在(zai)(zai)醫(yi)(yi)院中除了數據中心的(de)(de)服務器資(zi)源，還有醫(yi)(yi)護人員、行政人員使用(yong)的(de)(de)電(dian)腦(nao)都需要(yao)(yao)納(na)入安全計(ji)算環境的(de)(de)管轄范圍。大(da)家(jia)可(ke)以看(kan)看(kan)自己(ji)用(yong)的(de)(de)電(dian)腦(nao)是(shi)否(fou)設置了密碼，并且密碼的(de)(de)要(yao)(yao)求是(shi)否(fou)符合強口令（長度大(da)于 8 位(wei)，包含大(da)小寫字(zi)母(mu)、數字(zi)、符號，并且不(bu)包含鍵盤上連續字(zi)符或者英(ying)文單詞），并且 3 個月更換一次密碼。在(zai)(zai) AAA 認(ren)(ren)證(zheng)(zheng)(zheng)體系（ AAA 是(shi)認(ren)(ren)證(zheng)(zheng)(zheng)（ Authentication ）、授權（ Authorization ）和(he)計(ji)費(fei)（ Accounting ） ）中，第一關就是(shi)認(ren)(ren)證(zheng)(zheng)(zheng)，在(zai)(zai)認(ren)(ren)證(zheng)(zheng)(zheng)的(de)(de)過(guo)程中可(ke)能會出現如無認(ren)(ren)證(zheng)(zheng)(zheng)、弱口令、認(ren)(ren)證(zheng)(zheng)(zheng)可(ke)以被繞過(guo)、明文密碼傳(chuan)輸等等問題，

不僅(jin)僅(jin)是在(zai)醫療行(xing)業，基本(ben)(ben)所(suo)有(you)(you)行(xing)業的(de)(de)(de)(de)內(nei)網環境都包含(han)了上述問題，在(zai)護網行(xing)動(dong)中，打入了內(nei)網環境后，大量使(shi)用重(zhong)復(fu)的(de)(de)(de)(de)弱口令，成(cheng)為被(bei)攻陷的(de)(de)(de)(de)重(zhong)要(yao)問題之一(yi)，有(you)(you)很多護網的(de)(de)(de)(de)案例是拿(na)下(xia)了堡壘機的(de)(de)(de)(de)弱口令，而(er)堡壘機上直(zhi)接記(ji)錄了各(ge)類服(fu)務(wu)器(qi)的(de)(de)(de)(de)高權(quan)限賬號密(mi)碼，通(tong)過一(yi)點突(tu)破全網。我(wo)(wo)們大家可以(yi)看(kan)看(kan)自己的(de)(de)(de)(de)環境下(xia)， PC 和服(fu)務(wu)器(qi)端是否存在(zai)無(wu)認(ren)(ren)證(zheng)、弱口令的(de)(de)(de)(de)情(qing)況，除(chu)了 RDP 、 SSH 等(deng)(deng)常見(jian)管理(li)服(fu)務(wu)，還有(you)(you) Radmin 、 VNC 、 SMB 、 FTP 、 TELNET 、 Oracle 、 MySQL 、 SqlServer ， 根(gen)據我(wo)(wo)一(yi)直(zhi)以(yi)來(lai)的(de)(de)(de)(de)工作經驗，很多開源軟件的(de)(de)(de)(de)早期版本(ben)(ben)對于 API 接口就根(gen)本(ben)(ben)沒有(you)(you)認(ren)(ren)證(zheng)機制，所(suo)以(yi)還有(you)(you)很多的(de)(de)(de)(de)開源服(fu)務(wu)如 Redis 、 Docker 、 Elastic Search 等(deng)(deng)，有(you)(you)認(ren)(ren)證(zheng)的(de)(de)(de)(de)情(qing)況下(xia)是否使(shi)用了開源軟件的(de)(de)(de)(de)默認(ren)(ren)賬戶口令，這個(ge)也需要(yao)我(wo)(wo)們及時修改(gai)，黑客可以(yi)通(tong)過一(yi)點突(tu)破，層層收集(ji)信息，最終(zhong)突(tu)破核心防(fang)線。

AAA 體系中(zhong)的(de)第(di)二步(bu)授權，其實是(shi)可以緩(huan)解第(di)一步(bu)問(wen)題的(de)一個(ge)手段，理論上要(yao)求(qiu)我們(men)(men)的(de) PC 端、服務(wu)器端不同的(de)軟(ruan)件需要(yao)通(tong)過(guo)不同的(de)用(yong)(yong)戶(hu)安裝(zhuang)(zhuang)、使(shi)(shi)用(yong)(yong)，并且不同的(de)用(yong)(yong)戶(hu)只(zhi)能給予(yu)最小安裝(zhuang)(zhuang)、使(shi)(shi)用(yong)(yong)軟(ruan)件的(de)權限，而我們(men)(men)可以檢(jian)查(cha)下(xia)自己(ji)的(de)環境，應(ying)該是(shi)有很多直接使(shi)(shi)用(yong)(yong) administrator 、 root 等(deng)用(yong)(yong)戶(hu)，并且這(zhe)些賬(zhang)號(hao)存在著復(fu)用(yong)(yong)的(de)情況，在使(shi)(shi)用(yong)(yong)過(guo)程中(zhong)很難分清楚現實生活(huo)中(zhong)的(de)哪個(ge)自然(ran)人使(shi)(shi)用(yong)(yong)了(le)這(zhe)個(ge)賬(zhang)戶(hu)進(jin)行了(le)相關(guan)操作，如果(guo)出現了(le)問(wen)題給后續(xu)溯(su)源(yuan)提升了(le)難度，我們(men)(men)這(zhe)時就(jiu)需要(yao)通(tong)過(guo) IP 、 上層(ceng)的(de)堡壘機日志等(deng)進(jin)行關(guan)聯溯(su)源(yuan)。

