时，包括病历信息在内的海量级数据信息的保密，也关系到医院的信誉。此外，医院24小时工作的行业特殊性，也决定了医院信息网络系统的安全工作必须成为重中之重。

　　从安全管理制度入手

　　有关专家认为，我国当前医院信息化发展迅猛，但是缺乏长期的可持续发展的机制，政府对医院信息化的建设重视程度不够，投入和监管都不够。同时，医院隶属关系复杂，缺乏统一的协调机制，医院信息化建设各自为政，政府监管和协调机制有待突破。医院信息化建设过程中存在着“重应用，轻基础;重建设，轻管理”的现象，信息化过程中深层次，结构性问题正在越来越突出。随着区域卫生信息化建设的深入，对医院信息系统管理建设的科学性，规范化必须提出要求。

　　诚然，我国的医院信息化建设起步比较晚，与金融，电信等成熟行业相比，目前大多数医院的信息化水平尚处与中小企业范畴，安全措施方面也处于初级阶段，尤其是中小医院在信息化的建设上普遍缺乏重视，而且轻防护，信息系统安全问题正日益突出。随着新医改方案的逐步落实，医院的管理机制，运营机制等都将面临着重新的调整，医院信息系统建设首先在管理制度上也应随需而变。

　　俗话说：三分技术，七分管理。完善的管理机制是整个信息系统安全的保障，安全不仅仅是技术问题，更多的是管理问题，人的因素才是关键。根据目前我国医院信息化建设现状，笔者认为在完善安全管理制度方面主要应该加强以下两方面的建设：1，树立全员安全意识，医院各级领导带头重视。信息系统安全管理的制度制订和落实需要自上而下的贯彻进行，领导必须起到带头作用，要建立安全领导小组，并设立专门的安全管理人员，培养和提高医院全员的认识水平，加强责任意识，安全意识，防护意识。要认识到保护信息网络安全就是在保护医院本身，保护广大人民群众的切身利益。与此同时，加强全体员工的培训工作，因为网络安全问题是一个典型的人机关系问题。比如，要对医院所有操作局域网内计算机的医院务人员就应该定期进行安全法律教育和安全技术教育。2，完善各级安全管理制度，涵盖了机房安全管理制度，加密设备管理制度，密钥管理制度，涉密人员的轮换制度等等。医院信息系统的正常运行，需要一套完善的规章制度作保障，要针对相对开放的信息硬件系统，制订一套切实可行的医院网络安全管理制度和医院信息系统管理条例，以约束不规范的计算机操作行为。值得重点一提的是，要加强监控的力度，设立专职的安全管理人员，对那些重点区域和人员进行重点的管理和监督。此外，针对目前应用层的安全问题日益突出现象，要规范医务人员的工作站的使用管理制度，谨慎使用共享软件，医务人员的工作站上应该减少应用软件的安装，甚至不装。

　　技术是支撑与后盾

　　从技术角度而言，医院信息网络系统的安全涉及到网络安全，服务器安全，存储设备安全，操作系统安全，备份方案的可靠性，集群，数据库，应用，以及机房建设，供电安全等等多方面，下面从以下四大方面进行阐述：

　　1、物理层安全

　　硬件系统是医院信息系统的物理基础，物理层安全主要是指医院信息系统中各计算机，通信设备及相关设施的安全防护。其中，服务器是医院信息系统的核心，因此，对服务器的安全保护是首要工作。在医院的关键服务器设备必须配备用机，同时配备不间断电源(UPS)。集群系统可以解决服务器的硬件故障，当某一台服务器出现故障时，运行在这一台服务器上的应用就会切换到其他服务器上。同时，集群系统可以解决软件系统的问题，其对服务器的监控是基于应用的。集群还可以解决人为失误造成的应用系统停止工作的情况。在网络通信设备方面，交换机的安全尤为重要，最好将交换机放在专门的机柜里，并配小型的UPS。

　　病毒和黑客侵入都需要对外的接口，物理隔离是最有效的措施。因此，医院的外部网络与内部局域网络分开，或用物理隔离卡进行隔离，是最有效的方法。同时，放火墙既是一个简单的过滤器，又是一个精心配置的网关。

　　2、软件应用层安全

　　医院网络系统中的每一台终端和服务器都安装了各种的操作系统，因此保证操作系统的稳定十分重要，要随时更新各种操作系统的补丁，并采用第三方软件对所有的客户端进行监控。同时，要对医院的数据进行定期的备份，重要的数据可以采用RAID的方式进行实时的备份，其他数据采用定期备份的方式存储到服务器或者磁带机上，最好的是能够异地存放。在应用方面，由于医院信息系统应用软件的变更频率很大，未做充分软件测试、版本管理不严格，技术文档缺乏已经软件设计不合理的情况很多，因此，应该针对这些情况提前制定相应规范。

　　在防病毒软件使用方面，要考虑对网络层，邮件客户端能够进行实时监控。

　　3、内网层安全

　　俗话说：内贼难防。因此，内部网络的安全正在引起越来越多的重视。在内网方面，应该进行严格的访问控制，并制定完善的安全措施。要通过设置权限控制用户读特定数据的使用，使得每一个用户在整个系统中应具有唯一的帐号。为了减少安全隐患，应该尽量固定分配IP，并记录日志，密切注意非法IP及其流量，并对数据库的重要操作做系统日志，做到有据可查。此外，医疗信息应该经过加密后再通过网络保存到数据库中。

　　4、维护层

　　任何一个可靠系统也离不开良好定期的维护做保障。如何将发生故障的概率降到最低，是一个现实的问题。在维护方面，医院应该建立定期的检查制度，包括对机房，硬件设备，数据，服务器等进行日常维护，比如对硬件设备定期进行表面和内部的除尘处理，清洁插件，检查通风和电源装置等等。要建立数据监控制度，改正错误数据，保证数据的完整准确。服务器维护方面重点应在软件，要定期进行内存监控，磁盘空间监控，安全访问监控，计算机病毒检查等。

　　建立应急预案未雨绸缪

　　由于医院24小时工作的特殊性，服务器必须24小时工作，一旦发生服务器或者其他灾难，就可能导致整个医院网络信息系统的瘫痪，因此，提前做好一个应急预案是必不可少的。

　　医院信息网络系统应急预案包括了主机系统应急预案，网络系统应急预案，应用系统应急预案，数据灾难系统应急预案等等。在事故发生时，按照预案以最短时间，最小损失来恢复系统，应急预案要简单明了，便于操作。以网络系统应急预案为例，要明确规定在发生重大网络安全突发事件的情况下各部门的相关职责和处理方法。要制定相应故障的详细的解决方案和替代方案，真正做到有备无患。此外，在有条件的情况下，要定期进行应急预案的预演工作。

　　医院信息网络系统安全防护是一个长期的工作，医院信息系统能否正常运转是保证医院医疗业务正常开展的关键。安全的最高境界就是要做到防患于未然，同时，做到未雨绸缪，在思想意识上，做到即使有万分之一的可能性，也要做好百分之百的准备。