随着医疗网络应用规模不断扩大，各种各样的终端设备也在快速增加。在很多大型医院中，终端规模数以千计。医院在享受医疗数字化带来的便利的同时，也同时被大量终端安全、管理和维护问题所困扰。如何在终端设备的不断增加、医护人员使用水平参差不齐、安全大环境越来越严峻的情况下，有效地管理和利用医院IT终端资产，降低运营风险保障网络终端安全，成为医院终端管理的关键。
近年不断爆发医院终端安全事故，从医院病毒、木马的屡次大爆发导致医疗系统崩溃，到2011年福建医院黑客一案、温州18家医院的信息系统入侵，无不在警示着医院在强化医疗技术解决群众“外患”的同时，也要关注终端的“内患”问题。
综合医院终端管理的需求和问题来看，主要包括以下几个方面。
如何防止网络非法接入？随着笔记本电脑、智能手机的普及，出现了医生、患者、其他访客的终端随意接入医院内部网络的情况，带来了安全风险和管理隐患。需要规范和管理外来计算机的接入。
如何保证网络访问安全？目前医院网络架构正从“院墙内”发展到“院墙外”，医院自身信息化网络建设，到医疗机构之间的信息共享、互联互通都需要考虑。针对二网合一后的访问控制需要予以通盘考虑，以保障病人信息的私密性及信息的完整性，同时提供数据的便捷共享。
如何保证终端数据安全？即使通过物理手段控制终端只能访问医院内部网络，但随着外联方式的多样化（3G上网、Modem、ADSL、无线路由以及USB存储设备等方式），内部数据很容易通过这些途径泄漏。由于医疗数据涉及用户隐私，所以要谨防数据外泄问题。
医云：“头痛医头，脚痛医脚，谬也”，合格的医者不会只关注病况出现的局部点，往往通过“望、闻、问、切”等方式综合观察患者身体整体的宏观体征和表现，从而对症下药。医学的观点同样体现在医疗机构的信息安全系统中，对于医疗机构内部终端的管理，需要有整体性的宏观概念。医院之所以出现无法有效控制终端的安全问题，源于内网的整体性保护不足，即使部署了防病毒软件和防火墙，但仍无法透明地监测到终端访问网络的身份合法性、终端自身的安全状态及合规情况。
因此需要全局掌握接入医疗机构网络的终端情况：有哪些终端接入了网络？这些终端来自哪里？终端是否都安装了杀毒软件？操作系统是否是更新版本？是否存在终端私自上网等行为等？这些都通过直观的图表展示出来，从而实现对终端系统资源与合规的监控。通过对医院终端系统和应用状态的全面数据化和可视化，为医院对既定安全策略的调整和未来规划决策提供支持。
针对上述需求，H3C EAD终端准入控制解决方案,为医院提供了一套系统、可视、易用的管理工具。它可以屏蔽不安全的设备和人员接入网络，规范终端用户接入网络的行为，从而铲除网络威胁的源头，避免事后处理的高额成本，同时帮助网络管理者可视化地保护、管理和监控网络终端，使网络能够为核心业务服务。EAD终端准入控制解决方案主要从以下三个维度对终端进行可视化管理。