限(xian)制(zhi)登(deng)錄(lu)失(shi)敗(bai)(bai)次數(shu)(shu)是(shi)防(fang)止暴(bao)力破(po)解(jie)的(de)(de)(de)手段之一(yi)，暴(bao)力破(po)解(jie)會(hui)(hui)通(tong)(tong)過(guo)一(yi)個(ge)密(mi)碼本對需要爆破(po)的(de)(de)(de)服(fu)務密(mi)碼進(jin)行不(bu)(bu)斷的(de)(de)(de)嘗試(shi)，直到試(shi)到正確的(de)(de)(de)那(nei)個(ge)密(mi)碼或(huo)(huo)者(zhe)密(mi)碼本試(shi)完為止，正常(chang)人登(deng)錄(lu)一(yi)般(ban)都(dou)會(hui)(hui)記(ji)得自(zi)己的(de)(de)(de)密(mi)碼，當然(ran)在(zai)定期更換復(fu)雜密(mi)碼的(de)(de)(de)要求(qiu)下(xia)，正常(chang)人也(ye)(ye)(ye)會(hui)(hui)記(ji)不(bu)(bu)住(zhu)密(mi)碼，這個(ge)問題(ti)我們后面(mian)再說。在(zai)限(xian)制(zhi)了(le)登(deng)錄(lu)失(shi)敗(bai)(bai)次數(shu)(shu)，比如(ru)我們設置(zhi)了(le) 5 次，那(nei)通(tong)(tong)過(guo)某(mou)個(ge) IP 登(deng)錄(lu)失(shi)敗(bai)(bai) 5 次后這個(ge) IP 就會(hui)(hui)被鎖定，當然(ran)可(ke)以(yi)(yi)設置(zhi)別的(de)(de)(de) IP 還(huan)可(ke)以(yi)(yi)登(deng)錄(lu)這個(ge)服(fu)務。會(hui)(hui)話結束功能(neng)就類似于 W indows 自(zi)動鎖屏，作(zuo)為一(yi)個(ge)信息工作(zuo)者(zhe)，在(zai)我們離開(kai)電腦時(shi)就應該考慮(lv)鎖屏的(de)(de)(de)操作(zuo)，并(bing)且重新登(deng)錄(lu)要輸入賬號密(mi)碼，一(yi)個(ge)不(bu)(bu)會(hui)(hui)超時(shi)的(de)(de)(de)會(hui)(hui)話雖然(ran)方(fang)便了(le)我們自(zi)己，同樣也(ye)(ye)(ye)給惡意者(zhe)帶來了(le)方(fang)便，想想經過(guo)你(ni)(ni)辦公桌的(de)(de)(de)每個(ge)人都(dou)可(ke)以(yi)(yi)在(zai)登(deng)錄(lu)著的(de)(de)(de) HIS 服(fu)務器(qi)或(huo)(huo)者(zhe)核心交換機上敲(qiao)一(yi)個(ge) reboot ，最后造成(cheng)的(de)(de)(de)結果可(ke)想而知(zhi)，雖然(ran)這個(ge)事故不(bu)(bu)是(shi)你(ni)(ni)直接操作(zuo)的(de)(de)(de)，但也(ye)(ye)(ye)要負主要責(ze)任。

