🕰️ 🈷️ 🏥 在ERIS中实施ViPNet加密网关的经验 👨‍👧‍👧 👩‍👦‍👦 👸🏽

哈Ha！在本文中，我们将讨论引入ViPNet加密网关来保护通信通道，这是ERIS信息系统中个人数据保护项目的一部分。我们很幸运地成为莫斯科医学如此重要项目的一部分，该项目将放射诊断学提高到一个新的水平。

简要介绍ERIS

ERIS（统一放射信息服务）是一个信息系统，结合了高科技医疗设备，放射科医生的工作场所和诊断图像的单个存档。目前，ERIS在莫斯科的64个诊所（包括Zelenograd的门诊设施）结合了磁共振，数字X射线机，荧光照相设备和计算机断层扫描仪。

ERIS的主要目标是提高莫斯科辐射诊断的效率，创建统一的诊断设备网络，并为研究所得的图像，描述和结论提供现代可靠的存储系统。

对加密网关的需求

由于患者的个人数据是在ERIS信息系统中处理的，因此有必要遵守联邦法律152“关于个人数据”的要求以及与此法有关的细则。保护个人数据的要求之一是使用密码信息保护（CPSI）手段来组织安全的通信通道。根据这一要求，我们开始设计一般的个人数据保护系统，尤其是密码信息保护系统。

选择标准，测试模式，试验，最终选择

由Laval公司代表的我们公司的Elefus客户提出了CIPF应该满足的一些要求，包括主要要求：

通道延迟（这是最重要的标准，因为医务人员在工作场所使用客户端应用程序连接到数据中心的服务器部分，并且通道延迟严重影响系统性能和患者的工作速度）;
俄罗斯FSB加密货币证书（有关保护个人数据的监管文件的要求（2014年7月10日FSB第378号命令，“批准组织和技术措施的组成和内容，以确保在使用个人数据信息系统处理个人数据时确保其安全性）使用信息加密手段来满足俄罗斯联邦政府为保护每个用户的个人数据而建立的要求所必需的信息她的保护“））;
解决方案的可扩展性（应该将系统扩展到其他对象，因此我们最初必须以一定的余量和水平和垂直缩放的能力来放置设备）；
容错能力（如果您在莫斯科的综合诊所中，您会清楚地知道放射室总是排着队，因此，确保解决方案的容错能力是一个重要因素）；
足够的性能（有必要在放射柜中安装小容量的设备，但足以为数据中心提供良好的通信通道，我们的指导原则是带宽为20 mb / s）；
监视（由于基础结构分布在整个莫斯科，因此有必要确保对设备进行持续监视并监视网络负载）；
易于维护（由基础广泛的工程师进行现场访问，他们对ViPNet并不了解（因为这不是他们的主要任务），必须根据说明现场解决问题）。

测试了四种产品：

ViPNet协调员；
APKKS“大陆”；
CryptoPro IPsec;
MagPro CryptoPackage“ OpenVPN-GOST”

我们选择了最受欢迎和经过验证的软件和硬件解决方案（Continent和ViPNet）以及纯软件解决方案（CryptoPro和MagPro）。并非打算在放射室的计算机上安装其他软件，因为通常是为了与放射设备进行交互，因此需要非常特定和较旧的操作系统以及特殊软件。因此，必须将通信通道的保护放在边界网络设备上。考虑了两种CIPF的安装方案：在外围安装硬件和软件设备（Continent和ViPNet），或安装充当将要安装CIPF的放射室网关的计算机（CryptoPro和MagPro）。就成本而言，这些选项是可比的，因此最初PAK是更可取的，因为它们易于维护。

测试方案如下：

图1-测试方案

在测试期间，传输了三种类型的图像：CT，MMG，PETKT（它们在文件大小，客户端-服务器交互频率上有所不同），各种图像选项使我们能够模拟加密网关上的不同类型的负载。 WinMTR和iperf3对通道中的延迟和速度进行了测量。

根据测试结果，Continent和ViPNet处于领先地位，它们的结果可比，CryptoPro略有滞后，MagPro强烈影响通道的速度和延迟。

此外，在与供应商互动之后，客户做出了对ViPNet有利的最终决定。让我们将最终选择留在本文的范围之外，从技术角度来看，Continent和ViPNet几乎相同。

InfoTeKS（制造商ViPNet）提供了以下设备进行中试测试：

HW50-2个用于放射室
HW1000-1个用于数据中心

该设备在战斗条件下测试了一个月。测试表明，我们的计算结果是正确的，并且测试非常准确。该设备照常工作，而对医务人员的工作没有施加重大限制。结果，最终的规格证明仅仅是此设备，HW50安装在放射柜中，这是由两个HW1000加密网关组成的集群，这些网关的更新模型具有增加的带宽-数据中心。

如何实施？方案，复杂性，预设

我们必须特别谨慎地对待实施。如上所述，放射室的医务人员一直很忙，因此我们有15分钟的时间在该设施实施加密信息保护设施。我们与熟悉当地设备的Laval工程师一起进行了实施。

该实现包括以下步骤：

预设（设备由我们的工程师预先配置（发行和安装dst-on PAC，设置网络接口，设置snmp-agent，在ViPNet Administrator中设置PAC））；
在数据中心中安装加密网关（设置备用通道，以免中断ERIS的运行）；
在多诊所中安装加密网关（每隔15分钟，工程师不得不对设备进行过度紧张的操作，并确保通向数据中心的隧道正常运行。自然，在理想情况下，一切都在几分钟之内发生，但总有一些时间来纠正出现的问题。通常， 15分钟就足以完成工作）；
将加密网关连接到监视系统（在此阶段，我们检测到已报告给供应商的系统错误，snmp代理会定期自发掉下，必须重新启动。由于我们知道ViPNet在Linux（Debian）上运行，因此我们编写了一个脚本，该脚本会自动重新启动该过程。在新版本的InfoTeX中修复了这一点）。