医院内外网数据安全升级改造方案

现在，稍有规模的医院都基本上完成了各种医疗管理系统的信息化建设，包括采用数字签名技术保障电子病历的法律效力、不可篡改和不可抵赖，这些有力信息化建设有力保障了医院的高效运转。为此，医院都有自己的官网和各种医疗管理系统(包括位于公网的公众服务系统和位于内网的内部管理系统)，表面上看一切尚好。但是，请医院IT主管们检查一下自己官网和所有业务系统(公网和内网)是否全部实现了HTTPS加密，相信一定仍然有大量的系统并没有实现HTTPS加密，甚至没有一个网站系统实现了HTTPS加密，这是因为医院往往只重视传统的位于机房的服务器端安全防护建设，而不重视数据传输安全建设，安全防护观念还没有从传统的基于城堡的安全防护转换到云计算和大数据时代的数据流通保护上来。

大家都知道保障医疗数据的重要，但要想保护好医疗数据，很多医院IT主管还是传统的保护理念，认为保护数据就是保护服务器的安全，或者做好数据使用的权限管理，或者把数据加密处理保存在数据库，这些都是传统的城堡安全思维。在云计算和移动互联网时代，数据是需要流通的，是一直在流动中。而流通就需要用户可以通过浏览器或APP访问和使用，这就离不开HTTPS加密，数据传输加密是数据处理中最重要的一环，这一环节不安全，其他环节做了再多的安全保护都是无用的，数据传输加密是数据安全木桶理论的地板。本解决方案彻底解决了医院在保护医疗数据的流通传输安全方面遇到的难题。

一、 医院内外网为何急需升级改造？有哪些需要改造的？

医院管理信息系统的特点是有大量的位于公网和内网的公共服务系统和医疗管理信息系统，我国的医院管理信息系统经过这么多年的不断建设和完善，已经基本上实现了满足医院业务发展和各种管理的需要。但是，在目前的云计算和移动互联网时代，数据是在不断流动的，不仅是全院范围甚至是全国范围甚至全球范围的基于互联网的流动，而不是传统的在内部办公网流动。唯一可行的保护数据流动安全的技术就是HTTPS加密，能有效地保障数据从用户浏览器或APP到医疗业务系统的传输链路是加密的，能有效地防止数据在传输过程中的泄露和被非法篡改。

但现实情况是大量的医院的官网和许多业务系统都没有部署SSL证书？除了传统的防护理念需要更新外，是否是技术因素导致的？因为要实现HTTPS加密，传统的方式是医院向CA机构购买和申请SSL证书，拿到证书后部署到服务器上启用HTTPS加密。这个过程如果只管理一两个网站系统，人工操作也许还能承受，但是如果要管理几十个甚至上百个管理信息系统的SSL证书，这个人工处理的工作量是巨大的。这是大中型医院面临的困境，也许IT主管们知道必须部署SSL证书来实现HTTPS加密来保护数据传输安全，但是面对居高不下的人力成本，让大量部署和管理SSL证书成为一个令IT主管们头痛的难题。怎么办？

人工部署SSL证书的另一个困境是由于有太多的服务器需要部署SSL证书，运维人员一般采用Excel表来记录各个网站的证书何时到期，但仍然会由于各种原因而遗忘了按时续期SSL证书。一个真实的案例是爱立信电信设备中的SSL证书过期而没有续期，从而导致了移动运营商O2的移动数据管理系统崩溃，这使得其 3200万客户以及全球其他运营商的客户都无法正常使用移动通信服务，业务被中断了二十多个小时才恢复，O2为此向爱立信索赔数百万美元。Adobe Sign服务官网登录账户的SSL证书前段时间已经过期了24天仍然没有续期，这样的案例还很多。

也就是说，在所有系统无论位于公网还是内网都必须普及实现HTTPS加密的时代，手工部署SSL证书来实现HTTPS已经力不从心，即使是大医院也如此。更加严峻的考验是SSL证书有效期将缩短为47天，这意味着原先一年才申请和安装一次SSL证书的行为需要改为每个月一次！连一年一次都会遗漏，更不用提一个月1次了，这意味着手动申请和部署SSL证书已经不可能。怎么办？

另一个摆在医院面前的另一个HTTPS加密难题是国密合规，也就是国密改造，必须申请和部署国密SSL证书实现HTTPS加密，这个难度比上面所讲的申请和部署国际SSL证书实现HTTPS加密更加困难，因为涉及面更广，需要升级改造Web服务器软件，这极有可能严重影响现有业务系统的正常运行。怎么办？

