ERPN में ViPNet क्रिप्टो-गेटवे को लागू करने का अनुभव

नमस्कार, हेब्र! इस लेख में, हम ईआरआईएस सूचना प्रणाली में व्यक्तिगत डेटा संरक्षण परियोजना के हिस्से के रूप में संचार चैनलों की सुरक्षा के लिए विनीपेट क्रिप्टो-गेटवे की शुरुआत के बारे में बात करेंगे। हम मास्को चिकित्सा के लिए इस तरह के एक महत्वपूर्ण परियोजना का हिस्सा बनने के लिए भाग्यशाली थे जो विकिरण निदान को एक नए स्तर पर ले जाता है।

संक्षेप में ईआरआईएस के बारे में

ईआरआईएस (यूनिफाइड रेडियोलॉजिकल इंफॉर्मेशन सर्विस) एक सूचना प्रणाली है जो उच्च तकनीकी चिकित्सा उपकरण, रेडियोलॉजिस्ट के कार्यस्थल और नैदानिक ​​छवियों का एक एकल संग्रह जोड़ती है। वर्तमान में, ERIS चुंबकीय अनुनाद, डिजिटल एक्स-रे मशीनों, फ्लोरोग्राफी उपकरणों, और मास्को में 64 क्लीनिकों में कंप्यूटर टोमोग्राफ, ज़ेलेनोग्राड में आउट पेशेंट सुविधाओं को जोड़ती है।

ईआरआईएस का मुख्य उद्देश्य मॉस्को में विकिरण निदान की प्रभावशीलता को बढ़ाना, नैदानिक ​​उपकरणों का एक एकीकृत नेटवर्क बनाना और अनुसंधान के परिणामस्वरूप प्राप्त छवियों, विवरणों और निष्कर्षों के लिए एक आधुनिक और विश्वसनीय भंडारण प्रणाली प्रदान करना है।

क्रिप्टो गेटवे की आवश्यकता

चूंकि ईआरआईएस सूचना प्रणाली में रोगियों के व्यक्तिगत डेटा को संसाधित किया जाता है, इसलिए संघीय कानून 152 "व्यक्तिगत डेटा" और इस कानून से संबंधित उप-कानूनों की आवश्यकताओं का पालन करना आवश्यक है। व्यक्तिगत डेटा की सुरक्षा के लिए आवश्यकताओं में से एक क्रिप्टोग्राफ़िक सूचना सुरक्षा (CPSI) के माध्यम का उपयोग करके सुरक्षित संचार चैनलों का संगठन है। इस आवश्यकता के अनुसार, हमने विशेष रूप से सामान्य और क्रिप्टोग्राफिक सूचना सुरक्षा प्रणाली में एक व्यक्तिगत डेटा सुरक्षा प्रणाली को डिजाइन करना शुरू किया।

चयन मानदंड, टेस्ट पैटर्न, पायलट, अंतिम विकल्प

हमारी कंपनी का एलेफस ग्राहक, लावल कंपनी द्वारा प्रस्तुत किया गया है, जो सीआईपीएफ को मिलना चाहिए, उनमें से कई मुख्य आवश्यकताओं को सामने रखा है:

• चैनल में देरी (यह सबसे महत्वपूर्ण मानदंड था, क्योंकि चिकित्सा कर्मचारी, कार्यस्थल पर क्लाइंट एप्लिकेशन का उपयोग करते हुए, डेटा सेंटर में सर्वर भाग से जुड़ता है, और चैनल में देरी सिस्टम प्रदर्शन और रोगी के साथ काम की गति को बहुत प्रभावित करता है);
• क्रिप्टोकरेंसी के लिए रूस के FSB का प्रमाण पत्र (व्यक्तिगत डेटा की सुरक्षा के संबंध में विनियामक दस्तावेजों की आवश्यकता (10 जुलाई 2014 के FSB नंबर 378 का आदेश) "व्यक्तिगत डेटा सूचना प्रणालियों में इसे संसाधित करते समय व्यक्तिगत डेटा की सुरक्षा सुनिश्चित करने के लिए संगठनात्मक और तकनीकी उपायों की संरचना और सामग्री की स्वीकृति पर। प्रत्येक के लिए व्यक्तिगत डेटा की सुरक्षा के लिए रूसी संघ की सरकार द्वारा स्थापित आवश्यकताओं को पूरा करने के लिए आवश्यक जानकारी के क्रिप्टोग्राफ़िक संरक्षण के साधनों का उपयोग करना। उसके संरक्षण "));
• समाधान की मापनीयता (यह अतिरिक्त वस्तुओं के लिए सिस्टम का विस्तार करने के लिए माना जाता है, इसलिए हमें शुरू में एक मार्जिन और क्षैतिज और ऊर्ध्वाधर दोनों को स्केल करने की क्षमता वाले उपकरण बिछाने थे);
• गलती सहिष्णुता (यदि आप मास्को पॉलीक्लिनिक्स में थे, तो आप अच्छी तरह से जानते हैं कि रेडियोलॉजी कमरों के लिए हमेशा एक कतार होती है, इसलिए, समाधान की गलती सहिष्णुता सुनिश्चित करना एक महत्वपूर्ण कारक था);
• पर्याप्त प्रदर्शन (रेडियोलॉजिकल अलमारियाँ में छोटी क्षमता के उपकरण स्थापित करना आवश्यक था, लेकिन डेटा सेंटर को एक अच्छा संचार चैनल प्रदान करने के लिए पर्याप्त है, हमारी दिशानिर्देश 20 एमबी / एस की बैंडविड्थ थी);
• निगरानी (चूंकि पूरे मॉस्को में बुनियादी ढांचे का वितरण किया गया है, यह उपकरण की निरंतर निगरानी सुनिश्चित करने और नेटवर्क भार की निगरानी करने के लिए आवश्यक है);
• रखरखाव में आसानी (ऑन-साइट विज़िट व्यापक-आधारित इंजीनियरों द्वारा की जाती हैं, जो बिना विनीपेट में गहन ज्ञान के होते हैं (क्योंकि यह उनका मुख्य कार्य नहीं है), निर्देशों के अनुसार मौके पर समस्या को हल करना होगा)।