在(zai)醫院中(zhong)常見的(de)(de)(de)(de)(de)遠程管(guan)理(li)手段有(you) RDP 、 SSH 、 TELNET 、 FTP 、 Oracle 等，其(qi)中(zhong) TELNET 、 FTP 在(zai)流(liu)量(liang)(liang)(liang)劫持時(shi)(shi)可以直(zhi)接獲(huo)得賬戶(hu)(hu)口令信(xin)息(xi)，可以通過(guo) SSH 、 SFTP 等方(fang)法替(ti)換，確保在(zai)賬號密碼認證(zheng)和(he)(he)數據(ju)流(liu)傳(chuan)輸(shu)過(guo)程中(zhong)都是(shi)加(jia)密的(de)(de)(de)(de)(de)。其(qi)實 Oracle 的(de)(de)(de)(de)(de)流(liu)量(liang)(liang)(liang)也(ye)非加(jia)密，在(zai)我(wo)(wo)咨詢了我(wo)(wo) OCM 的(de)(de)(de)(de)(de)朋友(you)和(he)(he)百度(du)后，發(fa)現(xian)其(qi)實 Oracle 流(liu)量(liang)(liang)(liang)也(ye)可以配置加(jia)密，但是(shi)我(wo)(wo)們很少會這(zhe)樣做，并且很少會有(you)人關(guan)(guan)心這(zhe)個問(wen)題(ti)，還(huan)消耗客戶(hu)(hu)端(duan)(duan)(duan)和(he)(he)服務(wu)端(duan)(duan)(duan)額外的(de)(de)(de)(de)(de)性能(neng)。這(zhe)時(shi)(shi)候我(wo)(wo)們就(jiu)要(yao)想到什么時(shi)(shi)候我(wo)(wo)們的(de)(de)(de)(de)(de)流(liu)量(liang)(liang)(liang)會被(bei)(bei)截(jie)取(qu)走(zou)，常見的(de)(de)(de)(de)(de)就(jiu)是(shi)內(nei)網(wang)(wang) ARP 欺騙，一臺攻(gong)擊主(zhu)機在(zai)客戶(hu)(hu)端(duan)(duan)(duan)請求(qiu)網(wang)(wang)關(guan)(guan) MAC 地(di)址(zhi)的(de)(de)(de)(de)(de)時(shi)(shi)候，將(jiang)自己的(de)(de)(de)(de)(de) MAC 地(di)址(zhi)告訴(su)客戶(hu)(hu)端(duan)(duan)(duan)，說自己這(zhe)個 MAC 地(di)址(zhi)就(jiu)是(shi)網(wang)(wang)關(guan)(guan)的(de)(de)(de)(de)(de) MAC ， 這(zhe)樣二層的(de)(de)(de)(de)(de)流(liu)量(liang)(liang)(liang)會先(xian)通過(guo)這(zhe)臺攻(gong)擊主(zhu)機轉發(fa)給真實的(de)(de)(de)(de)(de)網(wang)(wang)關(guan)(guan)，所有(you)明(ming)文(wen)的(de)(de)(de)(de)(de)流(liu)量(liang)(liang)(liang)過(guo)了這(zhe)臺攻(gong)擊主(zhu)機后就(jiu)可以被(bei)(bei)它輕松的(de)(de)(de)(de)(de)獲(huo)取(qu)敏感信(xin)息(xi)，我(wo)(wo)的(de)(de)(de)(de)(de)防護方(fang)法是(shi)通過(guo)桌管(guan)軟(ruan)件，將(jiang)每個網(wang)(wang)段主(zhu)機的(de)(de)(de)(de)(de)網(wang)(wang)關(guan)(guan) ARP 解(jie)析(xi)(xi)靜態的(de)(de)(de)(de)(de)寫到客戶(hu)(hu)端(duan)(duan)(duan)上，確保 ARP 解(jie)析(xi)(xi)時(shi)(shi)默認都先(xian)通過(guo)本地(di)記錄解(jie)析(xi)(xi)，從而(er)不會被(bei)(bei)外部動(dong)態解(jie)析(xi)(xi)影響。另一種情況會被(bei)(bei)獲(huo)取(qu)的(de)(de)(de)(de)(de)是(shi)網(wang)(wang)內(nei)的(de)(de)(de)(de)(de)流(liu)量(liang)(liang)(liang)設備(bei)，很多安(an)全設備(bei)、 APM 監控設備(bei)、深度(du)流(liu)量(liang)(liang)(liang)分析(xi)(xi)設備(bei)都需要(yao)抓取(qu)核心網(wang)(wang)絡的(de)(de)(de)(de)(de)流(liu)量(liang)(liang)(liang)，當這(zhe)些流(liu)量(liang)(liang)(liang)被(bei)(bei)鏡像給設備(bei)后它們會將(jiang)它記錄下來，而(er)正式(shi)或者測試設備(bei)出(chu)現(xian)問(wen)題(ti)返廠時(shi)(shi)，我(wo)(wo)們就(jiu)要(yao)叮(ding)囑工(gong)程師要(yao)清空本地(di)數據(ju)，以免數據(ju)泄(xie)露(lu)，在(zai)我(wo)(wo)的(de)(de)(de)(de)(de)工(gong)作中(zhong)就(jiu)聽(ting)到過(guo)通過(guo)安(an)全設備(bei)泄(xie)露(lu)大量(liang)(liang)(liang)公民(min)信(xin)息(xi)的(de)(de)(de)(de)(de)案例。

前面我(wo)(wo)們(men)(men)說到要(yao)(yao)定期修(xiu)改復雜密(mi)(mi)碼(ma)(ma)，但是(shi)(shi)(shi)經常修(xiu)改會導致管理(li)(li)員記憶困難，這個(ge)時(shi)(shi)候(hou)我(wo)(wo)覺得雙(shuang)因(yin)(yin)(yin)子認(ren)證(zheng)也是(shi)(shi)(shi)幫助大家(jia)(jia)不(bu)(bu)用記復雜密(mi)(mi)碼(ma)(ma)的(de)好方法。雙(shuang)因(yin)(yin)(yin)素認(ren)證(zheng)分為(wei)所(suo)知和所(suo)有兩(liang)種，雙(shuang)因(yin)(yin)(yin)素的(de)證(zheng)據又分為(wei)秘密(mi)(mi)信息(xi)、個(ge)人物品、生理(li)(li)特征(zheng)三種類型，像口(kou)令、密(mi)(mi)碼(ma)(ma)就(jiu)是(shi)(shi)(shi)信息(xi)，物理(li)(li) key 就(jiu)是(shi)(shi)(shi)個(ge)人物品，指(zhi)紋、虹(hong)膜(mo)、面部就(jiu)是(shi)(shi)(shi)生理(li)(li)特征(zheng)，我(wo)(wo)們(men)(men)只要(yao)(yao)結合(he)兩(liang)種類型的(de)證(zheng)據，那就(jiu)符(fu)合(he)要(yao)(yao)求(qiu)，可以通過(guo)物理(li)(li) KEY+ 動態密(mi)(mi)碼(ma)(ma)的(de)方式實現(xian)認(ren)證(zheng)，此(ci)時(shi)(shi)就(jiu)不(bu)(bu)用記住原始的(de)靜態密(mi)(mi)碼(ma)(ma)，大家(jia)(jia)可以想(xiang)象一(yi)下(xia)現(xian)在(zai)在(zai)登錄微信、支付寶、 QQ 等互聯網(wang)軟件的(de)時(shi)(shi)候(hou)基本很少使用密(mi)(mi)碼(ma)(ma)，而智(zhi)能手(shou)機也將密(mi)(mi)碼(ma)(ma)和人臉識別(bie)關(guan)聯，方便(bian)大家(jia)(jia)認(ren)證(zheng)操作(zuo)，同時(shi)(shi)又符(fu)合(he)安全要(yao)(yao)求(qiu)。在(zai)醫(yi)院(yuan)工作(zuo)的(de)過(guo)程中，我(wo)(wo)發現(xian)很多業(ye)(ye)務系(xi)(xi)統(tong)的(de)賬(zhang)號密(mi)(mi)碼(ma)(ma)不(bu)(bu)是(shi)(shi)(shi)同一(yi)套體系(xi)(xi)，系(xi)(xi)統(tong)在(zai)認(ren)證(zheng)時(shi)(shi)也沒有做到雙(shuang)因(yin)(yin)(yin)子的(de)要(yao)(yao)求(qiu)，我(wo)(wo)之前寫過(guo)一(yi)篇論文(wen)，叫《基于 4A 系(xi)(xi)統(tong)的(de)醫(yi)院(yuan)零信任網(wang)絡安全模型》，也是(shi)(shi)(shi)我(wo)(wo)希望能通過(guo)安全技術提升醫(yi)護行(xing)政人員使用系(xi)(xi)統(tong)時(shi)(shi)的(de)便(bian)利性(xing)、規范對醫(yi)院(yuan)所(suo)有系(xi)(xi)統(tong)賬(zhang)戶(hu)體系(xi)(xi)管理(li)(li)、加(jia)強(qiang)醫(yi)院(yuan)業(ye)(ye)務系(xi)(xi)統(tong)使用時(shi)(shi)的(de)權限管理(li)(li)能力。

