日本人xxxⅹ18hd19hd_中国一区二区_日本午夜毛片_丝瓜成人_亚洲天堂视频网站_一区二区三区 欧美

引言：

隨著信息技術的快速發展與融合創新，近年來，醫療行業將各種新技術、新業務、新終端運用到醫院與公共衛生的管理系統和各項業務功能中，對醫院、公共衛生系統進行流程化管理，實現特定的業務功能，醫院的管理水平、業務效率、服務質量都得到了極大的提升，不論對醫院還是患者，都在享受信息系統帶來的高效和便利。與此同時，用于支撐信息系統的各個環節，包括網絡、系統、終端等安全問題相互交織、相互影響，敏感信息擴散、病毒傳播、網絡攻擊、業務中斷等安全威脅日益增多，成為醫院信息管理部門不得不面臨的一個嚴峻課題，保障應用系統整體的安全、營造健康的網絡環境，面臨著前所未有的壓力和挑戰。

醫院信息化安全建設之路沒有盡頭，從技術上也無法做到絕對安全；技術在發展和更新的同時，安全隱患也在動態的變化。從近年大多數安全事件的原因分析來看，一方面隨著技術的發展，來源于外部攻擊的方式層出不窮，攻擊方式更加隱蔽，攻擊工具更智能化，攻擊的破壞力更大，更加難于處理和防范；另一方面，來自于內部的攻擊威脅日趨嚴重，以經濟利益驅動的攻擊和竊取醫療信息等重要數據行為成為新形勢下的主要攻擊形式。

如何對數據采集、數據傳輸、數據存儲以及數據使用進行有效的安全控制，同時在應用系統中斷后如何采取有效的快速恢復處理措施，在安全投資與應用效果之間達到平衡，合理有效地構建信息安全體系，是醫院決策者需要做好的頭等大事。

一、醫院信息化建設安全目標

醫院信息系統的安全直接影響到醫院能否正常有序的提供醫療服務。建立健全的信息安全保障體系，全面保證醫院各業務系統整體安全的目標，本著“管理與技術并重、分級防護、集中管控、循序漸進”的方針，逐步提升“風險識別、威脅主動防御、事件響應處理”三項安全保障能力，為規范及優化醫療行為、提高醫療活動效率、提升醫療質量和患者體驗，最終提高醫院運行效率。各級醫院根據自身的實際情況可利用1-2年的時間建設較完備的信息系統安全保障體系，具體建設目標包括如下幾點：

（一）業務連續性目標

醫院應用系統需要提供7×24小時的業務連續性，任何原因引起的醫院應用系統中斷，不僅嚴重影響醫院的正常運轉，給醫院帶來社會負面影響，嚴重時還會加劇醫患矛盾、產生醫療糾紛。因此，建設一個安全、穩健的高可用應用系統，既是保障醫院信息服務的基本條件，又是終極目標。

（二）數據安全性目標

數據安全首先要保證數據能夠被安全傳輸、保存、利用以及數據文件備份和恢復等，即數據在傳輸、保存以及被利用的時候，避免被非授權人員攔截、篡改、盜用，以及授權人非法使用，以及根據國家相關規定各類數據保存年限選擇合適的保存方式；因此，需要在物理環境、網絡環境、應用系統、主機服務器、管理體系等方面做好安全策略選擇，以實現數據安全目標。

二、醫院信息安全面臨的威脅與挑戰

根據影響信息安全所涉及的不同方向，我們從技術和管理兩個維度分析了以下六個方面的問題：

（一）物理環境安全威脅

醫院信息安全的首要任務就是要保障信息機房的安全，機房供電安全、場地環境條件以及荷載安全、溫濕度、消防安全、空調及防塵等細節均影響著機房運行的安全，所以，在機房建設之初就需要做好物理環境安全的規劃設計，避免此類安全威脅。

