1、安全隐患的背景

　　当前医院各类信息系统数据库存在大量的安全威胁和监管漏洞，主要有三类信息安全问题：

　　患者隐私信息批量泄密风险

　　从患者入院登记到治疗、安排手术，需要经过很多程序，病人的手机号码等信息，只要是有内网账号的医务人员都可以查询到。医院系统中存储大量患者隐私信息，这些信息对整个医疗产业链如医药公司、健诊中心、广告、中介、保险等行业具有重要的价值，新兴的信息倒卖公司已经将批量患者信息作为重要的商品，通过雇佣黑客入侵医院系统，或收买医院业务人员、信息中心人员、第三方维护和开发人员对批量患者数据进行窃取。

　　药品“统方”信息被非法查询风险

　　过去的几年中，“统方”事件频频发生，有关医药代表与医生、信息科人员勾结，非法获取医疗统方数据的报道层出不穷。

　　非法“统方”势头一直不减的原因是无有效的技术手段帮助医院防止“统方”，存在着无法有效区分正常统方和非法统方的行为差异，不具备主动预防信息科人员、其他业务科室、系统维护人员等各内部人群通过数据库、应用系统等主动获得处方数据的各种统方行为。

　　医疗财务数据被非法篡改风险

　　以住院费用查询系统为例，住院病人费用明细清单包括床位费用、医生诊疗费用、药品费用、检查费用等重要信息，这些医疗财务数据出现异动的原因，有可能是人为输入有误，但主要原因是被非法篡改。

　　维护人员、程序开发人员、信息中心业务人员拥有数据库的高级别权限，正常的数据维护工作和敏感数据的非法篡改，从权限上无法分离；同时，医疗信息系统往往是院方内部人员、厂商程序开发人员和实施人员共同维护数据。一旦发生了违规的数据篡改行为，也无法有效界定到底是哪方人员造成的安全事故。

　　2、安全风险与需求分析

　　2.1、风险分析

　　在医院信息系统中，数据库访问有如下渠道存在数据泄露和篡改风险：

　　1. 内网：敏感信息泄密风险

　　信息中心数据库管理员：

　　有权限直接访问数据库，随时导出所有敏感数据，目前没有任何安全措施限制管理员访问敏感信息，一旦发生泄密事件，无法免除责任；

　　开发商实施人员：

　　可通过掌握的数据库账户口令，绕开业务应用系统，直接访问医疗核心信息系统数据库；

　　内网中其他业务处室人员：

　　现有医疗系统仍然有c/s架构的客户端直接连数据库，同时数据库服务器没有安全手段，确保只接受来自于应用服务器等固定IP地址的数据访问，在知道数据库账户后，通过其他计算机的数据库客户端访问数据库导致数据泄密。

　　2.内网：敏感数据篡改风险

　　数据库DBA：可随时任意访问数据库，直接修改敏感信息；

　　实施维护人员/开发人员：

　　可通过掌握的数据库账户口令，绕过应用程序，通过其他数据库客户端工具直接访问医疗数据库，修改敏感信息；

　　3.外网：患者敏感信息批量泄漏

　　外部黑客攻击：以外网应用系统作为跳板，利用数据库的漏洞，直接进行sq注入或权限提升等操作，批量获得数据库的敏感信息；

　　DBA、实施维护、开发人员、测试人员：

　　与内网中的情况类似，都有机会直接接触数据库，获得批量敏感信息等内容。

　　2.2、需求分析

　　从使用人群上分析，信息中心、其他业务处室、厂商开发运维人员能接触到数据库敏感信息的人员有数十人，其他医疗窗口及管理人员间接接触数据库敏感信息的人员有几百人，他们有不同的应用或数据库访问权限，存在越权查询敏感信息，批量查询和导出信息等风险情况

　　从数据库访问行为控制分析，防高危操作，防SQL注入，对批量数据查询的实时告警，同时对数据库的恶意访问将记入审计日志，进行事后分析。具体的技术分析如下：

　　防止外部黑客攻击

　　威胁：黑客利用Web应用漏洞，进行SQL注入；或以Web应用服务器为跳板，利用数据库自身漏洞攻击和侵入。

　　防止内部高危操作

　　威胁：系统维护人员、外包人员、开发人员等，拥有直接访问数据库的权限，有意无意的高危操作对数据造成破坏。

　　防止敏感数据泄漏

　　威胁：黑客、开发人员可以通过应用批量下载敏感数据，内部维护人员远程或本地批量导出敏感数据。

　　审计追踪非法行为

　　威胁：业务人员在利益诱惑下，通过业务系统提供的功能完成对敏感信息的访问，进行信息的售卖和数据篡改。

　　从数据库自身安全加固的技术层面分析，在核心信息系统中至少存在以下重要数据库安全威胁，能够直接导致敏感信息泄密的发生：

　　系统维护人员导出或篡改数据

　　第三方人员直接接触敏感数据

　　因此，医院信息系统的数据库信息安全核心需求就是要重点解决以上三大数据[注]库安全威胁。此外卫生部对医疗行业“防统方”有政策要求：2010年6月21日颁发的《卫生部关于进一步深化治理医药购销领域商业贿赂工作的通知》中明确指出，“未经批准不得统方，严禁为商业目的统方”。

