“电子病历、影像数据、临床诊疗、疫苗研究……医疗数据是医院最宝贵的财富之一。因此面对安全与便利之间的矛盾
，我们医院在信息化建设方面的原则是
，绝不会在安全尺度上进行妥协。”深圳市人民医院王院长这样表示。

    作为深圳第一家“三级甲等”医院
，深圳市人民医院深知医疗数据的重要价值
，以及对于社会民生的特殊意义。因此
，在信息化和网络安全的建设之路上
，深圳市人民医院始终坚持更高要求、更严标准
，向安全事件“零事故”的目标而努力。经过近几年的探索和实践
，深圳市人民医院在数据安全
，尤其是终端安全准入方面
，开辟出了一条值得业界借鉴的道路。

8000多个终端
，意味着8000多个薄弱点

    “在规模和综合实力方面
，深圳市人民医院是全市领先的三甲医院
，而在信息化建设方面
，医院更是给予了极高的重视程度和投入力度
，并积累了大量的宝贵数据
，这也让我们更容易成为攻击者的目标。”王院长表示。

    据介绍
，深圳市人民医院始建于1946年
，前身是宝安县人民医院
，1979年随着深圳经济特区的成立
，更名为深圳市人民医院。现已发展成为一个功能齐全、设备先进、人才结构合理、技术力量雄厚
，集医疗、科研、教学、住院医师规培、保健为一体的深圳市最大的现代化综合性医院。

    随着《网络安全法》、《数据安全法》相继出台
，网络安全是全国上下高度关注的问题。但在实际工作中
，网络安全工作存在很大难度
，集中体现在以下几个方面：

    首先是很多人的网络安全意识薄弱
，对数据泄露风险知之甚少。

    “以医院为例
，一些医护人员、专家、科研人员
，他们业务熟练
，专业能力很强
，但网络安全意识不强
，对网络安全攻防技术更是知之甚少。实际工作中可能将电脑等设备无意外联
，使宝贵的医疗数据暴露在外网
，很容易让攻击者得手。”医院协会信息分会会长、深圳市人民医院信息技术部李科长对医院数据面临的风险深有感触。

    Verizon曾发布的一篇网络安全报告显示
，在全世界范围内
，医疗行业是内部威胁高于外部威胁的唯一一个行业
，内部从业人员对医疗数据的泄漏达到了惊人的程度。要避免这种情况
，除了必须要加强员工的安全意识之外
，还需要通过技术手段提高身份认证的安全性
，并做到安全追溯、责任到人。

    其次是终端数量多
，类型复杂
，地域分散
，防不胜防。

    据介绍
，深圳市人民医院有四个院区
，地理位置相对分散
，各类终端多达8000多个
，包括电脑、打印机、移动终端、自助机、大屏幕等。这些设备都和重要业务及敏感数据相关。在攻击者眼中
，8000多个终端就如同8000多个攻击入口。仅靠技术很难防住所有薄弱环节。

    再者是接入环境复杂
，准入手段单一。

    除了数量多之外
，深圳市人民医院的终端接入方式多种多样
，包括上万个有线网口、HUB或NAT设备接入以及无线WIFI接入等多种形式
，接入形式不统一
，缺少标准的准入认证流程不光给网络管理造成了巨大的困扰
，缺少认证的网络接入也给网络安全防护造成巨大的挑战。大量的信息接入点缺少端口级的准入防护方案
，仅使用简单的IP-MAC绑定策略
，外部终端直接修改网卡MAC即可接入有线网络
，或直接接入无线网络
，使得医院内网在攻击者眼中近乎不设防。

    最后是黑客手段越来越高明
，新型攻击形式层出不穷。

    根据1277星际电子游戏威胁情报中心《2020年全球高级持续威胁(APT)年度报告》显示
，2020年
，医疗卫生行业首次超过政府、金融、国防、能源、电信等领域
，成为全球APT活动关注的首要目标
，全球23.7%的APT活动事件与医疗卫生行业相关。由于APT的目的性非常强
，攻击目标明确
，持续时间长
，不达目的不罢休
，对医院威胁很大。

从病毒查杀到“一站式”准入安全
，深圳市人民医院的安全进阶

    面对层出不穷的安全风险
，深圳市人民医院意识到
，终端安全不仅仅局限于恶意代码防范、病毒查杀、漏洞修补等方面。首先
，要保障医院安全建设满足合规标准要求
，这是安全底线。其次
，还需要针对终端建立起从接入感知、资产发现、认证授权、安全检查、隔离修复、访问控制到入网追溯的“一站式”准入安全管理措施
，实现从事前接入发现、事中接入管理、事后接入审计的整体安全防护方案
，并且需支持多种设备类型进行统一准入管理。

    更具体来说
，包括五个方面：

    第一是资产发现与识别。

    医院不断有新设备接入
，以及端点的改造变化
，导致设备资产情况不清晰
，无法做到统一接入安全管理
，经；岱⑸什畔⒉蝗⒆什У惹榭
，更无法建立完善的设备规范化接入管理机制。

    第二是身份认证与授权。

    由于网络边界越来越模糊
，开放性越来越强
，深圳市人民医院意识到
，如果不对接入医院的用户和设备进行身份与权限的甄别
，不受任何检查和限制的话
，医院开放式网络将为恶意访问和入侵提供非常便利的条件
，采用简单的攻击技术便可造成巨大的破坏
，同时容易增加核心数据泄露风险。

