■ 袁骏毅 潘常青 宓林晖

医疗行业是勒索病毒威胁的重点目标，患者单体数据价值较高，病案和药物则成为数据泄密的主要内容，因此建立安全的网络架构尤为重要[1]。2007年，公安部等四部门印发了《信息安全等级保护管理办法》（以下简称“等保1.0”），为信息安全建设提供了框架标准的具体要求。在相关政策文件基础上，原卫生部在2011年发布的《卫生行业信息安全等级保护工作的指导意见》中明确指出，三级甲等医院的核心业务系统必须通过等保的三级安全测评[2]。近些年来，随着云计算、移动互联和物联网等的发展，既往的安全架构面临越来越多的挑战，医疗机构中各类信息安全事故时有发生[3]。面对严峻的网络安全形势，2019年5月，《信息安全技术网络安全等级保护基本要求》（以下简称“等保2.0”）正式发布，给医疗行业带来了全新的安全规范和要求[4]。

1 等保2.0提出的新要求

等保2.0新规相比较等保1.0而言，增加了显著的新变化和建设要求，主要体现在以下4个方面：（1）覆盖对象的变化。新规范中的对象不仅包含传统对象，更与时俱进地添加了新兴事物主体，例如大数据平台、物联网、移动互联等[5]。②安全要求的改变。安全扩展的边界更侧重于考虑如大数据技术、互联网技术等便捷性技术所同步产生的安全隐患。（3）分类结构的变化。等保2.0定义了技术部分和管理部分两块内容，技术部分侧重于物理环境、通信网络、网络边界、计算方面和整体框架；管理部分则包括管理制度、管理机构、管理人员、建设跟踪和持续运维。……