松江区医疗机构计算机网络信息系统安全管理规定

松江区医疗机构计算机网络信息系统安全管理规定

松江区医疗机构计算机网络信息系统安全管理规定 篇1

为保障松江区医疗机构网络信息系统安全稳定地运行，加强计算机信息网络的管理，促进卫生信息化建设，确保各医疗机构（医院和社区卫生服务中心）正常开展医疗卫生服务，现将有关事项规定如下：

一、网络信息安全管理组织

各医疗机构应成立信息安全工作领导小组，确定第一责任人、责任部门；成立信息安全应急响应小组；确定信息安全专管人员，明确责任，并定期检查、督促落实。

二、计算机机房安全管理规定

1、做好中心机房安全保卫工作，机房无人时应及时上锁。机房管理人员必须遵守国家有关法律、法规，认真执行机房管理制度、安全等级保护制度等各项规章制度，认真地做好本职工作，保障系统正常、安全、可靠地运行。

2、机房门钥匙、电子令牌及设备机柜钥匙应由机房管理人员集中保管，不经允许不得转让他人。进入机房所有人员，应填写中心机房进出登记簿，以备记录。外来人员参观主机房，必须经有关领导批准并办理登记手续。未经机房管理人批准，非相关人员不得进入中心机房。

3、严禁在机房内计算机上擅自运行外来的光盘、软盘。若工作确需使用，应报告机房管理员，并严格进行病毒检测后方可使用。

4、处理涉及敏感信息事务时，不得接待参观人员，非相关人员不得靠近观看，无关人员不得擅自操作机房设备。

5、所有设备要制定严格的符合安全要求的口令，口令要严格管理，定期更换。

6、未经允许，机房内部设备情况、机器性能、网络地址、使用的程序及业务处理范围，一律不准对外传播、解答。

7、机房管理员应做好计算机相关资料如操作系统、业务程序、业务源程序等书面资料、磁介质的保管工作。相关工作人员如需借阅资料，应至机房管理人员处按规定办理借阅手续。

8、机房内所有设备应严格管理，各种设备、材料要登记在帐，并由机房管理员负责。机房设备由专人操作、管理，专机专用，设定用途的设备一般不得用作其他用途。

9、机房内严禁存放易燃易爆物品，严禁使用明火或吸烟，消防器材应固定位置存放，不得随意挪动。

10、严禁携带大头针、曲别针、强磁性物品、带灰尘物品进入中心机房。中心机房内不得有卫生死角、可见灰尘；调节适合计算机的温度、湿度；门窗密封，防止外来粉尘污染。

11、设立机房安全防火人员，并加强安全防火教育，学好安全防火条例，严肃纪律，提高思想认识，发现安全隐患及时向机房管理人员汇报并解决问题。

12、机房管理人员要严格执行以上操作规程，不得违章操作，如发现异常应立即向系统安全管理人员报告，并认真做好记录，配合应急响应小组采取相应应急措施。

三、网络设备管理规定

1．医疗机构必须实现内外网隔离（此处将医院核心业务局域网、松江卫生专网称为“内网”，医疗机构行政办公局域网与互联网称为“外网”），确实没条件实现物理隔离的，过渡期可以使用划分不同VLAN的方式使用交换机，严禁混用内外网交换机、集线器；

2．网络设备应统一配置和安装，由专人进行参数设置和管理，并形成记录；

3．路由器、交换机等网络设备应固定在机房、分机房或设备间，应放置于一般人不易触及的地方；

4．监护室、急救室等场所慎用无线网络设备； 5．发现不能正常工作的设备应及时更换； 6．应该使用由有关部门安全认证的网络安全设备；

7．网络安全设备由专人负责其参数的设置和管理，定期升级。

四、服务器与存储安全管理规定

1．服务器与存储设备应由专人负责，并记录详细的运行维护日志记录；未经主管同意，其他人员不得对服务器/存储进行操作；

2．应由专人定期对服务器和存储设备进行检测维护,做好记录，发现异常及时通知主管；

3．提供关键服务和涉及核心机密数据的服务器（如数据库服务器、应用服务器）必须采用在线双机热备方案，确保关键服务的连续性和稳定性，并做好防病毒工作和安全防护工作；

4．服务器管理员密码仅限管理员及信息主管掌握，密码必须定期更改，并有书面记录，严格保管；

5．PC服务器必须每月进行一次常规性检查和重启，小型机必须每三个月进行一次常规检查和必要的重启；

6．服务器和存储设备的维护和升级必须有预案和实施记录。

五、网络工作站管理规定

1．对各工作站应进行编号，登记在册，统一管理；严禁使用未经检查的工作站。空闲工作站不得接入网络，备用工作站只在需要时才允许接入网络，平常必须保持断开状态。空闲和备用工作站应有明确标识；

2．工作站必须设置密码，密码包括开机密码、登陆网络密码和屏幕保护密码；

3．业务网内工作站应保证专机专用，不做与业务无关的事； 4．操作人员不得更改系统配置，不得擅自安装软件。应用软件必须由技术管理部门负责安装；

5．操作人员不得擅自增减硬件设备，如果出现硬件故障，应及 时与管理员联系，由管理员进行维护；

6．原则上工作站不能安装光驱、软驱、外接存储设备； 7．操作人员应定期对工作站进行清洁；

8．未经主管领导同意，各部门不得私自将设备接入业务网。

六、网络工作人员管理规定 1．网络技术人员职责

（1）在信息科主任或计算机室主任的领导下进行工作；（2）负责“网络系统”的运行监护、及时维护和数据备份，保证网络正常运转；

（3）负责网络中心和各工作站系统软件、应用软件的安装、调试和维护。负责各用户软件权限的分配、授权，严格注意口令的保密；

（4）负责对网络工作站操作员的培训、技术指导工作；（5）妥善保管光盘、软盘、磁带、资料、修理工具等物品；（6）检查网络工作站运行情况，发现问题及时纠正，遇有重大问题，及时报告；

（7）负责“网络系统”的逐步拓展和新增功能模块的应用；（8）积极钻研计算机网络和医疗信息管理业务，不断提高业务水平。

2．系统管理员职责

（1）负责服务器、备用服务器及网络重要设备的软、硬件安全保护，要求责任心强、业务精；

（2）负责操作系统、数据库的密码设置，及时更新密码，并详细记录密码内容、更新时间，更新后及时将密码报告信息科负责人；

（3）负责用户字典的维护，负责上网人员的用户权限分配，并详细登记；

（4）负责“网络系统”的数据备份、介质存放；（5）每天登记服务器、备用服务器运行状况；（6）系统出现重大故障时，及时报告有关负责人；

（7）建立专柜保存服务器、备用服务器等各项文档及系统重要资料。

七、“第三方”访问管理规定 1．“第三方”定义

“第三方”为除医疗机构内与“网络系统”相关的操作、管理和咨询人员以外的所有人员，即包括医疗机构外的系统开发供应商、交流访问人员、咨询人员、病人及其家属以及医疗机构内与“网络系统”无关的人员。

2．系统定义

用于信息化建设的所有网络布线、网络设备、计算机设备、计算机外围设备、数据库以及在系统上运行 的所有数据和程序。其中包括医院管理信息系统（HMIS）、医学影像系统（PACS）、办公自动化系统（OA）等。

3．实体访问的规定

所指的实体为中心机房、信息科以及计算机设备专用场所或柜子，同时包括所有系统操作终端所在部门或房间，这些场所必须建设为可封闭场所（即有门及门锁），并挂牌告示，钥匙由专人保管并记录在案。明确在非工作时间这些场所为保安巡视点。

“第三方”在工作时间未经允许不得进入上述场所；如进入必须由医疗机构内相关人员全程陪同，不允许“第三方”人员单独滞留。“第三方”如在滞留期间未经允许不得查看、使用场所内任何设施或文档。在非工作时间原则上不允许“第三方”进入，如确有需要则必须通知总值班由相关人员全程陪同并记录在案。

4．逻辑访问的规定

“第三方”原则上不允许操作、访问“网络系统”，如确有需要则必须在相关人员的全程陪同下使用系统的最低权限用户（如guest）进入系统进行所允许的操作。如果无最低权限用户而使用了其他用户进入系统，在“第三方”离开后必须立即更改密码。

“第三方”在访问系统期间，未经许可不允许使用任何方法（如拷贝磁盘、刻录光盘、打印数据、手工记录等）带走任何数据和程序。

八、网络信息系统应急事故处理管理规定

在系统中建立完备的事故应急响应处理规定，包括以下几点：

1、系统用户发现系统运行可疑现象后，应立即报告本部门系统安全管理员；

2、系统安全管理员应尽可能采取相应措施保护现场，并在半小时内向应急响应小组进行报告，同时报本部门安全主管领导；

3、应急响应小组应在一小时内确定现象的性质，并采取措施，收集现场数据，避免严重安全后果的发生，同时，对于安全事故，要上报信息安全领导小组；

4、安全领导小组根据事故的性质，向相应的主管部门进行报告。

5、汇报完毕，将事故定性之后，接到上级指示，对于被破坏的系统和数据，采取可行的措施进行恢复，使之重新正常运行。

6、对安全事件进行总结，用于指导今后的应急；对于严重的安全事件，必要时申请司法程序介入。

松江区医疗机构计算机网络信息系统安全管理规定 篇2

关键词：医疗保险管理,信息系统,安全性

随着信息技术在医疗领域应用的不断发展, 医疗保险管理信息化建设越来越引起社会的广泛关注。医疗保险管理信息化是指医疗保险管理通过建立内部及外部的信息管理平台, 实现管理和运作自动化、智能化, 从而达到共享信息、降低成本、提高效率、改善服务的目的[1]。医疗保险信息系统建设所发挥的日益突出的作用, 不仅使人们对它重要性认识越来越深刻, 而且对医疗保险管理信息化建设中存在的安全问题及其完善措施进行更加深入的研究。

