等保 2.0 在医疗卫生行业 的应用探索 广州竞远安全技术股份有限公司 测评中心技术总监刘晓彬 1
公司介绍 广州竞远安全技术股份有限公司成立于 2003 年, 是一家致力于服务信息网络安全产业的专业安全服务机构, 拥有实力雄厚和技术过硬的专业团队, 具有丰富的等级测评 风险评估 渗透测试 安全监测 安全应急 安全巡检 安全咨询 安全培训等全方位安全服务经验 为广大政府机关 企事业单位及各行业提供专业的安全服务 2
资质荣誉 信息安全等级保护测评机构粤 -001 高新技术企业 GR201244000358 2015 2016 年度全国等级保护测评机构先进单位 计算机信息系统安全服务机构粤 GA-020038 CNAS-CI01( 检查机构能力认可准则 ) 质量管理体系认证 (ISO9001) 3
医疗卫生行业新技术的应用 目前, 有一种应用正在热推, 说的是 : 一种将医院 病人 医疗设备相整合的新医疗模式 --- 物联网医学 不久的将来, 病人只需在家佩戴好仪器, 打开开关将检测数据传送到 云端, 医生只要有网络以及手机 电脑等设备, 即使相隔万里, 也可实时诊断 这是物联网医学, 在技术上覆盖了物联网 云计算 移动互联网 大数据 人工智能 ( 数据挖掘和机器学习 ) 等一系列新技术新应用 移动检测救护 远程诊断 专家会诊 4
佩戴的仪器 ( 无线传感器 / 电子标签 (RFID 射频识别 )/ 读写器 )---- 无线路由器 ( 拨号器 ) 连接互联网 ( 无线网关 )---- 控制中心 ( 云端 ) 物联网 医生通过网络以及手机 电脑等设备 云计算 大数据 人工智能 移动互联网 传统网络 移动检测救护 检测一体机从云端取数据进行自动诊断 工业控制系统 5
新技术新应用产生新的安全问题 医疗卫生行业对移动互联 云计算 大数据 物联网和工业控制等新技术的应用, 给大众带来便利的同时也带来新的安全隐患 根据等保 1.0 开展信息安全等级保护工作, 有很多指标已经不太适用 等保 2.0 就是为了解决新技术新应用带来的信息安全等级保护建设指标不适用而提出 6
等保 2.0 发展路线 7
等保 2.0 技术框架 8
等保 2.0 三类定级对象 网络安全法 关键信息基础设施的安全保护等级不低于第三级 9
等保 2.0 新标准组成 在等保 2.0, 信息安全等级保护基本要求 更名为 网络安全等级保护基本要求, 与 中华人民共和国网络安全法 保持一致, 由五个部分组成 : 安全通用要求 云计算安全扩展要求 移动互联安全扩展要求 物联网安全扩展要求 工业控制系统安全扩展要求 10
(1) 定级的比较 原标准 第二级 新标准 第三级 11
(2) 安全通用要求的比较 新标准 :8 个层面 原标准 :10 个层面 物理和环境安全 物理安全 技术要求 网络和通信安全设备和计算安全 技术要求 网络安全主机安全 应用和数据安全 应用安全 安全策略和管理制度 数据安全及备份恢复 管理要求 安全管理机构和人员安全建设管理安全运维管理 管理要求 安全管理制度安全管理机构人员安全管理系统建设管理 系统运维管理 12
(3) 安全通用要求控制点 要求项数量比较 安全要求类层面一级二级三级四级 技术要求 管理要求 物理和环境安全 7 10 10 10 网络和通信安全 4 6 8 8 设备和计算安全 4 6 6 6 应用和数据安全 5 9 10 10 安全策略和管理制度 1 4 4 4 安全管理机构和人员 7 9 9 9 安全建设管理 7 10 10 10 安全运维管理 8 14 14 14 新标准控制点 / 43 68 71 71 旧标准控制点 / 48 66 73 77 新标准要求项 / 59 145 231 241 旧标准要求项 / 85 175 290 318 13
(4) 安全通 用要求的 子项比较 技术方向 : 网络设备 安全设备 服务器 数据库 中间件 重要终端等 网络环境 网络结构等的整体安全 新标准 对应网络安全法这方面在医疗行业更突出 技术 / 管理分类 安全控制点 分类 安全控制点 物理位置选择 物理位置的选择 物理访问控制 物理访问控制 防盗窃和防破坏 防盗窃和防破坏 防雷击 防雷击 物理和环境防火防火物理安全安全防水和防潮防水和防潮 防静电 防静电 温湿度控制 温湿度控制 电力供应 电力供应 电磁防护电磁防护指标混网络架构结构安全通信传输在一起, 可信路径网络设备防护 边界防护边界完整性检查网络和通信访问控制作用不访问控制网络安全安全入侵防范入侵防范明确恶意代码防范恶意代码防范 安全审计 安全审计 集中管控安全技术身份鉴别身份鉴别要求访问控制访问控制 设备和计算安全审计安全审计剩余信息保护主机安全安全入侵防范原标准入侵防范 恶意代码防范 恶意代码防范 资源控制 资源控制 身份鉴别 身份鉴别 访问控制 访问控制 安全审计 安全审计 软件容错 软件容错 资源控制 资源控制 数据完整性通信完整性应用和数据数据保密性应用安全通信保密性安全数据安全及备份数据备份恢复恢复 数据完整性 数 剩余信息保护 剩余信息保护 据保密性 备份和恢复 个人信息保护 抗抵赖 14
