一、背景（jǐng）需求

区域人口（kǒu）健康信（xìn）息平台又称区域卫生信息平台（以下简称（chēng）“平台”），是以区域内电子（zǐ）健康档案信息的采集、存储、利用为基础，连接区域内（nèi）的医疗卫生机构基本（běn）业务（wù）信息系（xì）统的数据交换和共享的平台（tái），是（shì）不同系统间进行（háng）信息（xī）汇集整（zhěng）合和挖掘利用的载（zǎi）体（tǐ）。区域人口健康信息平台是人口健康信息化和健康医疗大数据基础（chǔ），是人口健康信息化建（jiàn）设的首要（yào）任务。

随（suí）着区域人口健康信（xìn）息（xī）平（píng）台建（jiàn）设（shè）的逐步推进，平台安（ān）全和（hé）病人隐私保（bǎo）护问题也随之出现（xiàn）。结（jié）合卫生（shēng）计生（shēng）行业（yè）信息（xī）安全调研（yán）反馈情况，当前平台建设普遍缺（quē）乏（fá）信（xìn）息（xī）安全体系（xì）的总体（tǐ）规划（huá），缺乏总体（tǐ）的（de）安全防御（yù）体系。一方面，区域人口健康平台信息化建（jiàn）设过程（chéng）中往（wǎng）往未与信息安全建设（shè）相结合，没能做到同步规划、同步（bù）建设（shè）、同步运（yùn）维；另一（yī）方面，尽管（guǎn）许多医疗（liáo）卫生机构已（yǐ）经堆（duī）砌（qì）式地部署（shǔ）了大量的信息（xī）安全（quán）产品，但随着信息安全的需（xū）求不断变化与增加，已（yǐ）不能满足实际（jì）需要，导致很（hěn）多信息安（ān）全问题（tí）仍然存在。这在一定程（chéng）度上成了制约人口健康信息平台（tái）发展的重要（yào）瓶颈。

需求（qiú）

(1)符合（hé）国家等级（jí）保（bǎo）护要求

(2)平台（tái）网络接入安全（quán）可信

(3)健康信息安全互联互（hù）通

(4)云平台大数据（jù）安全可控

(5)注重公众健康（kāng）隐（yǐn）私保（bǎo）护

(6)安全管（guǎn）理措施规范有效

二、解决方（fāng）案

区域人口健康信息平台安全总体解（jiě）决方案依据国家等级保护制度要求，按照区域人口健康（kāng）信息化（huà）平（píng）台统一规（guī）划，进行人口健康信息化平（píng）台安全一体化设计，采用“集中安管、分区分域、纵深防御（yù）、业务与安全相互融合（hé）”的设（shè）计（jì）思想，综合运用数据（jù）全生（shēng）命周期安全分析方法，利用自主的云（yún）计（jì）算安全（quán）技（jì）术，数据（jù）隐私保护技术（shù），围绕人口健（jiàn）康（kāng）信息化平台的（de）安全（quán）需求（qiú），建设全方位、一体（tǐ）化（huà）的安全防护体系。

集中（zhōng）管控。以业务信息系统为核心，从（cóng）监控（kòng）、审（shěn）计、风险、运维四个维度搭建综合安全（quán）监管平台，通过态势感知（zhī）、安全预警、综合运维、应急处置等方面的（de）能力建（jiàn）设，增强对区域人口健康（kāng）信息平台的统一安全监管及整体安全防护能力，确保平台业务的安全（quán）、可靠运（yùn）行。

纵深防御。采用（yòng）防火墙将不同安全等级要（yào）求的区域进行（háng）隔离，将内部（bù）网络分成若干个（gè）子区域，明确安全防护（hù）重点；通过（guò）建设安全隔离与交（jiāo）换平台，实现电子政务外网、互联（lián）网的跨（kuà）网交（jiāo）换和信（xìn）息共（gòng）享（xiǎng），保证信息（xī）系（xì）统的横向（xiàng）融合；通过安全系统（tǒng），实现统一（yī）的（de）用户（hù）管理、授权管（guǎn）理和身份认证（zhèng）。

等级防护。依据《卫生行业信息（xī）安（ān）全等（děng）级保护工作的指导意见》文（wén）件精神，按照国（guó）家信息（xī）安全等级保（bǎo）护要（yào）求，从物理安全、网（wǎng）络安（ān）全、主机安全、应用安（ān）全（quán）、数据安全等方面进行体系化设计，保证平台满足等（děng）级保（bǎo）护测评（píng）要求。并结合云（yún）计（jì）算、大数据等信息（xī）技术（shù）发展趋势，进行增（zēng）强性设（shè）计（jì）。

业务与安全融（róng）合。在进行（háng）信息安全设计的同时，注重业务（wù）系统服务可用。针对（duì）业务系（xì）统安全防（fáng）护重点进行（háng）设计，保障人（rén）口健康信息（xī）全（quán）生命周期（qī）安（ān）全。

三、效能体现（xiàn）

（1）   符合国家等（děng）级保护要求

（2）   实现网络可信接入

（3）   安（ān）全与业务贴合紧密

（4）   体（tǐ）系化信息安全防护

（5）   安全风险防控能力显著（zhe）提升（shēng）