（二）網絡安全威脅

醫院構建網絡基礎架構設計在很大程度上決定了基礎網絡的可靠性和安全性，主要包括網絡安全域設計思路、劃分原則、邊界整合、安全防護措施等，因此在網絡拓撲結構設計的同時就要考慮到各種各樣種類繁多的安全威脅。為了防止醫院內通信網絡阻塞、中斷、癱瘓或者被非法控制，以及為防止通信網絡中傳輸、存儲、處理的數據信息丟失、泄露或者被篡改而開展相應的風險識別、威脅主動防御工作，安全防護工作堅持積極防御、綜合防范、分組保護的原則。

1、來自外部網絡安全威脅

網絡外部安全是通過暴力破解或字典破解等破壞方式，干擾業務網絡正常運行，甚至使通信服務中斷、癱瘓或者被非法控制，采用密碼盜用攻擊、惡意端口和IP地址掃描、抗拒絕服務攻擊DDos、木馬、傳播計算機病毒等手段，并不斷更新惡意攻擊方法，以威脅信息安全。

2、來自內部網絡安全威脅

據ICSA(International Computer Security Association:國際計算機安全協會)?統計，來自系統內部的安全威脅高達60%，非法用戶的入侵、合法用戶對系統資源的非法占用、非法用戶對業務數據進行惡意篡改等；發生以上原因，主要涉及到系統管理員權限管理缺失、使用人員的違規操作、人員安全意識淡薄、共用共享賬號密碼、少數內部人員惡意破壞都是導致內部安全威脅的主要來源。

3、多網融合發展所帶來的網絡安全問題

傳統醫院網絡建設，因信息安全考量而劃分為獨立的物理網絡建設，一般分為內網、外網、銀聯專網、醫保專網等，整體網絡應用操作體驗差，人為造成醫院內部數據互聯互通、數據共享等障礙，形成信息孤島和信息煙囪；業務系統中資產價值最高的設備往往位于內網，如服務器群、數據庫以及重要存儲設備，外部不能通過互聯網直接訪問該區域內設備。該區域僅和該業務系統其它安全子域直接互聯，不與任何外部網絡直接互聯。但隨著網絡、通信以及安全等技術發展，以及數據互聯互通、數據有效利用的需求不斷增加，在構建IT網絡架構時，更多醫院已經采用多網融合技術，在物理層面打通網絡壁壘，通過選擇適宜的安全策略，提高數據傳輸、共享效率和安全性。

（三）主機安全威脅

主機安全主要是指非授權人進入服務器，對系統設置、數據進行篡改，從而影響系統正常運行，這里既包括接入網絡終端的使用權限分配和管理，也包括對主機入侵進行防范，須特別關注主機防病毒、系統漏洞掃描、終端安全、身份認證等策略的選擇及執行。

（四）應用安全隱患

醫院信息系統實際上是指在醫院內部，為醫院運行數字化、智能化，采用幾十或上百種各類應用系統實現醫院數據互聯互通、高效共享，在各類應用系統運行時，會存在以下幾種隱患：

其一、各應用系統資源分配時，沒有進行審慎的資源規劃，導致資源分配不合理或資源利用率不足，這均會給系統運行帶來隱患；其二、啟動、運行各應用系統時，需做身份識別和訪問控制，如口令簡單、管理混亂也會對應用系統安全運行帶來威脅；其三、沒有完備的容災系統支撐，預案準備不足，醫院HIS、電子病歷等核心業務系統需要7×24小時運行，當支撐應用系統的某個環節和子系統出現故障，無法通過啟用容災系統來恢復業務服務，導致數據丟失或數據恢復時間過長等問題。

（五）數據安全

醫院各類應用系統生產并保存的數據，針對數據安全可以分為兩大類，其一、根據國家相關法律法規，醫院必須對所有數據進行分級管理，數據分為公開、內部、秘密及機密四級，避免外部基于商業、政治或外國戰略等目的竊取醫院數據，進行非法利用；其二、數據備份與恢復的安全需要，盡可能在數據文件損壞、誤刪除等情況下及時恢復，如果醫院在數據備份和恢復等方面考慮不足，那么數據安全將無法保證。

