卫生院网络安全培训课件

卫生院网络安全培训课件第一章网络安全的重要性与现状随着医疗信息化的快速发展卫生院的诊疗、管理、服务等各个环节都已深度依赖网络,信息系统电子病历、医学影像系统、药品管理系统等核心业务系统存储着大量患者的敏感信息和医疗数据这些系统的广泛应用在提高医疗效率的同时也带来了前所未有,的安全挑战医疗数据泄露的震惊案例真实案例警示严重后果某地卫生院因系统存在严重安全漏洞黑客通过注入攻击获,SQL取了数据库访问权限导致包括姓名、身份证号、病历信息、检,查结果在内的数千名患者隐私信息被非法窃取并在暗网上公开售卖网络安全的三大核心目标保密性完整性可用性确保医疗数据和患者隐私信息只能被授权人保证医疗数据在存储、传输和处理过程中不保障医疗信息系统能够持续稳定运行授权,员访问防止信息泄露给未经授权的个人或被非法篡改或破坏确保数据的准确性和可用户可以随时访问所需信息和服务防止系,,组织通过加密技术、访问控制等手段保护靠性任何未经授权的修改都能被及时发现统因攻击、故障或灾害而中断影响正常医,数据安全和阻止疗业务开展第二章法律法规与政策解读国家高度重视医疗卫生领域的网络安全工作陆续出台了一系列法律法规和政策文件,《医疗卫生机构网络安全管理办法》明确了医疗机构在网络安全方面的主体责任规定,了网络安全管理的基本要求和具体措施网络安全等级保护制度定级备案流程卫生院定级原则电子病历系统、医学影像系统等核心业务系统通常应定为二级或以上定级时需综合01考虑:系统定级系统遭到破坏后对患者权益的影响程度•根据系统重要程度和面临的威胁确定安全保护等级一至四级,对医疗服务连续性的影响•对社会秩序和公共利益的影响•涉及的患者数量和数据敏感程度•02专家评审组织专家对定级结果进行评审论证03主管部门审批上级主管部门审核批准定级结果04公安机关备案向公安机关网安部门提交备案材料责任主体与管理架构建立领导小组卫生院应成立由主要负责人任组长的网络安全领导小组统筹协调网络安1,全工作制定重大决策,明确责任分工设立专职或兼职网络安全管理员各科室负责人为本科室网络安全第一责2,任人落实主体责任坚持谁主管谁负责、谁运行谁负责、谁使用谁负责原则层层压实安全,责任第三章网络安全风险分析硬件风险软件风险管理风险服务器老化、终端设备缺乏防护、网络设备配置操作系统未及时更新补丁、数据库存在已知漏洞、权限管理混乱、离职人员账号未及时注销、弱口不当等都可能成为安全隐患未授权的设应用软件缺乏安全设计、第三方组件存在后门等令普遍存在、员工安全意识淡薄、缺乏必要的安USB备接入、移动存储介质的滥用也会带来数据泄露软件层面的安全问题广泛存在极易被攻击者利全培训等人为因素往往是最大的安全短板,风险用全面识别和评估这些风险是制定有效防护措施的前提卫生院应定期开展风险评估及时发现和消除安全隐患,,网络攻击常见类型恶意软件攻击病毒与木马通过邮件附件、恶意网站等途径传播窃取信息或破坏系统:,勒索软件加密重要文件并索要赎金医疗机构是重点攻击目标:,挖矿病毒占用系统资源进行虚拟货币挖矿影响系统性能:,社会工程学攻击钓鱼邮件伪装成合法机构发送邮件诱骗用户点击恶意链接或提供账号:,密码电话诈骗冒充技术支持人员或上级领导骗取敏感信息:,物理渗透利用人员疏忽进入机房或办公区域直接接触核心设备:,第四章网络安全防护技术措施物理安全网络安全机房门禁控制、视频监控系统、温湿度控制、不间断电源、防火防火墙部署、入侵检测系统、入侵防御系统、网络隔离与UPS IDSIPS防水措施分区系统安全应用安全操作系统加固、定期补丁更新、漏洞扫描与修复、安全基线配置软件安全开发、代码审计、应用防火墙、安全测试Web