20200924-蛋壳研究院-互联网医院安全架构研究报告_48页_4mb

互联网医院安全架构研究报告总结

核心内容

互联网医院作为医疗健康产业的新物种，依托互联网、人工智能、大数据等技术，重构医疗健康价值网络，尝试解决“医疗不可能三角”难题。截至2020年4月30日，全国已有497家互联网医院，其中83.5%由实体医院主导，其余由企业主导。其主要优势包括：推动医疗向健康的转变、实现患者与医疗资源的智能匹配、推动医联体/医共体落实、提升患者就医便捷性、降低医患纠纷发生概率。

然而，互联网医院在快速发展的同时也面临诸多安全挑战，包括网络安全等级保护建设滞后、网络安全人才短缺、网络安全资金投入不足、新兴技术应对挑战的必要性以及数据共享带来的隐私泄露风险。

主要观点

1. 互联网医院安全建设需与信息化建设同步进行
   互联网医院必须实施第三级信息安全等级保护，这是其上线的必要条件。等级保护建设包括定级备案、规划设计、建设整改、等保测评和运营管理五大步骤。

2. 医疗机构与企业需协同建设网络安全体系
   医疗机构作为责任主体，应发挥指导作用，而企业则提供产品与服务。两者结合才能有效推动网络安全建设。

3. 网络安全人才是互联网医院安全建设的根本
   医疗机构在网络安全建设中普遍面临人员不足和专业性不强的问题，因此需要加强网络安全人才培养与引进。

4. 数据安全是互联网医院建设的核心
   数据共享和流转带来隐私泄露风险，需通过制度建设和技术手段（如去标识化、加密、脱敏）实现数据安全与可用性的平衡。

5. SD-WAN与网络安全融合是提升业务连续性的关键技术
   SD-WAN技术可提供稳定、高效的广域网服务，结合网络安全防护功能，可提升互联网医院业务的可用性和服务质量。

关键信息

互联网医院系统架构

互联网医院系统包括以下三个层级：

• 应用层：面向用户提供服务，包括患者APP、医生APP、浏览器、微信/支付宝应用服务等。
• 支撑层：提供基础服务和增值服务，如互联网医院基础服务、增值服务、资源共享服务等。
• 平台层：为互联网医院提供基础架构服务，包括自助服务平台、预约服务平台、云诊室工作平台、随访服务平台、药品物流配送服务平台等。

等级保护建设现状

• 三级医院通过等级保护三级测评的仅占52.57%，三级以下医院仅占24.92%。
• 等级保护建设需涵盖安全通信网络、安全区域边界、安全计算环境、安全管理中心等多个方面。
• 等级保护三级建设是互联网医院的第一道安全防线，需提前启动并同步进行。

互联网医院安全挑战

1. 业务互联网化加剧安全风险
   互联网医院与多方机构连接，导致恶意流量进入系统，安全风险显著增加。
2. 网络安全人才短缺
   医疗机构信息中心人员数量少，且多数缺乏网络安全专业背景，难以支撑安全建设。
3. 网络安全资金投入不足
   医疗机构信息化建设资金有限，网络安全建设缺乏专项投入，影响安全措施的落实。
4. 新兴技术应对新挑战
   互联网医院业务对系统稳定性、数据安全、网络性能等提出更高要求，需借助SD-WAN、人工智能等技术应对。
5. 数据泄露与隐私保护问题
   数据共享过程中，患者隐私数据易被泄露，需加强数据去标识化、加密、访问控制等技术手段。

互联网医院安全机遇

1. 等级保护建设推动整体安全水平提升
   等级保护三级建设成为互联网医院上线的必要条件，也推动了医疗机构整体网络安全建设。
2. 业务安全成为重要补充
   在等级保护基础上，加强业务安全建设，如黄牛抢号、数据可用性等，保障互联网医院的正常运行。
3. 网络安全产品与服务助力建设落地
   东软NetEye等专业厂商提供全面的网络安全产品与服务，包括访问控制、审计、管理、云安全等，帮助医疗机构落实安全建设。

东软NetEye互联网医院安全最佳实践

5.1 以业务安全助力网络安全体系规划

• 东软NetEye提出“业务驱动安全”的理念，为互联网医院提供涵盖数据、应用、人员、基础设施的全面防护措施。
• 提供网络安全规划与实施的统一思路，确保安全措施有效落地。

5.2 一体化服务助力网络安全建设落地

• 提供从定级备案、规划设计、建设整改、等保测评到运营管理的全流程服务。
• 针对不同建设模式（本地部署、第三方机构提供基础设施、资源融合模式）提供定制化解决方案。

5.3 专业网络安全产品助力建设

• 访问控制类：包括防火墙、入侵防御系统、Web应用防护系统、安全隔离与信息传输系统等。
• 审计类：入侵检测系统、网络行为审计系统、数据库审计系统、堡垒机等。
• 管理类：安全运维管理平台、特权账号管理系统、终端安全监测系统等。
• 东软NetEye产品具备高性能、低延时、支持IPv6、一体化防护等优势，适合不同规模医疗机构使用。

5.4 网络安全人才培养与输出

• 东软NetEye通过流程管理、专项培训、外部引进等方式，提升医疗机构网络安全能力。
• 推动网络安全人才在医疗行业的培养与输出，保障网络安全体系的可持续发展。

总结

互联网医院的建设和发展为医疗行业带来了新的机遇，但其网络安全建设仍面临诸多挑战。医疗机构需在等级保护建设、数据安全、业务安全、人才引进等方面综合施策，结合企业优质产品和服务，共同构建安全可靠的互联网医院环境。东软NetEye作为行业领先的安全解决方案提供商，通过一体化服务、专业产品和人才培养，为互联网医院网络安全建设提供了有力支撑，有助于实现安全与业务的协同发展。