（六）安全管理隱患

1、信息管理部門組織管理安全；

醫院安全管理體系建設均有信息主管部門牽頭設計、制定，如果沒有統一領導、技管并重，建立以預防為主、責權分明、重點防護、適度安全的管理體系，必然會出現管理混亂、漏洞百出等現象。

2、缺乏信息安全管理制度、系統權限管理制度、數據庫管理制度、機房管理制度等基礎安全管理制度；沒有基本制度，就無法規范信息管理過程中的各種操作、行為，必然會存在更多的安全隱患，因此建章立制是信息主管部門重要工作，除此之外，還需嚴格執行，強化有法可依、有法必依、執法必嚴、違法必究，在管理層面上杜絕安全隱患和威脅。

3、離職人員管理不細、不嚴；

4、信息部門工程師缺乏安全意識，安全知識儲備不足；網絡攻擊手段多樣化、復雜化以及機房設備老化的問題，使得醫院信息部門的技術人員在危機出現時面臨更大的考驗，而難以獲得有效的信息安全技術培訓、安全知識儲備不足，又使得技術人員往往缺乏處理安全事故的實戰經驗，因此醫院信息部門技術人員知識儲備的不足也成為影響醫院信息安全的不利因素。

5、對在建項目與已建項目之間的協調配合沒有做好安全審計思考；6、未建立項目管理、售后服務管理及日常維護監督、報告制度；7、未建立健全應急預案以及應急能力訓練；沒有一套可操作性強的醫院信息安全應急預案，并且缺乏規范的應急演練，一旦出現信息安全事故，導致醫院業務系統停止運行或者效率下降而且不能及時排除故障，就會造成醫療秩序混亂，嚴重時甚至會造成數據丟失或者信息泄漏，影響信息安全。

8、未建立基于信息安全的持續改進能力；

管理缺失，會對系統帶來致命性打擊，“三分技術、七分管理”，再好的技術方案均需通過管理落地，根據醫院安全技術發展及各類安全威脅與隱患增加，逐步研究、制定、部署醫院安全防御措施，從而建立醫院持續改進能力。

三、醫院信息安全部署決策分析表

在進行安全防御的時候，我們基本都是在被動的防御，披上厚厚的鎧甲，在每個關鍵節點上設置防止病毒或黑客入侵的設備設施，盡可能避免出現可能被攻擊的漏洞；事實上，不管在內外網邊界上、還是應用系統、物理環境、主機安全等方面增加怎么樣的防護，如設置防病毒網關、防火墻、防入侵、流量控制、各類人員身份認證等，怎么增加安全投入，也無法實現100%的安全；在目前實施的被動式安全策略情況下，如何做好安全投入與安全目標的平衡，我們通過建立信息安全部署決策表，詳見表1：醫院信息安全部署決策分析表（僅供參考），根據醫院等級、信息系統規模以及高峰時段會話數量，結合醫院實際情況，通過必選、可選項來確定以下具體安全部署項目，控制安全投資與安全目標的平衡。

（一）物理安全決策

1、供電與UPS系統

（1）配備穩定的機房電力供應系統、UPS系統以及應急電力系統；（2）供電電源技術指標應符合GB/T2887-2011《電子計算機場地通用規范》中的規定，即信息系統電力供應應在負荷量、穩定性和凈化等方面應滿足需要而且要配備應急供電措施；（3）輸出到不同用途的機柜、機架的電源接入需要提供合理、充足的容量（負荷），安全、標準的連接插頭（PDU)。