चार उत्पादों का परीक्षण किया गया:

• विनीपेट समन्वयक;
• एपीकेएस "महाद्वीप";
• CryptoPro IPsec;
• MagPro CryptoPackage "OpenVPN-GOST"

हमने सबसे लोकप्रिय और अच्छी तरह से साबित सॉफ्टवेयर और हार्डवेयर सॉल्यूशंस (कॉन्टीनेंट और वीपीएनईटी) और विशुद्ध रूप से सॉफ्टवेयर सॉल्यूशंस (क्रिप्टोप्रो और मैग्प्रो) का चयन किया। रेडियोलॉजिकल कार्यालय के कंप्यूटरों पर अतिरिक्त सॉफ़्टवेयर स्थापित करने का इरादा नहीं था, क्योंकि अक्सर, रेडियोलॉजिकल उपकरणों के साथ बातचीत करने के लिए, ऑपरेटिंग सिस्टम के बहुत विशिष्ट और पुराने संस्करणों और विशेष सॉफ़्टवेयर की आवश्यकता होती है। इसलिए, संचार चैनल की सुरक्षा को सीमा नेटवर्क उपकरण पर रखा जाना था। CIPF की स्थापना की दो योजनाओं पर विचार किया गया: परिधि (महाद्वीप और ViPNet) पर हार्डवेयर और सॉफ्टवेयर उपकरणों की स्थापना, या रेडियोलॉजिकल कार्यालय के प्रवेश द्वार के रूप में काम करने वाले कंप्यूटर की स्थापना, जिस पर CIPF स्थापित किया जाएगा (CryptFPro और MagPro)। लागतों के संदर्भ में, ये विकल्प तुलनीय थे, इसलिए शुरू में PAK बेहतर थे क्योंकि वे बनाए रखना आसान था।

परीक्षण योजना इस प्रकार थी:


चित्र 1 - परीक्षण योजना

परीक्षण के दौरान, तीन प्रकार की छवियां स्थानांतरित की गईं: सीटी, एमएमजी, पीईटीकेटी (वे फ़ाइल आकार में भिन्न हैं, क्लाइंट-सर्वर इंटरैक्शन की आवृत्ति), विभिन्न छवि विकल्पों ने हमें क्रिप्टो-गेटवे पर विभिन्न प्रकार के भारों का अनुकरण करने की अनुमति दी। चैनल में देरी और गति की माप WinMTR और iperf3 द्वारा की गई थी।

परीक्षण के परिणामों के अनुसार, कॉन्टिनेंट और वायपीनेट प्रमुख थे, उनके परिणाम तुलनीय थे, क्रिप्टोप्रो थोड़े पिछड़ गए, और मैगप्रो ने चैनल में गति और देरी दोनों को बहुत प्रभावित किया।

इसके अलावा, विक्रेताओं के साथ बातचीत करने के बाद, ग्राहक ने ViPNet के पक्ष में अंतिम निर्णय लिया। इस आलेख के कोष्ठक के बाहर अंतिम विकल्प छोड़ते हैं, तकनीकी दृष्टिकोण से, कॉन्टिनेंट और ViPNet लगभग समान हैं।

InfoTeKS (निर्माता ViPNet) ने पायलट परीक्षण के लिए निम्नलिखित उपकरण प्रदान किए:

• HW50 - 2 पीसी। रेडियोलॉजी कमरों के लिए
• HW1000 - 1 पीसी। डेटा सेंटर के लिए

उपकरण का मुकाबला स्थितियों में एक महीने के लिए किया गया था। परीक्षणों से पता चला है कि हमारी गणना सही निकली है, और परीक्षण काफी सटीक हैं। चिकित्साकर्मियों के काम पर महत्वपूर्ण प्रतिबंध लगाए बिना, उपकरण ने हमेशा की तरह काम किया। नतीजतन, अंतिम विनिर्देश सिर्फ इस उपकरण के रूप में निकला, HW50 रेडियोलॉजिकल अलमारियाँ में स्थापित किया गया था, एक बैंडविड्थ के दो HW1000 क्रिप्टोग्राफिक गेटवे के एक अद्यतन मॉडल के साथ बैंडविड्थ में वृद्धि हुई है - डेटा सेंटर में)।

