构建医疗行业信息安全防护体系.pdf

融合应变按需安全构建医疗行业安全防护体系方正信息安全技术有限公司首席安全咨询顾问沈传宝CISSP/CISP/OCPMSN/GTalk:[e-mail]目录•驱动力信息安全应变之难•方法论信息安全建设之道•构建和谐方正信息安全解决方案融合创造价值应变构建和谐安全事件分布美国联邦调查局对2066家公司和组织进行了调查发生概率排在前四位的是：1）病毒；2）笔记本电脑或移动设备被窃；3）内部网络资源滥用；4）未授权访问。安全事件的损失病毒感染导致最大损失未授权的访问排名第二笔记本电脑等移动设备失窃和重要数据被窃取则列居三四位。这四种类型的损失占了所有损失总数的80%左右。安全威胁方的分布信息技术与互联网的发展互联网的变迁：过去TCP/IPFTPEmailTelnet现在TCP/IPP2PBBShttp互联网应用的改变导致了各种混合型威胁的出现应用的扩展给应对这种混合型威胁带来巨大困难.恶意软件已经成为一种产业惊心动魄的数字截止到目前为止全球最大的僵尸网络中有28000000台PC2007年上半年全国计算机感染台数760万台与去年同期相比增长了12.2%。其中有50万受木马控制。网络攻击手段的融合当前威胁不可避免另一方面：国家政策、行业规范信息系统等级保护是国家信息安全的基本制度：2003年中央办公厅、国务院办公厅转发《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）2007年6月22日公安部、国家保密局、国家密码管理委员会办公室、国务院信息化工作办公室等四部委发布的《信息安全等级保护管理办法》（公通字[2007]43号）2007年等级保护的推广实施之年7月16日发布“关于开展全国重要信息系统安全等级保护定级工作的通知”（公信安[2007]861号）7月20日召开“全国重要信息系统安全等级保护定级工作电视电话会议”部署在全国范围内开展重要信息系统安全等级保护定级工作。7月31日中央部委定级工作培训会议各行各业政策和规范党政机关：《党政机关信息系统安全指南》、《电子政务信息安全等级保护实施指南》、《党政机关信息系统安全测评规范》、《电子政务信息安全保障技术框架》中国移动：《中国移动网络安全评估规范》、《中国移动支撑系统安全域划分与边界整合技术要求》税务：《税务系统信息安全风险评估指南》、《税务系统网络信息安全管理规范》电监会：《电力二次系统安全防护规定》证监会：《证券期货业信息安全保障管理暂行办法》保监会：保险公司内部控制制度建设指导方针（1999年131号文）美国医疗行业的安全法案HealthInsurancePortabilityandAccountabilityAct(HIPAA)WhitePaper:HealthInformationSecurityEnactedbytheU.S.Congressin1996andbecameeffectiveJuly11997Require