2、中心機房環境（場地安全）

（1）信息系統機房場地條件應符合國標GB/T2887-2011的規定；（2）信息存儲場所應符合國標GB/T9361-2011規定第9章的規定，具有完善的防水、防火、防雷、防磁、防塵措施；（3）機房建設應符合國標GB/T9361-2011中A／B／C類中的規定，以及在場地選擇、防火、內部裝修、供配電系統、空調系統、火災報警、消防、防水、防靜電、防雷擊、防鼠患方面的具體要求。

3、設備安全

（1）嚴格執行出入機房登記的規則；

（2）有訪客和第三方服務人員進入機房時需要由內部員工陪同；（3）避免非授權和無關人員能夠接近重要設備而帶來信息安全風險；（4）部署機房視頻監控系統，無死角覆蓋機房全部位置；（5）安裝警報系統以檢測和報告非法進入的情況；（6）設備應放在可加鎖的機柜/機架中；（7）設備應放在進出得到控制的上鎖的專用房間內；（8）敏感的備品、備件、材料應保存在上鎖的文件柜中。

4、一體化數據中心

建設完備的機房動力環境監控系統，對機房設備實現集中監控，包括對機房動力系統（包括配電柜和UPS）、環境系統（機房精密空調、非精密空調、漏水檢測、溫濕度監測、煙霧檢測,消防監測等）、安防系統（門禁、防盜報警等）、消防系統的監控管理。

表1：醫院信息安全部署決策分析表

（二）網絡安全決策

1、網絡安全架構設計

架構合理，設備冗余，三層交換，VLAN劃分，運維監控，備用鏈路；重要崗位配置備用設備。

2、網絡訪問控制

（1）網絡準入控制，部署統一的管控平臺，實現各類安全產品的管理，其實現的功能包括安全域內的身份認證、權限控制、病毒防護和補丁升級，各類安全事件信息的收集、整理、關聯分析，安全審計、入侵檢測和漏洞掃描等；

（2）網絡的區域分離，對各子域之間互聯可通過邊界防火墻或者ACL訪問控制列表方式實現訪問控制，核心業務區的各個業務子系統之間采用VLAN、防火墻等方式進行隔離，VLAN間應通過ACL進行訪問控制；網絡連接控制，匯聚交換機上配置ACL訪問列表，實現針對內部系統的訪問行為進行控制；

（3）網絡路徑控制；

3、網絡防入侵檢測、防御及安全審計

（1）部署入侵檢測系統并開啟告警功能來防范；

（2）部署網絡型入侵防護系統并開啟告警功能來防范，部署在網絡防火墻之后，實現對網絡上的流量進行檢測防御；

（3）部署網絡行為審計系統來管理內部網絡。

4、網絡邊界安全防護與審計

（1）通過在邊界位置部署UTM或者NG Firewall來實現入侵防護、網關級防病毒、安全通道目標；外部終端接入可采用可審計的VPN連接，將數據校驗等安全功能都開啟；

