医疗行业信息安全管理整体解决方案

31
信息控制
32
信息泄露的状况：产生->传输->使用的全过程
信息泄漏环境
端点监控 存储发现和信 息整理
信息外发和活动监控
移动媒体
木马 交流
数据库 文件服务器
第三方 邮件外发、上网
信息防泄漏
从3方面来考虑信息泄露风险，保障企业核心信息安全
1. 由于统方信息大多情况是通过个人的终端传递出去，我们首先 需要考虑的问题是，监测存放在终端上的医院敏感信息的复制、 打印、刻录、邮件等行为，通过警讯提醒医务人员风险操作。 并在需要的情况下实时阻止这些泄密行为
高效安全管理需求
通过工具化、自动化的安全 手段，应对不断扩张的IT资 产的管理，有效落实安全管 理要求
的安全防护。
关键字
信息的安全
合规管理
自动化高效的安全管理
安全建设建议流程
事先防范
终端安全 网络准入 虚拟化
事中控制
安全性防护 数据防泄密
事后审计
查询报告 关联分析
• Anti-malware
• Firewall • HIPS • App. Ctrl. • Device Ctrl
19
第1关
准入控制 御“毒”于网络之外
第4关
NIPS 和 HIPS 发现并阻止入侵行为
第5关
主动防御技术 发现各种未知的安全风险
第6关
传统实时防护 检测并清除恶意程序
第7关
系统加固 修补漏洞提高安全性
第3关
双向防火墙 监管所有网络通讯
第2关
外设控制 监管所有I/O端口
第8关
紧急事件响应 迅速应对减少损失
• 解决管理策略问题 • 管理力度问题 • 运维自动化问题 • 技术与管理配合问题
解决病毒转向解 决人的问题 减少感染机会
防病毒产品五 花八门，防毒 水平参差不齐
统一化管理要求、 考核要求、运维 要求配套
防病毒产品
病毒
为何终端权限控制
• 使用者私自修改IP地址 • 使用者私自安装软件，威胁到整个网络安全
LAN准入 网关准入 自我强制 P2P控制 DHCP准入
桌面虚 拟化
应用程 序虚拟 化
零日攻击 违规操作 入侵防护 …
• 监控
• 预防
• 发现 • 保护
收集记录
加固安全状态防止问题发生
管理控制并解决问题
证明有效性并判定趋势
端点控制
信息中心
信息管理
终端控制
终端安全建设的困境
终端环境： 建设困境
• 终端类型多样化
• 使用者随意添加硬件
• 使用者随意关闭或卸载安全防护软件 • 使用者使用迅雷等下载工具，阻碍网络的正常工作。
• ……
如何进行终端权限限制
10
为何需要终端防护
设备控制
防火墙 主侵防护(网络) 应用程序控制
入侵防护(主机)
防病毒/防间谍软件
终端防护
• Symantec 防病毒与先进的威胁防护技术结合起来 • 单一的解决方案提供终端安全防护 • 单代理、单控制台
35
医疗行业信息防泄漏需求
• 针对HIS系统服务器上的数据查询分级审计进行数据泄密的 监控 • 针对IT系统中所有导出的数据进行数据防泄密的监控 • 针对一些关键性excel报表进行数据防泄密的监控 • 对以上监控数据客户端要求阻断功能
36
DLP项目总体目标
• 通过DLP产品重塑企业内部审计流程，符合医疗行业 CFO、 内审、IT基础架构对信息防泄漏体系的要求 • 通过医疗DLP项目提升医疗系统IT信息化建设信息安全等级， 提升企业形象。 • 通过医疗DLP项目，站在更高的角度上审视医疗行业信息安 全，完善信息安全基础架构，为业务系统提供更安全的保障
IT部门 • 负责DLP系统的 管理 –负责维护系统功 能和性能，配置和 管理策略、响应规 则、用户、角色、 工作流 –系统优调和扩展， 监测运行指标
