年來，醫(yī)院圍繞互聯(lián)互通數(shù)據(jù)共享、電子健康卡多卡融合、優(yōu)化流程信息惠民、分級診療區(qū)域協(xié)同等四大主題多措并舉，為患者打造診前、診中、診后全流程的線上線下一體化就醫(yī)服務。以全鏈條、全方位的“智慧”醫(yī)療服務，極大減少患者候診時間，有效緩解“看病煩、流程繁”的問題，切實提高老百姓的就醫(yī)滿意度。
目前，醫(yī)院已順利通過國家智慧服務三級評審，成為全國首批、全省首家通過該評審的醫(yī)院。
隨著醫(yī)院信息化建設的深入發(fā)展，支撐醫(yī)院業(yè)務開展的各類系統(tǒng)越來越龐大，如何安全穩(wěn)定運營其重要性不言而喻，依據(jù)現(xiàn)狀情況，從安全產(chǎn)品視角和運維管理視角分析，目前面臨如下現(xiàn)狀：
一、從已有的安全產(chǎn)品視角分析
1、醫(yī)院部署的數(shù)據(jù)庫審計產(chǎn)品主要對業(yè)務系統(tǒng)訪問數(shù)據(jù)庫進行審計，但：
· 對于數(shù)據(jù)庫的使用人員，通過Navicat、PL/SQL、Toad其他數(shù)據(jù)庫客戶端訪問時，無法審計。
· 無法精細化到數(shù)據(jù)賬戶級別的操作審計。
· 無法做到聚焦敏感數(shù)據(jù)，并實現(xiàn)權限設置及管控。
· 對高危操作或高危命令的執(zhí)行無能為力，數(shù)據(jù)庫用戶直連數(shù)據(jù)庫時無法審計，難以實現(xiàn)事后追溯。
2、堡壘機實現(xiàn)了運維安全管理等，但：
· 在數(shù)據(jù)庫運維管理、跟蹤數(shù)據(jù)庫運維操作和運維工具防偽造等方面無法做到威脅阻斷。
· 對登入數(shù)據(jù)庫之后的訪問控制存在盲點。
· 缺乏數(shù)據(jù)庫運維流程化的權限管控機制。
· 無法實現(xiàn)對數(shù)據(jù)庫DBA權限、Schema對象權限、普通管理員權限分離管控，以及字段級別的權限控制。
二、從數(shù)據(jù)及運維安全管理的視角分析
1、DBA管理數(shù)據(jù)庫時通過直連數(shù)據(jù)庫方式，不能有效進行權限的管控和行為的審計，存在安全隱患。
2、開發(fā)人員若需要訪問數(shù)據(jù)庫也是通過直連數(shù)據(jù)庫方式，同樣存在不能有效進行權限的管控和行為的審計，存在安全隱患。
3、缺乏對數(shù)據(jù)庫各級管理員的權限管控和高危操作的約束，存在安全隱患。
4、對敏感數(shù)據(jù)沒有技術防護和管理手段，易造成數(shù)據(jù)泄露，給企業(yè)帶來運營和聲譽風險。
5、不能對重要數(shù)據(jù)進行動態(tài)實時的屏蔽、遮蓋、變形處理，存在數(shù)據(jù)泄露風險。
6、對訪問數(shù)據(jù)庫的來源合法性沒有進行嚴格校驗，當出現(xiàn)數(shù)據(jù)庫用戶和密碼泄露，就會造成直接的風險等。
浙公網(wǎng)安備 33010502006954號 