（2）在防火墻上只開放必須的服務端口，并設置嚴格的訪問控制策略，以控制互聯網用戶、外部用戶和其他業務系統用戶的訪問；

（3）安全配置加固，針對本區域網絡設備，包括無線網絡設備進行安全配置的檢查和配置加固工作，提高設備自身的安全性；

（4）部署非法接入預警系統；

（5）在資金預算不足的情況下，可通過選用具有防毒墻、防火墻、流量控制等多功能的一體化設備實現防護，但安全性不及專業的設備；

（6）部署具有拒絕服務攻擊防護功能的設備實現相關功能。

5、網絡流量控制及互聯網出口防護

（1）對于訪問互聯網的流量進行必要控制管理；

（2）面臨來自外部的風險，應針對該出口采取如訪問控制、網絡防毒、入侵檢測等安全措施。

圖1：大型三甲綜合醫院常規網絡拓撲圖

（三）主機安全防護

1、服務器安全

（1）設備支持故障預警功能，支持內存保護、支持本地磁盤配置為RAID1、RAID5或其他保護級別的RAID，支持冗余電源，支持硬盤和PCI板卡熱添加、移除；

（2）安裝原廠正式版操作系統并升級到最新補丁，并對操作系統進行安全加固。

2、終端安全及身份認證

（1）安裝原廠正式版操作系統并升級到最新補丁，開啟操作系統防火墻，配置防護策略，關閉默認開啟的服務和端口，部署病毒防護軟件，啟用復雜密碼和密碼定期更改

（2）除原有口令外再增加另一種鑒別技術，比如動態口令、CA證書、指紋等。

3、主機安全審計

（1）在主機系統中分別創建和分配系統管理員、安全管理員、安全審計員，各種角色職責權限分立、互不兼任，約束各個管理員的行為；

（2）啟用日志功能，記錄主機和設備的安全事件；

（3）對操作系統和應用程序配置為不改寫事件；

（4）經常輪換日志文件以確保有足夠空間可用；

（5）將對日志文件的訪問限定為管理員級別賬戶；

（6）將日志寫入中央日志服務器；

4、主機入侵防范及防病毒

（1）在主機操作系統中部署入侵防護功能的軟件；

（2）任何操作系統都存在漏洞和缺陷，應周期性地檢查系統漏洞，對已知的漏洞及時更新補丁。

5、系統漏洞掃描

（1）通過專業的漏洞掃描工具對網絡內的所有操作系統和數據庫系統進行漏洞掃描并修復漏洞；

（2）可采用購買服務的方式定期掃描漏洞。

（四）應用安全策略

1、應用資源合理分配

（1）通過監控應用系統對各個子系統（包括CPU、內存、磁盤及網絡IO）的資源利用情況，掌握應用系統對支撐平臺的資源利用范圍，對資源利用率嚴重不足的系統做針對性的性能優化，包括提升硬件設備配置，優化操作系統參數和應用程序代碼；

（2）避免在業務高峰時段執行影響應用系統正常運行的任務；合理采用虛擬化解決方案和私有云技術分擔核心的壓力。

2、應用系統身份識別和訪問控制

（1）增加口令復雜度校驗功能，除原有口令外再增加另一種鑒別技術，比如動態口令、CA證書、指紋等；

（2）對應用開發者提出安全要求，對易攻擊的特殊字符進行校驗和過濾；

（3）部署應用層安全防護設備(WAF防火墻、ADS等）；

（4）根據應用系統開放的端口，關注高危的管理服務以及蠕蟲、木馬等常用商品是否開放；

（5）在關鍵應用程序中強制執行密碼策略控制；

（6）對關鍵應用程序在處理敏感數據和業務關鍵數據時進行加密；

3、業務連續性

（1）HIS系統采用2臺或多臺服務器配置為集群模式提供服務，并在前端部署應用負載均衡設備；

（2）其他應用系統采用2臺或多臺服務器通過集群軟件配置為主備、互備的高可用模式；

（3）采用虛擬化高可用技術，比如HA、DRS、FT方式提高應用系統的高可用和靈活性；

4、應用系統容災

尤其對于醫院HIS、電子病歷等需要7×24小時提供服務的應用系統，當支撐應用系統的某個環節和子系統出現故障，可通過緊急啟用容災系統來恢復業務服務，縮短中斷服務的時間。常用的技術包括存儲鏡像復制、數據庫同步復制等方案。

