醫(yī)療

MEDICAL TREATMENT

首頁 > 客戶案例 > 正文

浙江大學附屬第一醫(yī)院CLTR項目案例

閱讀量：

項目背景
中國肝移植注冊中心（CLTR）是負責中國國家肝移植注冊系統(tǒng)的研發(fā)運維的科研機構(gòu)，隸屬于國家衛(wèi)生健康委員會（以下簡稱衛(wèi)健委），由浙江大學附屬第一醫(yī)院（以下簡稱浙一醫(yī)院）運營管理。中心多年來始終秉承嚴謹、客觀、專業(yè)的工作態(tài)度，嚴格遵循國家法律法規(guī)、積極配合國家衛(wèi)生行政監(jiān)管部門，承擔注冊系統(tǒng)的研發(fā)、系統(tǒng)運維、數(shù)據(jù)管理、安全防護等工作，致力于器官移植信息科技、政策法規(guī)、臨床科研、醫(yī)療機構(gòu)服務(wù)質(zhì)量評估等領(lǐng)域的深入研究。
本次工程為了進一步提升CLTR系統(tǒng)的運行效率，加強信息安全，最大程度保障系統(tǒng)的數(shù)據(jù)安全和高可用性。因此工程實施業(yè)務(wù)壓力及可用性方面均有極高的要求;同時，該系統(tǒng)涉及國家其他數(shù)據(jù)中心的業(yè)務(wù)平臺接口和零宕機數(shù)據(jù)遷移，工程實施風險非常大。

鑒于境外敵對分子一直利用我國的器官移植攻擊我們政府，因此器官來源、數(shù)量等移植數(shù)據(jù)是國家級重要敏感信息數(shù)據(jù)。對于器官數(shù)據(jù)的保護，是整個項目成敗的關(guān)鍵，此前包括公安廳網(wǎng)監(jiān)部門在內(nèi)的各方專家已經(jīng)對安全防護進行了相應(yīng)的指導(dǎo)與論證，安恒信息前期根據(jù)專家的相關(guān)意見提出了適合CLTR系統(tǒng)的安全解決方案，方案最終做到專家要求的"系統(tǒng)進不來，進來了拿不走，拿走了看不懂"的防護原則。

項目內(nèi)容
傳統(tǒng)網(wǎng)絡(luò)層安全防護措施和防御體系在安全管理中相當重要，但在面臨數(shù)據(jù)被泄露的安全問題中，應(yīng)用安全的防護能力更加重要。使用安恒信息所提倡的一種基于風險評估模型及"事前+事中+事后"的安全理念的結(jié)合傳統(tǒng)網(wǎng)絡(luò)層防護措施的新型應(yīng)用安全解決方案，將有效降低應(yīng)用安全風險和出現(xiàn)被泄露信息的風險。
Plan-1
■風險評估與加固層面
威脅一個信息系統(tǒng)的風險可能來自不同的層面，從網(wǎng)絡(luò)層、系統(tǒng)層到應(yīng)用層，都有可能形成對信息系統(tǒng)直接或間接的威脅。通過風險評估對整個信息系統(tǒng)進行有效地安全評估，發(fā)現(xiàn)信息系統(tǒng)技術(shù)與管理方面存在的威脅。通過專業(yè)安全團隊的加固，減少或降低威脅對系統(tǒng)造成的影響，避免因存在的威脅造成的信息泄密影響。
Plan-2
事前安全防范層面
當前絕大多數(shù)外網(wǎng)業(yè)務(wù)系統(tǒng)缺少必備的Web安全和數(shù)據(jù)庫安全的評估工具，難以實施事前的風險評估。專業(yè)的安全產(chǎn)品需要有效的安全策略才能發(fā)揮應(yīng)有的功能，而事前的安全評估則顯得尤為重要。外網(wǎng)業(yè)務(wù)系統(tǒng)業(yè)務(wù)系統(tǒng)最重要的資產(chǎn)集中在Web應(yīng)用層和數(shù)據(jù)庫系統(tǒng)，因此長期有效的保障外網(wǎng)業(yè)務(wù)系統(tǒng)的安全，安全運維人員應(yīng)有必備的安全評估工具及技術(shù)實力。
Plan-3
■事中安全防護層面
安全的信息系統(tǒng)需要涉及物理層、網(wǎng)絡(luò)層、主機層、應(yīng)用層方方面面的安全防御措施。目前絕大多數(shù)的外網(wǎng)業(yè)務(wù)系統(tǒng)基本上把信息系統(tǒng)的相關(guān)主機托管至IDC機房，根據(jù)IDC的不同等級分別具備了物理層安全和網(wǎng)絡(luò)層安全。但外網(wǎng)業(yè)務(wù)系統(tǒng)尚缺少有力的安全防御措施，例如專業(yè)的遠程安全接入主機的VPN，網(wǎng)絡(luò)防火墻，Web應(yīng)用防火墻等安全設(shè)施，應(yīng)切實建設(shè)相應(yīng)的安全防御措施，提高系統(tǒng)的抗風險能力。
Plan-4
■事后安全審計層面

