區(qū)域醫(yī)療信息共享平臺的安全審計(jì)研究
賴煒① 辛小霞① 郭清順① 吳汝明① 林帝浣①
①中山大學(xué)網(wǎng)絡(luò)與信息技術(shù)中心，510089，廣州市中山二路74 號網(wǎng)絡(luò)中心何母實(shí)驗(yàn)樓14
樓
markman@mail.sysu.edu.cn 87331381-807
摘 要 數(shù)據(jù)審計(jì)作為信息系統(tǒng)審計(jì)的重要組成部分，對信息系統(tǒng)的安全與穩(wěn)定具有十分
重要的意義。本文通過研究區(qū)域醫(yī)療信息共享平臺數(shù)據(jù)庫審計(jì)機(jī)制，并結(jié)合應(yīng)用系統(tǒng)需求，
通過比較數(shù)據(jù)庫安全審計(jì)的方案，探討針對基于數(shù)據(jù)庫的區(qū)域醫(yī)療信息共享平臺的安全審計(jì)
方案。
關(guān)鍵詞 區(qū)域醫(yī)療信息共享平臺 安全審計(jì) 數(shù)據(jù)庫
1 應(yīng)用背景
區(qū)域醫(yī)療信息共享平臺通過整合區(qū)域醫(yī)療資源，建立居民健康檔案，從而全
面跟蹤居民健康狀況。整個系統(tǒng)通過計(jì)算機(jī)技術(shù)、現(xiàn)代通信技術(shù)等高科技手段為
市民一生的健康提供追蹤管理，及時準(zhǔn)確地為每一個市民服務(wù)。而隨著區(qū)域醫(yī)療
信息化應(yīng)用的日益普及和深入，針對操作系統(tǒng)、應(yīng)用系統(tǒng)和網(wǎng)絡(luò)連接等安全性問
題，一般采用防火墻、入侵檢測、內(nèi)網(wǎng)監(jiān)控、防病毒等權(quán)限控制和安全審計(jì)措施，
作為信息系統(tǒng)核心的數(shù)據(jù)庫的訪問監(jiān)測和安全審計(jì)亦同等重要。
信息系統(tǒng)審計(jì)（ISA，Information System Audit）是指根據(jù)公認(rèn)的標(biāo)準(zhǔn)和
指導(dǎo)規(guī)范，對信息系統(tǒng)及其業(yè)務(wù)應(yīng)用的效能、效率、安全性進(jìn)行監(jiān)測、評估和控
制的過程，以確認(rèn)預(yù)定的業(yè)務(wù)目標(biāo)得以實(shí)現(xiàn)[1]。具體而言，信息系統(tǒng)審計(jì)就是以
企業(yè)或政府等組織的信息系統(tǒng)為審計(jì)對象，通過現(xiàn)代的審計(jì)理論和IT 管理理論，
從信息資產(chǎn)的安全性、數(shù)據(jù)的完整性以及系統(tǒng)的可靠性、有效性和效率性等方面
出發(fā)，對信息系統(tǒng)從開發(fā)、運(yùn)行到維護(hù)的整個生命周期過程進(jìn)行全面審查與評價(jià)，
以確定其是否能夠有效可靠地達(dá)到組織的戰(zhàn)略目標(biāo)，并為改善和健全組織對信息
系統(tǒng)的控制提出建議的過程。
區(qū)域醫(yī)療信息共享平臺數(shù)據(jù)庫存儲著患者的疾病診斷、治療方案、檢查檢驗(yàn)
結(jié)果、處方等敏感信息，這些信息的非法訪問和修改將會造成重大的醫(yī)療糾紛及
經(jīng)濟(jì)損失。作為安全事件追蹤分析和責(zé)任追究的數(shù)據(jù)庫安全審計(jì)的運(yùn)用是必要
的，通過對數(shù)據(jù)庫操作的痕跡進(jìn)行詳細(xì)記錄和審計(jì)，使數(shù)據(jù)的所有者對數(shù)據(jù)庫訪
問活動有據(jù)可查，及時掌握數(shù)據(jù)庫的使用情況，并針對存在的安全隱患進(jìn)行調(diào)整
和優(yōu)化。
2 區(qū)域醫(yī)療信息共享平臺數(shù)據(jù)庫安全審計(jì)方案
數(shù)據(jù)訪問審計(jì)的目標(biāo)在于記錄每一次數(shù)據(jù)操作的信息以便于進(jìn)行事后審查，
即當(dāng)數(shù)據(jù)訪問操作發(fā)生時，記錄何人何時何地對何數(shù)據(jù)進(jìn)行了何種操作的信息。
分析歸納后，將對數(shù)據(jù)庫系統(tǒng)的數(shù)據(jù)訪問操作表示為4 個要素信息，即：操作者、
操作對象、操作時間和操作行為。
數(shù)據(jù)審計(jì)系統(tǒng)的目標(biāo)就是能夠?qū)π枰獙徲?jì)的數(shù)據(jù)部署審計(jì)，當(dāng)被審計(jì)數(shù)據(jù)發(fā)
生操作時，實(shí)現(xiàn)對操作者、操作時間、操作對象和操作行為信息的自動記錄，并
提供這些信息的查詢、統(tǒng)計(jì)等功能。此外，對于有不同安全要求的數(shù)據(jù)對象，又
分為記錄操作數(shù)據(jù)和不記錄操作數(shù)據(jù)兩種審計(jì)級別。
數(shù)據(jù)庫審計(jì)包括對數(shù)據(jù)庫的啟動、關(guān)閉，用戶的連接信息及SQL 語句的操作
進(jìn)行安全審計(jì)。本節(jié)將針對各種方案進(jìn)行比較，比較內(nèi) |
|
資源大小：307.63 KB 
