叶建平 厦门大学附属第一医院

随着医院的不断发展和国家医疗卫生管理要求的不断提高，对信息网络系统的依赖性也表现得越来越强。但是信息网络系统所表现出来的先进性，以及所带来的劳动效率提高和生产成本降低，并不能掩饰其存在的种种安全隐患。特别是医院的信息网络系统中运载着大量重要的数据和信息，无论是硬件、软件、环境、人为方面的影响都可能导致这些数据遭受破坏，给医院带来无法挽回的损失。因此保护信息系统的数据安全，构建信息系统安全平台成为了医院信息化建设的当务之急。制定有效的安全策略前，可以先想想下列几个问题:

1 资产。

要保护的是什么？在任何安全实施中，通过安全措施识别出将要被保护的资产是第一步，也是最关键的一步。如果不能正确回答这个问题，就可能导致不适合的安全控制，或者使安全控制保护的是不该保护的东西。列如，在设计一个患者回访系统的时候，问一问这个问题可能使得设计者能够识别出下面这些需要保护的东西:患者的姓名和地址、联系电话、病情等。网络连接的加密、将患者数据放置在相互隔离的数据库中并对数据进行加密。如果不能提出这些问题，就可能使设计者忘记考虑加密。根据对这些问题的回答，可以列出要保护的资产列表。

2 风险。

什么是威胁矢量、脆弱性和风险？在要保护的资产在问题1中被识别出来之后，对于这些资产的威胁就可以同与他们相关的资源一起被列举出来，然后就可以找到与可能受到威胁的资产相关的脆弱性。……