医院网络安全应急处置方案的设计和应用

医院网络安全应急处置方案的设计和应用
制定应急方案的必要性
外部环境近年来互联网、云计算等信息技术的快速发展，已经深度融入我国经济社会的各个方面，极大地影响和改变着社会生产生活，在促进技术创新、经济发展的同时，网络安全问题也日益凸显，为了应对网络安全新形式和新任务，《中华人民共和国网络安全法》自2017年6月起正式施行，其中第二十五条明确规定网络运营者应当制定网络安全事件应急预案，及时处置系统漏洞、计算机病毒、网络攻击、网络侵入等安全风险；在发生危害网络安全的事件时，立即启动应急预案，采取相应的补救措施，并按照规定向有关主管部门报告。

同时国际上对组织信息安全管理的研究也在持续进行中，新版ISO/IEC 27001《信息技术-安全技术-信息安全管理体系-要求》中对信息安全风险响应体系也做出了具体要求。

内部要求医院信息系统作为医院管理和运行的载体，贯穿在医院的各个业务流程中，特别是医嘱开立、门急诊收费、检验检查执行等关键环节，而随着医院信息体系复杂性的提高，网络故障、数据库故障、服务器故障等都能导致业务系统的停摆，各家医院尤其是中心城市信息化程度较高的大型三甲医院，为了降低信息系统故障率，大幅提高硬件性能的同时，采取了如服务器虚拟化、双机热备、异地备份等措施，但由于系统本身的复杂性，各个关键点发生故障的可能性仍然存在，制定切实有效的应急方案是保障医院连续运行的必然要求。

应急预案概述
应急方案是针对特殊或突发事件的一种紧急处理机制，避免事件的进一步扩大或事态恶化，减小事件带来的负面影响扩大。

国家网信部门于2017年6月发布了《国家网络安全事件应急预案》，对事件的处置和报告作出了规定，医院制定的应急预案应与之对应。

应急方案的主要内容应包括：应急小组的组成、工作计划的制定、联络方式、协调各部门共同进行时间处置及应急流程。

应急机制的启动，并不是一项单纯的技术操作，而是事先做好的应对策略的实施。

根据突发事
件造成的影响将事件分级，根据事件级别启动相应的应急机制，是应急机制建设的前提。

参照我国《信息安全技术信息安全事件分类分级指南》（GB/Z20986-2007），医院网络安全事件分为四级：特别重大网络安全事件、重大网络安全事件、较大网络安全事件、一般网络安全事件。

特别重大网络安全事件，由于信息系统故障导致的全院信息系统故障，对医院业务活动、患者利益或社会公共利益有极其重要的影响或危害；重大网络安全事件，影响2个或2个以上科室的大面积信息系统故障，对医院业务活动、患者利益或社会公共利益有重要的影响或危害；较大网络安全事件，影响1个科室的信息系统故障，对医院业务活动、患者利益或社会公共利益有一定的影响或危害；一般网络安全事件，不影响科室业务进行，对医院业务活动、患者利益或社会公共利益基本不影响或危害极小。

应急预案应以网络安全事件为核心，分别规定与其对应的应急响应规范要求。

对于初判为特别重大、重大网络安全事件的，应立即上报至医院网络安全应急工作办公室，同时组织技术人员进行先期故障排查分析，保存故障点日志等记录，医院应急工作组应在10分钟内以电话（口头）或文字报告的方式上报至上级单位应急工作组，10分钟内业务系统未恢复的，由医院网络安全应急工作办公室通知各个业务科室启动应急操作流程。

应急系统设计
传统的医院信息系统架构是通过院内网络将分布于各个诊室的业务系统客户端与位于中心机房的后台数据库相连接，通过数据的传输交互实现挂号、医嘱开立、收费、检验检查报告回传等功能，一旦发生网络中断、病毒入侵等安全事件，正常的门急诊业务将无法开展，而医生由于长期通过HIS辅助完成医嘱开立、自动划价等操作，很难在应急情况下通过纯手工完成以上操作，同时应急系统是在极端情况下启用，如果操作模式变化太大，窗口操作人员很可能在切换到应急系统的模式下就不会使用了，因此应急系统的操作模式应无限接近在线HIS。