1 医疗保险管理信息系统

医疗保险管理信息系统是一个以现代计算机技术为手段, 综合通信技术、信息处理技术, 以电子化、分布式社会保险信息资源为基础, 以全面实现基本医疗保险的相关业务处理, 信息交换的系统化、规范化、自动化及管理决策的信息化与科学化为主要目标, 实现对医疗保险信息的协同处理和资源共享的大型系统工程。医疗保险管理信息系统是医疗保险系统中不可缺少的支持系统, 是以提高医疗保险管理效率及决策科学性为目的, 支持高层决策、中层控制、基层运作的集成化的人机系统。医疗保险管理信息系统能利用过去及现在的数据预测未来, 实测医疗保险运行过程中的各种功能情况, 利用信息控制医疗保险的运行, 以帮助医疗保险机构实现其规划的目标[2]。

具体来讲, 医疗保险计算机信息管理系统是一个涉及医保中心、参保单位、参保职工、定点医疗机构、地税部门、财政部门、银行、上下级劳动保障部门的多部门、多层次、多种业务类型 (基本医疗保险、工伤保险、生育保险、企业补充医疗保险、公务员补助保险、离休干部医疗保险、二等乙级医疗保险等) 的综合业务系统。系统的安全建设对于深化社会保险制度改革, 保障参保职工的权益, 保持社会稳定, 树立政府形象都具有十分重要的影响。

2 医疗保险管理信息系统运行中的不安全因素

医疗保险管理系统一旦投入运行, 系统安全问题就成为系统能否持续正常运行的关键。作为一个联机事务系统, 要求能够及时、高效、准确地处理数据和信息, 防止系统网络本身及其采集、加工、存储、传输的信息数据被故意或无意地泄露、更改或破坏、从而有效保障信息的可用性、机密性和完整性。引起医疗保险管理信息系统不安全, 即引起系统网络本身和系统的数据信息不安全的因素主要有以下两个方面。

2.1 系统信息网络自身的脆弱性

系统信息网络自身的脆弱性主要包括: (1) 在信息输入、处理、传输、存储、输出过程中存在的信息易被篡改、伪造、破坏、窃取、泄露等不安全因素; (2) 信息网络自身在操作系统、数据库以及通信协议等方面存在安全漏洞和隐蔽信道等不安全因素; (3) Web服务器软件自身存在安全问题, Web应用程序安全性差; (4) 在其他方面, 如磁盘高密度存储受到损坏造成大量信息的丢失, 存储介质中的残留信息泄密, 计算机设备工作时产生的电磁辐射造成的信息泄密等。

2.2 系统信息网络安全面临的外部威协

系统信息网络安全面临的外部威胁主要来自: (1) 电磁泄露、雷击等环境安全因素构成的威胁; (2) 软硬件故障和工作人员误操作等人为或偶然事故构成的威胁; (3) 利用计算机进行盗窃、诈骗、非法访问或篡改、伪造、破坏数据等违法犯罪活动的威胁; (4) 网络黑客攻击和计算机病毒构成的威胁, 以及信息战的威胁等。

3 医疗保险管理信息系统安全运行措施

要保证医疗管理信息系统的运行安全, 需要采取一系列的安全管理和保护措施, 建立一个完备的安全管理保护体系。该体系主要包括安全组织机构、安全管理制度和安全技术体系3个方面。

3.1 安全组织机构

就是通过组建完整的信息网络安全管理组织机构, 设置专职或兼职的安全管理人员, 坚持“谁主管谁负责, 谁运行谁负责”的原则, 从而确保系统的安全性。信息安全管理组织机构的主要职责是:制定工作人员守则、安全操作规范和管理制度, 经主管领导批准后监督执行;组织进行信息网络建设和运行安全检测检查, 掌握详细的安全资料, 研究制定安全对策和措施;负责信息网络的日常安全管理工作;定期总结安全工作, 并接受公安机关公共信息网络安全监察部门的指导。

3.2 安全管理制度

就是通过建立并执行一系列安全管理保护制度, 以确保系统的安全。安全管理保护制度主要包括以下几个方面: (1) 计算机机房安全管理制度; (2) 安全管理责任人、信息审查员的任免和安全责任制度; (3) 网络安全漏洞和系统升级管理制度; (4) 操作权限管理制度; (5) 用户登记制度; (6) 信息发布的审查、登记、保存、清除和备份制度等。

3.3 安全技术体系

就是通过一系统安全保护技术措施, 以确保医疗保险管理信息系统的物理安全性、信息安全性和网络安全性。具体的安全保护技术措施主要包括以下几个方面: (1) 口令保护措施, 保护口令的一种常用方法就是口令加密; (2) 身份认证措施, 身份认证措施主要包括数字签名、身份验证和数字证明; (3) 系统重要部分的冗余或备份措施, 通常用磁盘阵列、双设备或辅助设备来实现; (4) 计算机病毒防治措施, 充分利用和正确使用杀毒软件, 定期查杀计算机病毒, 并及时升级杀毒软件; (5) 网络攻击防范及追踪措施, 可以用各类防火墙、漏洞扫描器、物理隔离器和逻辑隔离器、网页恢复产品等来完成; (6) 安全审计和预警措施, 主要用安全审计产品来实现; (7) 系统运行和用户使用日志记录保存措施, 日志记录一般需保存60天或更长时间; (8) 记录用户主叫电话号码和网络地址的措施。

4 医疗保险管理信息系统安全建设中应注意的问题

4.1 正确处理信息共享和信息安全的关系

对于医疗保险管理信息系统的运行安全性必须给予足够的重视, 当然注重信息安全并不意味着不要数据共享, 没有数据共享也就不存在信息系统。应该根据各部门的工作性质不同进行权限管理, 对需要让本部门知道或共享的数据授予查询、修改权限, 但不能查阅其他部门的资料, 数据库由分管领导和信息科共同管理, 有必要给其他单位提供时, 需要经领导审批, 这就保障了数据安全, 同时也解决了与资源共享的冲突。信息化建设不能只强调信息共享而忽视信息安全, 而是要采用科学有效的安全机制, 在保证信息安全的前提下实现最大限度的信息共享。

4.2 应急预案是规避灾难事件的有效措施

医疗保险管理信息化工程一旦付诸实施, 将会在很短的时间内替代手工作业, 人们在熟悉计算机操作的同时, 也将会逐渐忘却传统操作模式。以往需要大脑记忆的东西, 现在全部由计算机代劳。在此情况下, 一旦系统发生故障且在短时间内难以恢复, 将会严重影响正常的工作秩序。为此应该制定严格的应急预案, 根据故障发生的原因和性质不同分为3类:一类故障属于全部网络瘫痪, 短时间内难以恢复, 这就需要组织协调, 各部门启动手工操作, 联系工程技术人员尽快进行抢修;二类故障属于单个工作站不能联网、计算机故障等, 此类故障只需信息部门派技术员维护就可避免;三类故障属于上机操作人员人为因素造成, 只需对个人进行培训即可解决。应急预案制定后应在全部范围内进行相关预演, 有了周全的准备, 系统出现故障时就可从容应对, 不至于造成工作秩序的混乱。

5 结语

医疗管理信息系统的安全建设任重而道远, 只有对医疗保险管理信息化安全建设进行有效组织及管理, 严格抓好信息化建设质量, 才能保证医疗保险业务活动正常进行, 从而提高医疗保险管理工作效率及决策的科学性, 提高整体医疗保险管理水平。

参考文献

[1]田田, 宋睿妍.医疗保险的信息化管理[J].经济技术协作信息, 2010 (33) :8.

松江区医疗机构计算机网络信息系统安全管理规定 篇3

关键词：医院信息系统网络；管理；安全维护

中图分类号：TP309.2 文献标识码：A文章编号：1007-9599 (2011) 15-0000-01

Analysis of Hospital Information System Network Management and Security Maintenance

Sun Luwan

(Anhui Fuyang Chinese Medicine Hospital,Fuyang236025,China)

Abstract:The current computer network technology in the ever-changing medical industry applications,but the computer network security situation is also worsening.The importance of hospital information system network for the normal operation of the medical work is self-evident that only by establishing a sound safety management and safety maintenance system,hospital information system to ensure the safe operation of the network.

