醫(yī)療機構信息系統(tǒng)安全等級保護基本要求

醫(yī)療機構信息系統(tǒng)安全等級保護基本要求 上海市衛(wèi)生局信息中心 上海市信息安全測評認證中心 二 八 年 十 月 2 目 錄 1 前言 . 7 2 范圍 . 7 3 一般模型 . 7 3.1 技術模型 . 8 3.2 管理模型 . 9 3.3 應用模型 . 10 4 定級指導 . 15 5 威脅分析 . 15 6 安全目標 . 18 6.1 技術目標 . 18 6.2 管理目標 . 21 7 安全要求（要素表） . 23 8 安全基本要求 . 28 8.1 二級（一般）安全要求 . 28 8.1.1 技術要求 . 28 8.1.1.1 物理安全 . 28 8.1.1.1.1 物理位置的選擇 . 28 8.1.1.1.2 物理訪問控制 . 28 8.1.1.1.3 防盜竊 和防破壞 . 29 8.1.1.1.4 防雷擊 . 29 8.1.1.1.5 防火 . 29 8.1.1.1.6 防水和防潮 . 29 8.1.1.1.7 防靜電 . 30 8.1.1.1.8 溫濕度控制 . 30 8.1.1.1.9 電力供應 . 30 8.1.1.1.10 電磁防護 . 30 8.1.1.2 網(wǎng)絡安全 . 31 8.1.1.2.1 結構安全 . 31 8.1.1.2.2 訪問控制 . 31 8.1.1.2.3 邊界完整性檢查 . 31 8.1.1.2.4 網(wǎng)絡設備防護 . 31 8.1.1.2.5 網(wǎng)絡可用性 . 32 8.1.1.3 主機系統(tǒng)安全 . 32 8.1.1.3.1 身份鑒別 . 32 8.1.1.3.2 訪問控制 . 32 8.1.1.3.3 安全審計 . 33 8.1.1.3.4 惡意代碼防范 . 33 8.1.1.3.5 資源控制 . 33 8.1.1.3.6 主機可用性 . 33 8.1.1.4 應用安全 . 33 8.1.1.4.1 身份鑒別 . 33 3 8.1.1.4.2 訪問控制 . 34 8.1.1.4.3 安全審計 . 34 8.1.1.4.4 通信完整性 . 35 8.1.1.4.5 通信保密性 . 35 8.1.1.4.6 軟件容錯 . 35 8.1.1.4.7 資源 控制 . 35 8.1.1.5 數(shù)據(jù)安全 . 35 8.1.1.5.1 完整性 . 35 8.1.1.5.2 數(shù)據(jù)保密性 . 35 8.1.1.5.3 備份和恢復 . 36 8.1.2 管理要求 . 36 8.1.2.1 安全管理制度 . 36 8.1.2.1.1 管理制度 . 36 8.1.2.1.2 制定和發(fā)布 . 36 8.1.2.1.3 評審和修訂 . 37 8.1.2.2 安全管理機構 . 37 8.1.2.2.1 崗位設置 . 37 8.1.2.2.2 人員配備 . 37 8.1.2.2.3 授權和審批 . 37 8.1.2.2.4 溝通和合作 . 37 8.1.2.2.5 審核和檢查 . 38 8.1.2.3 人員安全管理 . 38 8.1.2.3.1 人員錄用 . 38 8.1.2.3.2 人員離崗 . 38 8.1.2.3.3 人員考核 . 38 8.1.2.3.4 安全意識教育和培訓 . 38 8.1.2.3.5 外部人員訪問管理 . 39 8.1.2.4 系統(tǒng)建設管理 . 39 8.1.2.4.1 系統(tǒng)定級 . 39 8.1.2.4.2 安全方案設計 . 39 8.1.2.4.3 產(chǎn)品采購 . 40 8.1.2.4.4 自行軟件開發(fā) . 40 8.1.2.4.5 外包軟件開發(fā) . 40 8.1.2.4.6 工程實施 . 40 8.1.2.4.7 測試驗收 . 41 8.1.2.4.8 系統(tǒng)交付 . 41 8.1.2.4.9 安全服務商 選擇 . 41 8.1.2.5 系統(tǒng)運維管理 . 41 8.1.2.5.1 環(huán)境管理 . 41 8.1.2.5.2 資產(chǎn)管理 . 42 8.1.2.5.3 介質(zhì)管理 . 42 8.1.2.5.4 設備管理 . 42 8.1.2.5.5 監(jiān)控管理 . 43 8.1.2.5.6 網(wǎng)絡安全管理 . 43 4 8.1.2.5.7 系統(tǒng)安全管理 . 43 8.1.2.5.8 惡意代碼防范管理 . 44 8.1.2.5.9 密碼管理 . 44 8.1.2.5.10 變更管理 . 44 8.1.2.5.11 備份與恢復管理 . 44 8.1.2.5.12 安全事件處置 . 45 8.1.2.5.13 應急預案管理 . 45 8.2 二級（增強）安全要求 . 46 8.2.1 技術要求 . 46 8.2.1.1 物理安全 . 46 8.2.1.1.1 物理位置的選擇 . 46 8.2.1.1.2 物理訪問控制 . 46 8.2.1.1.3 防盜竊和防破壞 . 46 8.2.1.1.4 防雷擊 . 47 8.2.1.1.5 防火 . 47 8.2.1.1.6 防水和防潮 . 47 8.2.1.1.7 防靜電 . 47 8.2.1.1.8 溫濕度控制 . 47 8.2.1.1.9 電力供應 . 48 8.2.1.1.10 電磁防護 . 48 8.2.1.2 網(wǎng)絡安全 . 48 8.2.1.2.1 結構安全 . 48 8.2.1.2.2 訪問控制 . 49 8.2.1.2.3 安全 審計 . 49 8.2.1.2.4 邊界完整性檢查 . 49 8.2.1.2.5 入侵防范 . 49 8.2.1.2.6 網(wǎng)絡設備防護 . 49 8.2.1.2.7 網(wǎng)絡可用性 . 50 8.2.1.3 主機系統(tǒng)安全 . 50 8.2.1.3.1 身份鑒別 . 50 8.2.1.3.2 訪問控制 . 50 8.2.1.3.3 安全審計 . 51 8.2.1.3.4 入侵防范 . 51 8.2.1.3.5 惡意代碼防范 . 51 8.2.1.3.6 資源控制 . 51 8.2.1.3.7 主機可用性 . 51 8.2.1.4 應用安全 . 52 8.2.1.4.1 身份鑒別 . 52 8.2.1.4.2 訪問控制 . 52 8.2.1.4.3 安全審計 . 53 8.2.1.4.4 剩余信息保護 . 53 8.2.1.4.5 通信完整性 . 53 8.2.1.4.6 通信保密性 . 53 8.2.1.4.7 軟件容錯 . 53 5 8.2.1.4.8 資源控制 . 54 8.2.1.5 數(shù)據(jù)安全 . 54 8.2.1.5.1 完整性 . 54 8.2.1.5.2 數(shù)據(jù)保密性 . 54 8.2.1.5.3 備份和恢復 . 54 8.2.2 管理要求 . 55 8.2.2.1 安全管理制度 . 55 8.2.2.1.1 管理制度 . 55 8.2.2.1.2 制定和發(fā)布 . 55 8.2.2.1.3 評審和修訂 . 55 8.2.2.2 安全管理機構 . 56 8.2.2.2.1 崗位設置 . 56 8.2.2.2.2 人員配備 . 56 8.2.2.2.3 授權和審批 . 56 8.2.2.2.4 溝