信息系統(tǒng)安全培訓(xùn)

1、信息系統(tǒng)安全由NordriDesign提供信息系統(tǒng)安全 參考文獻計算機信息系統(tǒng)-安全保護等級劃分準(zhǔn)則 GB 17859-1999信息系統(tǒng)安全等級保護實施指南 GB/T 信息系統(tǒng)安全等級保護定級指南 GB/T 222402008信息安全技術(shù)-信息系統(tǒng)安全等級保護基本要求 GB/T 222392008醫(yī)療機構(gòu)信息系統(tǒng)安全等級保護基本要求信息系統(tǒng)安全 主題信息系統(tǒng)安全基本要求 信息系統(tǒng)安全等級劃分 信息系統(tǒng)安全技術(shù)要求 信息系統(tǒng)安全管理要求醫(yī)療機構(gòu)信息系統(tǒng)安全等級保護 安全模型 安全威脅 安全目標(biāo) 安全基本要求信息系統(tǒng)安全基本要求 信息系統(tǒng)安全等級劃分第一級:用戶自主保護級；第二級:系統(tǒng)審計保護級；

2、第三級:安全標(biāo)記保護級；第四級:結(jié)構(gòu)化保護級；第五級:訪問驗證保護級信息系統(tǒng)安全基本要求 技術(shù)要求物理安全：物理位置，物理訪問控制，防盜竊和破壞，防雷擊，防火等。網(wǎng)絡(luò)安全：結(jié)構(gòu)安全，訪問控制，安全審計，入侵防范，惡意代碼防范等。主機安全：身份鑒別，訪問控制，安全審計，入侵防范，惡意代碼防范，資源控制等。應(yīng)用安全：身份鑒別，訪問控制，安全審計，抗抵賴，軟件容錯等。數(shù)據(jù)安全與備份恢復(fù)：數(shù)據(jù)完整性，數(shù)據(jù)保密性，備份與恢復(fù)。信息系統(tǒng)安全基本要求 管理要求安全管理制度：管理制度，制定與發(fā)布，評審與修訂。安全管理機構(gòu)：崗位設(shè)置，人員配備，授權(quán)與審批，溝通與合作，審核與檢查。人員安全管理：人員錄用，人員離崗

3、，人員考核，安全意識教育與培訓(xùn)，外部人員訪問管理。系統(tǒng)建設(shè)管理：系統(tǒng)定級，安全方案設(shè)計，產(chǎn)品采購與使用，工程實施，測試、驗收與交付。系統(tǒng)運維管理：環(huán)境管理，介質(zhì)管理，設(shè)備管理，監(jiān)控管理和安全管理中心，網(wǎng)絡(luò)安全管理，系統(tǒng)安全管理，密碼管理，備份和恢復(fù)管理，安全事件處理，應(yīng)急預(yù)案管理。醫(yī)療機構(gòu)信息系統(tǒng)安全保護 安全模型技術(shù)模型醫(yī)療機構(gòu)信息系統(tǒng)安全保護管理模型醫(yī)療機構(gòu)信息系統(tǒng)安全保護 安全威脅硬件安全危險標(biāo)號標(biāo)號威脅描述威脅描述1雷擊、地震和臺風(fēng)等自然災(zāi)難2水患和火災(zāi)等災(zāi)害3高溫、低溫、多雨等原因?qū)е聹囟?、濕度異?電壓波動5供電系統(tǒng)故障6靜電和外界電磁干擾7通信線路因線纜老化等原因?qū)е聯(lián)p壞或傳輸質(zhì)

4、量下降8存儲介質(zhì)老化或質(zhì)量問題等導(dǎo)致不可用9網(wǎng)絡(luò)設(shè)備、系統(tǒng)設(shè)備及其他設(shè)備使用時間過長或質(zhì)量問題等導(dǎo)致硬件故障醫(yī)療機構(gòu)信息系統(tǒng)安全保護軟件安全威脅標(biāo)號標(biāo)號威脅描述威脅描述1系統(tǒng)軟件、應(yīng)用軟件運行故障2系統(tǒng)軟件、應(yīng)用軟件過度使用內(nèi)存、CPU等系統(tǒng)資源3應(yīng)用軟件、系統(tǒng)軟件缺陷導(dǎo)致數(shù)據(jù)丟失或系統(tǒng)運行中斷醫(yī)療機構(gòu)信息系統(tǒng)安全保護人員誤操作安全威脅標(biāo)號標(biāo)號威脅描述威脅描述1設(shè)施、通信線路、設(shè)備或存儲介質(zhì)因使用、維護或保養(yǎng)不當(dāng)?shù)仍驅(qū)е鹿收?授權(quán)用戶操作失誤導(dǎo)致系統(tǒng)文件被覆蓋、數(shù)據(jù)丟失或不能使用3授權(quán)用戶對系統(tǒng)錯誤配置或更改醫(yī)療機構(gòu)信息系統(tǒng)安全保護惡意安全威脅標(biāo)號標(biāo)號威脅描述威脅描述1攻擊者利用非法手段進入

5、機房內(nèi)部盜竊、破壞等2攻擊者非法物理訪問系統(tǒng)設(shè)備、網(wǎng)絡(luò)設(shè)備或存儲介質(zhì)等3攻擊者利用分布式拒絕服務(wù)攻擊等拒絕服務(wù)攻擊工具，惡意地消耗網(wǎng)絡(luò)、操作系統(tǒng)和應(yīng)用系統(tǒng)資源，導(dǎo)致拒絕服務(wù)4攻擊者利用網(wǎng)絡(luò)協(xié)議、操作系統(tǒng)、應(yīng)用系統(tǒng)漏洞，越權(quán)訪問文件、數(shù)據(jù)或其他資源5攻擊者利用網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計缺陷旁路安全策略，未授權(quán)訪問網(wǎng)絡(luò)6攻擊者利用偽造客戶端進入綜合業(yè)務(wù)、臨床業(yè)務(wù)等綜合業(yè)務(wù)、臨床業(yè)務(wù)等系統(tǒng)，進行非法訪問7攻擊者截獲、讀取、破解介質(zhì)的信息或剩余信息，進行電子電子病歷、藥劑藥品用量病歷、藥劑藥品用量等敏感信息的竊取醫(yī)療機構(gòu)信息系統(tǒng)安全保護 安全目標(biāo)醫(yī)療機構(gòu)信息系統(tǒng)的安全保護能力主要體現(xiàn)為：應(yīng)能夠防護系統(tǒng)免受來自外部小型組織的、擁有少量資源的威脅源發(fā)起的惡意攻擊、一般的自然災(zāi)難、以及其他相當(dāng)危害程度的威脅所造成的重要資源損害，能夠發(fā)現(xiàn)重要的安全漏洞和安全事件，在系統(tǒng)遭到損害