WAF多层次、立体化的技术防护体系能够有效抵御各类网络攻击技术措施应根据实际情况动态调整持续优化防护效果,数据加密与访问控制数据加密策略访问控制机制对于患者敏感信息和重要业务数据必须严格的权限管理是数据安全的重要保障,:实施加密保护:最小权限原则用户只能获得完成工作所:存储加密使用数据库加密或磁盘加密技需的最小权限:术保护静态数据权限分级管理根据岗位职责设置不同权:传输加密采用协议加密网络限级别:SSL/TLS传输防止中间人攻击双因素认证对关键系统启用双因素认证,:备份加密备份数据同样需要加密存储增强安全性:,防止备份介质丢失导致泄露访问审计记录所有数据访问行为可追:,溯可审计第五章员工安全意识培养常见安全误区认为网络安全是技术部门的事与自己无关•,随意使用简单密码多个系统使用相同密码•,在公共场所登录工作系统不注意屏幕隐私•,随意点击不明来源的链接和附件•将工作账号密码告诉他人或写在便签上•密码管理规范密码长度至少位包含大小写字母、数字和特殊字符•8,不使用生日、姓名等易猜测的密码•不同系统使用不同密码避免一套密码走天下•,定期更换密码建议每个月更换一次•,3不将密码告诉任何人包括技术支持人员•,社会工程学防范技巧识别钓鱼邮件隐私保护要点钓鱼邮件是最常见的攻击手段需要掌握识别技巧保护患者隐私是医务人员的职业操守也是法律义务,:,:检查发件人地址是否与官方地址完全一致不在公共场合讨论患者病情••警惕制造紧迫感的邮件如账号即将被冻结不将患者信息用于非医疗目的•,•鼠标悬停在链接上查看真实地址不轻易点击不擅自查询与工作无关的患者资料•,•注意语法错误和不专业的排版离开工作站时及时锁屏••对要求提供账号密码的邮件保持高度警惕妥善保管包含患者信息的纸质文档••通过官方渠道验证可疑信息的真实性•诈骗电话防范警惕冒充技术支持、上级领导、公安机关的电话任何要求转账、提供密码的电话都应谨慎对待通过其他渠道核实身份,第六章网络安全管理制度建设制定管理制度定期培训考核建立涵盖账号管理、密码策略、权限审批、每年至少组织次全员网络安全培训新2,数据备份、应急响应等各方面的网络安全员工入职必须接受安全培训通过考试检管理制度形成完整的制度体系验培训效果将考核结果纳入绩效评价,,事件报告流程建立安全事件报告和处理流程明确发现、报告、响应、处置、总结各环节的责任人和时,限要求确保快速有效应对,制度建设要注重可操作性和执行力定期评估制度执行情况及时修订完善好的制度不在于多,,,而在于管用、好用第七章应急响应与事件处置安全事件分类应急响应流程特别重大事件核心系统瘫痪超过小时大规模数据泄露启动应急预案控制与恢复24,根据等级迅速启动对应预案遏制影响并恢复关键系统重大事件重要系统中断小时部分数据泄露4-24,发现与报告总结与改进较大事件及时识别并上报安全事件复盘事件并优化防护措施一般系统中断小时发现严重漏洞1-4,快速、有序的应急响应能够最大限度减少损失应急预案应定期演练确一般事件,保关键人员熟悉流程能够在压力下做出正确决策,系统中断小时内发现一般安全隐患1,应急演练的重要性演练准备效果评估制定演练方案明确演练场景、参与人员、评估标准总结演练中暴露的问题评估应急能力,,1234实施演练持续改进模拟真实攻击场景测试应急响应流程和技术措施根据演练结果优化预案提升协同处置能力,,建议每半年至少组织一次综合性应急演练每季度进行桌面推演通过反复演练将应急响应变成肌肉记忆在真正遇到事件时才能从容应对演练不仅要检验,,,技术能力更要检验组织协调、决策指挥、对外沟通等综合能力,第八章常见网络故障排查网络连接异常排查常用命令工具掌握基本的网络诊断命令能够快速定位问题:01检查物理连接测试网络连通性和延迟ping:查看网络配置信息ipconfig/ifconfig:确认网线插接牢固指示灯状态正常,追踪数据包路径tracert/traceroute:诊断解析问题nslookup:DNS查看网络连接状态netstat:0验2证配置IP检查IP地址、子网掩码、网关设置是否正确提示:对于复杂问题,应及时联系专业技术人员,避免因不当操作造成更大损失做好故障记录便于后续分析和改进,03测试网络连通性使用命令测试到网关和服务器的连通性ping04排查防火墙规则检查是否被防火墙或安全策略阻止第九章医疗设备网络安全12设备联网风险网