项目建设背景
xx区隶属于辽宁省沈阳市，是沈阳十大市辖区之一，辖区内3个区级医疗机构、4个社区卫生服务中心、6个乡镇卫生院组成，共同面向全区约40余万常住居民提供服务。
2019年5月，国家卫健委印发《关于推进紧密型区域医疗卫生共同体建设的通知》，通知强调，通过紧密型医共体建设，进一步完善区域医疗卫生服务体系，提高区域医疗卫生资源配置和使用效率，加快提升基层医疗卫生服务能力，推动构建分级诊疗、合理诊治和有序就医新秩序。
xxx中心医院利用管理优势、技术优势和信息优势，以pg电子试玩入口的技术支持和人才培训为核心，从强基层，惠民生入手，实行医疗资源整合，实现互联共享，深入推进医联体建设，积极探索区域医联体运行发展的新思路和新模式，提高基层医疗机构的医疗技术水平和服务能力。
安全现状
医共体信息化建设需要大量的信息数据共享，医共体信息平台采集各医疗机构相关业务系统数据，包括居民个人信息、电子健康档案信息、电子病历信息等，实现区域内医疗机构间诊疗信息的共享。在这种多环境接入、数据大集中的医疗信息化平台下，医共体如何对来自内部、外部的网络攻击威胁进行统筹的安全体系与安全策略规划就显得尤为重要。
#
网络安全体系缺失
医共体各级医院进行信息化平台升级改造之前的网络安全建设较为松散，没有形成完整的统一安全体系，在网络安全检测与防护能力上都缺少基本的合规能力，针对不同的医疗卫生数据、个人数据场景没有制定基本的防护措施。
#
分支机构裸奔互联
前期为了快速打通医共体内各个分支机构与牵头医院的网络与数据互通，目前主要是通过互联网公网链路进行数据传输，一旦业务数据的端到端传输没有使用安全的协议对数据进行加密和效验，明文的数据传输极易导致相关敏感数据泄露。
#
高级威胁发现处置能力弱
由于医疗行业数据价值高，不法分子使用apt等攻击手段长期潜伏在医院数据中心，而传统的安全技术手段大多是利用已知的攻击特征对行为数据进行简单的模式匹配，因此对于高级持续性威胁，无论是在安全威胁的检测、发现还是响应、溯源等方面都存在严重不足。
#
缺乏攻击遏制与反制措施
医共体医院不同于其他行业机构，担负着救治病人的重要责任，由于网络攻击造成的医院正常运营瘫痪时有发生，在这种情况下，为医院网络安全管理人员提供事前发现攻击征兆、事中争取处置时间、事后进行取证与复盘就显得尤为重要，目前医院只注重以纵深防御体系的思路进行安全设备的堆叠，缺少针对攻击行为的有效遏制与反制手段。
#
数据安全存在隐患
医疗行业的数据以电子病历为代表包含大量的敏感信息，其中包括个人基础数据（姓名、身份证号、银行卡号、手机号码等），也包含大量的就诊信息（检验报告、诊断结果、用药信息、手术记录等），数据交换共享带来的数据集中，在数据安全生命期各个阶段如果不采取有效数据安全访问控制、监测和审计策略，会造成严重的数据安全风险。
#
缺乏高效安全运营能力
针对应用系统缺乏周期性及实时性的安全评估；针对威胁预警、安全事件研判、应急响应及安全管理决策，缺乏可提供技术支撑的有效数据。同时尚未建立成熟的信息安全人才队伍，无法开展持续的安全运营工作。
总体设计方案
1) 下级成员单位规划
医联体/医共体各个成员单位能通过卫生专网或者互联网vpn的方式访问相关业务或进行安全互联与数据上报，通过部署超融合一体机与云桌面的方式，对基层医疗卫生机构的信息化系统进行重构，提升it系统资源的利用率并降低投入成本，再通过终端安全管理软件、下一代防火墙、apt等安全软硬件对其进行安全通信网络、安全区域边界以及安全计算环境的安全合规防护与检测能力建设，保证成员单位的终端与服务环境安全，进而确保不会出现带病接入医联体/医共体集中信息平台的问题，也能有效解决数据落地导致的数据泄露等安全问题。
2) 服务平台规划
服务平台侧主要是指医联体/医共体的牵头医院或机构侧，通过信息集成平台的建设，做到医联体/医共体的应用服务与数据集中，公众能通过互联网访问各医共体及县级平台上的相关服务，也可实现成员单位间、上级医疗服务与管理机构的远程会诊、视频会务和远程培训业务，同时可与医保、药监、血液、疾控、妇幼、卫生监督等部门和单位对接。
在安全层面主要进行针对互联网安全接入、内网安全接入以及云计算平台的安全能力设计，通过部署终端安全软件、下一代防火墙、apt、堡垒机、漏洞扫描、日志审计与数据安全设备、天池或等保一体机、ailpha安全大数据平台进行全方位的一体化的合规智能防护与安全管理。
在互联网侧，医共体也可以根据自身业务需求，通过玄武盾云防护及云监测作为利用优势云端资源进行所有应用业务的前置防护，做到关口前移。
方案建设产品清单
注：清单内设备数量供参考，需基于实际情况调整。
方案价值
满足等级保护技术规范要求
围绕“一个中心，三重防护”的安全理念，从安全技术角度和安全管理角度分别建设，满足等保2.0合规政策，满足卫健委等行业监管要求。
强耦合的系统性安全能力
安恒通过平台产品将终端与网络安全产品整合，形成中枢指挥、全网响应的运作闭环，构建包括安全监测、安全防护、安全运营、安全态势、安全管理、应急处置等在内的完整安全体系。
打造纵深、立体安全防护体系
依托态势感知、人工智能、威胁情报等新技术，将应用安全防御范畴由web端进一步拓展到终端、云端等领域，同时纵深加大业务威胁感知 ，深度赋能多场景的业务与应用安全，为企业的风险管理、安全防护打造出一套多维度、多手段、多能力的全方位纵深防御体系。
建立全生命周期数据安全防护
利用数据安全管控平台数据生命周期安全防护模块提供的各种安全功能，提供从数据采集/产生、数据传输、数据存储、数据处理、数据交换到数据销毁全生命周期的数据安全防护服务，保障数据生命周期安全。