还有更加严峻的医疗数据安全难题是已经存在“先收集后解密”的量子计算安全威胁，即使上面所讲的HTTPS加密都已经实现，但是现在仍然面临攻击者会收集已加密流量，待量子计算机可用时破解这些机密数据。而医疗数据是需要为病人终身保存的数据，必须采取技术措施来保证其长期安全。如何实现？

1. 为何这么多医院网站和医疗业务系统没有实现HTTPS加密？

从统计数据来看，我国医院网站和医院管理系统HTTPS加密普及率低于5%, 这么低的原因不外乎两个：一是医院管理前后台管理系统众多，公网实现HTTPS加密已经很难了，更何况是大量的内部管理系统也需要实现HTTPS加密，因为目前的公网SSL证书不支持内网IP地址，只能用自签证书或者只能用公网域名证书做内网IP地址解析。二是改造投资资金不足和人手不够，因为多个方面都要求升级改造，大大增加系统投资和维护成本。其中最大的难题是SSL证书的部署，一个大型医院少的有几十个甚至上百个网站系统，这么多系统需要人工部署SSL证书，并且是双证书(国际SSL证书和国密SSL证书)，这个工作量巨大，带来的运维成本也是巨大的，并且即将每月必须更新一次。这是医院管理系统建设和运维面临的第一个大难题，这也就不能理解为何还有大量的医院管理系统还是以不安全的明文HTTP方式提供服务的主要原因，但这不仅让宝贵的医疗数据失去了保护，更是违反了国家有关等保和密评的安全合规要求。

2. 为何几乎所有医院网站系统都没有实现国密HTTPS加密？

按照国家卫健委发布的《医疗卫生机构网络安全管理办法》和其他法律法规的要求，各医疗卫生机构应按照《密码法》等有关法律法规和密码应用相关标准规范，在网络建设过程中同步规划、同步建设、同步运行密码保护措施，使用符合相关要求的密码产品和服务。也就是医院网站和医疗管理系统都必须实现国密HTTPS加密保护。但目前几乎所有医院都没有实现了国密HTTPS加密，这个国密改造工作迫在眉睫，怎么改造，在实施之前选择正确的改造方案非常重要。

传统的方式实现国密HTTPS加密，不仅要向CA购买和申请国密SSL证书，而且还要改造Web服务器支持国密算法和国密SSL证书，但是有些医院管理系统Web服务器由于是早期建设的系统，并且一直正在可靠运行中，根本不可能停下来实现国密算法支持改造。强烈建议不要采用为了通过等保和密评而建设两套系统的落后方案，已经有了一套是支持RSA算法的老系统，不应该再浪费有限的预算去新增一套是用于通过密评的仅支持SM2算法的新系统。也就是说：医院管理系统所面临的不仅仅是RSA算法SSL证书的人工部署维护的费时费力问题，同时也面临SM2算法SSL证书的人工部署维护的费时费力问题，双算法SSL证书部署面临双倍的工作量和双倍系统的投资。这是医院管理信息系统面临的第二个大难题。

3. 医院管理信息系统为何急需支持后量子密码？

医院管理信息系统面临的第三个大难题是后量子密码迁移，这是必须马上应对的最新的网络安全攻击“先收集后解密”，也就是，攻击者已经开始收集已加密的医疗数据，待量子计算机可用时解密这些医疗机密数据。而很多医疗数据都是需要长期加密保护的数据，如果不能马上采用后量子密码HTTPS加密，则医疗机密数据在量子时代就变成了明文数据，这也就是5年内会发生的事情。所以，美欧医院已经开始应用后量子密码HTTPS加密来保证医疗数据在现在和量子时代的持续安全。而我国还没有一个医院网站和医院管理信息系统支持后量子密码HTTPS加密。

4. 是否所有医疗管理系统都采用了WAF防护？

医院官网和医疗管理信息系统面临的第四个难题就是WAF防护，在各种Web应用攻击不断加剧的形势下，医院官网和医院管理信息系统不仅需要网络层的防火墙防护，而且更需要Web应用层的安全防护，这就必须购置WAF设备。WAF系统是一个前置在Web服务器的Web应用反向代理流量分析转发服务，必须支持HTTPS加密，必须像Web服务器一样为其申请和部署SSL证书，也就是必须纳入SSL证书的安装部署和定期更新工作中，同时也必须支持国密算法和后量子密码算法。而市场上大量的WAF设备、云WAF服务都不支持国密算法和和后量子密码算法，这也严重影响了医院管理系统普及WAF服务来保障医院管理系统的Web应用安全，也就是无法保障宝贵的医疗数据的流通安全。