络隔离防护医疗设备联网后可能成为攻击入口建议将医疗设备部署在独立的网络区许多设备采用嵌入式操作系统难以更域与办公网络、互联网隔离通过,,新补丁存在已知漏洞设备出厂时的划分、防火墙策略等技术手段,VLAN默认密码往往未被更改容易被攻击者限制设备的网络访问范围降低被攻击,,利用风险3设备安全加固更改设备默认密码关闭不必要的网络服务和端口定期检查设备厂商发布的安全,公告及时安装固件更新对于无法更新的老旧设备考虑部署额外的安全防护措施,,第十章第三方服务与供应商管理明确安全责任持续监督审计与第三方服务商签订合同时必须明确网络安全责任条款建立第三方服务商安全管理机制,::数据所有权和使用范围准入评估审查供应商的安全资质和能力••:数据保护措施和安全标准定期审计每年至少开展一次安全审计••:安全事件通知义务风险评估持续跟踪供应商的安全状况••:违约责任和赔偿机制应急联动建立与供应商的应急协调机制••:数据删除和返还要求•第三方服务商的安全问题可能直接影响卫生院必须将其纳入整,体安全管理体系第十一章个人信息保护实务法律要求收集使用规范《个人信息保护法》对医疗健康信息给遵循合法、正当、必要和诚信原则明予特别保护将其列为敏感个人信息确告知患者收集信息的目的、方式和范,处理敏感个人信息应当取得个人的单独围不得过度收集与医疗服务无关的个同意并具有特定的目的和充分的必要人信息不得强制要求患者同意处理非,,性必要信息存储与删除采取加密等安全措施保护存储的个人信息明确个人信息的保存期限超过期限后及,时删除患者有权要求删除其个人信息除非法律法规另有规定,第十二章云计算与大数据安全云服务安全风险越来越多的卫生院选择将部分系统部署在云端需要关注,:数据主权明确数据存储位置和司法管辖权•:多租户隔离确保不同客户数据的有效隔离•:访问控制采用强身份认证和细粒度授权•:数据加密对传输和存储的数据进行加密•:服务可用性评估云服务商的保障能力•:SLA大数据隐私保护在利用大数据开展医学研究或辅助决策时应采用数据脱敏、匿名化等技,术防止通过数据关联重新识别个人身份建立数据使用审批流程确保数,,据使用符合伦理规范第十三章新技术安全挑战物联网安全应用风险人工智能安全5G医疗物联网设备数量激增但许多设备安全防护技术为远程医疗、移动医疗带来新机遇同时辅助诊疗系统可能面临对抗样本攻击、模型窃,5G,AI能力薄弱需要建立物联网设备全生命周期安全也带来新的安全挑战需要关注网络切片的取、训练数据投毒等风险需要建立系统的安5G AI管理机制从采购、部署到退役全程管控隔离性、边缘计算的安全防护等问题全测试和验证机制确保算法的可靠性和安全性,,第十四章网络安全文化建设激励机制全员参与设立安全行为奖励表彰发现安全隐患的员工营,,造积极向上的氛围网络安全不是某个部门或某些人的事而是需要全,院每一位员工共同参与持续宣传通过海报、邮件、内部平台等多种渠道持续开展安全宣传教育行为规范榜样力量制定明确的安全行为准则让每个人知道什么该做、,什么不该做领导干部以身作则带头遵守安全规定发挥示范,,引领作用良好的安全文化是最坚固的防线当安全成为每个人的自觉行为网络安全水平才能真正提升,第十五章安全自查与持续改进定期自查机制持续改进循环网络安全是一个持续改进的过程需要建立循环机制漏洞扫描,PDCA:1计划制定安全目标和改进计划每月至少进行一次全面的漏洞扫描及时发现系统和应用的安全漏洞Plan:,执行实施各项安全措施和控制Do:检查通过自查、审计评估效果Check:渗透测试改进根据问题完善措施提升能力2Act:,每年至少开展一次专业的渗透测试模拟黑客攻击验证防护有效性,每次自查、演练、事件处置后都应进行总结形成改进清单并跟踪落实确,,保安全水平螺旋式上升配置审计3定期检查系统配置是否符合安全基线要求及时纠正不当配置,日志分析4建立日志集中管理和分析机制及时发现异常行为和攻击迹象,第十六章案例分析与经验分享成功防御勒索软件攻击案例某卫生院通过完善的安全防护体系成功抵御了一