天融信打造医院信息系统数据安全防护方案

1、安全隐患的背景

当前医院各类信息系统数据库存在大量的安全威胁和监管漏洞，主要有三类信息安全问题：

· 患者隐私信息批量泄密风险

从患者入院登记到治疗、安排手术，需要经过很多程序，病人的手机号码等信息，只要是有内网账号的医务人员都可以查询到。医院系统中存储大量患者隐私信息，这些信息对整个医疗产业链如医药公司、健诊中心、广告、中介、保险等行业具有重要的价值，新兴的信息倒卖公司已经将批量患者信息作为重要的商品，通过雇佣黑客入侵医院系统，或收买医院业务人员、信息中心人员、第三方维护和开发人员对批量患者数据进行窃取。

· 药品“统方”信息被非法查询风险

过去的几年中，“统方”事件频频发生，有关医药代表与医生、信息科人员勾结，非法获取医疗统方数据的报道层出不穷。

非法“统方”势头一直不减的原因是无有效的技术手段帮助医院防止“统方”，存在着无法有效区分正常统方和非法统方的行为差异，不具备主动预防信息科人员、其他业务科室、系统维护人员等各内部人群通过数据库、应用系统等主动获得处方数据的各种统方行为。

· 医疗财务数据被非法篡改风险

以住院费用查询系统为例，住院病人费用明细清单包括床位费用、医生诊疗费用、药品费用、检查费用等重要信息，这些医疗财务数据出现异动的原因，有可能是人为输入有误，但主要原因是被非法篡改。

维护人员、程序开发人员、信息中心业务人员拥有数据库的高级别权限，正常的数据维护工作和敏感数据的非法篡改，从权限上无法分离;同时，医疗信息系统往往是院方内部人员、厂商程序开发人员和实施人员共同维护数据。一旦发生了违规的数据篡改行为，也无法有效界定到底是哪方人员造成的安全事故。

2、安全风险与需求分析

2.1、风险分析

在医院信息系统中，数据库访问有如下渠道存在数据泄露和篡改风险：

1. 内网：敏感信息泄密风险

· 信息中心数据库管理员：

有权限直接访问数据库，随时导出所有敏感数据，目前没有任何安全措施限制管理员访问敏感信息，一旦发生泄密事件，无法免除责任;

· 开发商实施人员：

可通过掌握的数据库账户口令，绕开业务应用系统，直接访问医疗核心信息系统数据库;

· 内网中其他业务处室人员：

现有医疗系统仍然有c/s架构的客户端直接连数据库，同时数据库服务器没有安全手段，确保只接受来自于应用服务器等固定IP地址的数据访问，在知道数据库账户后，通过其他计算机的数据库客户端访问数据库导致数据泄密。

2.内网：敏感数据篡改风险

· 数据库DBA：可随时任意访问数据库，直接修改敏感信息;

· 实施维护人员/开发人员：

可通过掌握的数据库账户口令，绕过应用程序，通过其他数据库客户端工具直接访问医疗数据库，修改敏感信息;

3.外网：患者敏感信息批量泄漏

· 外部黑客攻击：以外网应用系统作为跳板，利用数据库的漏洞，直接进行sql注入或权限提升等操作，批量获得数据库的敏感信息;

· DBA、实施维护、开发人员、测试人员：

与内网中的情况类似，都有机会直接接触数据库，获得批量敏感信息等内容。

2.2、需求分析

从使用人群上分析，信息中心、其他业务处室、厂商开发运维人员能接触到数据库敏感信息的人员有数十人，其他医疗窗口及管理人员间接接触数据库敏感信息的人员有几百人，他们有不同的应用或数据库访问权限，存在越权查询敏感信息，批量查询和导出信息等风险情况

从数据库访问行为控制分析，防高危操作，防SQL注入，对批量数据查询的实时告警，同时对数据库的恶意访问将记入审计日志，进行事后分析。具体的技术分析如下：

Ø 防止外部黑客攻击

威胁：黑客利用Web应用漏洞，进行SQL注入;或以Web应用服务器为跳板，利用数据库自身漏洞攻击和侵入。

Ø 防止内部高危操作

威胁：系统维护人员、外包人员、开发人员等，拥有直接访问数据库的权限，有意无意的高危操作对数据造成破坏。

Ø 防止敏感数据泄漏

威胁：黑客、开发人员可以通过应用批量下载敏感数据，内部维护人员远程或本地批量导出敏感数据。

Ø 审计追踪非法行为

威胁：业务人员在利益诱惑下，通过业务系统提供的功能完成对敏感信息的访问，进行信息的售卖和数据篡改。

从数据库自身安全加固的技术层面分析，在核心信息系统中至少存在以下重要数据库安全威胁，能够直接导致敏感信息泄密的发生：

Ø 系统维护人员导出或篡改数据

Ø 第三方人员直接接触敏感数据

因此，医院信息系统的数据库信息安全核心需求就是要重点解决以上三大数据库安全威胁。此外卫生部对医疗行业“防统方”有政策要求：2010年6月21日颁发的《卫生部关于进一步深化治理医药购销领域商业贿赂工作的通知》中明确指出，“未经批准不得统方，严禁为商业目的统方”。

3、安全解决之道

3.1、解决方案

天融信公司凭借长期积累的信息安全经验提出，医院信息系统数据安全防护解决思路需分为两部分，一是从技术手段上解决数据篡改和泄密的安全隐患，二是从管理手段上解决数据库管理员权限过大，无法进行安全管理的问题。

技术措施包括：

· 数据库防火墙

¨ 虚拟补丁：通过数据库防火墙的虚拟补丁包，形成外围防护层，防止以外网应用系统为跳板，入侵者利用数据库的权限提升等漏洞，批量数据下载。

¨ 防SQL注入：通过规则处理、黑白名单机制，防止违规的SQL注入操作发生，避免数据数被盗。

· 天融信数据库审计系统(防统方专用版)

¨ 系统针对医疗系统进行深度协议与数据分析，通过旁路方式抓取所有医生使用的医疗终端和HIS服务器之间的通信数据，使用特定的脚本处理业务数据，得出其操作行为，并针对危险操作通过邮件、短信等方式告警并记录其行为，同时也可以配置响应处理策略，将损失降到最低。

¨ 符合国家等级保护等政策法规、标准、规定的要求，是提高医院进行防统方建设不可或缺的产品。

管理措施包括：

Ø 对所有数据库定期进行安全巡检;

Ø 通过三权分立改变现有安全管理机制，对数据库运维有效地进行管控;

Ø 通过数据库详细审计，对数据库恶意操作进行有效追踪。

3.2、系统部署图

综合分析医院信息系统中的数据库安全威胁，以“保护敏感信息泄密、防止数据异动”为最终目标，以“最小的代价换取尽量大的安全提升”的原则，定义出该系统的核心敏感数据，并进行有效的安全访问控制和事后审计。

3.3、特色说明

1) 防护思路的先进性

传统的安全解决方案，注重于网络安全防护、应用安全防护、认证安全防护，但忽略了数据库安全防护。

2) 数据安全防护的全面性

A、 防护时机的全面性

B、 防护对象的全面性

C、 防护泄密渠道的全面性

3) 防护技术的领先性

天融信公司提供专业数据库安全防护产品——数据库防火墙和数据库审计系统(防统方版);数据库安全产品不同于传统的网络安全产品，能够实现对数据库的整体安全加固。