5. 是否所有医疗管理系统都支持IPv6网络访问？

医院管理系统系统面临的第五个难题是IPv6网络升级改造，这就要求Web服务器必须支持IPv6网络访问。为了减轻改造负担，医院在选择改造方案时不应采用为了满足改造要求而另外投资建设一套IPv6业务系统，应该选择一个零改造支持IPv6网站用户访问的解决方案。

二、 是否有解决方案可以实现一箭五雕，搞定五大难题？

从上面的分析可以得出这样的结论：为了满足HTTPS加密国密改造和IPv6改造的合规要求，大量医院管理系统正在采用错误的建设方案建设了多套医院管理系统来满足要求各种合规要求，这不仅仅是大大增加了医院管理系统投资的问题，而且是大大增加了医院管理系统的复杂性和维护难度，从而降低了医院管理系统的可靠性，这只能理解为这是一个为了应对合规检查的无奈之举。

为了更加形象地说明医院网站和管理信息系统安全目前的解决方案存在的问题，如下图所示，一个医院管理系统建设了4套一样的系统来满足4种不同用户的公众服务和医院管理需求，用户1使用浏览器/APP通过IPv4网络HTTP或HTTPS方式访问医院管理系统1，这就要求在医院管理系统上部署RSA算法SSL证书，这是传统的方式，也是目前大多数医院网站系统的工作方式。而为了满足国密合规的要求，则又另外建设一套支持国密算法的医院管理系统2，来满足用户使用国密浏览器和国密算法实现HTTPS加密安全方式访问公众服务和医院管理的需求，要求在医院管理系统2上部署国密SSL证书。为了保障这两个系统的Web应用安全，必须购买WAF设备或云WAF服务。而为了满足IPv6网络合规要求，又另外建设了医院管理系统3和系统4来满足IP4/IPv6网络用户使用国密浏览器和不支持国密算法的浏览器都能访问公众服务和医院管理的要求。而为了实现后量子密码迁移，现在已经有供应商开始推销其后量子密码网关设备系统。这样的同一个网站系统同时建设4套系统甚至5套系统绝对不是一个个例，希望医院IT主管们不要选择这个错误的建设方案。

这种错误的建设方案，不仅浪费了大量的系统建设费用，其核心问题并没有真正得到解决，那就是SSL证书的人工申请和部署难题，这是一个每月都需要为多套系统成百台服务器部署SSL证书的难题，这将是一个不可能实现的任务，根本无法完成国密改造、后量子密码改造和IPv6改造等各种合规改造工作，必须找到好的解决方案来解决这些难题。

大家可能会想到ACME技术(自动化证书管理环境)，因为要想实现证书自动化，目前的国际方案是必须在Web服务器安装一个ACME客户端软件，但是可能大多数医院并不愿意在其服务器上安装第三方软件。而即使妥协一下允许安装客户端软件，有些较老的服务器也许不支持安装这个客户端软件。还有，这个解决方案只能自动化部署RSA/ECC算法SSL证书，不能实现国密SSL证书的自动化部署，无法实现国密HTTPS加密自动化。并且市场上的WAF设备/CDN服务都还不支持ACME技术，仍然需要人工申请和部署SSL证书。

这些都是摆在所有医院IT主管们面前的现实问题和技术难题，必须寻找一个好的解决方案彻底解决这5个棘手的难题，而不是现在的建设四套不同的医院管理系统的方案。

三、 零信网关，自动化搞定医院管理信息系统升级改造五大难题

目前市场上可用的能解决以上难题的解决方案只有一个：部署零信国密HTTPS加密自动化网关，这是一个为我国HTTPS加密自动化量身打造的具有国际先进水平的自动化证书管理产品，是目前唯一一个通过商用密码产品认证的国密HTTPS加密自动化网关产品，也是唯一一个遵循《自动化证书管理规范》密码行业标准的网关产品，一个采用高性能密码卡打造的高端高性能网站安全硬件密码设备，是一个集HTTPS加密加速、HTTPS卸载转发、国密算法模块、后量子密码算法模块、SSL证书自动化、WAF防护、负载均衡等多项功能于一体的专用于HTTPS加速和卸载的硬件密码设备，内置专业级高性能硬件密码卡实现高速密码运算和网络包转发，并且对内置操作系统、网络协议、SSL/TLS协议、ECC算法、SM2算法和后量子密码算法都进行了专业的深度优化，实现了业界领先的极致性能。

