1.概述

网络安全是指整体网络结构支持的所有网络硬件设备和软件之间的整体安全保护，确保两者不受恶意攻击和破坏，保持网络系统可靠连续运行，确保网络不中断服务[1]。医院网络系统的范围包括医院信息系统中各节点之间的通信链接、各种硬件设备、医疗软件及其系统中的报告数据等。从网络运维和管理者的角度来看，网络安全可以看作是由多个结构分类组成的集合，每个安全水平作为一个独立的整体对应不同的功能特征，结合医院网络系统的实际应用，医院网络安全可以分为三个方面，提供不同的策略保护：物理、结构和应用。

2.网络的物理安全

医院网络基础设施的安全建设主要涉及中央机房的安全设计，包括网络运行的物理环境安全（如区域保护和灾害保护）以及相关设备的保护和安全。中央机房作为医院信息网络系统的核心枢纽，承载着整个信息系统的基本条件。在医院网络工程的设计和施工过程中，应充分考虑机房的地理位置、室内环境装饰以及各种防灾和消防措施。具体安全设施的施工要求不详细，可参照《电子信息系统机房设计规范》进行规划设计。同时，可部署机房环境监测系统（BSM），对机房各保护系统进行集中监控和安全管理，并提供相应的机房配置界面图，实时显示机房内各机柜的温湿度、精密空调的工作状态、机房市电气工作数据和UPS供电状况等信息便于管理员的日常检查。

3.网络结构安全

医院局域网交互广泛，应用复杂。网络结构的建立应考虑物理环境、设备配置和业务应用、远程网络模式、网络维护管理等因素[2]。通常用于构建医院需求的局域网“分层网络模型”医院整体网络结构分为核心层、分布层和接入层三层拓扑层。分层网络具有良好的可扩展性，便于实现网络冗余，有助于提高网络的安全性，便于管理和维护。在分层设计模型中，接入层负责终端设备的接入，主要是将设备连接到网络，提供相应的网络间通信服务；分布层是通过相应的访问策略收集接入层交换机传输的数据（如ACL，NAT等)控制不同网段之间的通信访问，并将通过审查的数据传输到核心层；核心层是网络互联的高速主干道。作为网络聚集的枢纽，它集中了所有分布设备需要交换的流量数据，必须具有高效的数据转发和处理能力。通常，接入层交换机的分部安装在每层建筑的接线间，分布层，核心层交换机通常部署在中央机房，基于严格的安全保护。接入层设备采用基本转发功能相对便宜的二层交换机，分布层和核心层采用千兆以上高带宽、高性能、冗余功能和路由功能的三层交换机。在网络拓扑规划中，要考虑网络链路冗余的构建，通常采用双设备互联备份机制，将网络拓扑结构各层的每台交换机与下层的每台交换机连接起来，用交换机STP(生成树协议)可以防止多条路径之间可能出现的网络环路，也可以在路由器接口上启用VRRP（虚拟路由器冗余协议）VRRP组中备份路由器（可配置多个）在主路由器故障时更换。即使交换机路由器在工作中出现故障，其他连接设备也会调整和选择其他正常的备用设备和可达路径，保持数据之间的正常转发和路由，保持网络畅通。在网络结构优化方面，接入层交换机的终端设备（如服务器）接入端口可配置为快速端口（PortFast）该模式利用分布层和核心层之间的链路聚合技术，将多个物理链路组合成带宽更高的逻辑链路，结合负载平衡功能，实现网络传输效率更快、吞吐量更高，提高网络通信性能。