逻辑隔离安全建议
为保护核心业务系统的安全，根据业务、职能、信息安全级别的不同，医院信息系统通常设计有逻辑隔离的两个数据通信网络，医院业务网和医院办公网。内网：业务网（列如：HIS、LIS、电子病历、PACS等等），：办公网 (例如：门户网站、Internet等等)，医院内隔离最好的解决方法就是采取物理隔离，两套网络及两套终端的方式，物理分割内，因成本较高，目前医院不采纳。
（现医院实际网络环境）
一、逻辑隔离
内逻辑隔离：
1、采用划分Vlan进行隔离，不同网段之间不能访问，降低网络风暴。
2、采取防火墙白名单安全策略，关闭不必要的对外端口，使用NAT技术隐藏内部地址。
3、监控每台PC终端，严格PC终端的权限。
4、具有统一管理的杀毒软件，对终端定时杀毒。
如采用此方案存在以下几个问题：
防火墙产品主要包括包过滤防火墙，状态检测包过滤防火墙和应用层代理防火墙。
1、其最大的局限性就是防火墙自身不能保证其准许放行的数据是否安全。
2、不能防御绕过防火墙的攻击行为：从根本上讲，防火墙是一种被动的防御手段，只能守株待兔式地对通过它的数据报进行检查，如果该数据由于某种原因没有通过防火墙，则防火墙就不会采取任何的措施。
3、不能防御完全新的威胁：防火墙只能防御已知的威胁，但是人们发现可信赖的服务中存在新的侵袭方法，可信赖的服务就变成不可信赖的了。
4、虽然防火墙扫描分析所有通过的信息，但是这种扫描分析多半是针对IP地址和端口号或者协议内容的，而非数据细节。这样一来，基于数据驱动的攻击，比如病毒，可以附在诸如电子邮件之类的东西上面进入你的系统中并发动攻击。
5、目前国内防火墙本身的软件、操作系统、数据库等方面有缺陷，很多穿墙技术能穿过大部分国产防火墙。
建议：在此方案中部署入侵防御系统/IPS。
二、接近物理隔离设备隔离两网
医院业务系统工作站只能访问医院内网；医院职能管理部门能够同时访问内。
网闸目前医院、单位用的比较多，可以去网上查询一下这个设备的资料。下载本文
