一.需求分析

　　1概述

　　隨著全球信息化、數字化時代的到來，網絡技術已滲透到社會的每一個角落，網絡技術(尤其是Internet技術)是一把雙刃劍，它在促進一個國家國民經濟建設、豐富人民物質文化生活的同時，也對傳統的國家安全體系、企業(yè)安全體系提出了嚴峻的挑戰(zhàn)，使得國家的機密、金融信息、企業(yè)、醫(yī)療機構的生產運行等面臨巨大的威脅。

　　醫(yī)院信息化建設經歷了單機操作、局部網絡化、全院的網絡信息化建設三個階段。隨著全球信息化的發(fā)展，醫(yī)院信息化建設也趕上時代的步伐，從最初的小規(guī)模的嘗試進入了大規(guī)模的鋪開。醫(yī)院內網有各種收費服務器、病區(qū)管理服務器和藥房管理服務器，因此如何保護內網服務器的安全，合理規(guī)劃醫(yī)院各個科室人員使用網絡，使醫(yī)院的宏觀管理更上一層樓，是目前凸顯的一個重要問題。

　　2.某醫(yī)院網絡的網絡現狀

　　某醫(yī)院網絡現在的網絡拓撲圖：

　　2.1 網絡結構說明

　　醫(yī)院各個部門如門診收費人員、藥房管理人員、醫(yī)生和行政管理人員通過中心交換機實現網絡的互聯和對醫(yī)院內部服務器的訪問。門診收費處通過DDN專線可以訪問社保網。

　　3、某醫(yī)院網絡隔離與信息交換建設需求

　　鑒于現有的網絡狀況，依據我醫(yī)院信息化建設的規(guī)劃，此次建設應達到以下目標：

　　1、從管理和技術角度上，建立多層安全體系，保證局域網信息和各應用系統的安全性、保密性。同時在保持內外網絡物理隔離的同時，進行適度的、可控的內外網絡的數據交換。保護醫(yī)院收費服務器、藥房管理服務器及病區(qū)管理服務器等重要服務器的安全，實現隔離，防止外網黑客的攻擊。

　　2、對醫(yī)院各個部門人員上網進行身份認證控制，并實現分組管理：

　　A、門診收費用人員只允許訪問內網服務器和社保網，禁止訪問互聯網。

　　B、護士站、藥房管理人員只允許訪問內網服務器，禁止上互聯網

　　C、醫(yī)生及行政人員既可以訪問內網服務器，也可以訪問互聯網

　　D、詳細記錄每個人員上網的日志，做到有案可查

　　二.設計原則及技術、設備選型依據

　　1、設計原則

　　? 高性價比原則：構建安全體系必須在性能和價格之間進行權衡。在方案的制定、產品的選型、服務的選擇方面都盡可能體現高性能價格比的原則。

　　? 高效性：由于增加了安全產品，必將影響網絡和系統的性能，包括對網絡傳輸速率的影響，對系統本身資源的消耗等。因此需要平衡利弊，提出最為適當的安全解決建議。

　　? 簡單性：盡力避免造成網絡結構的復雜，操作與維護的困難。安全體系的建立不能對目前信息系統的結構做出根本性的修改。

　　? 可管理性：對于安全系統來說，要求提供方便、友好的圖形化管理界面。對于網絡系統來說，要求不影響原有業(yè)務的開展。

　　? 開放性：安全管理工具支持廣泛的安全管理標準。提供的安全產品具有相應的接口，可以利于各種安全產品之間集成使用，并可以和其他信息產品高效結合。

　　2、某醫(yī)院網絡隔離與信息交換設計拓撲圖

　　(TIPTOP隔離網閘V2.0)

　　根據對某醫(yī)院網絡建設需求分析，我們提出某醫(yī)院網絡隔離與信息建設方案。根據某醫(yī)院的網絡安全需求，我們在改變原結構情況下做統一平臺管理規(guī)劃。改造后的總體網絡拓撲結構圖：

　　4、某醫(yī)院網絡隔離與信息交換系統的運行

　　我們把TIPTOP物理隔離網閘內口聯接中心交換機，網閘外口分別連接社保網與互聯網。通過網閘實現了某醫(yī)院內部網絡與互聯網絡和社保網的隔離，但也可以實現一定安全度上的數據交換。TIPTOP網閘實現對醫(yī)院內部各部門上網身份認證與管理。

　　(1)、Tiptop物理隔離網閘在保持某醫(yī)院內外網絡物理隔離的同時，進行適度的、可控的內外網絡的數據交換。保護醫(yī)院收費服務器、藥房管理服務器及病區(qū)管理服務器等重要服務器的安全，實現隔離，防止外網黑客的攻擊。

　　(2)、通過網閘對醫(yī)院各個部門人員上網進行身份認證控制，并實現分組管理：

　　A、門診收費用人員只允許訪問內網服務器和社保網，禁止訪問互聯網。

　　B、護士站、藥房管理人員只允許訪問內網服務器，禁止上互聯網

　　C、醫(yī)生及行政人員既可以訪問內網服務器，也可以訪問互聯網

　　圖三 對醫(yī)院各部上網進行分組管理

　　圖四 醫(yī)院各部上網控制示意圖

　　D、利用網閘詳細記錄醫(yī)院每個員工通過網閘訪問互聯網、郵件傳輸及文件交換日志，做到有案可查。

文章作者：國脈電子政務網