Keywords:Hospital information system network;Management;Security maintenance

一、医院信息系统网络概述

（一）医院信息系统网络的主要功能。医院信息系统网络是为医院各部门提供其在医疗过程中的所有信息，并对信息进行收集、存贮、处理、提取和通讯等一系列的工作，以满足所有授权用户对各种信息的种种需求。它是集门诊管理、住院管理、医技管理、职能科室管理等各部门通过计算机网络于一體的先进管理模式，可以提高医院信息的利用率，保证医院运行的整体有效性，同时为医院的管理、医疗、科研、社保、医保、司法等提供完整、高效且实用的定量化依据。

（二）加强医院信息系统网络安全的必要性。1.医院信息系统网络的安全漏洞。医院信息系统主要由计算机和网络组成，存在天然的安全隐患。在系统体系、安全模型、安全问题判断和安全管理环节等多个方面，医院信息系统网络都可能存在安全隐患。对整个医院信息系统网络来说，信息系统的开放性与安全保密性要两者兼得，但两者之间又存在着很多的制约。2.计算机工作人员的素质。计算机工作人员的业务水平参差不齐，也使得医院信息系统的安全性问题日益突出。3.其他各种因素致使医院信息系统存在安全隐患。除了以上因素，医院信息系统的安全性还面临包括诈骗、人为破坏、火灾、水灾、雷电等各种因素的威胁，另外计算机病毒、服务器非法入侵、系统信息被盗等信息安全隐患也越来越普遍，其危害也是越来越大。

二、医院信息系统网络安全维护的主要技术

（一）防火墙技术。防火墙技术是“一种用来加强网络之间访问控制，防止外部网络用户以非法手段通过外部网络进入内部网络，访问内部网络资源，保护内部网络操作环境的特殊网络技术。”

（二）加密技术。信息交换加密技术分为两类：即对称加密和非对称加密，具体如下所述：在对称加密技术中，通常是用的一把钥匙开把锁，对信息的加密和解密都使用相同的密钥。这样有利于简化加密处理过程，信息交换双方都不必彼此研究和交换专用的加密算法，这样更省心。在非对称加密体系中，密钥被分解为一对（即公开密钥和私有密钥）。这对密钥中任何一把都可以作为公开密钥（加密密钥）通过非保密方式向他人公开，而另一把作为私有密钥（解密密钥）加以保存。

（三）安全隔离。网络的安全威胁和风险主要存在于物理层、协议层和应用层三个方面。从实际操作层面的安全风险来看，一般情况下物理层的攻击较少，网络层的攻击较多，而应用层的攻击是最多的，复杂多样，且难以防范。

（四）身份验证。系统一般给每个用户提供唯一的用户标识符，而且提供一种验证手段，来验证登录的用户是不是真正拥有该用户标识符的合法用户。

三、加强医院信息系统网络管理和安全维护的对策

加强医院信息系统网络管理主要从硬件、软件、服务器、网络用户等几个方面入手。

（一）硬件的安全管理。1.选择高品质的网络设备产品。网络设备一般会长时间不间断地运行，所以对于网络设备的选择非常重要。2.服务器采用双机热备的方式，主服务器出现问题，次服务器随即接管所有工作。3.计算机网络的正常运行是医院信息系统的基本条件，所以对于计算机网络设备的维护就显得至关重要。

（二）软件的安全。1.操作系统与数据库系统的安全。对于操作系统和数据库系统的选择，应尽量选择正版，其安全漏洞比较少，并且应经常更新漏洞补丁。2.应用程序的安全。医院信息系统基本都外包给私人企业单位，这就使得医院的大量业务数据掌控于在外部不可控的专业人员手中。因此，医院建设信息系统伊始，就一定要选择那些技术力量雄厚、信誉良好的公司的产品，以保证数据安全和享有良好的后期服务。3.病毒防治。如今的计算机病毒种类繁多、变异和传播速度快、隐蔽性强、危害大且多样化。为保证信息系统的安全，应采取硬件和软件相结合的病毒防治方法，经常更新安全补丁和病毒库。对于应用终端的病毒防治，医院应对所有计算机安装网络杀毒软件，运用网络进行适时监控，并有专人负责对网络的运行情况进行观察登记。

（三）服务器的安全维护。1.服务器。服务器在医院信息系统安全运行中起着主导的关键作用。医院应对服务器进行定期或不定期的内存监控、磁盘空间监控、安全访问监控、计算机病毒检查等工作。2.数据备份与恢复。服务器崩溃和数据的恢复是系统安全运行中必须考虑到的一个重要问题，硬件备份是从系统崩溃中恢复的最有效手段。

（四）网络用户的安全管理。1.建立医院信息系统网络安全管理制度。建立信息系统安全管理制度等相关规章制度，规范管理，明确职责。2.网络用户的安全管理。岗前培训，使用户熟练操作规程，加强网络管理教育，增强安全意识。设定用户访问权限，不能访问未经授权的数据。医院信息系统的应用已逐渐成为医院管理现代化的重要标志，系统运行状况直接体现医院管理现代化水平与质量，医院信息系统正常运行的关键在于数据的安全及完整，而医院数据安全的关键是减少故障的发生，并对数据进行备份。实践的经验告诉我们，没有绝对安全的信息系统，只有充分利用先进技术，加强管理，才能确保医院信息系统网络的安全运行。

参考文献：

[1]冯佩伟.浅谈医院信息系统的日常维护及网络安全问题[J].现代医药卫生,2008,22

松江区医疗机构计算机网络信息系统安全管理规定 篇4

发布日期：2011-3-4 7:47:47 【该信息共被浏览了：293 次】

第一章总 则

第一条 为加强教育系统计算机信息网络安全的保护与管理，维护社会稳定和学校正常教学秩序，根据《中华人民共和国计算机信息系统安全保护条例》、《中华人民共和国计算机信息网络国际联网管理暂行规定》、《计算机信息网络国际联网安全保护管理办法》等有关法律法规，结合我市教育系统实际，制定本办法。

第二条 本办法所称的计算机信息网络、系统，是指我市教育系统内单位、个人计算机及其相关的配套设备、设施构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统和运行体系。计算机信息网络的安全包括计算机信息系统及互联网络的运行安全和信息内容的安全。

第三条 常州市教育系统内的计算机信息网络安全保护与互联网安全管理活动，适用本办法。常州市教育系统内建设、运营、使用计算机信息网络的单位和个人，均须遵守本办法。第四条 各单位计算机信息网络安全坚持保护与管理并重和“谁运行、谁负责，谁管理、谁负责”的原则。第二章 机构职责

第五条 常州市教育局成立计算机信息网络安全管理领导小组（以下简称“领导小组”），全面负责本市教育系统计算机信息网络安全。其主要职责是：

（一）统一规划本地教育系统计算机信息网络安全管理工作，落实各级管理责任，协调有关事务。

（二）制定实施计算机信息网络安全管理制度、措施、工作方案以及安全教育、培训工作计划。

（三）对辖市（区）计算机信息网络安全管理工作进行监督、检查和指导。

（四）负责与上级计算机信息网络安全管理部门的工作联系，接受上级的安全检查。

第六条 各辖市（区）教育行政部门应相应成立计算机信息网络安全管理领导小组，全面负责本区域教育系统计算机信息网络安全。

第七条 各单位应在有关国家安全、保密、思想政治等领导机构指导下负责本单位计算机信息网络的安全保护管理工作，建立计算机信息网络安全管理机构，落实责任部门，配备相应的安全管理人员和专业技术人员，具体负责本单位计算机信息网络安全管理工作。安全保护责任部门负责人和安全管理人员名单、联系电话应在计算机信息网络系统投入运行后的30日内报当地公安机关网络安全管理部门和教育网络信息安全主管部门备案,机构、人员有变动的，应及时补报。

第三章 安全保护和管理

第八条 教育系统计算机信息系统运营、使用者在建网时必须考虑网络安全系统的配置。在选用网络安全产品时，应选购通过公安部安全产品质量监督检验中心检测、并获得公安部安全监察局颁发许可证的产品。同时安装正版的防黄、防毒软件。

第九条 教育系统计算机信息系统运营、使用者，包括各单位网站、局域网、校园网等应实行信息安全等级保护管理，建立计算机信息网络安全状况日常检测工作制度。基础信息网络和重要信息系统的运营、使用者应按照国家有关技术规范和标准，对信息系统的安全进行等级备案，有必要的应委托具有资质的评测机构进行信息安全等级评测。评测结果不合格的，运营、使用者应当按照相应的安全等级保护要求进行整改。

第十条 各单位计算机信息系统运营、使用者应建立并落实以下安全保护制度：

（一）信息网络安全教育和培训制度；

（二）信息发布审核、登记、保存、清除和备份制度；

（三）信息网络安全应急处置制度；

（四）违法案件报告和协助查处制度；

（五）提供FTP服务、具有交互性栏目、开设论坛和留言版等的网站单位，须落实实名注册、先审后发、及时处理有害信息和24小时巡查制度，并在技术上保证栏目具有身份地址识别和记录功能；

（六）访问记录保存制度。网站、服务器须具有日志记录功能，用户访问记录至少保存2个月；

（七）上网人员登记制度。主要登记项目有：机器号、姓名、地址、证件类型、证件号、上网起止时间等；

（八）工作交接制度。网络与信息工作人员调离岗位时应将有关材料、档案、软件移交给其他工作人员，调离后对需要保密的内容要严格保密。接替人员应对系统进行重新调整，重新设置用户名、密码。