零信国密HTTPS加密自动化网关最大的特点和特色是用户无需向CA申请SSL证书，由零信网关自动化申请双算法SSL证书(国密OV SSL证书和国际DV SSL证书)、自动化部署双SSL证书、并且已经提前满足将来90天有效期证书政策，自动化实现国密混合后量子密码HTTPS加密，自适应加密算法，支持国密算法和国密证书透明的国密浏览器采用SM2算法实现国密HTTPS加密，不支持国密算法和国密证书透明的其他浏览器采用国际ECC算法实现HTTPS加密，支持后量子密码算法的浏览器采用PQC算法实现HTTPS加密。这是一个端云一体的创新解决方案，零信网关内置国密ACME客户端，自动对接零信云SSL系统，自动化完成双算法SSL证书申请、部署和续期，确保业务系统零改造实现HTTPS加密，不间断地自动化为多达255个不同域名的业务系统提供自动化HTTPS加密服务和WAF防护服务。

传统方案需要为同一域名医院网站系统建设四套系统来满足四种不同用户使用公众服务和医院管理的需求，而零信技术的创新方案是：只需部署零信国密HTTPS加密自动化网关，无需建设多余的三套系统，最早建设的第一套IPv4网络的医院管理系统零改造，零安装SSL证书，自动化满足四种用户的公众服务和医院管理需求，如下图所示。

医院网站和医院管理信息系统部署零信国密HTTPS加密自动化网关后，可以实现：

1. HTTPS加密自动化

这是由零信网关自动化实现明文HTTP协议和HTTPS加密协议的转换工作。零信网关让原医院管理系统Web服务器零改造，零安装ACME客户端软件，零申请和零安装SSL证书，只需一次配置医院管理系统域名，5年内自动化免费为多达255个网站申请和部署双算法SSL证书(国际DV SSL证书+商密OV SSL证书)，自动化自适应加密算法实现HTTPS加密，自动化完成国密改造。不用担心证书有效缩短到90天，因为网关会自动化申请证书、自动化续费和重新部署证书，不怕即使将来缩短到1天，不仅大大节省大量的SSL证书费用，而且彻底把系统运维工程师解放出来，让机器去自动化完成申请和部署SSL证书这个费时费力的苦力活，让工程师们有精力去做更有价值的医院管理系统安全运维工作。同时支持公网域名、公网IP地址、内网域名和内网IP地址，同时满足公网网址和内网管理系统的HTTPS加密自动化改造需求。

2. 国密HTTPS加密自动化

这是由零信网自动化实现国际算法HTTPS加密和国密算法HTTPS加密的两个不同的密码体系的转换工作。零信网关让原医院管理系统无需升级改造就可以实现国密HTTPS加密，再也无需为了国密改造而单独建设一套支持国密算法的医院管理系统，只需在现有的医院管理系统前部署零信国密HTTPS加密自动化网关即可，无需改造Web服务器以支持国密算法，无需申请和安装国密SSL证书，自动化配置国密OV SSL证书，自动化实现国密HTTPS加密，原医院管理系统零改造，自动化完成国密改造，满足各种法律法规的合规要求。更重要的是：这是自动化实现国密HTTPS加密的解决方案，一切工作由机器自动化完成，当然也不用担心SSL证书有效期缩短的问题，机器会自动化定期申请和安装双SSL证书。

3. 后量子密码HTTPS加密自动化

这是由零信网关自动化实现的采用国际通行的传统密码算法和后量子密码算法混合密钥封装模式的HTTPS加密自动化，同时支持国际混合PQC算法X25519MLKEM768和商密混合PQC算法SM2MLKEM768，使得所有互联网政务应用系统无需额外升级改造即可同步平滑无缝支持后量子密码算法，在完成国密改造的同时完成后量子密码迁移，不增加一分钱额外开支，这是最经济和最快捷的后量子密码迁移方案，确保了医疗数据的国密合规和后量子密码合规，保证了医疗数据在现在和量子时代的持续安全。