圖2：三級系統安全保護環境建設框架圖

（五）數據安全策略

1、數據庫審計

（1）部署數據庫審計系統并制定審計規則，對違反規則的訪問行為進行相應的干預操作；

（2）按審計規則形成多種形式的審計報告；

2、數據保密

按數據資源的敏感程度進行分級，分為公開、內部、秘密、機密四級：

（1）公開：所有可以為內外人員獲取的信息如：醫院公開醫療政策等，公開數據應保證其完整性和信息的及時性，確保信息的使用人能夠及時正確獲得所需要的信息；

（2）內部：只可以(或希望)為內部人員獲耿的工作秘密、商業秘密信息，內部信息必須保證只能在全院網絡管轄范圍內被及時、正確地使用：

（3）秘密：只可以為全院一定范圍人員獲取的信息，并且有安全級別的要求；

（4）機密：極少數的醫院指定人員獲取的最高秘密信息(根據有關規定，絕密信息不能上網)。

3、數據備份和恢復

（1）制定完善的數據保護方案，執行嚴格的備份執行計劃；

（2）利用備份軟件在合理的時間窗口完成不同應用系統關鍵業務數據的備份，副本數據保存；

（3）根據醫院對數據使用要求，數據可以在線、近線以及離線保存，確保數據的可用性、有效性和完整性；

（4）在出現數據文件損壞、誤刪除的情況下，利用副本數據完成恢復；

（5）避免將生產數據和備份副本數據存儲在同一物理設備上。

（六）安全管理體系

1、管理安全和機構設置

（1）管理安全

確定人員責任，培養安全意識與習慣，灌輸安全理念，進行相關信息安全培訓，尤其是提高信息中心網絡管理與技術人員的安全管理技術，使用先進網絡管理軟件與安全軟件，對網絡和安全設備進行合理有效的配置與管理，確保整個系統的安全。

（2）信息安全領導小組

統一領導、技管并重、預防為主、責權分明、重點防護、適度安全。

（3）信息安全工作小組

設立專門的安全管理員和審計管理員崗位，該崗位不兼任其他職責。

（4）信息安全協調小組

被迫啟動應急預案時，由安保、財務、醫療、護理等組成的協調小組，負責維持正常的醫療秩序以及疏導患者和家屬。

2、安全制度建設

（1）信息安全管理制度

（2）系統權限管理制度

（3）數據庫管理制度

（4）機房管理制度

（5）離職人員信息管理制度

終止職責，任用終止或任用變更的職責應清晰的定義和分配；資產的歸還，所有的雇員、承包方人員和第三方人員在終止任用、合同或協議時，應歸還他們使用的所有組織資產；撤銷訪問權，所有雇員、承包方人員和第三方人員對信息和信息處理設施的訪問權，應在任用、合同或協議終止時刪除，或在變化時調整。"

（6）其他信息管理制度

合具體情況，制定并梳理管理制度；定期對安全管理體系的適用性進行評估，變化較多的情況下進行重點修訂（比如每年一次）；加強安全制度的宣傳，將信息安全知識作為考核的一部分；針對系統的關鍵責任人員（如安全員、系統管理員、網絡管理員），在上崗和平時的考核中，包括信息安全的知識和認知。

3、系統建設與管理：規范項目建設前期、方案設計及優化、施工管理、交付與驗收管理等；

4、運維管理

（1）服務外包

定期監控和評審外包服務、報告和記錄；

對外包變更行為進行評估、審批和記錄；

對關鍵的軟件代碼安全性進行檢查。

（2）運維管理

利用運維審計系統，可實現對賬號管理、身份認證、資源授權、訪問控制、操作審計；利用日志審計系統，能夠收集各種設備和應用程序的安全日志。并進行存儲、監控、審計、分析、報警、響應和報告。

5、應急響應機制

建立應急預案：由主管院領導批準、發布應急預案文檔并傳達所有員工、業務部門和外部所有相關服務方；應急預案評審，應按計劃的時間間隔或當重大變化發生時進行應急預案的評審，以確保應急預案的可行性；確保應急預案的適宜性、充分性和有效性；定期演練確保方案的可行性。

四、信息安全決策

醫院經營管理過程中，針對醫院信息系統運行安全的物理安全、網絡安全、主機安全、應用安全以及數據安全所做的安全決策，除了根據以上每一安全大項所提到的具體安全策略，還需要根據醫院自身資源整合以及資金投入能力，實施一次性投入或分步驟實施的安全決策，同時還需要做好安全評估以及通過安全策略實施對數據傳輸、存儲等效率的影響，最終調整安全方案，通過持續資金投入和不斷改進的安全方案，以配合、支撐醫院信息系統運行，實現各項安全目標。