　　1、安全隐患的背景

　　当前医院各类信息系统数据库存在大量的安全威胁和监管漏洞，主要有三类信息安全问题：

　　患者隐私信息批量泄密风险

　　从患者入院登记到治疗、安排手术，需要经过很多程序，病人的手机号码等信息，只要是有内网账号的医务人员都可以查询到。医院系统中存储大量患者隐私信息，这些信息对整个医疗产业链如医药公司、健诊中心、广告、中介、保险等行业具有重要的价值，新兴的信息倒卖公司已经将批量患者信息作为重要的商品，通过雇佣黑客入侵医院系统，或收买医院业务人员、信息中心人员、第三方维护和开发人员对批量患者数据进行窃取。

　　药品“统方”信息被非法查询风险

　　过去的几年中，“统方”事件频频发生，有关医药代表与医生、信息科人员勾结，非法获取医疗统方数据的报道层出不穷。

　　非法“统方”势头一直不减的原因是无有效的技术手段帮助医院防止“统方”，存在着无法有效区分正常统方和非法统方的行为差异，不具备主动预防信息科人员、其他业务科室、系统维护人员等各内部人群通过数据库、应用系统等主动获得处方数据的各种统方行为。

　　医疗财务数据被非法篡改风险

　　以住院费用查询系统为例，住院病人费用明细清单包括床位费用、医生诊疗费用、药品费用、检查费用等重要信息，这些医疗财务数据出现异动的原因，有可能是人为输入有误，但主要原因是被非法篡改。

　　维护人员、程序开发人员、信息中心业务人员拥有数据库的高级别权限，正常的数据维护工作和敏感数据的非法篡改，从权限上无法分离；同时，医疗信息系统往往是院方内部人员、厂商程序开发人员和实施人员共同维护数据。一旦发生了违规的数据篡改行为，也无法有效界定到底是哪方人员造成的安全事故。

　　2、安全风险与需求分析

　　2.1、风险分析

　　在医院信息系统中，数据库访问有如下渠道存在数据泄露和篡改风险：

　　1. 内网：敏感信息泄密风险

　　信息中心数据库管理员：

　　有权限直接访问数据库，随时导出所有敏感数据，目前没有任何安全措施限制管理员访问敏感信息，一旦发生泄密事件，无法免除责任；

　　开发商实施人员：

　　可通过掌握的数据库账户口令，绕开业务应用系统，直接访问医疗核心信息系统数据库；

　　内网中其他业务处室人员：

　　现有医疗系统仍然有c/s架构的客户端直接连数据库，同时数据库服务器没有安全手段，确保只接受来自于应用服务器等固定IP地址的数据访问，在知道数据库账户后，通过其他计算机的数据库客户端访问数据库导致数据泄密。

　　2.内网：敏感数据篡改风险

　　数据库DBA：可随时任意访问数据库，直接修改敏感信息；

　　实施维护人员/开发人员：

　　可通过掌握的数据库账户口令，绕过应用程序，通过其他数据库客户端工具直接访问医疗数据库，修改敏感信息；

　　3.外网：患者敏感信息批量泄漏

　　外部黑客攻击：以外网应用系统作为跳板，利用数据库的漏洞，直接进行sq注入或权限提升等操作，批量获得数据库的敏感信息；

　　DBA、实施维护、开发人员、测试人员：

　　与内网中的情况类似，都有机会直接接触数据库，获得批量敏感信息等内容。

　　2.2、需求分析

　　从使用人群上分析，信息中心、其他业务处室、厂商开发运维人员能接触到数据库敏感信息的人员有数十人，其他医疗窗口及管理人员间接接触数据库敏感信息的人员有几百人，他们有不同的应用或数据库访问权限，存在越权查询敏感信息，批量查询和导出信息等风险情况

　　从数据库访问行为控制分析，防高危操作，防SQL注入，对批量数据查询的实时告警，同时对数据库的恶意访问将记入审计日志，进行事后分析。具体的技术分析如下：

　　防止外部黑客攻击

　　威胁：黑客利用Web应用漏洞，进行SQL注入；或以Web应用服务器为跳板，利用数据库自身漏洞攻击和侵入。

　　防止内部高危操作

　　威胁：系统维护人员、外包人员、开发人员等，拥有直接访问数据库的权限，有意无意的高危操作对数据造成破坏。

　　防止敏感数据泄漏

　　威胁：黑客、开发人员可以通过应用批量下载敏感数据，内部维护人员远程或本地批量导出敏感数据。

　　审计追踪非法行为

　　威胁：业务人员在利益诱惑下，通过业务系统提供的功能完成对敏感信息的访问，进行信息的售卖和数据篡改。

　　从数据库自身安全加固的技术层面分析，在核心信息系统中至少存在以下重要数据库安全威胁，能够直接导致敏感信息泄密的发生：

　　系统维护人员导出或篡改数据

　　第三方人员直接接触敏感数据

　　因此，医院信息系统的数据库信息安全核心需求就是要重点解决以上三大数据[注]库安全威胁。此外卫生部对医疗行业“防统方”有政策要求：2010年6月21日颁发的《卫生部关于进一步深化治理医药购销领域商业贿赂工作的通知》中明确指出，“未经批准不得统方，严禁为商业目的统方”。