（九）及时汇报制度。发现有本办法第十三条、第十四条、第十五条所列情形之一的，应立即切断与网络联系渠道，保留有关原始记录，并及时向当地公安机关网络安全管理部门和教育网络信息安全主管部门报告。

第十一条 严格实行登记备案制度。各单位计算机信息系统运营、使用者须将本单位计算机信息系统接入互联网情况向有关部门进行登记备案，未经主管部门批准，禁止擅自利用教育系统网络资源为其他单位或个人提供互联网接入服务。涉及国家秘密的计算机信息系统或计算机不得直接或间接联入校园网、国际互联网或其他公共信息网。确实需要联网的一定要采取严密的技术防范措施，确保信息安全。

第十二条 各单位计算机信息系统运营、使用者应当落实以下安全保护措施：

（一）网站、网页程序代码防漏洞、防篡改等保护措施；

（二）系统重要数据备份、容灾恢复措施；

（三）计算机病毒和破坏性程序的防治措施；

（四）系统运行和用户使用日志备份并保存2个月以上的措施；

（五）记录、监测网络运行状态、变化和各种网络安全事件的安全审查措施；

（六）网络安全隔离以及防范网络入侵、攻击破坏等危害网络安全的措施；

（七）密钥、密码安全管理措施；

（八）本单位网络注册域名（含中文域名）有效期保护措施；

（九）法律、法规和相关规定应当落实的其他安全保护技术措施。

第十三条 用户的通信自由和通信秘密受法律保护。任何单位和个人不得违反法律规定，利用校园网侵犯用户的通信自由和通信秘密。任何单位和个人不得利用计算机信息网络危害国家安全、泄露国家秘密，不得侵犯国家、社会、学校、集体的利益和公民的合法权益，不得从事违法犯罪活动。

第十四条 任何单位和个人不得利用计算机信息网络制作、复制、查阅和传播下列信息：

（一）煽动抗拒、破坏宪法和法律、行政法规实施的言论；

（二）煽动颠覆国家政权、推翻社会主义制度的言论；

（三）煽动分裂国家、破坏国家统一的言论；

（四）煽动民族仇恨、民族歧视，破坏民族团结的言论；

（五）捏造或者歪曲事实，散布谣言，扰乱社会秩序；

（六）宣扬封建迷信、淫秽、色情、赌博、暴力、凶杀、恐怖，教唆犯罪；

（七）公然侮辱他人或者捏造事实诽谤他人；

（八）损害教育系统形象和利益的言行；

（九）其他违反宪法、法律、行政法规的言行。

第十五条 任何单位和个人不得从事下列危害计算机信息网络安全的活动：

（一）未经允许，对计算机信息网络功能进行删除、修改或者增加；

（二）未经允许，对计算机信息网络中存储、处理或者传输的数据和应用程序进行删除、修改或者增加；

（三）未经允许，私自修改本单位工作站上的IP地址，开设二级代理、WEB、DNS、DHCP等服务；

（四）未经允许，擅自在本单位网络上设置网站、上传信息；

（五）未经允许，擅自使用他人计算机或利用他人账号制作、复制、传播信息；

（六）故意制作、传播计算机病毒等破坏性程序；

（七）以端口扫描方式，破坏网络正常运行；

（八）链接含有色情、反动言论、恶意代码等不良信息网站；

（九）其他危害计算机信息网络安全的行为。第四章 安全监督

第十六条 各单位网络信息安全主管部门应掌握用户的入网情况，定期组织网络安全检查，对所发现的问题，应当提出改进意见，并存档备查。对发现问题没有整改的单位予以通报批评，情节严重的，报公安机关处理。

第十七条 各单位网络信息内容安全监控、巡查工作由本单位网络信息安全主管部门负责。各单位网络信息安全领导机构应负责本单位网络信息的技术安全监查，并从技术上保证对重要信息、证据的保存、备份，对不良信息的及时删除与处理。

第十八条 各单位计算机信息系统的运营、使用者应当制定重大突发事件应急处置预案。发生重大突发事件时，运营、使用者应当按照应急处置预案的要求采取相应的处置措施，并服从公安机关和国家指定的专门部门的调度。

第十九条 各单位计算机信息系统的运营、使用者应当接受公安机关、国家指定的专门部门的安全监督、检查、指导，按照国家有关规定如实提供有关计算机信息系统安全保护的信息、资料及数据文件。对信息系统中发生的案件和重大安全事故，计算机信息系统的运营、使用者应当在二十四小时内报告所在地公安机关，并保留有关原始记录。

第五章 附则

松江区医疗机构计算机网络信息系统安全管理规定 篇5

第二章管理职责

第四条集团公司办公室负责集团公司计算机信息系统的保密管理工作。主要职责是：

（一）负责全公司计算机信息系统保密管理的指导、监督、检查和考核。

（二）协助信息管理部门，负责查处造成计算机信息系统故障、损坏、数据丢失或涉密信息泄露事件。

（三）负责集团公司本部计算机信息系统保密设备的审批、备案。

第五条 各单位保密主管领导对所属单位和人员在使用计算机信息系统过程中的保密工作负全责，分管领导负具体组织领导责任。

（一）要定期对相关人员进行计算机信息系统安全保密的法制教育和防范意识教育，加强防范技能培训。组织安全保密检查，对存在的问题及时采取整改措施。协助查处计算机信息系统的泄密隐患及事件。

（二）各单位、各部门要明确计算机信息系统安全保密管理员，并进行日常保密管理工作。

（三）各单位信息网络管理部门要确保计算机信息系统运行中的保密安全，发现重大隐患要及时整改，并将情况及时报单位保密办。

松江区医疗机构计算机网络信息系统安全管理规定 篇6

第一章 总则

第一条 为了加强对我厅劳动保障计算机信息系统数据的安全管理，确保网络数据信息的安全，根据《中华人民共和国计算机信息系统安全保护条例》、《计算机信息网络国际联网安全保护管理办法》等有关规定，结合我厅实际，制定本规定。

第二条 加强对劳动保障计算机信息系统数据安全保护工作的目的是：确保劳动和社会保障业务计算机信息系统正常运行，维护数据信息应用工作的正常开展，预防、打击利用或针对劳动保障计算机信息系统数据进行违法犯罪活动的行为，提高我厅劳动保障计算机信息系统数据整体安全水平，净化网络信息环境。

第三条 本规定中所指计算机信息系统数据是指各常规工作中所建立和存储在电子设备和计算机内的业务、财务、人事等电子数据。

第四条 劳动保障系统内计算机信息系统数据安全保护工作应按照“谁主管、谁负责，预防为主、综合治理，制度防范与技术防范相结合”的原则，逐级建立数据安全管理领导问责制和岗位责任制，加强制度建设，逐步实现数据安全管理的科学化、规范化。

第五条 劳动保障计算机信息系统内部数据实行安全等级保护，计算机信息系统数据的建设和存储应符合相应的安全等级标准，使用的安全产品必须具有《计算机信息系统安全专用产品销售许可证》，其等级应与计算机信息系统数据确定的安全等级相适应。第二章组织管理

第六条 厅长是全厅计算机信息系统数据安全第一责任人。厅信息化工作领导小组为全厅计算机信息系统安全工作领导机构，全面负责全厅计算机信息系统数据安全管理工作，建立计算机信息系统数据安全管理工作小组（以下简称“数据安全管理小组”）。

第七条 数据安全管理小组负责确定本厅计算机信息系统数据安全等级，并组织有关人员制定、评审本厅计算机信息系统数据安全策略、安全标准、系统实施方案、安全工作流程和各项规章制度。

第八条 数据安全管理小组依据本规定，定期对厅属各处室及事业单位计算机信息系统数据安全情况进行检查、考核。对于存在计算机信息系统数据安全隐患的单位，协助提出整改方案，限期整改。因不及时整改而发生重大案件和事故的，由该单位的有关责任人承担责任；对违反国家相关法律法规的，由公安机关依法进行处罚，构成犯罪的，由司法机关依法追究刑事责任。

第九条 厅属各处室及事业单位要设立专（兼）职计算机信息系统数据安全管理人员。数据安全管理人职责是按照安全管理工作流程和规范，执行各项数据安全管理操作任务，保障本部门各项业务数据的安全。

第十条 数据安全管理小组负责组织工作人员的计算机安全教育培训，设立有关计算机安全课程，学习计算机安全管理法律、法规，提高全体工作人员的法律意识。第三章计算机信息系统安全管理

第十一条 建立计算机信息系统安全登记备案制度。厅属各处室及事业单位的计算机信息系统上线使用前，要向数据安全管理小组申请安全检查验收与系统备案登记，确定系统安全等级，指定数据安全责任人。

第十二条 对计算机信息系统建立定期风险分析和安全评估制度。由公安机关公共信息网络安全监察部门及省信息办等相关部门定期对我厅计算机信息系统进行安全检查和风险评估。对于存在问题，提出相应安全措施整改意见。所有评估检查信息要详细记录，存档备查。第十三条 计算机信息系统必须使用正版软件，并及时进行系统升级或更新补丁；计算机信息系统必须装有防毒杀毒软件，并定期进行病毒检验；与互联网相联的计算机信息系统要有防止非法入侵措施。