4. WAF防护自动化

这是由零信网关自动化实现Web流量清洗和转发工作，并且是自动化卸载HTTPS加密流量后的流量安全保护，用户无需另外花钱购置WAF设备或云WAF服务，也无需为部署和更新WAF设备或WAF服务所需的SSL证书发愁，只需部署零信国密HTTPS加密自动化网关，就可以自动化实现HTTPS加密方式的WAF防护，WAF防护的检测能力和识别能力都达到A级(最高级别)，防护性能甚至超过售价百万的WAF设备，并且是同时支持国际算法、国密算法和后量子密码算法的HTTPS加密自动化的WAF防护。

5. 零改造搞定IPv6支持

这是由零信网关自动化实现IPv6网络协议和IPv4网络协议的两个不同网络协议的转换，并且是同时支持RSA算法HTTPS流量、SM2算法HTTPS流量和后量子密码算法HTTPS流量。原医院管理信息系统Web服务器无需改造，但可以满足用户使用IPv6网络访问位于零信网关后的IPv4网络的医院管理信息系统，由零信网关实现IPv6到IPv4的自动化转换，并且是HTTPS加密方式的IPv6安全访问，优先采用国密混合后量子密码HTTPS加密方式的IPv6访问。

6. 免费配套国密浏览器

要实现国密HTTPS加密，仅有网关实现自动化国密HTTPS加密是不够的，还需要用户端有浏览器支持国密HTTPS加密访问。而目前市场上的国密浏览器都是收费的，这无法满足普及国密算法的需要。零信技术免费配套提供不限数量使用的国密浏览器—零信浏览器，一个干净无广告的基于谷歌内核的同时支持RSA/ECC/SM2/PQC四算法的高性能通用浏览器，优先采用国密混合后量子密码算法安全访问医院管理信息系统，确保了医疗数据在现在和量子时代的持续安全。零信网关还免费赠送零信浏览器网站可信EV认证，让零信浏览器在地址栏绿色显示医院应用网站单位名称，提升医院官网和医院管理信息系统的防假冒网站能力，有力保障医院管理系统的用户账户安全和医院管理信息系统安全。

需要特别指出的是：以上解决方案不仅仅适用于位于公网的医院官网、公众服务系统和医院管理信息系统，同时适用于位于内网的医院内部管理系统，零信网关支持自动化申请和部署零信浏览器信任的内网SSL证书(RSA和SM2算法)，支持内网IP地址和内部主机名，以满足医院内网流量加密安全的应用需求。并且支持90天有效期的密钥安全要求，以满足即将到来的国际标准和国密标准要求。

四、零信创新方案为医院提供了七大超值服务

五、唯有自动化，才能不间断地保障医疗数据流通安全

按照国家卫健委发布的《医疗卫生机构网络安全管理办法》和其他法律法规的要求，必须采用国密HTTPS加密来加密数据传输通道，也就是必须部署国密SSL证书来实现国密加后量子密码HTTPS加密，只有这样才能有效保障每一个医疗数据处理过程中的数据处于有效保护中，使得医疗数据从生产到销毁的全生命周期都处于持续安全状态，并且在量子时代持续保持安全。

零信技术创新解决方案是一个端云一体的解决方案，有两个“端”，一个是网关，部署在服务器端，另一个是零信浏览器，在用户端免费使用，为用户提供端到端的国密后量子密码HTTPS加密通道，让医疗数据通过国密后量子密码加密通道安全地流通，这不仅是国密合规的要求，更重要的是保证了医疗数据不会在“路”上被打劫，不会被非法窃取和非法篡改，不会遭遇“先收集后解密”，切实保障了医疗数据的“在途”安全。零信国密HTTPS加密自动化管理解决方案是一个(好处) “多”、“快”速实施、“好”用、“省证书费用和人力成本的最佳解决方案。零信网关实现了一个网关搞定医院内外网升级改造5个棘手的难题，是医院内外网升级改造的首选产品。

不仅如此，要想保障医疗应用Web 系统全程安全，医疗应用还需要改进医院APP 和小程序的 SSL 证书验证机制，因为现在用户使用医院APP或小程序已经比使用浏览器登录医院管理系统更普及，这就要求医院APP能像浏览器一样支持国密算法和后量子密码算法，像浏览器一样严格验证医院管理信息系统部署的SSL证书，必须验证SSL 证书是否可信、是否域名匹配、是否过期和是否被吊销等各种证书安全问题，只有这样才是一个安全的医院APP。并且必须优先采用国密算法和后量子密码算法实现 HTTPS 加密，这样才能保证医疗数据在现在和将来的持续安全，才能真正保证为医院患者提供不间断的安全可靠的医疗服务。