五級電(dian)子病歷(li)評(ping)審中提到了(le)系統備份、容災的(de)標準(zhun)，對醫院(yuan)信息系統的(de)穩定性(xing)、可靠性(xing)、可用(yong)性(xing)有(you)了(le)明確的(de)要求，醫院(yuan)信息系統的(de)宕機、數(shu)據丟失會造成無法(fa)挽回的(de)影響(xiang)；2021 年(nian)《數(shu)據安全(quan)(quan)法(fa)》和《個(ge)人信息保護法(fa)》出臺，我國在信息化高速發展的(de)當(dang)下，更加重視了(le)網(wang)絡安全(quan)(quan)，證明了(le)網(wang)絡安全(quan)(quan)與信息化是(shi)一體(ti)之(zhi)兩翼、驅動之(zhi)雙輪。

2 、數據保密(mi)性(xing)

信(xin)息(xi)安全(quan) CIA 三要素(su)，保(bao)密(mi)性、完(wan)整性、可用性，這(zhe)里提到(dao)了數(shu)據(ju)的(de)(de)保(bao)密(mi)性，其(qi)實不(bu)管在哪個(ge)行業(ye)，數(shu)據(ju)的(de)(de)保(bao)密(mi)性都很難(nan)做，我(wo)們可以看到(dao)大(da)量的(de)(de)公民數(shu)據(ju)在互聯(lian)網(wang)安全(quan)事件中泄露，我(wo)國之前的(de)(de)《網(wang)絡安全(quan)法(fa)》對數(shu)據(ju)安全(quan)沒有(you)具體的(de)(de)要求，而 2021 年的(de)(de)《數(shu)據(ju)安全(quan)法(fa)》和《個(ge)人信(xin)息(xi)保(bao)護法(fa)》才對數(shu)據(ju)安全(quan)有(you)了明確的(de)(de)要求，并且這(zhe)兩部(bu)法(fa)律給企業(ye)帶來了不(bu)小改造的(de)(de)壓(ya)力。