技术方向 : 新标准 防火墙 综合网管系统 加解密功能的设备 网闸 终端管理系统 网络设备 ( 路由器 交换机 ) 无线网络设备 应用层防火墙 入侵保护系统 入侵检测系统 抗 APT 攻击 抗 DDoS 攻击 网络回溯系统 防病毒网关 UTM 反垃圾邮件网关 上网行为管理系统 综合安全审计系统 数据库审计系统 提供集中安全管控功能的系统 技术 / 管理分类 安全技术要求 物理和环境安全 网络和通信安全 设备和计算安全 应用和数据安全 安全控制点物理位置选择物理访问控制防盗窃和防破坏防雷击防火防水和防潮防静电温湿度控制电力供应电磁防护网络架构通信传输边界防护访问控制入侵防范恶意代码防范安全审计集中管控身份鉴别访问控制安全审计入侵防范恶意代码防范资源控制身份鉴别访问控制安全审计软件容错资源控制数据完整性数据保密性 数据备份恢复 剩余信息保护 个人信息保护 路由器 交换机 防火墙 综合网管系统 加解密功能的设备或组件 网闸 防火墙 路由器 交换机 终端管理系统 网络设备 无线网络设备 网闸 防火墙 路由器 交换机 应用层防火墙 入侵保护系统 入侵检测系统 抗 APT 攻击 抗 DDoS 攻击和网络回溯等系统或设备 防病毒网关和 UTM 反垃圾邮件网关 上网行为管理系统或综合安全审计系统 路由器 交换机和防火墙 路由器 交换机 防火墙 综合网管系统 综合安全审计系统 数据库审计系统 提供集中安全管控功能的系统 15
16 技术 / 管理分类安全控制点分类安全控制点安全管理要求安全策略和管理制度安全策略管理制度安全管理制度管理制度制定和发布制定和发布评审和修订评审和修订安全管理机构和人员岗位设置安全管理机构岗位设置人员配备人员配备授权和审批授权和审批沟通和合作沟通和合作审核和检查审核和检查人员录用人员安全管理人员录用人员离岗人员离岗人员考核安全意识教育和培训安全意识教育和培训外部人员访问管理外部人员访问管理安全建设管理定级和备案系统建设管理系统定级系统备案安全方案设计安全方案设计产品采购和使用产品采购和使用自行软件开发自行软件开发外包软件开发外包软件开发工程实施工程实施测试验收测试验收系统交付系统交付等级测评等级测评服务供应商管理安全服务商选择安全运维管理环境管理系统运维管理环境管理资产管理资产管理介质管理介质管理设备维护管理设备管理漏洞和风险管理监控管理和安全管理中心网络安全管理系统安全管理网络与系统安全管理恶意代码防范管理恶意代码防范管理配置管理密码管理密码管理变更管理变更管理备份与恢复管理备份与恢复管理安全事件处置安全事件处置应急预案管理应急预案管理外包运维管理 管理方向 : 新标准原标准通过定期的配置核查 漏洞扫描 渗透测试 日志分析等手段动态发现风险和管理风险对应网络安全法
17 (5) 云计算安全扩展要求技术要求物理和环境安全网络和通信安全网络架构访问控制入侵防范安全审计设备和计算安全身份鉴别访问控制安全审计入侵防范恶意代码防范资源控制镜像和快照保护应用数据安全安全审计资源控制接口安全数据完整性数据保密性数据备份恢复剩余信息保护管理要求安全管理机构和人员系统安全建设管理安全方案设计测试验收云服务商选择供应链管理系统安全运维管理网络资源隔离措施 综合网管系统 云管理平台 网络设备 安全设备或管理平台 虚拟机 广播网段 虚拟机监视器 资源池 业务系统 相关接口, 相关服务 云平台 安全访问路径 访问控制机制 网络边界设备 虚拟化网络边界设备 虚拟机迁移记录及相关配置 云服务方管理平台 云租户管理系统 虚拟化网络边界访问控制设备 边界访问控制机制 边界访问控制设备 网络入侵防范设备 入侵防范措施 网络虚拟化设备 审计数据收集系统或设备 审计数据汇集接口
