隨著醫療網絡應用規模不斷擴大，各種各樣的終端設備也在快速增加。在很多大型醫院中，終端規模數以千計。醫院在享受醫療數字化帶來的便利的同時，也同時被大量終端安全、管理和維護問題所困擾。如何在終端設備的不斷增加、醫護人員使用水平參差不齊、安全大環境越來越嚴峻的情況下，有效地管理和利用醫院IT終端資產，降低運營風險保障網絡終端安全，成為醫院終端管理的關鍵。

近年不斷爆發醫院終端安全事故，從醫院病毒、木馬的屢次大爆發導致醫療系統崩潰，到2011年福建醫院黑客第一案、溫州18家醫院的信息系統入侵，無不在警示著醫院在強化醫療技術解決群眾“外患”的同時，也要關注終端的“內患”問題。

綜合醫院終端管理的需求和問題來看，主要包括以下幾個方面。

如何防止網絡非法接入？隨著筆記本電腦、智能手機的普及，出現了醫生、患者、其他訪客的終端隨意接入醫院內部網絡的情況，帶來了安全風險和管理隱患。需要規范和管理外來計算機的接入。

如何保證網絡訪問安全？目前醫院網絡架構正從“院墻內”發展到“院墻外”，醫院自身信息化網絡建設，到醫療機構之間的信息共享、互聯互通都需要考慮。針對二網合一后的訪問控制需要予以通盤考慮，以保障病人信息的私密性及信息的完整性，同時提供數據的便捷共享。

如何保證終端數據安全？即使通過物理手段控制終端只能訪問醫院內部網絡，但隨著外聯方式的多樣化（3G上網、Modem、ADSL、無線路由以及USB存儲設備等方式），內部數據很容易通過這些途徑泄漏。由于醫療數據涉及用戶隱私，所以要謹防數據外泄問題。

醫云：“頭痛醫頭，腳痛醫腳，謬也”，合格的醫者不會只關注病況出現的局部點，往往通過“望、聞、問、切”等方式綜合觀察患者身體整體的宏觀體征和表現，從而對癥下藥。醫學的觀點同樣體現在醫療機構的信息安全系統中，對于醫療機構內部終端的管理，需要有整體性的宏觀概念。醫院之所以出現無法有效控制終端的安全問題，源于內網的整體性保護不足，即使部署了防病毒軟件和防火墻，但仍無法透明地監測到終端訪問網絡的身份合法性、終端自身的安全狀態及合規情況。

因此需要全局掌握接入醫療機構網絡的終端情況：有哪些終端接入了網絡？這些終端來自哪里？終端是否都安裝了殺毒軟件？操作系統是否是最新版本？是否存在終端私自上網等行為等？這些都通過直觀的圖表展示出來，從而實現對終端系統資源與合規的監控。通過對醫院終端系統和應用狀態的全面數據化和可視化，為醫院對既定安全策略的調整和未來規劃決策提供支持。

針對上述需求，H3C EAD終端準入控制解決方案,為醫院提供了一套系統、可視、易用的管理工具。它可以屏蔽不安全的設備和人員接入網絡，規范終端用戶接入網絡的行為，從而鏟除網絡威脅的源頭，避免事后處理的高額成本，同時幫助網絡管理者可視化地保護、管理和監控網絡終端，使網絡能夠為核心業務服務。EAD終端準入控制解決方案主要從以下三個維度對終端進行可視化管理。

一、?終端狀態可視化

要對終端的接入狀態做到透明可視化監控，核心是要建立終端與用戶之間確定性的對應關系。在傳統的網絡終端管理中，無論是在網絡拓撲還是在網絡日志審計中，都只能看到終端的IP地址，而對于終端的類型、所屬用戶等信息毫無所知。由于缺乏終端與用戶之間確定的對應關系，使網絡用戶與用戶在網絡世界中完全割裂了，終端的行為與用戶的角色完全分離，成為安全管理的黑洞。