數(shu)(shu)(shu)據(ju)(ju)(ju)安全(quan)的(de)(de)(de)(de)保密(mi)(mi)性(xing)要(yao)求(qiu)(qiu)貫穿了(le)數(shu)(shu)(shu)據(ju)(ju)(ju)的(de)(de)(de)(de)產(chan)生、傳輸(shu)(shu)、處理、存(cun)儲、銷毀等(deng)過程，首先我們(men)要(yao)對(dui)(dui)數(shu)(shu)(shu)據(ju)(ju)(ju)進行(xing)保密(mi)(mi)，就(jiu)要(yao)知道哪些(xie)數(shu)(shu)(shu)據(ju)(ju)(ju)應(ying)該保密(mi)(mi)，此時要(yao)做的(de)(de)(de)(de)就(jiu)是(shi)(shi)(shi)數(shu)(shu)(shu)據(ju)(ju)(ju)的(de)(de)(de)(de)分類分級，在(zai)(zai)分級分類過程中涉及到(dao)對(dui)(dui)敏(min)感(gan)(gan)數(shu)(shu)(shu)據(ju)(ju)(ju)的(de)(de)(de)(de)發現(xian)(xian)，敏(min)感(gan)(gan)數(shu)(shu)(shu)據(ju)(ju)(ju)除(chu)了(le)結構(gou)化(hua)(hua)的(de)(de)(de)(de)還有(you)(you)(you)非結構(gou)化(hua)(hua)的(de)(de)(de)(de)，除(chu)了(le)關系(xi)(xi)型的(de)(de)(de)(de)還有(you)(you)(you)非關系(xi)(xi)型的(de)(de)(de)(de)，基本很(hen)難做到(dao)全(quan)覆(fu)蓋，比(bi)如在(zai)(zai)護網期間(jian)就(jiu)發現(xian)(xian)有(you)(you)(you)很(hen)多日(ri)志、配置(zhi)文件中帶著(zhu)敏(min)感(gan)(gan)的(de)(de)(de)(de)賬(zhang)號密(mi)(mi)碼等(deng)信(xin)息(xi)，而(er)這些(xie)信(xin)息(xi)的(de)(de)(de)(de)配置(zhi)可(ke)(ke)(ke)能(neng)是(shi)(shi)(shi)套裝化(hua)(hua)軟件不能(neng)修改的(de)(de)(de)(de)。在(zai)(zai)發現(xian)(xian)了(le)敏(min)感(gan)(gan)數(shu)(shu)(shu)據(ju)(ju)(ju)后我們(men)就(jiu)要(yao)對(dui)(dui)敏(min)感(gan)(gan)數(shu)(shu)(shu)據(ju)(ju)(ju)進行(xing)加(jia)密(mi)(mi)、脫(tuo)(tuo)敏(min)、去(qu)(qu)標(biao)識(shi)(shi)化(hua)(hua)操(cao)作(zuo)，在(zai)(zai)五級電子(zi)病歷的(de)(de)(de)(de)要(yao)求(qiu)(qiu)中也(ye)有(you)(you)(you)一(yi)(yi)(yi)條數(shu)(shu)(shu)據(ju)(ju)(ju)加(jia)密(mi)(mi)的(de)(de)(de)(de)要(yao)求(qiu)(qiu)，數(shu)(shu)(shu)據(ju)(ju)(ju)加(jia)密(mi)(mi)其實(shi)(shi)(shi)有(you)(you)(you)兩種(zhong)做法(fa)，一(yi)(yi)(yi)種(zhong)是(shi)(shi)(shi)在(zai)(zai)存(cun)儲層(ceng)（通(tong)(tong)過存(cun)儲設備進行(xing)加(jia)密(mi)(mi)），另一(yi)(yi)(yi)種(zhong)在(zai)(zai)系(xi)(xi)統(tong)層(ceng)（通(tong)(tong)過對(dui)(dui)操(cao)作(zuo)系(xi)(xi)統(tong)的(de)(de)(de)(de)配置(zhi)文件，或(huo)者對(dui)(dui)數(shu)(shu)(shu)據(ju)(ju)(ju)庫的(de)(de)(de)(de)數(shu)(shu)(shu)據(ju)(ju)(ju)進行(xing)加(jia)密(mi)(mi)），第(di)一(yi)(yi)(yi)種(zhong)方法(fa)的(de)(de)(de)(de)難度較小(xiao)，而(er)第(di)二種(zhong)方法(fa)的(de)(de)(de)(de)難度較大，需(xu)要(yao)考(kao)慮(lv)數(shu)(shu)(shu)據(ju)(ju)(ju)被加(jia)密(mi)(mi)的(de)(de)(de)(de)方法(fa)和被使用(yong)過程中的(de)(de)(de)(de)解密(mi)(mi)，對(dui)(dui)于數(shu)(shu)(shu)據(ju)(ju)(ju)量(liang)小(xiao)可(ke)(ke)(ke)以(yi)(yi)考(kao)慮(lv)非對(dui)(dui)稱加(jia)密(mi)(mi)，而(er)數(shu)(shu)(shu)據(ju)(ju)(ju)量(liang)大的(de)(de)(de)(de)只能(neng)使用(yong)對(dui)(dui)稱加(jia)密(mi)(mi)，這也(ye)就(jiu)是(shi)(shi)(shi) SSL 的(de)(de)(de)(de)機制，通(tong)(tong)過非對(dui)(dui)稱加(jia)密(mi)(mi)秘鑰，然后通(tong)(tong)過秘鑰對(dui)(dui)稱加(jia)密(mi)(mi)數(shu)(shu)(shu)據(ju)(ju)(ju)流，在(zai)(zai)確保業務正常的(de)(de)(de)(de)情(qing)況下，實(shi)(shi)(shi)現(xian)(xian)安全(quan)的(de)(de)(de)(de)需(xu)求(qiu)(qiu)。針對(dui)(dui)脫(tuo)(tuo)敏(min)、去(qu)(qu)標(biao)識(shi)(shi)化(hua)(hua)操(cao)作(zuo)可(ke)(ke)(ke)以(yi)(yi)通(tong)(tong)過好幾處實(shi)(shi)(shi)現(xian)(xian)，可(ke)(ke)(ke)以(yi)(yi)通(tong)(tong)過后端(duan)實(shi)(shi)(shi)現(xian)(xian)，也(ye)可(ke)(ke)(ke)以(yi)(yi)通(tong)(tong)過前(qian)端(duan)實(shi)(shi)(shi)現(xian)(xian)，通(tong)(tong)過后端(duan)實(shi)(shi)(shi)現(xian)(xian)時當(dang)數(shu)(shu)(shu)據(ju)(ju)(ju)從(cong)應(ying)用(yong)層(ceng)往前(qian)端(duan)傳輸(shu)(shu)時就(jiu)是(shi)(shi)(shi)去(qu)(qu)脫(tuo)(tuo)敏(min)、去(qu)(qu)標(biao)識(shi)(shi)化(hua)(hua)的(de)(de)(de)(de)數(shu)(shu)(shu)據(ju)(ju)(ju)，甚至是(shi)(shi)(shi)在(zai)(zai)數(shu)(shu)(shu)據(ju)(ju)(ju)庫中就(jiu)是(shi)(shi)(shi)脫(tuo)(tuo)敏(min)、去(qu)(qu)標(biao)識(shi)(shi)化(hua)(hua)的(de)(de)(de)(de)，而(er)在(zai)(zai)前(qian)端(duan)實(shi)(shi)(shi)現(xian)(xian)，我們(men)可(ke)(ke)(ke)以(yi)(yi)在(zai)(zai)客(ke)戶(hu)端(duan)本地開(kai)啟(qi)代理，直接可(ke)(ke)(ke)以(yi)(yi)獲得明文的(de)(de)(de)(de)數(shu)(shu)(shu)據(ju)(ju)(ju)，從(cong)安全(quan)性(xing)來考(kao)慮(lv)肯定是(shi)(shi)(shi)后端(duan)實(shi)(shi)(shi)現(xian)(xian)更安全(quan)。