技术架构及功能实现单机版医嘱客户端通过实现医嘱开立、自动划价功能的实现，用较低的成本辅助医生和患者完成医疗业务中的基本流程，该客户端软件
集成医生列表、科室列表、诊断编码库、药物列表、检验检查项目列表、医疗操作列表、价格列表等门急诊基本信息字典库，在无网络的环境下通过单机系统帮助医生准确的开立医嘱并划价。

系统安装及字典更新为了便于应急系统安装，保持单机版医嘱客户端字典库的实时性，单机版医嘱客户端作为HIS的子模块，在安装HIS的同时被安装至医生站，在HIS启动时对医嘱客户端的字典库进行更新，保持应急系统和医院HIS字典库的同步（见图1）。

图1 单机版医嘱客户端架构
应急响应流程
网络安全事件发生后，事发单位应立即启动应急预案，对于特别重大、重大网络安全事件，应在医院网络安全应急领导小组的统一指挥下启动应急操作流程。

网络安全事件是专业性、技术性强的特殊突发公共事件，院内的网络安全事件容易造成患者大量聚集，同时患者知识层次参差不齐,为了有效控制事态发展，避免更大的灾难和损失，应对处置的第一要求就是快，因此对应急响应流程的要求一是能够快速启动，二是流程简单。

应急操作流程具体如图2所示。

图2 应急操作流程
系统启动：当发生信息系统突发事件后，医生点击医生站桌面医嘱系统单机版图标，启动单机版系统。

护士分诊：当网络故障等应急情况发生时，上报系统故障，启动应急流程，同时维持门急诊区域患者的排队有序就诊。

患者姓名输入：医生手动输入患者姓名等基本信息。

医嘱开立：医生在问诊和诊疗结束后在单机版系统中开立医嘱和诊断，由单机版系统自动划价，并按照规则打印处方、申请单和治疗清单，单据上打印项目金额。

患者缴费：患者持处方、申请单和治疗清单到收费窗口进行缴费，收费员根据单据标注金额收取患者费用，并在单据上加盖收费章，同时将手工票据的第一联交给患者，第二联收费员留存，作为交账凭据。

患者挂号：患者在挂号处完成挂号缴费，挂号处提供患者手写挂号凭据及手工挂号费发票。

检验检查：患者有检验或检查项目的，医技科室医生护士根据患者持有的盖有收费章的申请单，为患者进行对应检验或者检查。

在医技系统中，应为患者手工登记检查项目，按检查系统的流程进行检查，并出具报告。

患者取药：药事部门根据患者持有的盖收费章的处方单，进行发药工作，同时留存处方、以备系统恢复后减库存。

患者治疗：医院的治疗科室根据患者持有的盖有收费章的治疗清单，为患者进行治疗。

HIS或网络恢复后，如有患者需要报销或医保结算，收费处需将手工发票收回，并为患者挂号、医生重新在系统中开医嘱，收费处进行医保结算、机打发票。

该系统是将能够支持医疗业务进行的最小功能集剥离出来而形成的客户端软件，作为门急诊应急使用，目前有一定局限性，如从覆盖范围上未包含挂号、收费、药房等环节，这些环节还需要手动执行操作，也是该系统需进一步完善的方向[7]。

应急预案对应急响应效果具有显著的正向影响，应急预案需要通过应急演练来检验，达到可操作、易执行的状态。

完善且可执行的网络安全应急预案是保障医疗业务连续的关键，医院网络安全预案需要结合医疗业务的特殊性，在应急预案的设计中围绕“快”作文章，在应急事件发生时能够快速切换到备用系统，维持有序就诊。

从实际应急演练效果看，首都医科大学附属北京朝阳医院网络安全应急处置方案在应急事件中起到了行动指南的作用，单机版医嘱客户端是在原HIS的基础之上，对功能进行精简，使其能独立运行于无网络环境，开发和运维成本较低，具有较强的可操作性，在应急事件中对医院业务流程的开展给予了有效支撑。

网络安全应急预案应该在医院整体应急预案的基础之上进行设计，应作为院级预案向院内各个部门发布和培训，在全院范围内逐步建立信息安全文化，预案能否在关键时刻发挥有效作用，有赖于各个科室的积极配合和快速反应，有赖于是否充分利用应急演练发现预案中的不足，不断进行完善。