第十四条 计算机信息系统必须有全面、规范、严格的用户管理策略或办法。重要的计算机信息系统必须有双人互备做为系统管理员，系统管理员必须对计算机信息系统的各种服务器加设口令，严禁采用系统默认超级管理员用户命或口令；由系统管理员对用户实行集中管理，对用户按职能分组管理，设定用户访问权限，严禁跨岗位越权操作；严防非法用户或非授权用户对非授权服务、数据及文件的访问、使用和修改等。对计算机信息系统的用户身份、主机身份、事件类型等应进行安全审计，并留存审计日志，审计日志应进行妥善保存。第十五条 计算机信息系统的主要硬件设备、软件、数据等要有完整可靠的备份机制和手段，并具有在要求时间内恢复系统功能以及重要数据的能力。对重要计算机信息系统及设备要有应急处理预案，数据安全管理小组要对应急预案备案登记，并每年定期举行数据安全应急演习。

第十六条 计算机信息系统与数据库主机必须建立在正规机房，机房要在场地面积、用电环境、使用环境、消防防雷等方面符合国家有关规定。

第十七条 计算机信息系统主机或存储设备发生故障时，要尽量现场维修，系统管理员要在现场监督；确需要送出维修时，注意去掉存储部件或删除数据。

第十八条 严格计算机信息系统客户机接入管理。只有经过系统管理员批准并经过安全登记备案的计算机才能接入计算机信息系统，严禁未经批准接入外来笔记本电脑、计算机系统或其他配件。接入计算机信息系统的客户机要满足以下要求：

1、装有杀毒防毒软件；

2、与互联网或外网物理隔离；

3、只装指定的业务软件；

4、未经允许，不得接入移动存储设备；

5、除有特殊用途外，应锁定所有业务经办计算机的ＵＳＢ接口，拆除或禁用软驱、光驱。

第十九条 各类计算机信息系统的安装、升级、调试和维护由系统管理员负责。未经系统管理员许可，不得随意在计算机信息系统的客户机上安装新软件。第四章互联网安全管理第二十条 坚持“涉密计算机不上互联网，非涉密计算机不处理涉密信息”的原则。涉及国家秘密的计算机信息系统，不得直接或间接地与国际互联网或其它公共信息网络相联接，也不得与业务内网相联接，必须实行物理隔离。笔记本电脑不允许启用无线网卡，以避免泄密。第二十一条 对重要或涉密数据的存储和传输应进行加密处理。对重要或涉密数据的存储介质，应采取必要的安全保护措施，并建立相应的登记管理制度。对保密信息不得遗失、泄露。未经同意，涉密计算机不得使用Ｕ盘、移动硬盘、刻录机等相关设备。

第二十二条 对废弃的涉密数据要严格按照保密要求进行清零覆盖处理。第二十三条 各业务经办计算机信息系统中的计算机均不得接入国际互联网，不得做与业务处理无关的工作。除有特殊用途外，应锁定所有业务经办计算机的ＵＳＢ接口，拆除或禁用软驱、光驱。

第二十四条 需接入互联网的计算机按正常程序申请，操作人员接受网络安全管理培训后，由厅信息中心分配相应的上网权限。

第二十五条 杜绝以各种形式违规外联互联网，包括利用办公电话拔号上网、无线上网等，维护厅网络安全防护体系。

第二十六条 在办公范围内不允许启用笔记本电脑自带的无线网卡。以避免泄密以及对网络系统造成电磁干扰。

第二十七条 接入互联网的计算机应具备必要的防黑客攻击、防病毒以及过滤有害信息等安全技术措施。对计算机、服务器账户均设置密码，各种账户和密码严格保密。根据信息的安全规定和权限，确定使用人员的存取、使用权限。通过网络传送的程序或信息，必须经过安全检测，方可使用。各类操作人员必须具有病毒防范意识，做好计算机病毒的预防、检测、清除工作，及时升级防病毒系统，定期进行病毒的查杀，发现病毒要及时处理，并做好记录。防止各类针对网络的攻击，保证数据安全。

第二十八条 建立互联网信息发布的审核和登记制度，坚持“先审后贴”“谁上网谁负责”的原则，凡向国际互联网的站点提供或发布信息，必须经过发布部门的保密审查批准，并由专职部门负责统一发布，同时做好审核登记记录。未经允可，任何人员不得将数据信息以任何形式发布到互联网上或对外提供，防止数据泄密。

第二十九条 提供电子邮件服务的计算机应具备有害信息和垃圾邮件过滤功能，相应技术参数应符合国家相关标准。

第三十条 在国际互联网上提供ＷＷＷ、ＦＴＰ、ＩＤＣ、邮件、交互式栏目、ＳＰ等服务的，应当报当地公安机关公共信息网络安全监察部门备案。

第三十一条 建立政务外网信息的监视、保存和备份制度，要有专人对网站、交互式栏目发布的信息进行监视，发现有害信息备份后立即删除，并报告当地公安机关公共信息安全监察部门。

第三十二条 任何单位和个人不得利用国际互联网危害国家安全、泄露国家秘密，不得侵犯国家的、社会的、集体的利益和公民的合法权益，不得从事违法犯罪活动。第五章数据维护及备份管理

第三十三条 建立计算机信息系统管理员制度。重要的计算机信息应用系统要实行系统管理员双人互备。系统管理员承担系统的运行维护和数据的安全管理工作。

第三十四条 各计算机信息应用系统本着“谁应用谁负责”的原则，由系统管理应用单位制定数据安全管理方案，配备专职系统管理员，并将数据安全管理方案、数据备份策略、管理流程和人员组织情况向厅数据安全管理小组登记备案。

第三十五条 系统管理员要严格遵守数据备份策略，及时做好数据的备份工作。严格数据库管理员口令管理，要定期更换数据库管理员口令。在系统升级或数据有较大变动情况时必

须备份并长期异地保存；系统数据每天应作数据库的增量备份，每周应作数据库的完全备份；各类统计报表、各类外部电子信息数据应每月备份；重要数据读入系统后应及时备份。第三十六条 数据备份采用在线存储与脱机介质两种形式进行双备份。一方面要将数据备份到非本机的存储设备上；另一方面备份到脱机介质上，脱机备份要实行本地与异地双存储。数据备份后要认真填写数据管理日志。

第三十七条 重要数据必须定期、完整、真实、准确地备份到不可更改的介质上，并要求做到集中和异地双备份保存。对长期保存的数据光盘等备份介质，应每年进行一次以上检查，以防止存储介质损坏造成损失。

第三十八条 备份数据资料保管地点应有防火、防潮、防尘、防磁、防盗等安全设施。废弃的数据信息存储介质要严格按照保密要求进行粉碎处理。

第三十九条 系统出现故障和遭到破坏时，由系统管理员负责完成数据恢复工作，系统管理员必须保证备份数据能够及时、准确、完整地恢复。确因特殊原因不能恢复的，应及时向分管领导汇报，妥善处理。数据恢复后要认真填写数据管理日志。

第四十条 对数据的各项操作实行日志管理，严格监控操作过程，对发现的数据安全问题，要及时处理和上报。

第四十一条 未经批准，系统管理员不得直接对后台数据库进行数据更改操作，确需后台操作的，必须上报分管领导批准，并事先对数据库进行备份后进行，同时，详细记录操作过程及数据更改情况存档备查。第六章人员管理

第四十二条 建立计算机信息系统安全管理人员的录用、考核制度，不能胜任工作的人员必须及时调离。涉密人员应有相当强的保密意识，自觉遵守涉密信息不上网的规定，严禁涉密信息的有意或无意泄漏。

第四十三条 计算机管理人员调离时，必须按规定移交全部技术资料和有关数据，设有口令密钥的要及时进行更换。涉及重要业务的人员调离时，应确认对业务不会造成危害后方可调离。

第四十四条 操作人员应严格遵守软件的操作规范，离开操作岗位时，必须退出应用软件操作界面或锁定计算机，以防他人进行未经授权的操作。

第四十五条 操作人员必须遵守有关计算机管理的安全保密法律法规，各类应用系统的使用必须实行用户身份验证，对自己的帐号负责。操作人员应注意自己用户名和口令的保密，并定期或不定期修改口令。如出现他人借用或盗用本人帐号引起不良后果的，要按规定追究有关责任人的责任。

第四十六条 发生重大计算机事故，应当立即报告计算机信息系统数据安全工作领导小组和专职部门。

第四十七条 发现计算机违法、犯罪案件，须立即向公安机关公共信息网络安全监察部门报案。第七章档案管理

第四十八条 计算机介质与技术资料等应设专柜存放。对新购和上级单位下发的软件、资料等要分别记入“介质登记册”和“技术资料登记册”。纳入管理的资料包括系统软件、工具软件、应用软件、备份数据、技术资料等。其中技术资料包括各个主机配置情况、系统参数、网络设备配置参数、网络物理连接图、逻辑连接图、系统备份方案、系统故障应急操作手册等和其它认为有必要纳入管理的各类技术资料；密码包括主机密码、数据库管理员密码、路由器密码、应用软件超级用户密码以及计算机介质等。

