區(qū)域醫(yī)療信息共享平臺(tái)的安全審計(jì)研究
賴煒① 辛小霞① 郭清順① 吳汝明① 林帝浣①
①中山大學(xué)網(wǎng)絡(luò)與信息技術(shù)中心，510089，廣州市中山二路74 號(hào)網(wǎng)絡(luò)中心何母實(shí)驗(yàn)樓14
樓
markman@mail.sysu.edu.cn 87331381-807
摘 要 數(shù)據(jù)審計(jì)作為信息系統(tǒng)審計(jì)的重要組成部分，對(duì)信息系統(tǒng)的安全與穩(wěn)定具有十分
重要的意義。本文通過研究區(qū)域醫(yī)療信息共享平臺(tái)數(shù)據(jù)庫(kù)審計(jì)機(jī)制，并結(jié)合應(yīng)用系統(tǒng)需求，
通過比較數(shù)據(jù)庫(kù)安全審計(jì)的方案，探討針對(duì)基于數(shù)據(jù)庫(kù)的區(qū)域醫(yī)療信息共享平臺(tái)的安全審計(jì)
方案。
關(guān)鍵詞 區(qū)域醫(yī)療信息共享平臺(tái) 安全審計(jì) 數(shù)據(jù)庫(kù)
1 應(yīng)用背景
區(qū)域醫(yī)療信息共享平臺(tái)通過整合區(qū)域醫(yī)療資源，建立居民健康檔案，從而全
面跟蹤居民健康狀況。整個(gè)系統(tǒng)通過計(jì)算機(jī)技術(shù)、現(xiàn)代通信技術(shù)等高科技手段為
市民一生的健康提供追蹤管理，及時(shí)準(zhǔn)確地為每一個(gè)市民服務(wù)。而隨著區(qū)域醫(yī)療
信息化應(yīng)用的日益普及和深入，針對(duì)操作系統(tǒng)、應(yīng)用系統(tǒng)和網(wǎng)絡(luò)連接等安全性問
題，一般采用防火墻、入侵檢測(cè)、內(nèi)網(wǎng)監(jiān)控、防病毒等權(quán)限控制和安全審計(jì)措施，
作為信息系統(tǒng)核心的數(shù)據(jù)庫(kù)的訪問監(jiān)測(cè)和安全審計(jì)亦同等重要。
信息系統(tǒng)審計(jì)（ISA，Information System Audit）是指根據(jù)公認(rèn)的標(biāo)準(zhǔn)和
指導(dǎo)規(guī)范，對(duì)信息系統(tǒng)及其業(yè)務(wù)應(yīng)用的效能、效率、安全性進(jìn)行監(jiān)測(cè)、評(píng)估和控
制的過程，以確認(rèn)預(yù)定的業(yè)務(wù)目標(biāo)得以實(shí)現(xiàn)[1]。具體而言，信息系統(tǒng)審計(jì)就是以
企業(yè)或政府等組織的信息系統(tǒng)為審計(jì)對(duì)象，通過現(xiàn)代的審計(jì)理論和IT 管理理論，
從信息資產(chǎn)的安全性、數(shù)據(jù)的完整性以及系統(tǒng)的可靠性、有效性和效率性等方面
出發(fā)，對(duì)信息系統(tǒng)從開發(fā)、運(yùn)行到維護(hù)的整個(gè)生命周期過程進(jìn)行全面審查與評(píng)價(jià)，
以確定其是否能夠有效可靠地達(dá)到組織的戰(zhàn)略目標(biāo)，并為改善和健全組織對(duì)信息
系統(tǒng)的控制提出建議的過程。
區(qū)域醫(yī)療信息共享平臺(tái)數(shù)據(jù)庫(kù)存儲(chǔ)著患者的疾病診斷、治療方案、檢查檢驗(yàn)
結(jié)果、處方等敏感信息，這些信息的非法訪問和修改將會(huì)造成重大的醫(yī)療糾紛及
經(jīng)濟(jì)損失。作為安全事件追蹤分析和責(zé)任追究的數(shù)據(jù)庫(kù)安全審計(jì)的運(yùn)用是必要
的，通過對(duì)數(shù)據(jù)庫(kù)操作的痕跡進(jìn)行詳細(xì)記錄和審計(jì)，使數(shù)據(jù)的所有者對(duì)數(shù)據(jù)庫(kù)訪
問活動(dòng)有據(jù)可查，及時(shí)掌握數(shù)據(jù)庫(kù)的使用情況，并針對(duì)存在的安全隱患進(jìn)行調(diào)整
和優(yōu)化。
2 區(qū)域醫(yī)療信息共享平臺(tái)數(shù)據(jù)庫(kù)安全審計(jì)方案
數(shù)據(jù)訪問審計(jì)的目標(biāo)在于記錄每一次數(shù)據(jù)操作的信息以便于進(jìn)行事后審查，
即當(dāng)數(shù)據(jù)訪問操作發(fā)生時(shí)，記錄何人何時(shí)何地對(duì)何數(shù)據(jù)進(jìn)行了何種操作的信息。
分析歸納后，將對(duì)數(shù)據(jù)庫(kù)系統(tǒng)的數(shù)據(jù)訪問操作表示為4 個(gè)要素信息，即：操作者、
操作對(duì)象、操作時(shí)間和操作行為。
數(shù)據(jù)審計(jì)系統(tǒng)的目標(biāo)就是能夠?qū)π枰獙徲?jì)的數(shù)據(jù)部署審計(jì)，當(dāng)被審計(jì)數(shù)據(jù)發(fā)
生操作時(shí)，實(shí)現(xiàn)對(duì)操作者、操作時(shí)間、操作對(duì)象和操作行為信息的自動(dòng)記錄，并
提供這些信息的查詢、統(tǒng)計(jì)等功能。此外，對(duì)于有不同安全要求的數(shù)據(jù)對(duì)象，又
分為記錄操作數(shù)據(jù)和不記錄操作數(shù)據(jù)兩種審計(jì)級(jí)別。
數(shù)據(jù)庫(kù)審計(jì)包括對(duì)數(shù)據(jù)庫(kù)的啟動(dòng)、關(guān)閉，用戶的連接信息及SQL 語(yǔ)句的操作
進(jìn)行安全審計(jì)。本節(jié)將針對(duì)各種方案進(jìn)行比較，比較內(nèi) |
|
資源大小：307.63 KB 