कैसे लागू करें? योजना, जटिलता, पूर्व निर्धारित

हमें विशेष देखभाल के साथ कार्यान्वयन के लिए संपर्क करना था। जैसा कि मैंने ऊपर कहा, रेडियोलॉजी रूम के मेडिकल कर्मचारी लगातार व्यस्त हैं, इसलिए हमारे पास सुविधा पर क्रिप्टोग्राफिक सूचना सुरक्षा सुविधा को लागू करने के लिए 15 मिनट का समय था। हमने लावल इंजीनियरों के साथ मिलकर कार्यान्वयन किया, जो स्थानीय उपकरणों को अच्छी तरह से जानते थे।

कार्यान्वयन में निम्नलिखित चरण शामिल थे:

• प्रीसेटिंग (उपकरण हमारे इंजीनियरों द्वारा पूर्व-कॉन्फ़िगर किया गया था (डीएसटी-ऑन पीएसी जारी करना और स्थापित करना, नेटवर्क इंटरफेस स्थापित करना, एसएनएमपी-एजेंट स्थापित करना, वीएसीपीनेट प्रशासक में पीएसी स्थापित करना);
• डेटा सेंटर में क्रिप्टो-गेटवे की स्थापना (वैकल्पिक चैनल स्थापित करना ताकि ईआरआईएस के संचालन को बाधित न करें);
• पॉलीक्लिनिक्स में क्रिप्टो-गेटवे की स्थापना (15 मिनट के अंतराल में, इंजीनियर को उपकरणों को ओवरस्ट्रेन करना पड़ा और यह सुनिश्चित करना था कि डेटा सेंटर के लिए सुरंग ऊपर है। स्वाभाविक रूप से, आदर्श मामलों में, सब कुछ मिनटों में हुआ, लेकिन सामान्य रूप से उत्पन्न होने वाली समस्याओं को ठीक करने के लिए हमेशा कुछ समय होता है। सामान्य तौर पर) 15 मिनट काम पूरा करने के लिए पर्याप्त है);
• क्रिप्टो-गेटवे को मॉनिटरिंग सिस्टम से जोड़ते हुए (इस स्तर पर, हमने एक सिस्टम बग का पता लगाया, जो कि वेंडर को सूचना दी गई थी, स्निप एजेंट समय-समय पर अनायास गिर जाता है, इसे फिर से शुरू करना पड़ता है। चूंकि हम जानते हैं कि विन्नपेट लिनक्स (डेबियन) से चलता है, इसलिए हमने एक स्क्रिप्ट लिखी थी) पुनः आरंभ किया गया। InfoTeX के नए संस्करण में इस बिंदु को तय किया गया)।

की निगरानी करना। सीपीयू, रैम, नेटवर्क लोड

आगे हम मॉनिटरिंग सिस्टम से स्क्रीनशॉट दिखाएंगे, जहां आप छह महीने के लिए और एक कार्य दिवस (सीपीयू, रैम, नेटवर्क) के लिए अलग-अलग उपकरणों पर लोड देख सकते हैं। नेटवर्क उपकरणों के नाम छिपे हुए हैं, सिमेंटिक लोड के दृष्टिकोण से यह कुछ भी प्रभावित नहीं करता है।

सीपीयू लोड

चित्रा 2 - HW1000 के छह महीनों के लिए सीपीयू उपयोग


चित्रा 3 - 1 दिन HW1000 के लिए सीपीयू उपयोग


चित्रा 4 - HW50 के छह महीनों के लिए सीपीयू उपयोग


चित्रा 5 - 1 दिन HW50 के लिए सीपीयू उपयोग

रैम लोड

चित्रा 6 - छह महीने के लिए डाउनलोड करें HW1000


चित्र 7 - 1 दिवसीय HW1000 के लिए रैम डाउनलोड करें


चित्र 8 - छह महीने के लिए डाउनलोड करें HW50


चित्रा 9 - 1 दिन HW50 के लिए रैम डाउनलोड करें

नेटवर्क लोड करता है

चित्र 10 - छह महीने के लिए नेटवर्क डाउनलोड करना HW1000


चित्रा 11 - 1 दिन HW1000 में नेटवर्क डाउनलोड करना


चित्रा 12 - छह महीने HW50 के लिए नेटवर्क डाउनलोड करना


चित्र 13 - 1 दिन के HW50 में नेटवर्क डाउनलोड करना

निष्कर्ष

परियोजना के कार्यान्वयन को लगभग एक वर्ष बीत चुका है, सभी क्रिप्टोग्राफिक सूचना संरक्षण उपकरण सामान्य रूप से काम कर रहे हैं, एक भी क्रिप्टो प्रवेश द्वार विफल नहीं हुआ है। ईआरआईएस स्थापित सूचना सुरक्षा उपकरणों के साथ सामान्य मोड में काम करता है, मॉस्को क्लीनिक में रोगियों के व्यक्तिगत डेटा के लिए सूचना सुरक्षा का आवश्यक स्तर प्रदान करता है।