银医安全︱东软NetEye助力银医场景安全支付

开展“银医通”的必要性

“银医通”又称为银医一卡通,银行和医院合作,由银行出资购买一批自助终端设备,部署在医院,起到资金沉淀的作用。“银医通”将银行的核心系统、前置系统与医院的HIS管理系统进行对接,提供线上自助式就医手续办理程序,具有预约挂号、在线挂号、门诊缴费等自助操作功能,为患者提供便利,这种业务模式在医院得到了广泛应用。

国家政策的要求

国家卫健委于2018年7月发布《关于深入开展“互联网+医疗健康”便民惠民活动的通知》,指出“医疗卫生机构要通过自助机、手机客户端等多种途径,优化支付流程,改善结算模式。在保障信息安全的前提下,加强与医保、商保、银联、第三方支付机构合作,为患者提供多种在线支付方式。到2020年,二级以上医院普遍提供移动支付等‘一站式’结算服务”。

银医场景面临的安全风险

医院银医场景涉及到互联网、专网、医院内网等数据通讯,打破了原纯内网交互的业务环境,并引入了多种支付方式,提供自助服务模式,具有向互联网延伸的特性,因此存在着众多安全隐患:
•  医院银医通服务器成为互联网与医院内网连接的跳板,容易遭受攻击;
•  医院与银行等第三方机构交互,医院专网面临着第三方机构的网络威胁;
•  微信、支付宝等互联网业务流量中可能夹杂着恶意流量,传播到医院内网;
自助终端设备类型复杂多样,自身安全性无法保障,容易传播风险,渗透到核心业务系统。

东软NetEye银医场景的安全架构

安全方案应充分考虑银医场景独特的业务流程与特性,从以下几个层面做好防护:

互联网病毒威胁防范
患者使用微信、支付宝、第三方APP等多样化的互联网手段进行挂号支付,业务流量容易夹带病毒威胁。部署具备防病毒功能的高性能硬件架构防火墙,支持千万量级的病毒特征库,在不影响支付业务的前提下,可全面快速地检测出互联网流量中的病毒威胁。

建立互联网业务安全边界
针对互联网结算业务,可在银医通服务器与外网前置服务器之间部署网闸,通过数据摆渡实现两者之间的数据同步。建立内网安全隔离屏障,避免银医通服务器直接暴露在互联网环境,防止以其为跳板攻击核心业务系统。

建立专网安全边界
在银行与医院边界部署防火墙,实现基础的安全隔离。医院与第三方机构对接,通常不清楚对端的网络安全环境,通过隔离与访问控制可以屏蔽常见的安全风险。

内网核心区安全防护
内网核心区域各出口处建立防护措施,针对不同业务仅开放必要的服务和端口,同时限制自助终端前置服务器访问核心服务器的行为,降低核心区域被攻击的概率。

自助终端安全防护
内网终端主要是自助终端、人工窗口PC等,存在病毒感染风险。可部署EDR,采用多行为联动的智能主动防御体系,实时监控终端的进程、主机行为,识别挖矿木马勒索病毒等隐藏的未知恶意程序,快速响应并拦截处理。还可对包括服务器在内的全网终端进行持续性安全监测,精准把控内网终端的整体安全态势。
在内网终端区部署防火墙,有效控制自助终端间的访问行为,防止攻击行为横向蔓延、扩散。同时,自助终端易存在身份冒用、非法准入的问题,可对其进行身份验证、IP/MAC绑定等安全管控。



东软NetEye银医场景的安全防护价值

综上所述,东软NetEye银医安全场景方案具有如下防护价值:

采取多层的安全防护措施,防范业务互联网化带来的DDoS攻击、跳板攻击、攻击探测、病毒木马等新增安全威胁,最大化保障银医通业务安全性;
识别挂号、结算、打印等不同自助终端的业务交互需求,建立自助终端的访问控制措施,将自助终端的风险和影响范围最小化;
以医院内网核心系统为中心,识别不同业务类型的交互需求,建立以业务为中心的多出口边界防护体系,保障医院内网核心系统安全性。
联系我们

欢迎致电4006556789,或通过在线方式与我们联系

close

关闭