|
公司名稱: 知名綜合醫院
企業類別: 醫療院所/機構
鎬聖產品:
成功於:
- 保護電子病歷
- 檔案系統存取紀錄以供追查
- 伺服器登入登出記錄稽核
- 禁止攻擊中斷系統與程式服務
概觀
《資訊安全為電子病歷的接受價值》
一個為民眾所接受的電子病歷必須強調在資訊安全上的妥善保護。在醫療機構導入電子病歷的過程中，如何規劃資訊安全的管理，成為電子病歷在民眾推廣上的最重要關鍵，完整的資訊安全管理系統將是電子病歷系統的首要考量。
電子病歷的計畫目標，是希望能將病歷、檢驗報告與醫事人員所做的相關記錄全面電子化，並且讓各個醫療院所能夠透過網路上的交換平臺，做到病歷資訊在各個醫院間流通無礙的環境。未來所有的病患，無論到哪個醫院看診，醫院都能在病患的許可下，調來病患先前的所有就診記錄、用藥狀況、是否對某種藥物過敏等過去的各種醫療相關資料，也能大幅減少醫院儲存與管理病歷的空間與經費。
挑戰
電子化門診及電子病歷等醫療系統不但高度整合而且系統複雜，平日處理的資料量龐大並且無法中斷，在導入電子病歷的資訊安全管理系統時不能限制硬體週邊、網路的使用，尤其不能改變醫護人員或民眾的的操作習慣。由於使用者期待可以保護所有的檔案格式，並控管應用軟體存取這些檔案的權限，若採用外掛(plug-in)程式的做法來控制應用軟體，工程十分浩大而不行。
導入電子病歷面臨最大的挑戰就是要如何確保病患的隱私，並且確立病歷的不可更改與安全等特性。導入PKI結合電子簽章，仍無法確保電子病歷外洩的風險，也欠缺存取的記錄。
每日負責處理輸入敏感資料的均是第一線專業醫護人員，但大部份對資訊系統的安全與操作卻非常不懂，造成內部少數較精通的人員與資訊部門可由內部輕易登入資料主機存取資訊。而現有安全部署較著重在對外的安全防護，而缺乏加強內部的權限管控與連線記錄。
解決方案
以此知名綜合醫院為例，為了確保各醫療系統的服務各自獨立運作及短時間迅速恢復異常，使用了多伺服器主機的硬體叢集運算，並以虛擬機器獨立執行每單一服務達數十個之多，配合動態分配硬體系統資源，管理這些數量龐大且功能各異的虛擬伺服器成為一大耗時又複雜的難題。
在實際導入RetiShield之後，首先以軟體安裝的方式部署RetiShield Agent到各虛擬伺服器，並由一台RetiShield Enterprise來集中管理及保存稽核記錄，一次就可將安全規則(Secure Policy)統一規劃及佈署至各虛擬伺服器，既不影響虛擬伺服器的效能，又能達到保護及簡化管理的目的，成功克服部署上的困難。
由於系統管理員能夠不受限制地修改伺服器內的檔案，造成如駭客或內部工作人員入侵取得管理員權限後，取得電子病歷侵犯病患隱私的風險大增，而且事後無從追查。
針對檔案系統的保護， RetiShield提供了進階的存取設定方式，除了讓原本系統內的權限照舊使用之外，另外針對特定檔案區域加入存取控制，拒絕未經授權的存取，當然這時連系統管理者也無法越雷池一步，僅有經過RetiShield核可之使用者帳號可以進行特定檔案區域的存取。
當設定完存取規則之後，所有的存取行為將會被記錄下來，以供後續追蹤查核使用，同時又可追蹤是否有使用者試圖竊取機密資料、或是否有外部駭客正在進行攻擊行為。RetiShield的紀錄內容從使用者登入系統開始(包含遠端桌面登入)、檔案系統存取的過程(允許/拒絕)、網路連線，以及開啟、關閉或刪除程序(Process)的紀錄等等。因此不但加強了舊有使用者權限控管的安全性，而且留下詳細的記錄資料以供隨時查核，徹底降低病歷資料外洩的風險。 |
|