次大规模勒索软件攻击攻击者通过钓鱼邮件入侵了一台终端但由于该院部署了网络隔离、及时更新了系统补丁、配置了完,善的备份策略攻击未能扩散到核心系统数据得以快速恢复整个过程中医疗服务未受影,,,响成功因素失败教训多层次防护体系某院因长期未更新补丁被攻破••及时的安全更新某院因缺乏备份导致数据永久丢••有效的网络隔离失•完善的备份机制某院因员工点击钓鱼邮件造成重••训练有素的应急团队大损失•某院因应急预案缺失延误最佳处•置时机第十七章未来趋势与展望政策新动向国家将持续加强医疗卫生领域网络安全监管网络安全等级保护、数据安,全管理等要求将更加严格医疗数据出境安全评估、关键信息基础设施保护等制度将进一步完善卫生院需要密切关注政策变化及时调整安全,策略技术发展趋势零信任架构永不信任始终验证的安全理念将得到更广泛应用:,安全防护利用人工智能技术实现威胁智能检测和自动化响应AI:区块链应用区块链技术在医疗数据共享和溯源中的应用:建议卫生院应积极关注新技术发展在确保安全的前提下适度:,采用新技术提升医疗服务能力同时要避免盲目追新根据实,,际需求和能力选择合适的技术路线网络安全培训总结安全责任重于泰山筑牢多层防护堡垒医疗数据关系到每一位患者的隐私和权益网络安全需要技术、管理、人员三位一体,网络安全事件可能危及生命健康我们必的综合防护既要部署必要的技术措施也,须牢记安全责任将网络安全工作放在医院要完善管理制度更要提升全员的安全意识,,工作的重要位置确保医疗信息系统安全稳和技能只有构建起多层次、立体化的防,定运行护体系才能有效抵御各类威胁,持续学习与提升网络安全形势不断变化新的攻击手段层出不穷我们必须保持学习的态度及时了解新,,威胁、新技术、新政策不断提升自身的安全防范能力才能在与攻击者的对抗中保持主,,动网络安全为人民网络安全靠人民让我们共同努力为患者创造一个安全可信的医,,疗环境!互动环节网络安全知识问答:问题问题问题问题1234发现钓鱼邮件应该怎么做离开工作站时应该如何操作什么是网络安全的三大核心目发现系统异常应该怎么办标答案不点击链接不下载附件答案及时锁屏防止答案立即断网隔离保护现场:,,:Win+L,:,,立即删除并报告信息部门他人非法访问答案保密性、完整性、可用性报告上级和信息部门:问题问题56强密码应该满足什么要求可以将工作账号密码告诉同事吗答案至少位包含大小写字母、数字和特殊字符定期更换答案绝对不可以账号密码严禁共享:8,,:,欢迎大家积极提问现场答疑解惑巩固今天学习的网络安全知识,,!资源推荐与学习路径官方学习资源实用工具推荐国家互联网应急中心密码管理、等密码管理工具CNCERT:www.cert.org.cn:KeePass1Password发布最新安全预警和威胁情报病毒查杀卡巴斯基、等杀毒软件:360国家网络安全标准安全检测漏洞扫描工具、安全基线检查工具:www.tc

260.org.cn:网络安全国家标准文本下载重要法律法规国家卫健委:www.nhc.gov.cn医疗卫生网络安全政策文件《网络安全法》•专业培训平台《数据安全法》•《个人信息保护法》•中国网络空间安全协会培训•《医疗卫生机构网络安全管理办法》•信息安全等级保护培训•《信息安全等级保护管理办法》•各地卫健委组织的专项培训•建议将这些资源加入收藏夹建立学习档案制定个人学习计划,,,持续提升网络安全素养致谢与行动号召感谢各位同仁参加本次网络安全培训网络安全不是一朝一夕之功需要我们持之以恒的努力每一!,位医护人员、管理人员、技术人员都是网络安全防线上的守护者立即行动全员参与从现在开始检查自己的密码是否符合安全将今天学到的知识分享给同事共同营造重,,要求清理不必要的系统权限养成良好的安视网络安全的良好氛围让安全意识深入人,,,全习惯心持续改进定期回顾本次培训内容关注新的安全威胁和防护技术不断提升自身的安全防范能力,,网络安全人人有责,!让我们携手共进筑牢卫生院网络安全防线守护患者信息安全为医疗卫生事业的健康发展保驾,,,护航!。