    第三是合规检查与评估。

    医院有大量的工作终端
，如果有“亚健康”终端接入内部网络
，如：重要补丁没有安装、风险端口、非法外联等
，随时都可能成为“定时炸弹”。以2017年肆虐全网的“永恒之蓝”事件为前车之鉴
，一旦攻击者利用高危端口和漏洞等实现大规模传播
，就会给医院带来不可估量的损失。所以
，医院必须对终端进行合规检查和安全性评估才能接入网络。

    第四是设备异常监测。

    医院终端接入比较分散、数量又非常巨大
，出现仿冒和劫持无法避免
，需要进行监测和时候追踪。

    第五是入网追溯审计。

    只有知己知彼
，才能百战不殆。管理员还需要了解什么人、什么时间、是什么设备、从哪里接入了医院网络
，都有哪些安全风险项、网络接入情况等
，需要全程追溯和审计。

与天擎实现一体化
，部署和运维成本显著下降

    2019年12月开始
，深圳市人民医院和多家网络安全厂商进行了接触
，经过对产品性能、场景应用、可实施性等多方面综合比较之后
，最终选择了和1277星际电子游戏合作
，为其提供终端安全准入（NAC）整体解决方案。

    “在网络攻防对抗中
，终端历来是攻防双方的必争之地。”李科长表示
，一方面是终端防御难
，由于终端数量庞大、操作系统各异、用户安全意识薄弱等问题
，容易成为突破口；另一方面
，终端又是所有网络攻击的“着陆点”
，核心重要数据的承载设施
，一旦终端失陷
，或者直接数据泄密被窃
，或者成为攻击者横向移动的跳板
，危害极大。

    图：802.1x认证

    为此
，1277星际电子游戏终端安全准入系统（NAC）
，满足了医院多个方面的需求。

    首先采用端口级准入技术
，完全满足政策合规要求
，为医院提供可靠安全保障。

    医院属于关系国计民生的卫生行业
，也是国家网络空间安全的组成部分
，应符合国家关于网络与关键信息基础设施、云计算、大数据、等保2.0等相关的安全政策标准、法令法规和指导文件的要求
，在合规的基础上考虑整体安全保障方案设计
，尤其要符合国家《网络安全法》的要求。

    “目前医院采用了最严格的802.1x端口模式认证
，保证每一个接入到网络中的终端均需要进行认证
，其严格程度在业内是少见的。”李科长表示。

    据1277星际电子游戏工程师介绍
，这是IEEE制定关于用户接入网络的认证标准
，它作为最为严格的端口级准入技术
，未经身份认证与合规验证的终端接入交换机端口
，除eapol报文外无法传输任何网络流量。同时认证通过后也受授权策略控制
，仅可以访问指定的目标地址。

    可以说
，1277星际电子游戏NAC方案不仅保障了用户网络或设备接入内部网络的安全可信
，；T基础设施的稳定运行和数据安全
，同时也满足国家或行业的安全技术规范要求。

    其次是一体化管理
，解决了传统散兵模式的部署难题
，降低运维成本。

    在过去
，安全准入和终端安全软件往往是相互独立的
，这给管理和部署带来了一些难题。而1277星际电子游戏NAC可以基于天擎集中统一管理
，可在天擎“一体化”平台对引擎设备进行集中策略下发、设备批量升级、设备统一监测、区域分权管理等方式
，适应超大规模用户的部署
，多种灵活的手段满足大型网络架构下的业务管理需求
，解决了传统方式的独立管理、散兵模式的部署难题。

    同时
，这种一体化管理显著减轻了用户运维人员的工作量。另一方面
，由于NAC和天擎终端安全进行一体化的联动
，使得终端只需打开一个进程
，避免多进程对计算资源的消耗。

    第三是旁路部署可不改变既有架构
，实施成本更低。

    1277星际电子游戏NAC方案的最显著优势就是部署更灵活。NAC可采用旁路部署方式
，对网络环境依赖较小
，不改变用户网络架构
，支持集中和分布式部署方式。而且
，该产品支持多种准入技术混合部署模式
，可实现核心区域的准入控制、终端层的准入控制、接入层边界的准入控制
，满足不同场景下的应用部署需求。

    最后是支持多种认证方式
，满足用户入网多样性需求。

    天擎强制合规组件支持多凭证认证方式
，支持用户名密码、主机MID、MAC、快速认证应用准入等多种凭证认证方式
，支持多条件绑定认证入网
，满足用户入网多样性需求建立多层入网防护体系
，兼容与AD、LDAP等联动认证。同时
，它确保实名制统一认证管理
，使终端接入管理变得安全、透明、可控
，满足信息安全管理要求。

强管控显著降低风险
，安全事件实现“零事故”

    “我们使用最严格的安全准入制度
，初期给医院的医生、科研人员及相关员工带来的操作不便等问题
，是显而易见的。”李科长回忆到
，“刚开始部分科室
，例如急诊科
，反馈比较多
，但磨合一段时间之后
，大家意识到安全的必要性和重要性
，很快适应了新的安全准入管理体系。”

    “安全不能抱有侥幸心理
，严格合规是1277星际电子游戏红线
，不能贪图便利就放弃安全”。王院长反复强调了安全意识的重要性。据介绍
，随着时间的推进
，以及安全准入项目的实施
，这些安全意识和理念
，逐渐渗透到深圳市人民医院每个员工的头脑意识之中
，整个安全的要求
，不再是负担
，而是日常的习惯。

    安全准入项目上线到现在
，深圳市人民医院真正实现了安全事件“零事故”
，相比之前每年有数起的情况
，有了立竿见影的显著效果。不仅如此
，在每年组织的实战攻防演习中
，深圳市人民医院均实现了核心目标“零失陷”的佳绩。