一、案例背景

《网络安全法》21条、38条和59条明确规定了等级保护工作的必要性和重要性，医疗机构同样有义务按照等级保护要求对自身网络安全进行安全基本保障，否则一旦出现由于未落实网络安全等级保护制度造成安全事件，公安机关将依法对违法者进行相关经济和行政处罚。

二、客户需求

随着各种法律法规及医疗行业规范的出台，越来越多的医院已将信息安全建设的关注点由“要不要”做等保转移到“怎么做”等保上来，正所谓“闻道有先后，术业有专攻”，医院信息科普遍现状是业务繁杂、人员短缺，尤其缺乏网络安全专业技术人员，所以更多医院选择与专业网络安全厂商合作，根据医院信息化发展现状，有序开展网络安全等级保护建设工作。 

三、解决方案

医院等级保护建设方案的四个关键点如下：

1、体系化安全防护：构建以安全管理中心为核心的安全边界、安全计算环境、安全通信网络及安全管理支撑体系，遵循"一个中心、三重防护"的原则，确保医疗信息系统的全面安全。
2、 专项病毒防御能力：通过整合防火墙、WAF、APT等安全技术和网络空间资产治理平台，实现对勒索软件、挖矿病毒等高级威胁的联动防御，强化病毒防御能力。
3、业务安全准入机制：建立业务上线安全审批与安全准入相结合的机制，通过自动检测和一键阻断高危业务的能力，实现业务运营中的安全防御闭环。
4、 安全合规与医疗服务治理：确保整个安全体系的建设和运维满足相关法律法规要求，实现对医疗服务过程的全面安全合规保障，提升医疗服务质量和效率。

这四个关键点构成了医院等级保护建设方案的坚实基础，旨在创建一个安全、可靠、合规的医疗信息环境。

四、实际应用

通过对“银医通”系统涉及的在线挂号、移动支付、电子票据、在线问诊等互联网访问业务进行风险分析，设计了等保三级安全防护方案，对医院内网HIS、“银医通”等核心系统按照等保三级进行建设。

1、针对未知威胁攻击，通过在网络核心交换机部署APT系统实现问题分析和溯源；
2、建立业务前置服务器区，通过部署防火墙、入侵防御、网闸实现医院内网与业务前置服务器区安全隔离与数据可控交换。

五、项目效果

某县人民医院通过等级保护三级建设，实现了安全防护体系的全面升级。通过强化安全边界、计算环境、通信网络和管理中心，医院有效提升了对病毒攻击的防御能力，建立了业务安全准入机制，确保了医疗服务的连续性和数据的安全性。同时，项目满足了法律法规要求，为医院提供了一个合规、安全的医疗信息环境。