松江区医疗机构计算机网络信息系统安全管理规定 篇7

关键词：计算机网络,信息系统,安全管理

随着网络技术在全球迅猛发展, 网络信息化在给人们带来种种的方便同时, 我们也正受到日益严重的来自网络的安全威胁。我们要以影响计算机网络安全的主要因素为突破口, 重点分析防范各种不利于计算机网络正常运行的措施, 从而全面了解影响计算机网络安全的情况。

1 影响计算机网络信息系统安全的因素

1.1 自然环境导致的安全问题

物理安全是保护计算机网络设备、设施等。避免遭到地震、水灾、火灾等环境事故以及人为操作失误或错误及各种计算机犯罪行为导致的破坏。例如:电源是计算机系统正常工作的重要因素。机房内的计算机系统都应接插在具有保护装置的不间断电源设备上, 防止电源中断、电压瞬变、冲击等异常状况。

1.2 网络软件的漏洞

系统漏洞是指系统软、硬件存在安全方面的脆弱性, 系统漏洞的存在导致非法用户入侵系统或未经授权获得访问权限, 造成信息篡改和泄露、拒绝服务或系统崩溃等问题。网络漏洞会影响到很大范围的软硬件设备, 包括操作系统本身及其支撑软件, 网络客户和服务器软件, 网络路由器和安全防火墙等。

换而言之, 在这些不同的软硬件设备中都可能存在不同的安全漏洞问题。在不同种类的软、硬件设备, 同种设备的不同版本之间, 由不同设备构成的不同系统之间, 以及同种系统在不同的设置条件下, 都会存在各自不同的安全漏洞问题。

这些漏洞和缺陷恰恰是黑客进行攻击的首选目标, 曾经出现过的黑客攻入网络内部的事件, 这些事件的大部分就是因为安全措施不完善所招致的苦果。

1.3 人为原因导致的安全问题

人为的无意失误对网络计算机系统造成的威胁, 包括:操作员安全配置不当造成的安全漏洞;不合理地设定资源访问控制;用户将自己的账号随意转借他人或与别人共享等等。此外还有人为地恶意攻击, 这是计算机网络所面临的最大威胁, 它以各种方式有选择地破坏信息的有效性和完整性, 并对其进行更改使它失效, 或者故意添加一些有利于自己的信息, 起到信息误导的作用。

1.4 计算机病毒

在网络环境下, 计算机病毒具有不可估量的威胁性和破坏力。那可能给社会造成灾难性的后果。计算机病毒将自己附在其他程序上, 在这些程序运行时进人到系统中进行扩散。计算机感染上病毒后, 轻则使系统上作效率下降, 重则造成系统死机或毁坏, 使部分文件或全部数据丢失, 甚至造成计算机主板等部件的损坏。

2 维护计算机网络信息系统安全的技术

2.1 网络加密技术

网络信息加密的目的是保护网内的数据、文件、口令和控制信息, 保护网上传输的数据。网络加密技术是最常用的安全保密手段, 利用技术手段把重要的数据变为乱码 (加密) 传送, 到达目的地后再用相同或不同的手段还原。

加密技术包括两个元素:算法和密钥。算法是将普通的信息或者可以理解的信息与一串数字 (密钥) 结合, 产生不可理解的密文的步骤, 密钥是用来对数据进行编码和解密的一种算法。

在安全保密中, 可通过适当的密钥加密技术和管理机制来保证网络的信息通信安全。网络加密技术提供的安全功能或服务主要包括:访问控制;无连接完整性;数据起源认证;抗重放攻击;机密性;有限的数据流机密性。

2.2 防火墙技术

防火墙是指设置在不同网络或网络安全域之间的一系列部件的组合。防火墙是一种网络安全保障手段, 是网络通信时执行的一种访问控制尺度, 其主要目标就是通过控制入、出一个网络的权限, 并迫使所有的连接都经过这样的检查, 防止一个需要保护的网络遭外界因素的干扰和破坏。

防火墙的安全性问题来自两个方面:其一是防火墙本身的设计是否合理, 其二是使用不当, 防火墙的许多配置需要系统管理员手工修改, 如果系统管理员对防火墙不十分熟悉, 就有可能在配置过程中遗留大量的安全漏洞。

防火墙是网络安全的屏障:一个防火墙 (作为阻塞点、控制点) 能极大地提高一个内部网络的安全性, 并通过过滤不安全的服务而降低风险。由于只有经过精心选择的应用协议才能通过防火墙, 所以网络环境变得更安全。

2.3 操作系统安全内核技术

操作系统安全加固技术, 是一项利用安全内核来提升操作系统安全水平的技术, 其核心是在操作系统的核心层重构操作系统的权限访问模型, 实现真正的强制访问控制。操作系统内核中可能引起安全性问题的部分从内核中剔除出去, 从而使系统更安全。

在具体的功能应用上, 主要是从以下三个方面来实现系统内核加固技术:第一、强制访问控制MAC, 分为两部分, 一是基于用户对文件的访问控制, 二是基于进程对文件的访问控制;第二、进程保护机制, 在进程操作访问界面上, 判断内存中的进程及其用户的标记, 来判断是否有权限让该用户终止该进程;第三、三权分立管理, 将系统的超级管理员分成安全管理员、审计管理员、系统管理员三个部分, 安全管理员负责系统权限的分配, 审计管理员负责安全事件的统计分析, 为其他管理员制定安全策略提供依据;系统管理员则通过被授予的权限进行日常操作, 如安装指定软件、网站建设等。

2.4 入侵检测技术

入侵检测系统 (Intrusion Detection System, 简称IDS) 是由硬件和软件组成的, 用来检测系统或者网络以发现可能的入侵或攻击的系统。入侵检测系统通过定时的检测, 检查特定的攻击模式、系统配置、系统漏洞、存在缺陷的程序版本以及系统或用户的行为模式, 监视与安全有关的活动。

根据检测对象的不同, 入侵检测系统可分为主机型和网络型。基于主机的监测。主机型入侵检测系统就是以系统日志、应用程序日志等作为数据源, 当然也可以通过其他手段 (如监督系统调用) 从所在的主机收集信息进行分析。主机型入侵检测系统保护的一般是所在的系统。这种系统经常运行在被监测的系统之上, 用以监测系统上正在运行的进程是否合法。

3 计算机网络信息系统安全的管理策略

3.1 建立安全小组

安全策略的创建往往需要一个团队的协同工作, 以保证所制定的策略是全面的、切合实际的、能够有效实施的、性能优良的。把来自公司不同部门的人组成一个小组或团队的另一个理由是当团队中的某些成员意见分歧时, 能够进行充分的讨论, 以得到一个较好的解决问题的办法。这样的效果远远好于从营销、销售或开发方面得到的信息更完善。

安全计划小组应该包含那些来自企业不同部门不同专业的人们, IT小组成员, 系统和计算机管理员, 都应出现在团队当中。从不同部门来的有责任心有代表性的人之间应该保持联系方面和协商渠道的通畅。

3.2 网络安全管理策略

安全管理队伍的建设。在计算机网络系统中, 绝对的安全是不存在的, 制定健全的安全管理体制是计算机网络安全的重要保证, 只有通过网络管理人员与使用人员的共同努力, 运用一切可以使用的工具和技术, 尽一切可能去控制、减小一切非法的行为, 尽可能地把不安全的因素降到最低。

同时, 要不断地加强计算机信息网络的安全规范化管理力度, 大力加强安全技术建设, 强化使用人员和管理人员的安全防范意识。网络内使用的IP地址作为一种资源以前一直为某些管理人员所忽略, 为了更好地进行安全管理工作, 应该对本网内的IP地址资源统一管理、统一分配。

对于盗用IP资源的用户必须依据管理制度严肃处理。只有共同努力, 才能使计算机网络的安全可靠得到保障, 从而使广大网络用户的利益得到保障。在网络安全中, 除了采用上述技术措施之外, 加强网络的安全管理, 制定有关规章制度, 对于确保网络的安全、可靠地运行, 将起到十分有效的作用。

参考文献

[1]李淑芳.网络安全浅析[J].维普资讯, 2006 (2) .

[2]袁家政.计算机网络安全与应用技术[M].北京:清华大学出版社, 2002.

[3]梁德华, 万欢.浅析常见网络威胁及其防范方法[J].成才之路, 2010 (3) .