五、未來醫院信息安全建設發展趨勢

目前醫院所做的安全策略基本都屬于被動式的安全防御，同時也是對抗網絡入侵的基礎，在做好基礎安全防護工作的同時，醫院更應該轉向主動防御，變被動為主動，筆者結合多年醫院信息化建設管理經驗，從以下幾個方面探討未來醫院信息安全建設發展趨勢：

（一）聯合網絡安全提供商，提升信息安全管理水平

（二）與CNNIC以及安全執法部門建立良好互動

通過在最基礎的互聯網名稱與數字地址分配方面建立安全審查，減少威脅，同時加大安全違法糾察力度，通過使用安全戰術來增加網絡犯罪風險，降低收益，進而降低網絡犯罪率；并通過公開披露網絡犯罪具體人員、關閉受影響的域、做好垃圾郵件過濾、凍結疑似欺詐賬戶等，提高網絡社區的安全環境，這需要更多配合和互動。

（三）與基本通信服務提供商建立信息共享機制

建立與信息安全攸關方信息共享機制，通過實時元數據共享，找到和發現數據入侵痕跡，并做好防護。

（四）使用模糊查詢技術、滲透測試等黑客技術來測試及發現各類系統存在的bug，及時解決；

（五）醫院應與信息安全主管部門建立提供威脅報告及參與安全培訓的協作模式，在醫院運行過程中發現威脅隱患并上報，同時由安全專家提供、研發工具以識別系統威脅，為醫院信息安全奠定基礎。

在政府安全主管部門的牽頭下，基礎通信運營商、安全服務提供商、以及各類終端用戶配合下，對互聯網進行全面檢測、掃描，利用海量傳感器收集來自主機 IP 地址、互聯網域、特定 UR、文件、圖像和電子郵件等實時威脅智能信息，建立威脅信息數據庫，構建以可靠信息共享為基礎的網絡社區，預防與捕獲網絡違法犯罪分子，通過建立系列安全策略，實現被動安全防護向主動預防的轉變，為醫院信息系統運行提供更有效的外部環境安全保障。

參考資料

在編寫本文的過程中，參考了以下資料：

[1] GB/T22239-2008 信息安全技術-信息系統安全等級保護基本要求.

[2]李小華.《醫院信息化技術與應用》——第21章 醫院信息安全540-569. 人民衛生出版社，2014年10月1日.

[3] GB?17859-1999計算機信息系統安全保護等級劃分準則；[4] GB/T 22080-2008信息安全技術-信息安全管理體系要求.

[5]韓作為. 醫院信息安全等級保護三級建設流程與要點.中國數字醫學，2013,8（9）：33-35.

[6]GB/T 20270-2006信息安全技術-網絡基礎安全基礎.

[7]?GB/T20274-2008信息安全技術-信息系統安全保障評估框架準則.

[8]GB50174-2008 電子信息系統機房設計規范.

[9]GB/T 2887-2011電子計算機場地通用規范.

[10] IT安全保障體系規范IT系統安全保護要求V1.0；[11] IT安全技術保護措施應用指南V1.0[12] GB/T9361-2011計算站場地安全要求.

[13]美國國家標準和技術研究所NIST 系列文檔：《IT 系統安全自評估指南》、《IT系統風險管理指南》、《聯邦IT 系統安全認證和認可指南》、《信息系統安全規劃指南》

[14]美國國家安全局，信息保障技術框架IATF（Information Assurance Technical Framework），V3.1版[15]中華人民共和國通信行業標準，YD/T 2701-2014,電信網和互聯網安全防護基線配置要求及檢測要求操作系統。