我(wo)們在(zai)(zai)做數(shu)據加密(mi)、脫敏(min)(min)、去標識化時要(yao)考慮的(de)(de)(de)(de)(de)(de)(de)重要(yao)一(yi)(yi)點就是業(ye)(ye)務(wu)(wu)(wu)是否支(zhi)持，有(you)(you)些(xie)數(shu)據雖然是敏(min)(min)感數(shu)據，但是以(yi)密(mi)文(wen)呈現(xian)時是無法(fa)進行(xing)正常(chang)業(ye)(ye)務(wu)(wu)(wu)的(de)(de)(de)(de)(de)(de)(de)辦理(li)和交互(hu)的(de)(de)(de)(de)(de)(de)(de)，如果(guo)要(yao)實現(xian)正常(chang)業(ye)(ye)務(wu)(wu)(wu)辦理(li)和交互(hu)，可能(neng)需要(yao)改變流程(cheng)、規范(fan)，并(bing)且付出巨(ju)大(da)的(de)(de)(de)(de)(de)(de)(de)代價(jia)，在(zai)(zai)醫院以(yi)業(ye)(ye)務(wu)(wu)(wu)為中(zhong)心(xin)的(de)(de)(de)(de)(de)(de)(de)情況下，個人(ren)覺得短期(qi)內很(hen)(hen)難很(hen)(hen)難實現(xian)，我(wo)個人(ren)在(zai)(zai)落(luo)地一(yi)(yi)個數(shu)據安全的(de)(de)(de)(de)(de)(de)(de)產品(pin)時就提出了(le)這(zhe)樣一(yi)(yi)個問題，該產品(pin)邏(luo)輯串聯在(zai)(zai)數(shu)據庫客戶端(duan)和數(shu)據庫服(fu)務(wu)(wu)(wu)器之間實現(xian)數(shu)據庫字(zi)(zi)段的(de)(de)(de)(de)(de)(de)(de)加密(mi)、脫敏(min)(min)、去標識化操(cao)作(zuo)，而(er)我(wo)們的(de)(de)(de)(de)(de)(de)(de) HIS 業(ye)(ye)務(wu)(wu)(wu)每(mei)天都(dou)有(you)(you)大(da)量的(de)(de)(de)(de)(de)(de)(de)問題要(yao)處(chu)理(li)，在(zai)(zai)處(chu)理(li)過(guo)程(cheng)中(zhong)需要(yao)通過(guo)這(zhe)些(xie)敏(min)(min)感的(de)(de)(de)(de)(de)(de)(de)數(shu)據進行(xing)確認、判斷(duan)、修改，不可能(neng)專門安排一(yi)(yi)個人(ren)每(mei)天在(zai)(zai)對字(zi)(zi)段做解密(mi)、加密(mi)的(de)(de)(de)(de)(de)(de)(de)操(cao)作(zuo)，還需要(yao)配合專門的(de)(de)(de)(de)(de)(de)(de)流程(cheng)來(lai)規范(fan)這(zhe)個操(cao)作(zuo)，在(zai)(zai)一(yi)(yi)個業(ye)(ye)務(wu)(wu)(wu)系統沒有(you)(you)穩定、技術(shu)人(ren)員(yuan)缺乏的(de)(de)(de)(de)(de)(de)(de)情況下，這(zhe)樣的(de)(de)(de)(de)(de)(de)(de)功能(neng)很(hen)(hen)難落(luo)地，就算(suan)落(luo)地了(le)也只(zhi)是很(hen)(hen)小的(de)(de)(de)(de)(de)(de)(de)范(fan)圍(wei)，如何滿足二者需要(yao)靠廣大(da)讀者來(lai)幫忙想想辦法(fa)了(le)。

3 、 數據備份恢復

我(wo)問了很(hen)多醫(yi)(yi)院，大家可(ke)能都建立了容(rong)(rong)(rong)災環境，但(dan)(dan)是(shi)(shi)很(hen)少有(you)醫(yi)(yi)院做(zuo)容(rong)(rong)(rong)災測試，對(dui)于(yu)五級(ji)(ji)電子病歷的(de)(de)(de)要(yao)求是(shi)(shi)每年至少一次(ci)的(de)(de)(de)容(rong)(rong)(rong)災演練（還需(xu)要(yao)結合業務場景），每季度至少一次(ci)的(de)(de)(de)數(shu)據全量恢(hui)復測試，一個沒有(you)測試過的(de)(de)(de)容(rong)(rong)(rong)災系統(tong)真的(de)(de)(de)很(hen)難讓人(ren)相信在出問題的(de)(de)(de)時(shi)候可(ke)以撐得住真實業務，也許容(rong)(rong)(rong)災的(de)(de)(de)切(qie)換(huan)過程沒有(you)問題，但(dan)(dan)是(shi)(shi)容(rong)(rong)(rong)災的(de)(de)(de)硬(ying)件資源、硬(ying)件配置、軟(ruan)件調整(zheng)等是(shi)(shi)否(fou)能讓用戶在較(jiao)短的(de)(de)(de)時(shi)間內進行邊便捷的(de)(de)(de)切(qie)換(huan)操，五級(ji)(ji)電子病歷對(dui)于(yu)數(shu)據丟(diu)失的(de)(de)(de)要(yao)求比較(jiao)松， 2 小(xiao)時(shi)以內即可(ke)，但(dan)(dan)是(shi)(shi)醫(yi)(yi)院對(dui)于(yu)數(shu)據丟(diu)失是(shi)(shi)難以容(rong)(rong)(rong)忍的(de)(de)(de)，對(dui)于(yu)信息化(hua)較(jiao)長時(shi)間都無(wu)法正常使(shi)用也是(shi)(shi)無(wu)法容(rong)(rong)(rong)忍的(de)(de)(de)，我(wo)們要(yao)盡可(ke)能做(zuo)到 RPO 、 RTO 最小(xiao)化(hua)。