松江区医疗机构计算机网络信息系统安全管理规定 篇8

【关键词】医院信息系统 网络建设 信息安全建设

医院信息系统简称HIS，是现代医院建设中不可或缺的一部分，是专门处理、维护和存储医院信息的数据库管理系统，可以为医院信息共享和管理层决策提供重要数据支持。

一、医院信息系统的网络建设

医院信息的网络系统建设对医院来说尤为重要，它关系到医院网络的发展和由此产生的效益。一个好的信息管理系统需要其功能完善、可靠性高、安全性高、扩展能力强，且能够灵活升级[1]。

（一）信息系统设计原则

1.实用性和创新性。在信息系统的设计中要注重实用性，通过与多种医用设备互联来满足各种应用要求，结合实际需要，采用网络先进技术，以满足大批量数据的稳定可靠传输，并增强其可扩展性。除此之外，还要提高网络的效率和可靠性，提供不同种类的接口，支持各种网络协议。

2.安全性。信息系统除了注重信息的准确性和共享性外，还很注重信息的安全性。在网络系统设计中要考虑到应用部门的信息安全问题，做到外网和内网物理隔离。对应隔离的地方要进行充分隔离，有选择的实现共享和相互访问控制，也可使用入侵检测包和防火墙等技术过滤病毒、防止入侵和无效访问等。

3.可靠性和稳定性。为保证网络结构的可靠性，在物理设备的连接上应该尽可能使用双向连接，对备用服务功能和备用线路做好充足考虑，以保障物理连接的可靠性。网络设备应有较好的容错能力，能够进行热备份，避免因故障而丢失数据。

（二）综合布线

综合布线系统是建筑物的基础通信设施，可以使数据、信息管理系统相连，并与外部通信网络连接，形成一个智能化通用平台。在网络布线设计中，要将医院实际的物理、地理情况作为首要考虑对象，科学、规范地设计合标准的布线系统[2]。

（三）网管系统

一个网管系统包括设备管理、VLAN划分和管理，以及对端口的管理。在规划时，要考虑到对多级网络的管理，能否提供可视化操作界面、浏览设备配置信息和接口使用率等问题，使用网管工作站监控整个网络系统的运行，使网络资源得到合理分配，动态配置网络的负载量，提高确定故障点的效率。

二、网络安全维护措施

网络安全是要由多个安全组件共同完成的，单一组件做不到这一点。这些组件包括：安全的应用系统、操作系统、防火墙、查杀病毒、入侵检测、网络监控、信息加密、灾难恢复、信息统计、安全扫描等。

（一） 中心机房及网络设备的安全维护

1.环境要求。对中心机房的环境要求是由其中的设备运行的环境要求所决定的，其温度需控制在20摄氏度左右，相对湿度控制在40%-70%之间，限制人员流动，保持室内无尘。

2.电源管理。对于7*24小时运行的医院网络系统，必须保证不断电，除了要做到对UPS的合理分派，保证对中心机房平稳持续供电，还要针对静电、火、雷等做好防范措施。

3.网络设备。网络的正常运行是医院网络信息系统正常工作运转的必要和基础条件，它和网络设施的良好维护是紧密相关的。要定期对交换机、路由器等设备进行检查，做到防患于未然，将预防放在补救工作之前，放在重要地位上[3]。

（二）服务器的安全维护

1.服务器冗余。服务器是网络系统的核心部分，在对网络系统进行使用和维护时，要确保服务器的高效、可靠和稳定运转。有条件的医院要建立异地机房，当主机房因损坏、故障等原因不能运转时，异地机房能接管主机房的服务，保证业务的持续不间断。信息中心机房的服务器可以采用双机热备来保障。

2. 定期检测和审核系统日志。系统日志是用来记录网络用户访问信息的，包括登录时间、使用情况和活动情况等。加强系统服务器日志的定期检测、分析和监控，可以有效确保服务器的正常运行，也能为维护人员提供维护使用的可靠数据。

3.账户和秘密的管理。账号和密码是进入到服务器系统的钥匙，对账号和密码的有效保护可以保障数据库信息的安全。如果账号和密码因系统攻击而截获或是盗取，攻击就能够进入到网络系统中，其他安全保护措施就都可能失效。

（三）工作站的安全维护

1.外接设备管理。在对工作站的维护中，要注意防止用户对数据和文件任意拷贝，防止非法安装，严格控制外来设备接入，降低病毒感染的机会。

2.权限设置。每个用户都有唯一的账号，针对用户身份设置不同级别和种类的权限，使用户只能对自己应属权限的内容进行操作，不可越权操作。

（四） 病毒防御措施

1.内外网物理隔离。医院信息系统网络与外网应进行严格物理隔离，切断病毒入侵的途径。

2.VLAN技术。VLAN即虚拟局域网的简称，使用VLAN技术，可以把物理网络分隔成若干个下层子网。可以将医院系统网络可以划分多个VLAN，这样，即使有病毒从一个端口入侵，也不会蔓延到整个网络。

3.查杀病毒软件。面对层出不穷、多种多样的计算机病毒，网络信息系统需提高警惕，使用网络版杀毒软件，及时更新病毒库，可以在一定程度上控制病毒入侵和蔓延。

（五）数据安全管理

數据安全，通常指的是数据在存储、传输过程中的安全可靠性，做好数据安全工作就是为了确保数据在网络中不会被解密、显示、复制、篡改和非法增删，从而确保网络的安全。

医院网络信息系统的安全设计和管理是一项重要而复杂的工程，在实际工作中需要高度重视。只有这样才能为医院提供安全稳定的网络信息系统，保证医院各项工作的安全开展。

参考文献：

[1] 贾鑫.基于医院信息系统的网络安全分析与设计[J].中国管理信息化，2013，24（4）25-26.

[2] 吴虎.浅谈医院信息系统中的网络安全管理[J].中国医药指南，2013，33（6）89-90.

医疗保险管理信息系统- 篇9

[摘要]

医疗保险管理信息系统涉及到医保管理部门、各定点结算点（医院、药店）、开发商，加之政策多变、业务不成熟，需求变化频繁，开发的难度和风险较大。在某市医保管理信息系统开发过程中，我作为用户方的项目负责人参与了项目的整体管理工作，我在项目整体管理中采取了针对性的措施，加强了参与各方的沟通，注重用户需求和需求的变化，合理配置项目组成员，对风险进行了及时的评估并顺利地控制了风险。通过这些办法，平衡了各方的利益，控制了项目的范围和进度，保证了项目的质量，顺利完成了这个项目。

[正文]

几年前，某市为实施城镇职工基本医疗保险，开发了一套医保管理信息系统，我作为用户方项目负责人，参与了项目管理、系统分析和编程的部分工作。

这个系统的功能包含了基金征集和支付管理、参保单位（职工）管理、定点结算点管理、参保职工就诊结算管理、IC卡管理等，目标管理人数为30万、定点结算点200个，计划投资400万元；采用C/S结构，数据集中保存在市医保中心，定点结算点与医保中心之间数据实时交换。

通过公开招标，明确了项目的范围、时间、成本和采购，因此，我把整体管理工作的重点放在了项目的质量、人力资源、沟通和风险管理管理，目的是保证实现计划的功能并按时投入运行。在工作中，我根据实际情况，采用了灵活的工作方法，取得了较好的效果。该系统在04年一次上线运行成功，目前运行情况良好。

一、加强了沟通管理。

该项目涉及到医保中心、参保单位、定点结算点、系统开发（集成）商等多个单位，从需求分析到系统设计、测试都要各方参与、协调配合，由于各方的地理位置十分分散，难以经常或长期集中，因此，各方及时有效的沟通是项目成功的必要条件。为解决好这个问题，我采取了三个办法：

1、提高大家对沟通作用的认识，特别是各方主要领导人对沟通的必要性和重要性的认识，从而对沟通工作给予必需的人员、经费和时间支持，保证了沟通工作得以按计划进行。

2、对项目组外部的沟通，坚持从实际出发，采用多种沟通的方式。一方面，把必要的、重要的沟通需要以联席会议、工作计划、总结报告的形式制度化。另一方面，在适用的前提下，采用灵活、经济的沟通方式，比如：对一般的小问题或者是简单问题进行电话交流，复杂一点的问题开碰头会，需要后续解决的、比较重要的及涉及面较大的问题要形成书面的会议记要，有必要的情况下要由相关单位加盖公章确认。

3、对项目组内部沟通，进行适当的控制，避免形式主义，在保证效果的前提下节省时间，提高工作效率。规定项目组成员在每天工作过程遇到问题，将其记录下来，然后在以邮件方式发送给需要沟通或者询问者。大家每天下班之前收取邮件，对于可以直接回答的问题则直接以邮件方式回复，对于无法直接答复而只需与提出问题者讨论的问题，在第二天上班前进行商议确定。而需要众人一起讨论的问题，则放到每周会议上讨论，较紧急的问题召开临时性会议。通过以上方法，基本上实现了有关各方及项目组内部的有效沟通，及时发现问题、解决问题，避免了因各方立场不一致造成严重对立而影响项目进度，避免了因交流不畅形成重大质量问题。

二、合理配置人员。

对项目组人员进行规划配置，合理分工，明确责任，保证项目各阶段、各方面的工作能够按

计划完成。我们在项目组长配置了以下人员：技术组长一名，负责技术难题攻关，组间沟通协调；需求人员5名，负责将用户需求转换成项目内的功能需求和非功能需求，编制项目需求规格说明书，针对每个迭代集成版本与用户交流获取需求的细化；设计人员5名，负责对需求规格说明书，进行系统设计；开发人员8名，实现设计，完成用户功能；集成人员1名，负责整套系统的编译集成，督促小组系统功能提交，及时发现各模块集成问题，起到各小组之间的沟通的纽带；测试人员2名，对于集成人员集成的版本进行测试，尽可能的发现程序缺陷，以及未满足需求的设计；文档整理人员1名，负责对小组内产生文档的整合，统一；维护人员1名，系统验收后，维护人员，建议维护人员早期进入项目参与项目测试以便顺利承担起项目维护职责。

