一、需求分析

 

   随着信息化建设的逐步提升，为了给医患提供更优质的医疗服务，各医院采用了多种智能化软硬件提供不同的服务。智能化软硬件在为医患带来便捷体验的同时，也因医院运维人手紧张问题，为医院的信息部门带来了新的运维挑战。为了满足运维需求，许多医院通过雇佣第三方人员，帮助减轻运维压力。目前常见的方式是采用 Teamviewer 等远程桌面控制软件为第三方运维人员，提供远程运维环境。远程桌面仅需要外网作为支撑，门槛较低，这种接入方式确实为运维工作带来了方便，然而这种方式隐藏着不可忽视的安全隐患。   

 

   这个接入的过程存在大量的安全隐患：1、身份认证的问题；2、接入安全的问题；3、接入之后操作安全的问题。如何解决这些问题，也是医院日常安全运维管理中重点要考虑的内容。

 

 

二、深信服在医院第三方人员接入内网安全场景下的解决方案：

 

   1、在 DMZ 区出口网关设备上对外映射相关端口，供运维人员通过互联网接入内网，第三方运维人员在家通过客户端，登陆SSL VPN客户端/零信任，与部署于医院数据中心的的SSL VPN建立 VPN隧道。

 

   2、建议第三方运维人员通过用户名/密码+短信的双因素认证方式登陆，提高安全性。

 

   3、登陆VPN后，通过VPN的资源发布，将堡垒机作为资源发布，仅允许VPN用户访问堡垒机。

 

   4、通过堡垒机给不同用户分配不同的资源，并且所有通过堡垒机的操作均进行录像审计，如果发生数据泄露事件，可通过堡垒机相关录像，完成追溯，最大程度挽回损失。

 

 

 

三、方案价值点：

 

   1、认证：深信服多达9种认证方式，确保身份安全，推荐使用用户名/密码+短信认证，双因素认证，保证认证过程的安全。

 

   2、权限控制：通过深信服SSL VPN控制用户接入之后，仅可访问堡垒机资源，在堡垒机给不同运维人员分配不同资源，保证数据安全。

 

   3、身份管理：可通过深信服VPN建立用户，进行用户管理，也可结合现有Radius服务器等做身份管理。

 

   4、可问责：通过VPN外置数据中心可查看用户登陆/注销时间，通过堡垒机操作录像完成审计追责。