方案建设背景
广东省XX医院90年代创医院。新院于年整体搬迁启用，年医院复审。医院现建有门诊楼、住院楼、医技楼、感染楼、行政楼、新综合大楼。医院正在加强信息化建设，包括：医院、远程诊疗、网上预约挂号诊疗等互联网+医疗服务，并配置了20余个信息平台，使医院逐步向网络化、医院目标迈进。
需求分析
1、以应用数据为中心的保护需求
医院间、监管机构、第三方应用对数据的交换及使用的普及也促进了医疗数据的共享。在医疗数据价值凸显的背后医疗行业数据泄露事件却频频发生。数据的医院来说也是至关重要的，保证在数据的每个阶段都是安全可靠的。
2、业务应用安全防护需求
在应用系统开发安全阶段，加强安全意识、规范开发流程、提升在开发阶段的安全能力，并且增加安全审核机制和流程，提升应用系统自身的安全的健壮性和稳定性。在应用运行阶段，实现应用系统运行中的安全防护、安全检测和安全响应的闭环运行管理，全面构建应用系统运行的安全防护能力，保障应用系统在运行阶段有漏洞可以及时发现，及时进行响应处置。
3、用户安全健康访问需求
按照数据与业务的敏感程度，构建安全的访问控制平台，消除网络壁垒，融合公安网中的业务专网。实现数据传输加密，具备对终端接入的检测与准入的能力，能够结合公安数字身份认证体系，实现用户认证管理和权限管理，能够对终端访问的应用资源和数据实现角色管理、访问审计等功能。
4、网络主动防护需求
加强网络安全纵深防御和联动协防能力，实现对全网的威胁发现能力。通过对接入终端的准入控制、对网络流量、网络质量、网络应用协议等进行多维度流量识别和威胁检测分析，能够将威胁信息转化为防护策略下发给网络和安全设备，规避数据在传输过程中存在被窃听、篡改风险，防止威胁的内部扩散，实现网络的“检测智能”和“处置智能”。
5、智能安全处置需求
通过建立有效应对高级持续防御的“安全智能协同防御”体系，实现数据业务域网络从被动、单点防御到主动、整网防御，对整网的威胁状态做到态势感知。
总体方案设计
XX医院的系统部署通过网闸，物理隔离内部网络和外部网络。部署边界网关设备和终端防护设备完成隔离和威胁防护。
在边界互联区、核心交换区、运维管理区、内网业务区、内网办公区、外网办公区、应用前置区、外网核心交换区、外网边界互联区，分别建立不同级别的防护能力。针对内网威胁横向扩散，在内网办公区部署终端防护软件，阻止终端感染。
针对内网核心业务及应用，部署数据库审计+WEB应用防火墙，结合APT预警平台，实现威胁发现+防护的动态防护体系，有效阻止勒索病毒侵害网络安全。
核心交换区部署准入和行为管理，保障网络权限和审计。建立安全管理中心，部署日志审计，为安全管理中心做分析和决策提供依据，结合运维审计，实现动态自适应访问控制。
总体建设拓扑
方案价值
满足等级保护技术规范要求
通过本项目建设符合等级保护相关要求的安全防护措施，形成检测、防护、响应和恢复的保障体系，从而建立有针对性的合规性安全保障体系框架和安全防护措施。
医院的形象和声誉
对网站实行7*24小时的实时监控及防护，保护外网WEB站点数据不被攻击，避免网页篡改给网站带来的形象损害，解决网站面临的WEB应用攻击、网页挂马、CC攻击等安全问题。
安全事件压制在萌芽之中
在发生安全事件或发现攻击行为时，可第一时间监控发现此类攻击动态，通过和专业安全厂家进行联动应急响应，把安全事件压制在萌芽之中。
降低人工审计成本
医院提升网络设备、安全设备、应用系统运行监控的透明度，降低人工审计成本，实现全业务运行可视化、日常操作可监控、危险操作可控制、所有行为可审计、安全事件可追溯。
项目复盘
安恒与渠道紧密配合：根据卫健委整体要求以及XX医院等保建设的实际需求，按照需求调研、框架设计、现状调研、体系设计等步骤，通过安恒工程师与渠道工程师的协同，完成了XX医院信息系统等级保护体系建设项目的启动、交付及验收工作。
1、需求调研--前期根据XX医院安全建设需求，形成《XX医院安全标准及管理制度体系需求调研报告》
2、框架设计--根据XX医院网络拓扑，设计网络安全等级保护体系总体技术架构，形成《XX医院网络安全等级保护体系标准及管理制度体系框架技术白皮书》
3、现状调研--充分调研院内EMR、HIS、PACS等各业务应用的具体需求，精准把握用户痛点，形成《XX医院网络安全等级保护体系现状调研报告》
4、体系设计--利用调研成果，设计XX医院网络安全等级保护体系与网络安全等级保护体系所需要的安全标准及管理制度。