對于備(bei)(bei)(bei)(bei)份(fen)(fen)，我(wo)(wo)(wo)盡量(liang)做到(dao) 321 原則， 3 份(fen)(fen)數(shu)據(ju)(ju)(ju)、 2 種不同介質、 1 份(fen)(fen)存(cun)(cun)于異(yi)地(di)，結合第一(yi)(yi)點和第二點，我(wo)(wo)(wo)將(jiang)數(shu)據(ju)(ju)(ju)存(cun)(cun)放(fang)于起(qi)(qi)碼 2 種不同物理設備(bei)(bei)(bei)(bei)上(shang)，存(cun)(cun)儲(chu) 3 份(fen)(fen)，再結合第三點將(jiang)一(yi)(yi)份(fen)(fen)數(shu)據(ju)(ju)(ju)存(cun)(cun)儲(chu)于異(yi)地(di)，兩份(fen)(fen)數(shu)據(ju)(ju)(ju)存(cun)(cun)于本(ben)地(di)。我(wo)(wo)(wo)們(men)醫(yi)院(yuan)有兩個院(yuan)區(qu)，兩院(yuan)區(qu)直(zhi)線公里數(shu)其實小于 40 ㎞ ， 而等保的(de)(de)(de)(de)異(yi)地(di)要求是(shi)直(zhi)線大(da)于 100 ㎞ ， 對于沒有分院(yuan)的(de)(de)(de)(de)小伙伴們(men)，其實我(wo)(wo)(wo)建(jian)議可(ke)以將(jiang)另一(yi)(yi)份(fen)(fen)數(shu)據(ju)(ju)(ju)存(cun)(cun)到(dao)異(yi)地(di)云(yun)上(shang)，最起(qi)(qi)碼在(zai)(zai)(zai)本(ben)地(di)真的(de)(de)(de)(de)數(shu)據(ju)(ju)(ju)沒辦法恢復(fu)時還有一(yi)(yi)根救命稻(dao)草，雖(sui)然(ran)恢復(fu)的(de)(de)(de)(de)時間可(ke)能(neng)會(hui)長一(yi)(yi)點。我(wo)(wo)(wo)會(hui)將(jiang)兩院(yuan)區(qu)的(de)(de)(de)(de)數(shu)據(ju)(ju)(ju)做相互的(de)(de)(de)(de)異(yi)地(di)備(bei)(bei)(bei)(bei)份(fen)(fen)，盡可(ke)能(neng)提高數(shu)據(ju)(ju)(ju)備(bei)(bei)(bei)(bei)份(fen)(fen)的(de)(de)(de)(de)頻率(lv)，減(jian)少數(shu)據(ju)(ju)(ju)的(de)(de)(de)(de)丟(diu)失，核(he)心業務(wu)系(xi)統采用實時備(bei)(bei)(bei)(bei)份(fen)(fen)或者容災的(de)(de)(de)(de)方式，在(zai)(zai)(zai)使用較高頻率(lv)備(bei)(bei)(bei)(bei)份(fen)(fen)的(de)(de)(de)(de)情況下(xia)，我(wo)(wo)(wo)們(men)對于備(bei)(bei)(bei)(bei)份(fen)(fen)、容災的(de)(de)(de)(de)硬件(jian)就有一(yi)(yi)定的(de)(de)(de)(de)要求，較差的(de)(de)(de)(de) HDD 盤(pan)是(shi)無法支撐起(qi)(qi)大(da)數(shu)據(ju)(ju)(ju)量(liang)、高并發的(de)(de)(de)(de)備(bei)(bei)(bei)(bei)份(fen)(fen)任務(wu)，可(ke)能(neng)出現任務(wu)排隊，那(nei)就會(hui)得不償失；在(zai)(zai)(zai)備(bei)(bei)(bei)(bei)份(fen)(fen)上(shang)我(wo)(wo)(wo)們(men)就出現過一(yi)(yi)個問題(ti)，之前工程師在(zai)(zai)(zai)配置 RMAN 備(bei)(bei)(bei)(bei)份(fen)(fen)保留(liu)的(de)(de)(de)(de)腳本(ben)操(cao)作是(shi)先(xian)刪(shan)除原來(lai)的(de)(de)(de)(de)備(bei)(bei)(bei)(bei)份(fen)(fen)，在(zai)(zai)(zai)進行下(xia)一(yi)(yi)次(ci)備(bei)(bei)(bei)(bei)份(fen)(fen)，如(ru)果前一(yi)(yi)次(ci)備(bei)(bei)(bei)(bei)份(fen)(fen)刪(shan)除了(le)，后一(yi)(yi)次(ci)備(bei)(bei)(bei)(bei)份(fen)(fen)沒有成功，那(nei)就沒有了(le)全量(liang)數(shu)據(ju)(ju)(ju)，這(zhe)樣的(de)(de)(de)(de)備(bei)(bei)(bei)(bei)份(fen)(fen)是(shi)沒有意義的(de)(de)(de)(de)，大(da)家可(ke)以檢查下(xia)自己的(de)(de)(de)(de)環(huan)境(jing)是(shi)否存(cun)(cun)在(zai)(zai)(zai)這(zhe)樣的(de)(de)(de)(de)問題(ti)。