在人员的管理方面，一方面要求项目组成员相对稳定，以保证开发工作的连续性，另一方面，不搞终身制，不能够胜任职工作的坚决调换，保证项目整体工作不受影响。通过平常和阶段性的工作考核、评审，对不合格人员进行调换。有一名需求分析人员因为工作态度不好，与客户单位业务人员关系恶化，调查落实后，我们立即把他调出项目组。

三、进行风险评估，在进度和质量之间进行权衡，争取最佳平衡点。

由于项目资金已经确定，我就在进度和质量之间找平衡点，力争把风险降到最低。由于医疗保险业务本身比较复杂，加之当时国家政策不稳定，业务流程不是很规范，系统需求也在不断调整、完善，给项目的进度带来一定影响。由于这个项目涉及到十余万参保职工的医疗待遇，影响很大，通过与用户方领导沟通，决定不搞“形象工程”，在质量和进度之间优先考虑质量。同时，考虑到这个项目的采用了增量开发模型和模块化的设计方法，我把项目目标进行了分解，涉及到业务经办的部分优先完成，保证系统在规定的时间上线运行，其它不影响业务经办的、辅助性的功能适当延期，包括医疗监督、统计分析和部分报表。这样虽然整体工期有所延长，但没有影响系统及时上线。这种做法同时照顾到各方的利益，把整体风险降到了最低。

四、重视需求变化的客观性，强化测试，保证软件功能完整、正确、高效。

质量是软件的生命，软件功能完整、正确、高效是软件质量的重要组成部分，也是用户最关心的内容。

我们采用了软件工程方法，使用渐增式的增量模型，注重满足用户需求和需求的变化。由于国家没有统一的医疗保险业务经办规范流程，另外，为保证医保基金的收支平衡，各地都在根据医保基金的运行情况进行不断的政策调整，造成医保系统的需求变化频繁。根据这个情况，为保证软件满足应用需要，我们规定：在整个项目的开发过程中，凡是用户提出的、经调查情况属实、经技术可行性论证可行的，全部予以响应。同时，采取措施避免需求的反复和无意义、不合理的变更。对较大的变更和比较关键的变更，要经各方联席会议论证通过，参与人员签字负责，并由提出变更的单位加盖公章确认。由于不合理或技术上不可行而没有通过的需求变更，要提出替代的解决办法，并与用户单位协商，达成一致意见后予以解决。测试是保证软件质量的重要手段，也是让用户直观地了解软件质量和熟悉软件操作的有效途径。我有计划地强化测试环节，让用户由始至终地参与测试工作。我们主要采取黑盒法进行测试，把工作重点放在测试用例的准备上，严格定义测试索引、测试环境、测试输入、预期结果、评价标准，尽可能的把各种业务的不同情况都表现出来。同时，我们准备了一家定点结算点进行实际运行测试，在该结算点手工记帐和计算机联网记帐同时进行，并有计划地穿插一些测试用例。通过这些办法，及时发现了和解决了许多问题。

经过努力，该系统一次上线运行成功，并在6个月后通过了验收。回顾项目的整体管理工作过程中，虽然没有大的事故发生，但仍然存在许多问题，主要有以下3点：

1、软件测试不系统，用例准备仍不够充分，忽视了压力测试。系统实际运行后随着参保职工和定点结算的增加，运行速度下降很快，达不到设计要求。虽然通过升级硬件缓解了这个问题，但造成了资金的额外投入。

2、在需求分析过程中对各方目标的权衡不够充分，导致定点结算点使用的结算子系统功能较弱，提供的系统接囗又不够强大，给定点结算点内部管理带来不便，一些必要的统计和查询功能难以实现。

3、对开发人员与操作人员对系统的要求差异认识不足，两者的直接沟通不够，造成一些对操作员而言很重要的问题在开发人员那里得不到重视，产生了一些矛盾，给项目带来不利影响，特别是影响到用户方及领导部门对项目的整体印象。

综上所述，良好的项目沟通管理；合理的人力资源配置；用风险评估在进度和质量之间进行权衡；重视需求变化的客观性，强化测试，保证软件功能完整、正确、高效是我在某市医疗保险管理信息系统项目中的整体管理中的四个主要实践，为项目的成功奠定了坚实的基础。在以后的项目整体管理工作中，我要加强测试的系统性和科学性，注重各方利益的权衡，继续深化各方的沟通，协调好开发工作各个部分及各个方面的关系，更好地完成项目。

[老师评语]

松江区医疗机构计算机网络信息系统安全管理规定 篇10

为促进网络借贷（以下简称“网贷”）行业健康发展，引导其更好地满足小微企业、“三农”、创新企业和个人投融资需求，本着维护互联网金融稳定、保护消费者权益、提升互联网金融效率三大监管目标，按照党中央、国务院工作部署和人民银行等十部委《关于促进互联网金融健康发展的指导意见》（以下简称《指导意见》）明确的总体要求和基本原则，银监会会同工业和信息化部、公安部、国家互联网信息办公室等部门研究起草了《网络借贷信息中介机构业务活动管理暂行办法》（以下简称《办法》），《办法》向社会公开征求了意见，并定向征求了31个省（区、市）政府金融监管部门、国家有关部委及第三方评估机构的意见，对各方意见进行充分吸收考虑，修改完善。《办法》已报国务院同意，现以四部委规章形式发布实施。《办法》共有八章四十七条，主要内容如下：

一是界定了网贷内涵，明确了适用范围及网贷活动基本原则，重申了从业机构作为信息中介的法律地位。网贷机构以互联网为主要渠道，为出借人和借款人提供信息搜集、信息公布、资信评估、信息交互、借贷撮合等服务，具有高效便捷、贴近客户需求、成本低等特点，在完善金融体系，弥补小微企业融资缺口、满足民间资本投资需求、促进普惠金融发展等方面发挥了积极的作用。《办法》规定，从事网贷业务，应当遵循依法、诚信、自愿、公平的原则，对出借人及相关当事人合法权益以及合法的网贷业务和创新活动予以支持和保护。二是确立了网贷监管体制，明确了网贷监管各相关主体的责任，促进各方依法履职，加强沟通、协作，形成监管合力，增强监管效力。按照《指导意见》提出的“依法监管、适度监管、分类监管、协同监管、创新监管”的原则及中央和地方金融监管职责分工的有关规定，按照“双负责”的原则，《办法》明确银监会及其派出机构负责对网贷业务活动实施行为监管，制定网贷业务活动监管制度；地方金融监管部门负责本辖区网贷的机构监管，具体监管职能包括备案管理、规范引导、风险防范和处置工作等。《办法》还明确了工业和信息化部、公安部、国家互联网信息办公室等相关业务主管部门的监管职责以及相关主体法律责任。

三是明确了网贷业务规则，坚持底线思维，加强事中事后行为监管。根据《指导意见》提出的“鼓励创新、防范风险、趋利避害、健康发展”总体要求，为网贷机构提供充足的发展和创新空间，进一步释放市场活力，引导其回归信息中介、小额分散、服务实体以及普惠金融的本质，《办法》以负面清单形式划定了业务边界，明确提出不得吸收公众存款、不得归集资金设立资金池、不得自身为出借人提供任何形式的担保等，并根据征求意见，增设不得从事的债权转让行为、不得提供融资信息中介服务的高风险领域等内容，旨在对打着网贷旗号从事非法集资等违法违规行为，坚决实施市场退出，按照相关法律和工作机制予以打击和取缔，净化市场环境，保护投资人等合法权益。

四是对业务管理和风险控制提出了具体要求。《办法》落实《指导意见》有关要求，规定实行客户资金由银行业金融机构第三方存管制度，防范平台道德风险，保障客户资金安全，严守风险底线。同时，为防止信贷集中度风险，根据相关部门意见，实现《办法》与刑事法律中非法集资有关规定衔接,引导网贷机构遵循小额分散原则,避免刑事执法混乱,规范行业乱象，《办法》明确规定了同一借款人在同一网贷机构及不同网贷机构的借款余额上限。

五是注重加强消费者权益保护，明确对出借人进行风险揭示及纠纷解决途径等要求，明确出借人应当具备的条件。《办法》设置了借款人和出借人的义务、合格出借人条件，明确对出借人风险承受能力进行评估和实行分级管理，通过风险揭示等措施保障出借人知情权和决策权，保障客户信息采集、处理及使用的合法性和安全性。《办法》还明确了纠纷、投诉和举报等解决渠道和途径，确保及时有效地解决纠纷、投诉和举报等，保护消费者合法权益。

六是强化信息披露监管，发挥市场自律作用,创造透明、公开、公平的网贷经营环境。《办法》规定网贷机构应履行的信息披露责任，充分披露借款人和融资项目信息，定期披露网贷平台有关经营管理信息，对信息披露情况等进行审计和公布，保证披露的信息真实、准确、完整、及时。《办法》坚持市场自律为主，行政监管为辅的思路，明确了行业自律组织、资金存管机构、审计等第三方机构职责和义务，充分发挥网贷市场主体自治、行业自律和社会监督的作用。

为避免《办法》出台对行业造成较大冲击，《办法》作出了12个月过渡期的安排，在过渡期内通过采取自查自纠、清理整顿、分类处置等措施，进一步净化市场环境，促进机构规范发展。