一、建设背景

“十二五”期间卫生信息化建设总体框架和重点任务目标已初步确定，这个初步框架简单地描述为“35212”工程。即建立国家级、省级和区域三级信息平台，也就是国家综合卫生管理信息平台，省级卫生综合管理信息平台，和地市级区域卫生信息平台；在三家平台的基础之上建立公共卫生，医疗服务，医疗监管，综合管理，新农合五大业务应用系统；建立以电子健康档案为基础和以电子病历为基础的两大数据库；建立一个卫生专网网络；逐步建设信息安全体系和信息标准体系两个体系。

二、面临的主要安全问题分析

1. 由于卫生信息平台的建设中涉及到与横向（医疗服务、疾病控制、卫生监督、妇幼保健、健康教育等机构）及纵向（市、县、乡、村医疗卫生机构）的众多机构之间的互联，在网络的边界根据国家信息安全等级保护制度（二级或三级）的要求，需要进行边界的入侵防护和恶意代码防护。需要部署应用层防火墙等相关安全防护设备。

2.在平台的横向与纵向联网建设过程中，由于接入单位多，完全采用专线的方式费用较高，因此针对部分机构，比如医院，乡镇卫生机构等采用IPSEC VPN的接入方式，针对村级卫生所采用SSL VPN的接入方式会更加符合实际的组网需求。需要部署IPSEC/SSL VPN等安全接入设备。

3.卫生信息平台中承载着5大业务系统（公共卫生，医疗服务，医疗监管，综合管理，新农合）和2大数据库（电子健康档案和电子病历），其业务安全关系着千家万户老百姓的个人隐私信息安全，根据国家信息安全等级保护制度的要求，至少定级为3级，需要在卫生信息平台的主机前面进行安全隔离，入侵防护，恶意代码防护以及敏感个人信息的防泄密。需要部署应用层防火墙等相关安全防护设备。

4.通过卫生信息平台的运作，大量市民的健康以及就医的信息将会汇总在卫生数据中心中，为了更好的为广大市民服务，各级卫生局也都陆续在其门户网站上开通了个人健康信息服务系统，方便市民随时随地查询跟踪自己的健康情况。由于该网站直接发布在互联网上，同时又需要与卫生专网中的信息平台进行数据交互，因此需要对其安全做进一步的加固，通过新的应用层技术手段实现SQL注入、跨站脚本等WEB攻击的防护，实现市民个人信息的防泄密以及整体门户网站的防篡改。

三、深信服安全解决方案

根据上述的安全需求，建议卫生单位用户在卫生专网的横向及纵向边界部署深信服下一代应用层防火墙实现网络边界的入侵防御与防病毒；在区县卫生平台与医院、乡镇卫生机构以及村卫生所等单位的互联方面采用IPSEC+SSL VPN的方式，通过部署深信服VPN设备实现卫生专网的互联；在卫生信息平台的前面部署下一代应用层防火墙，实现业务安全隔离、入侵防御、防病毒以及敏感个人信息的防泄密。最后，在卫生局对外发布业务的DMZ区前面部署深信服下一代应用层防火墙，全面解决卫生门户网站的底层漏洞攻击、WEB攻击、网页防篡改以及信息防泄密的问题。详细的网络拓扑图如下所示：

四、方案价值及优势

通过下一代防火墙的部署，实现了扁平化的网络安全架构，在最少的IT投资前提下，实现高效的卫生专网组网效果、更全面的安全防护效果，实现了从网络层到应用层的完整安全防护，构建了防攻击、防病毒、防篡改以及防泄密的四大安全体系，全面满足国家信息安全等级保护的安全需求。

五、部分防火墙及VPN客户案例