醫(yī)院信息化安全建設(shè)項(xiàng)目安全建設(shè)思路

醫(yī)院信息化安全建設(shè)項(xiàng)目安全建設(shè)思路等級(jí)保護(hù)建設(shè)流程等級(jí)保護(hù)的設(shè)計(jì)與實(shí)施通過以下步驟進(jìn)行：系統(tǒng)識(shí)別與定級(jí)：通過分析系統(tǒng)所屬類型、所屬信息類別、服務(wù)范圍以及業(yè)務(wù)對(duì)系統(tǒng)的依賴程度確定系統(tǒng)的等級(jí)。通過此步驟充分了解系統(tǒng)狀況，包括系統(tǒng)業(yè)務(wù)流程和功能模塊，以及確定系統(tǒng)的等級(jí)，為下一步安全域設(shè)計(jì)、安全保障體系框架設(shè)計(jì)、安全要求選擇以及安全措施選擇提供依據(jù)。安全域設(shè)計(jì)：根據(jù)第一步的結(jié)果，通過分析系統(tǒng)業(yè)務(wù)流程、功能模塊，根據(jù)安全域劃分原則設(shè)計(jì)系統(tǒng)安全域架構(gòu)。通過安全域設(shè)計(jì)將系統(tǒng)分解為多個(gè)層次，為下一步安全保障體系框架設(shè)計(jì)提供基礎(chǔ)框架。安全保障體系框架設(shè)計(jì)：根據(jù)安全域框架，設(shè)計(jì)系統(tǒng)各個(gè)層次的安全保障體系框架（包括策略、組織、技術(shù)和運(yùn)作），各層次的安全保障體系框架形成系統(tǒng)整體的安全保障體系框架。確定安全域安全要求：參照國(guó)家相關(guān)等級(jí)保護(hù)安全要求，設(shè)計(jì)等級(jí)安全指標(biāo)庫。通過安全域適用安全等級(jí)選擇方法確定系統(tǒng)各區(qū)域等級(jí)，明確各安全域所需采用的安全指標(biāo)。評(píng)估現(xiàn)狀：根據(jù)各等級(jí)的安全要求確定各等級(jí)的評(píng)估內(nèi)容，根據(jù)國(guó)家相關(guān)風(fēng)險(xiǎn)評(píng)估方法，對(duì)系統(tǒng)各層次安全域進(jìn)行有針對(duì)性的等級(jí)風(fēng)險(xiǎn)評(píng)估。通過等級(jí)風(fēng)險(xiǎn)評(píng)估，可以明確各層次安全域相應(yīng)等級(jí)的安全差距，為下一步安全技術(shù)解決方案設(shè)計(jì)和安全管理建設(shè)提供依據(jù)。安全技術(shù)解決方案設(shè)計(jì)：針對(duì)安全要求，建立安全技術(shù)措施庫。通過等級(jí)風(fēng)險(xiǎn)評(píng)估結(jié)果，設(shè)計(jì)系統(tǒng)安全技術(shù)解決方案。安全管理建設(shè)：針對(duì)安全要求，建立安全管理措施庫。通過等級(jí)風(fēng)險(xiǎn)評(píng)估結(jié)果，進(jìn)行安全管理建設(shè)。參考標(biāo)準(zhǔn)《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則》（GB17859-1999）《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》（GB/T22239-2008）《信息系統(tǒng)安全保護(hù)等級(jí)定級(jí)指南》（GB/T22240-2008）《信息系統(tǒng)等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求》《信息安全等級(jí)保護(hù)實(shí)施指南》（報(bào)批稿）《信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)要求》（送審稿）GA/T387－2002計(jì)算機(jī)信息系統(tǒng)安全等級(jí)保護(hù)網(wǎng)絡(luò)技術(shù)要求GA/T388－2002計(jì)算機(jī)信息系統(tǒng)安全等級(jí)保護(hù)操作系統(tǒng)技術(shù)要求GA/T389－2002計(jì)算機(jī)信息系統(tǒng)安全等級(jí)保護(hù)數(shù)據(jù)庫管理系統(tǒng)技術(shù)要求GA/T390－2002計(jì)算機(jī)信息系統(tǒng)安全等級(jí)保護(hù)通用技術(shù)要求GA/T391－2002計(jì)算機(jī)信息系統(tǒng)安全等級(jí)保護(hù)管理要求GB/T18019-1999信息技術(shù)－包過濾防火墻安全技術(shù)要求GB/T18020-1999信息技術(shù)－應(yīng)用級(jí)防火墻安全技術(shù)要求ISO27000IATF：《信息保障技術(shù)框架》ISO/IEC15408（CC）ISO/IEC13335，第一部分：《IT安全的概念和模型》；第二部分：《IT安全