一、 终端状态可视化
要对终端的接入状态做到透明可视化监控，核心是要建立终端与用户之间确定性的对应关系。在传统的网络终端管理中，无论是在网络拓扑还是在网络日志审计中，都只能看到终端的IP地址，而对于终端的类型、所属用户等信息毫无所知。由于缺乏终端与用户之间确定的对应关系，使网络用户与用户在网络世界中完全割裂了，终端的行为与用户的角色完全分离，成为安全管理的黑洞。
通过EAD准入控制技术，可以将终端与医护人员之间建立对应关系。医护人员在使用终端接入网络时，网络接入设备强制要求医护人员输入合法的用户名和密码；用户名、密码验证后，网络准入控制系统将识别用户所携带的终端，并收集其终端MAC地址、IP地址、接入的网络位置和时间，根据既定规则分配网络访问权限。基于网络准入技术，建立终端可视化管理平台，医护人员就真正与其所使用的终端设备、所分配的IP地址、所接入的网络设备、网络访问权限、网络接入时间有机结合起来，一方面有利于控制接入网络的终端，另一方面也可对网络静态配置、动态资源运行情况做到心中有数，彻底消除黑箱现象。
传统的网络拓扑、无线管理在整合网络准入控制系统后，可以更直观地在网络拓扑上查看到终端的状态信息（如图1所示）：可以直接查看到在某个交换机或AP下，有哪些用户接入了，他们处于什么物理位置，使用的终端设备是什么。不仅仅是PC，对于智能终端、打印机、IP电话、智能医疗设备都可以在网络拓扑中一览无余。同时，网络管理员可以直接在网络拓扑上对终端用户进行操作——下线断网、消息提醒、加入黑名单等，从而及时有效地将非法用户隔离出网络。

图1 网络拓扑中终端的状态图

二、 终端安全可视化
除了对接入终端的身份、类型、位置、时间、权限等要做到动态监控外，还需要对接入终端自身的安全状态和管理状态进行可视化管理（如图2所示）。其中安全状态是指终端是否按照安全策略的要求进行了必要的安全加固（如是否安装了防病毒软件、防病毒软件病毒库是否为更新状态、操作系统补丁是否已经升级、注册表是否完整、系统是否存在弱口令等）；管理状态是指终端是否符合终端管理的要求运行指定的业务系统，并按照管理规定对终端进行合理的配置和使用（如是否安装运行了指定的应用软件或禁止的应用软件，是否使用了蓝牙、红外、打印机、3G上网卡、USB等外设，规范终端的使用行为，防范终端数据通过外联、外设等方式泄漏）。

图2 联网终端安全检查
终端和应用软件属于固定资产，在资产总额中都占有较大的比例。确保资产安全、完整，是医院终端管理的重要工作之一，也是财务资金管理的一个重要组成部分，管理员常常需要对整个网络系统的终端资产做全盘的管理。但传统的手工盘点方式给统计人员带来极大的工作量，也给IT管理人员带来管理工作的负担。因此，通过可视化终端管理平台对局域网内计算机的软硬件资产及资产变更进行行之有效地管理，包括检测硬盘、CPU、主板、显卡、光驱等硬件设备，和软件安装信息、操作系统变更信息，方便管理员及时的查看资源，防止内部人员更换或带走，从而减少信息外泄（如图3所示）。可视化查看每个终端的软硬件配置信息，可以大大减轻IT管理人员繁琐的电脑管理工作负担，从而提高网管员的工作效率。

图3 终端信息
三、 管理可视化
终端状态和安全做到可视化运维管理的前提，也需要有管理策略上的统一（如图4所示），即对所有的终端应用统一的安全策略，对所有的终端用户采用统一的终端管理策略，对终端的网络行为提供统一的日志，为所有管理员提供统一的可视化配置界面。通过统一的终端管理平台降低系统的复杂度，提高终端的工作性能，降低终端的维护管理成本。
统一的网络身份和安全策略管理，使基于用户进行集中审计成为可能，避免了单纯基于IP审计的缺陷，终端网络行为日志统一在用户管理系统中，可以快速查询用户在网络中特定时间内的行为。

图4 终端安全策略设置

结束语
中国传统中医诊断讲“望、闻、问、切”，医者通过多角度观察患者的状况，从而做出综合的诊断结果。现代信息技术的诊断就是通过终端可视化检测，对接入网络的终端实现透明化管理，及时察觉非法的终端和网络行为，杜绝数据的外泄行为的产生。治网如治病，从终端可视化的管理思路确保网络与终端的整体安全，才能够实现医疗机构内部信息的真正、全面、持续安全。