18 (6) 移动互联安全扩展要求技术要求物理和环境安全网络和通信安全网络架构边界防护访问控制入侵防范通信传输安全审计网络设备防护设备和计算安全身份鉴别移动终端管控应用管控安全审计入侵防范恶意代码防范资源控制应用数据安全身份鉴别软件审核与检测数据完整性数据保密性数据备份恢复管理要求安全策略和管理制度安全管理机构和人员岗位设备人员配备授权和审批安全意识教育和培训系统安全建设管理安全方案设计产品采购和使用移动应用软件开发工程实施测试验收系统交付服务供应商选择系统安全运维管理资产维护管理设备维护管理漏洞和风险管理应用软件来源管理恶意代码防范管理配置管理监控和审计管理备份与恢复管理安全事件处置无线接入网关 无线接入设备 入侵防范设备 移动应用软件 (APP) 移动终端
(7) 物联网安全扩展要求 技术要求 物理和环境安全网络和通信安全设备和计算安全应用数据安全 终端感知节点设备 ( 包括 RFID 标签 ) 的物理和环境安全 感知网关节点设备 ( 包括 RFID 读写器 ) 的物理和环境安全 数据源认证感知节点设备访问控制异构网安全接入 终端感知节点设备 ( 包括 RFID 标签 ) 的设备安全 感知网关节点设备 ( 包括 RFID 读写器 ) 的设备安全 访问控制资源控制在线更新抗数据重放抗功耗攻击设备工作状态信息保护数据完整性数据保密性数据可用性 感知终端 物联网应用服务器 传感网入网访问控制设备 感知层网关 异构网接入认证系统 物联网网关 ( 连接异构网的物联网网关 ) 各接入网网关 系统安全建设管理 自行研发感知节点设备 ( 包括 RFID) 外包研发感知节点设备 ( 包括 RFID) 管理要求 系统安全运维管理 感知节点设备 ( 包括 RFID) 环境管理 感知节点设备 ( 包括 RFID) 监控管理和安全管理中心 感知节点设备 ( 包括 RFID) 备份与恢复管理 19
(8) 工业控制系统安全扩展要求 技术要求 物理安全边界防护集中管控 生产管理层安全要求 网络和通信安全 设备和计算安全 应用和数据安全 网络架构通信传输无线使用控制访问控制入侵防范恶意代码防范安全审计身份鉴别访问控制安全审计入侵防范恶意代码防范 资源控制无线使用控制身份鉴别访问控制安全审计软件容错资源控制数据完整性数据保密性数据备份恢复剩余信息保护 过程监控层安全要求 路由器 交换机和防火墙 综合网管系统 加解密设备或组件 网闸 网络准入控制系统或设备 无线网络设备 应用层防火墙 拨号服务类设备 IPS IDS 抗 APT 攻击 防 DDoS 网络回溯 防病毒网关和 UTM 防垃圾邮件网关 上网行为管理系统 日志审计类设备 集中安全管控系统 综合安全审计系统 数据库审计系统 集中安全管控系统 网络和通信安全 设备和计算安全 应用和数据安全 网络架构 通信传输无线使用控制访问控制入侵防范安全审计 身份鉴别访问控制安全审计入侵防范恶意代码防范资源控制 无线使用控制身份鉴别访问控制安全审计软件容错资源控制数据完整性数据保密性数据备份恢复剩余信息保护 现场控制层安全要求 网络和通信安全 设备和计算安全 应用和数据安全 网络架构通信传输无线使用控制访问控制入侵防范恶意代码防范安全审计身份鉴别安全审计入侵防范资源控制数据完整性数据保密性数据备份恢复 管理要求 ( 通用要求 ) 20
等保 2.0 在医疗卫生行业的应用 根据等保 2.0 新标准, 医疗行业 : 首先需要对现有信息系统进行疏理, 明确属于云计算系统 ( 平台还是租户 ) 移动互联网系统 物联网系统 工业控制系统 传统信息系统中的哪一种 然后根据相关类型及等级选择对应的等级保护指标进行安全建设 再委托具有测评资质的测评机构进行安全等级保护测评, 找出差距并进行整改加固 最后通过备案 传统信息系统 : 安全通用要求云计算系统 : 安全通用要求 + 云计算安全扩展要求移动互联网系统 : 安全通用要求 + 移动互联安全扩展要求物联网系统 : 安全通用要求 + 物联网安全扩展要求工业控制系统 : 安全通用要求 + 工业控制系统安全扩展要求 物联网医疗系统 : 安全通用要求 + 云计算安全扩展要求 + 移动互联安全扩展要求 + 物联网安全扩展要求 + 工业控制系统安全扩展要求 21
云计算平台测评过程与方法 场景测试 : 边界 1 安全测试 : 通过外部渗透测试与边界安全产品检查相结合方式测试互联网边界安全隔离防护状况, 租用虚拟机测试不同的安全防护策略 ; 边界 2 安全测试 : 通过租用虚拟机进行内部渗透, 测试虚拟机与宿主机之间的安全边界防护状况 ; 边界 3 安全测试 : 通过模拟多租户租用虚拟机场景, 内部渗透测试虚拟机与虚拟机的安全边界防护状况 ; 边界 4 安全测试 : 通过内部渗透测试与配置检查相结合方式测试内部网络间的安全边界防护状况 22
谢谢大家 刘晓彬 13543463513 liuxb@chinagdn.com 广州竞远安全技术股份有限公司 23