通過EAD準入控制技術，可以將終端與醫護人員之間建立對應關系。醫護人員在使用終端接入網絡時，網絡接入設備強制要求醫護人員輸入合法的用戶名和密碼；用戶名、密碼驗證后，網絡準入控制系統將識別用戶所攜帶的終端，并收集其終端MAC地址、IP地址、接入的網絡位置和時間，根據既定規則分配網絡訪問權限。基于網絡準入技術，建立終端可視化管理平臺，醫護人員就真正與其所使用的終端設備、所分配的IP地址、所接入的網絡設備、網絡訪問權限、網絡接入時間有機結合起來，一方面有利于控制接入網絡的終端，另一方面也可對網絡靜態配置、動態資源運行情況做到心中有數，徹底消除黑箱現象。

傳統的網絡拓撲、無線管理在整合網絡準入控制系統后，可以更直觀地在網絡拓撲上查看到終端的狀態信息（如圖1所示）：可以直接查看到在某個交換機或AP下，有哪些用戶接入了，他們處于什么物理位置，使用的終端設備是什么。不僅僅是PC，對于智能終端、打印機、IP電話、智能醫療設備都可以在網絡拓撲中一覽無余。同時，網絡管理員可以直接在網絡拓撲上對終端用戶進行操作——下線斷網、消息提醒、加入黑名單等，從而及時有效地將非法用戶隔離出網絡。

圖1 網絡拓撲中終端的狀態圖

二、?終端安全可視化

除了對接入終端的身份、類型、位置、時間、權限等要做到動態監控外，還需要對接入終端自身的安全狀態和管理狀態進行可視化管理（如圖2所示）。其中安全狀態是指終端是否按照安全策略的要求進行了必要的安全加固（如是否安裝了防病毒軟件、防病毒軟件病毒庫是否為最新狀態、操作系統補丁是否已經升級、注冊表是否完整、系統是否存在弱口令等）；管理狀態是指終端是否符合終端管理的要求運行指定的業務系統，并按照管理規定對終端進行合理的配置和使用（如是否安裝運行了指定的應用軟件或禁止的應用軟件，是否使用了藍牙、紅外、打印機、3G上網卡、USB等外設，規范終端的使用行為，防范終端數據通過外聯、外設等方式泄漏）。

圖2 聯網終端安全檢查

終端和應用軟件屬于固定資產，在資產總額中都占有較大的比例。確保資產安全、完整，是醫院終端管理的重要工作之一，也是財務資金管理的一個重要組成部分，管理員常常需要對整個網絡系統的終端資產做全盤的管理。但傳統的手工盤點方式給統計人員帶來極大的工作量，也給IT管理人員帶來管理工作的負擔。因此，通過可視化終端管理平臺對局域網內計算機的軟硬件資產及資產變更進行行之有效地管理，包括檢測硬盤、CPU、主板、顯卡、光驅等硬件設備，和軟件安裝信息、操作系統變更信息，方便管理員及時的查看資源，防止內部人員更換或帶走，從而減少信息外泄（如圖3所示）。可視化查看每個終端的軟硬件配置信息，可以大大減輕IT管理人員繁瑣的電腦管理工作負擔，從而提高網管員的工作效率。

圖3 終端信息

三、?管理可視化

終端狀態和安全做到可視化運維管理的前提，也需要有管理策略上的統一（如圖4所示），即對所有的終端應用統一的安全策略，對所有的終端用戶采用統一的終端管理策略，對終端的網絡行為提供統一的日志，為所有管理員提供統一的可視化配置界面。通過統一的終端管理平臺降低系統的復雜度，提高終端的工作性能，降低終端的維護管理成本。

統一的網絡身份和安全策略管理，使基于用戶進行集中審計成為可能，避免了單純基于IP審計的缺陷，終端網絡行為日志統一在用戶管理系統中，可以快速查詢用戶在網絡中特定時間內的行為。

圖4 終端安全策略設置

結束語

中國傳統中醫診斷講“望、聞、問、切”，醫者通過多角度觀察患者的狀況，從而做出綜合的診斷結果。現代信息技術的診斷就是通過終端可視化檢測，對接入網絡的終端實現透明化管理，及時察覺非法的終端和網絡行為，杜絕數據的外泄行為的產生。治網如治病，從終端可視化的管理思路確保網絡與終端的整體安全，才能夠實現醫療機構內部信息的真正、全面、持續安全。