深圳大学总医院（深圳大学临床医学科学院，以下简称“深大总医院”）由深圳市人民政府全额投资兴建，定位为一所集医疗、教学、科研和健康管理为一体的国际知名、国内一流的研究型医院，是深圳大学第一所直属附属医院。

深大总医院从建院以来，就高度重视信息化顶层设计，通过加强与其他医院交流，走访临床、专家论证，确定了信息化发展三年规划，通过全面提高全院电子病历应用水平、智慧服务水平、互联互通标准化水平，给医务人员和患者提供更好的就诊服务体验，持续提升医院智慧化建设，使医院迈入智慧医院信息化建设的新高地。

近年来医疗行业安全事件频发，针对医院的勒索、挖矿、数据泄露等信息安全事件层出不穷。一旦医院信息安全出现问题，小则影响医院业务开展甚至停摆，大则影响社会安定。深大总医院积极响应《网络安全法》、等级保护政策要求，保障自身信息系统安全，核心应用系统均完成三级等保测评。虽然经过多年网络安全建设，但仍然面临诸多网络安全问题和挑战，致使信息部门如履薄冰。

1、安全管理最大的痛点之一是会把很多事情复杂化，但往往百密一疏，那一“疏”经常是因为很多基础的工作没有做好。比如资产问题，我们通过设备扫描发现网络里有很多不认识的资产，但因为对资产现状认知不清晰，需要通过态势感知逐一排查，现场核对。这其实是我们在梳理复盘时发现其中一个实际问题。

2、医院行业的软件有些是成熟产品，有些是开源软件，缺乏统一的安全开发规范和上线前的安全检查机制，造成系统带病上线。面对这种情况应当如何管理？如何识别影响业务的关键漏洞？如何第一时间探测到未知漏洞？对漏洞的全生命周期管控措施又是如何？如何利用硬件资源在安全薄弱的软件系统前架起一道防线？

3、攻击招式复杂，医院无法独立面对复杂的网络攻击，攻防力量不对等，威胁情报来源不足，缺乏高阶的合规自查能力、攻防渗透能力、持续监测能力、主动响应能力、应急响应能力。导致响应速度慢，救火式的应急如何真正快速闭环安全事件的闭环管理。

医院网络安全运营其实就是把网络安全工作常态化，第一要有明确的制度，第二要有制度落实的技术支撑手段，第三则是制度的落实和检查。其中最难的是制度、能力和意识问题，要明确在什么情况下需要建章立制并保证制度能够及时迭代。在技术支撑落地的过程中，每多一道关卡，可能都会给工作带来一些不便，这个过程中需要医院给予更高的配合，也需思考如何平衡安全与不便两者之间的矛盾。技术落地支撑手段一旦部署（安全设备、杀毒软件等），我们便不能无视它的存在，要有意识去使用起来，真正把它当做信息部门日常的to do list。无论是每天、每周或是每个月，要知道自己该做什么，不该做什么。

在此过程中最重要的就是要有与安全运营工作匹配的人员及能力。大家都要知道设备如何操作，异常告警情况如何分析研判、处置跟进，各类问题的处置责任人等具体信息，这涉及到整体的安全运营分工流程机制。在医院安全的范围非常广泛，如无线安全、终端安全、服务器安全等等，不同的版块需要的人员能力不同，具体分工也不同。因目前医院本身的资源有限，安全运营需要梳理安全基线，加强信息部门自身的安全意识，在日常工作中把安全检查作为工作流程的必要环节，由于安全技术的专业性不足的情况可借助厂商的专业安全运营力量协助医院开展常态化的网络安全管理工作，保证医院最终的正向安全结果，从而提升医院整体的安全风险管控能力，助力业务系统安全稳定运行。

网络安全建设是长期主义，厂商和医院之间的人员配合非常重要。出现问题谁来主动发现、解决？具体的分工和响应机制是什么？专家的沟通机制如何？针对我们日常遇到的安全事件又当如何处理等等。

自2020年开始，医院依托深信服“人机共智”的安全运营服务，构建了7*24小时常态化网络安全监测与主动响应能力。做到网络安全事件及时发现、快速闭环。补齐医院缺乏专业安全人员的短板，建立了安全运营工作分工机制，实现7*24小时所需即所得的安全专家支撑。在现有安全常态化工作的基础上，通过资产、漏洞、威胁、事件管理四大闭环管理工作，补齐医院缺乏预防、监测、处置的能力缺失，有效防止被监管通报和重大安全事件的发生，提升医院网络安全运营能力，做到了医院和厂商之间的无间配合。深大总医院网络安全运营阶段性成果如下：

在谈到未来医院网络安全运营建设时，主任谈到：“所有的系统都不能完全保证不会出问题，我们能做的就是通过持续有效的网络运营手段，发挥安全管理及技术的安全效果，尽量在问题发生之前捕捉到问题苗头，减少问题所产生的影响，不能因为网络安全问题导致业务的中断或瘫痪。” 

等保2.0测评规则在不断变化完善，医院需要不断学习，持续探索。我院的信息化建设现在已经到了第四年，网络安全工作在满足合规的同时，需要更多去思考持续性、有效性等相关方面，如何更好的服务临床及科研工作，在安全和临床使用便捷的目标找到一个平衡点。我们的主方向是强实用性，结合实际，逐步防御。按照国家法律在相关方面的具体要求去做好规定性动作并完善相应制度，在保障业务的前提下做好安全规划和具体落地。（企业供稿）