外網(wǎng)業(yè)務(wù)系統(tǒng)核心數(shù)據(jù)庫存儲有大量的用戶信息，以及大量的有價值的其它信息資產(chǎn)。如果處理不當，敏感的數(shù)據(jù)庫信息被竊取將會導(dǎo)致極大的信譽危機，對外網(wǎng)業(yè)務(wù)系統(tǒng)造成重大影響。本項目中應(yīng)部署專業(yè)的數(shù)據(jù)庫審計系統(tǒng)，實現(xiàn)對數(shù)據(jù)庫訪問的詳細記錄、監(jiān)測訪問行為的合規(guī)性，針對違規(guī)操作、異常訪問等及時發(fā)出告警，同時可通過與應(yīng)用層關(guān)聯(lián)審計發(fā)現(xiàn)前端的請求與后端的數(shù)據(jù)庫操作關(guān)聯(lián)性，爭取將安全風險控制在最小的范圍之內(nèi)。

項目價值

—● 整體安全·········風險管理 >Web應(yīng)用防火墻防護網(wǎng)站

? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?? > 抗DDoS流量清洗、IPS、防火墻防護邊界

? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?> 防火墻、安全準入防護終端

? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?> Web漏洞掃描、數(shù)據(jù)庫掃描、遠程評估系統(tǒng)發(fā)現(xiàn)漏洞

? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?? > IDS、APT發(fā)現(xiàn)攻擊

? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?> 本方案是集預(yù)警、檢測、防護、響應(yīng)為一體的安全集成方案

? ? ? ? ? ? ? ? ? ? ·········合規(guī)管理> 針對國家法律法規(guī)及行業(yè)標準規(guī)定，網(wǎng)絡(luò)審計、數(shù)據(jù)庫審計、日志審計提供合規(guī)性審計及管理。

—● 配合協(xié)作統(tǒng)一管理

? ? ? ? ? ? ? ? ? ??·········抗DDoS流量清洗、入侵防御、入侵檢測、安全審計等安全功能相配合，形成一道道安全防線

? ? ? ? ? ? ? ? ? ? ·········安全管理中心提供對終端管理、漏洞掃描、運維審計、防火墻等安全設(shè)備的集中管理、統(tǒng)一日志分析，提高網(wǎng)管效率

—● 全方位的生命周期防護

? ? ? ? ? ? ? ? ? ? ·········信息安全事件的發(fā)生，通常都會經(jīng)歷事前、事中、事后三個生命周期過程，不同的階段我們可以有針對性地采取安全措施，即事前預(yù)防為主，事中有效防護，事后追溯審計

—● 提供持續(xù)安全服務(wù)

? ? ? ? ? ? ? ? ? ? ·········安恒信息為專業(yè)的安全解決方案領(lǐng)導(dǎo)廠商，具備前瞻性的安全研究能力，給客戶提供領(lǐng)先的安全產(chǎn)品、專業(yè)的安全服務(wù)、優(yōu)秀的解決方案

? ? ? ? ? ? ? ? ? ? ·········安恒信息基于多年安全積累，已將最佳安全實踐產(chǎn)品化，產(chǎn)品、服務(wù)、方案切合國內(nèi)安全需求

? ? ? ? ? ? ? ? ? ? ·········安恒信息秉承精益求精的精神，全部產(chǎn)品自主研發(fā)，依托專業(yè)的安全研究團隊，保證持續(xù)穩(wěn)定的軟件版本升級和規(guī)則庫升級

? ? ? ? ? ? ? ? ? ? ·········安恒信息具備強大的研發(fā)能力和技術(shù)支持團隊經(jīng)驗

? ? ? ? ? ? ? ? ? ? ·········提供高級分析服務(wù)

? ? ? ? ? ? ? ? ? ? ·········對于用戶無法確定的攻擊行為和攻擊樣本，可提供高級技術(shù)支持，協(xié)助用戶對攻擊進行分析，用以對抗高技術(shù)的黑客

AI+安全>

數(shù)據(jù)安全>

數(shù)據(jù)基礎(chǔ)設(shè)施>

態(tài)勢感知>

云安全>

基礎(chǔ)安全>

終端安全>

商用密碼>

軟件供應(yīng)鏈安全>