风险管理部 门
•
业务部 门 •
– – –
负责上报事件和统计数据 的管理
负责部门内的事 件管理
一般风险由部门自己 管理 高危风险需上报总部 风险管理部门 定期提交所属部门风 险统计数据
资产 合约
标识
事件
部署 配置 补丁 软件
备份
迁移
问题
变更 发布
升级
帮助台
服务等级
远程维护
恢复
监视
分析
报告
过渡和 迁移
远程帮助 和故障排除
客户端 查询和 清单
监控 和跟踪
IT Life Cycle Management
映像制作 部署和配置
应用程序 打包和质量保证
业务 连续性保障 补丁程序 管理 软件管理 和虚拟化
SCSP 关键系统多重防护功能
• 阻止后门 • 限制应用程序的网络连 接 • 限制进出流量 • 主机防火墙功能 • 默认策略即可有效保护 系统 • 限制应用和操作系统的 行为 • 阻止缓冲区溢出攻击 • 检测零日攻击 • 减少系统宕机时间 • 操作系统加固
Network Protection
(Host IPS)
监控
数据中心控制
如何阻截已经射出的子弹？
Symantec Critical System Protection
目的
• 维持系统的策略依从 • 加固系统 • 入侵检测 • 入侵防护 • 减少管理复杂程度 • 提升产品的管理能力
预防
• 怀有恶意的内部用户攻击系 统
提供
• 防止零日攻击
• 未知攻击针对: • 内存 • 文件系统 • 注册表 • 操作系统 • 应用
(Host IDS)
• 监控日志和安全事件 • 归并并转发日志到 SSIM平台 • 智能事件响应
行为监控内容
• 未授权的系统配置更改 • 未授权的管理权限更改及滥用
• 用户登录、退出，和失败登录
• 操作命令和参数 • 重要文件未授权访问、更改
• 变更内容
• 注册表的更改（针对Windows平台) • ……
监控 & 预防 发现 &保护
方案
CD/ DVD
电子 邮件
信息泄漏 风险管理 解决方案
We b邮 件 及时 消息
数据库
Web/ftp 服务器
方法论
统筹管理委员会
结合实际的最佳实践
•由下属部门的主管组成 •负责制定战略方向，扩大覆盖范围，设定风险防范机制目标，监测标准。确 保优先权正确，资源充足，业务单位正在进行数据监测。 •CISO,CIO应当带领指导委员会，推动业务部门参加数据指标的监控，对事件 进行补救，并增减政策规定。
如何来防止数据泄漏？
发现
监控
阻止
DATA LOSS PREVENTION (DLP)
DLP工作原理
发现 监控 保护
2
3
4
• 禁止、删除或加密
• 识别扫描目标
• 运行扫描以发现网络及端点 上的敏感数据
• 检查发送的数据 • 外设检测 • 监控网络与端点事件
• 隔离或复制文件
• 外设控制 • 通知员工及其经理
37
最佳实践
把业务部门引入安全管理的 最佳“切入点”：
• 定义敏感信息 • 监视这些数据如何被使用 • 建立防泄漏的管理机制和流程
– 提升整个企业对信息安全管理的参 与度 – 将信息安全管理上升到业务风险管 理的高度
以保护“信息”为核心
理念
USB 设备 笔记 本电 脑 File 服务 器 防泄漏 策略
风险管理部门给出明确的风险等 级定义 – 明确哪个等级的事件必须上报 – 管理上报事件，进行调查和取证 – 定期按统计数据进行排名，排名 结果记入KPI指标 – 必要时，启动紧急响应流程。联 系公关部门，外部法律机构减小 或消除负面影响 –
38
Symantec可以帮助您…
敏感信息在什么位置?