在備(bei)份(fen)(fen)的(de)(de)(de)類型(xing)上，分(fen)為物(wu)理(li)(li)備(bei)份(fen)(fen)和邏(luo)輯(ji)(ji)(ji)備(bei)份(fen)(fen)， 21 年我就聽到(dao)了(le)(le)別的(de)(de)(de)醫院出現(xian)(xian)了(le)(le) Oracle 的(de)(de)(de)邏(luo)輯(ji)(ji)(ji)壞塊(kuai)，出現(xian)(xian)壞塊(kuai)后(hou)數(shu)據(ju)(ju)庫無(wu)法(fa)正(zheng)常啟動(dong)，而容災系統(tong)通(tong)過(guo) Oracle Data Guard 實現(xian)(xian)， DG 屬于物(wu)理(li)(li)塊(kuai)同步，面對邏(luo)輯(ji)(ji)(ji)錯(cuo)(cuo)誤不會校驗(yan)，而直接將這個邏(luo)輯(ji)(ji)(ji)錯(cuo)(cuo)誤同步給了(le)(le)容災庫，導致容災庫也無(wu)法(fa)正(zheng)常拉(la)起(qi)，并(bing)(bing)且(qie)當(dang)時也沒有(you)配置(zhi)(zhi)長時間(jian)(jian)的(de)(de)(de)閃回空間(jian)(jian)，導致最后(hou)花了(le)(le)很大的(de)(de)(de)代價(jia)才(cai)恢(hui)復了(le)(le)一部(bu)分(fen)丟失(shi)的(de)(de)(de)數(shu)據(ju)(ju)，并(bing)(bing)且(qie)業務中斷了(le)(le)很久，可以通(tong)過(guo) OGG 解決這個問題，并(bing)(bing)且(qie) OGG 可以支持跨數(shu)據(ju)(ju)庫、操作系統(tong)類型(xing)之間(jian)(jian)的(de)(de)(de)數(shu)據(ju)(ju)復制，但是配置(zhi)(zhi)難度比 DG 大了(le)(le)很多；另外(wai)的(de)(de)(de)辦法(fa)是通(tong)過(guo) CDP 實現(xian)(xian) IO 級別的(de)(de)(de)備(bei)份(fen)(fen)，當(dang)出現(xian)(xian)邏(luo)輯(ji)(ji)(ji)錯(cuo)(cuo)誤數(shu)據(ju)(ju)庫無(wu)法(fa)正(zheng)常使(shi)用的(de)(de)(de)時候，通(tong)過(guo) CDP 的(de)(de)(de) IO 回退(tui)到(dao)正(zheng)常的(de)(de)(de)時間(jian)(jian)點，當(dang)然(ran)中間(jian)(jian)丟失(shi)的(de)(de)(de)數(shu)據(ju)(ju)需要(yao)人工去彌(mi)補，這樣(yang)通(tong)過(guo)數(shu)據(ju)(ju)庫外(wai)部(bu)的(de)(de)(de)方式(shi)解決數(shu)據(ju)(ju)備(bei)份(fen)(fen)的(de)(de)(de)問題。

4、個人信息保護

這(zhe)兩點在《個(ge)人(ren)(ren)信(xin)(xin)息(xi)保護法(fa)》中(zhong)也有(you)明確提(ti)到，該(gai)法(fa)律中(zhong)多次提(ti)到了(le)收集(ji)個(ge)人(ren)(ren)信(xin)(xin)息(xi)要(yao)有(you)“詢問 - 確認”的(de)(de)(de)(de)(de)過程，并且(qie)在用戶(hu)不(bu)同意提(ti)供個(ge)人(ren)(ren)信(xin)(xin)息(xi)的(de)(de)(de)(de)(de)情況(kuang)下(xia)，不(bu)能(neng)拒(ju)絕(jue)對(dui)用戶(hu)提(ti)供服務，只收集(ji)必需(xu)的(de)(de)(de)(de)(de)個(ge)人(ren)(ren)信(xin)(xin)息(xi)，要(yao)告知用戶(hu)收集(ji)每種類(lei)型個(ge)人(ren)(ren)信(xin)(xin)息(xi)的(de)(de)(de)(de)(de)目的(de)(de)(de)(de)(de)，告知用戶(hu)如何處理、傳遞、使用個(ge)人(ren)(ren)信(xin)(xin)息(xi)。在疫情當下(xia)，全國(guo)的(de)(de)(de)(de)(de)醫院(yuan)都緊鑼密鼓的(de)(de)(de)(de)(de)推廣互(hu)(hu)聯(lian)網醫院(yuan)，意味著(zhu)有(you)一個(ge)面(mian)向患(huan)者的(de)(de)(de)(de)(de)醫院(yuan)互(hu)(hu)聯(lian)網系(xi)統，患(huan)者可以(yi)直接面(mian)向這(zhe)個(ge)互(hu)(hu)聯(lian)網系(xi)統，那對(dui)系(xi)統的(de)(de)(de)(de)(de)提(ti)交信(xin)(xin)息(xi)、問詢交互(hu)(hu)有(you)了(le)更(geng)直接的(de)(de)(de)(de)(de)了(le)解(jie)，我們在做互(hu)(hu)聯(lian)網系(xi)統的(de)(de)(de)(de)(de)時(shi)候(hou)要(yao)結合《網絡安(an)全法(fa)》、《數據安(an)全法(fa)》和《個(ge)人(ren)(ren)信(xin)(xin)息(xi)保護法(fa)》三駕馬車(che)來嚴格要(yao)求開(kai)發時(shi)的(de)(de)(de)(de)(de)安(an)全需(xu)求，自(zi)從三部法(fa)律上臺(tai)后有(you)多少互(hu)(hu)聯(lian)網 APP 因不(bu)符合要(yao)求被責令整改、罰款、下(xia)架(jia)等(deng)，我們也該(gai)引以(yi)為戒。