数据在网络中如何流动？
支持不同种类的平台
资产管理
资产 应用软件 固定资产 条形码 合同管理 TCO管理 帮助台
客户端和移动用户管理
Windows 资产 部署 补丁管理 Handheld 资产 部署 补丁管理2 Macintosh 资产 Windows 资产 部署 补丁管理 软件分发 打包工具 应用软件管理 远程控制 Windows 网管 服务器监控 备份与修复
2. 考虑到医院内部通过网络的通信途径比较多，在网络层监测信 息使用者敏感信息传递过程协议监控，包括 email, web, IM, FTP, PTP等。避免通过网络将信息传递出去 3. 所有的统方数据都通过HIS服务器获得，通过DLP监控医务人员 对于HIS服务器的数据查询，及时发现统方查询和数据获得情况。 并建立事件及时报警和审计。 建议通过Symnatec DLP 解决方案来达到目标
Symantec的方法
身份认证
终端接入
失败 安全认证 修复
拒绝或Βιβλιοθήκη Baidu离
策略 制定
策略 执行
周期检查 准许接入
第2步
检测终端接入
✗
第5步 持续监控，遵守当前的策略
第1步
第3步 针对策略检查配置的遵从性
定义策略
第4步 基于策略检查的结果采取措施
准入控制能干什么 • 谁可以进入服务器网 • 访问哪台服务器 • 访问什么端口(应用) • 桌面运行什么程序访问特定端口 • 不能获取什么数据
服务器管理
UNIX/Linux 资产 部署 补丁管理2 软件分发 Network 资产 部署Network
Devices
软件分发
打包工具 应用软件管理 远程控制 Windows 网管 个性化迁移 应用测量 备份与修复
软件分发2
打包工具
软件分发2
Windows 网管3 服务器监控 备份与修复2
Site
– 固定PC – 移动PC – 智能终端
• 策略设置管理复杂 • 安全性和易用性的权衡 • 防护产品的环境适应性
结果
• 终端用途多样化
– 公私混用（公用/私用）
– 多业务混用（办公/业务）
• 安全策略上的妥协 • 安全产品形同虚设 • 安全产品不好用
• 终端环境多样化
– 操作系统（windows系列）
管理 管理
1
• 启用或自定义策略模板
5
• 补救并报告风险降低
Presentation Identifier Goes Here
40
DLP可完成的工作
结果:
(主机) 入侵防护
应用控制 设备控制
增强了保护、 控制和管理性
(网络) 入侵防护 防火墙
降低了成本、复杂度， 减少了风险的暴露
防间谍软件
防病毒
屏蔽 不安全接入
规范 接入行为
铲除 威胁源头
避免 事后处理
从纸面的管理口号到技术上的策略遵从
传统的方法
罚 款 通 报 批 评 管 理 规 章 制 度 邮 件 电 话 通 知 通 告 红 头 文 件
Exploit Prevention
(Host IPS)
Symantec Critical System Protection
• • • • • •
锁定系统配置和设定 注册表保护 文件系统保护 强制遵从安全策略 限制用户的权限 限制移动存储设备
System Controls
(Host IPS)
Auditing & Alerting
• 终端用户违背企业安全策略
• 加固日志系统, 日志转发, 和日 志监控
• 对无法立即安装补丁程序或锁 定的系统提供防护 • 企业级的报表功能 • 通过简单，集中的策略创建管 理系统降低企业用于资产保护 的成本
核心HIS、LIS服务器安全加固
医院HIS、LIS服务器安全极为重要，一旦HIS、LIS有安全风险， 造成的后果不仅仅是数据丢失，而且会造成医院业务可用性 故障。 1. 加固HIS、LIS等核心服务器的安全，避免服务器受到恶意 内部或者外部人员的攻击。避免由于攻击行为而造成数据 的泄露和服务器的停顿。 2. 考虑到医院内有很多的维护供应商，包括软件的和硬件以 及业务维护人员。这些人员经常会进入到机房甚至操作服 务器。这些人员无意思的操作风险或者有意识的渗透都会 造成数据泄密和服务器停顿的风险。需要监控 这些人员在 服务器上的操作，并在他们执行危险操作时阻止他们
医疗行业信息安全管理整体解决方案
闫海波
资深系统工程师
医疗用户需要整体安全方案
• 所有医院都已经有防病毒软件、防火墙、入侵检测等基本设施
– 安全事件仍然时有发生，特别在办公网内 – 整体安全状况无人能够描述
• 业务网同办公网隔离
• 高端用户开始部署全院覆盖的无线网络
– 以支持各种移动手持设备或工作站 – 作为有线网络的补充 – 业务网不再是密不透风了
– 硬件配置（CPU/Mem/外设）
– 应用（QQ、MSN……)
– 更换产品
• 抱怨终端用户 • 默认终端现状
终端建设历程分析
防护软件删了 怎么办？外来 终端怎么办？ 大量终端1个管 理员怎么管？ 终端感染病毒的 渠道越来越多， 带来其他的威胁
企业的终端安全管理 全面终端安全防护 企业统一防病毒体系
安全规划与建设思路的转变
传统的思路和模式
以边界、安全域为主的 “传统防护思路” 被动的、防御型 的技术手段 应对型的安全建设 模式
防护重点
逐渐转向针对： •数据内容 •应用 •用户身份 •行为
安全治理观念
1.加强主动防御的合规管理 工作。 2. 加强安全监控综合分析； 3. 通过安全指标为衡量手 段，推进安全治理、衡量 安全建设绩效。