迪康端点安全一体化管理系统
护航重庆市东南医院终端安全体系建设

重庆市东南医院（重庆市荣军优抚医院） 终端安全管理项目

重庆市东南医院是一所集医疗、教学、科研、预防、保健为一体的市级三级综合医院，占地152亩，编制床位500张，现有职工840余人，临床医技科室37个。随着医院信息化系统不断扩容，医生工作站、护士终端、检验设备、移动查房终端等设备数量持续增加，终端安全管理面临新的挑战。医院引入迪康端点安全一体化管理系统，从终端准入、资产管控、安全基线、行为审计等维度建立统一的终端安全管理体系，实现了从“被动响应”到“主动管控”的运维模式转变。

一、项目背景：信息化提速带来的终端管理压力

重庆市东南医院毗邻南岸区行政中心与重庆东站，按照三级甲等医院标准“一次规划布局、分期设计实施”，二期工程已于2023年破土动工，规划床位350张，预计2026年底投入使用。医院配备了1.5T核磁共振、DSA、64排CT等大型医疗设备，HIS、LIS、PACS、EMR等核心业务系统全面上线运行。

信息化程度的快速提升，使终端安全管理成为医院信息科日常运维中的重点和难点。在项目启动前，医院面临的终端管理痛点主要集中在以下几个方面：

• x终端资产底数不清。全院终端设备分散在门诊、住院、医技、行政等各区域，硬件配置、操作系统版本、软件安装情况缺乏统一台账，设备变更后缺少记录，给资产盘点和故障排查带来困难。

• x系统补丁管理滞后。内网终端无法直接访问互联网，安全补丁获取和分发效率低，部分终端长期存在未修复的高风险漏洞，成为网络攻击的潜在入口。

• x外设与数据外流通道缺乏管控。医护人员使用U盘、移动硬盘进行数据交换的场景频繁，打印输出缺少审计留痕，敏感医疗数据的外流路径难以追溯。

• x缺乏统一的安全检查与告警机制。终端的安全状态依赖人工巡检，违规外联、软硬件变更、关键配置篡改等异常行为无法及时发现和告警。

二、解决方案：一体化终端安全管控体系

针对上述痛点，医院信息科经过充分的需求调研和产品选型，最终采用迪康端点安全一体化管理系统，围绕“资产可视、补丁可控、行为可审、风险可警”的目标，部署覆盖全院终端的统一管控平台。

• 1终端资产统一管控，建立全院设备台账

  系统对全院终端硬件信息进行集中采集，覆盖客户端地址、MAC地址、操作系统版本、主机厂商、硬盘序列号、CPU、内存等关键字段，并根据医院管理需求自定义资产字段。当终端硬件配置发生变化时，系统自动记录变更历史，为设备盘点和问题追踪提供数据依据。信息科运维人员通过一个控制台即可掌握全院终端的资产全貌，告别了以往依赖Excel表格分散记录的管理方式。

• 2补丁集中分发与离线管理，修复安全漏洞

  系统支持对Windows终端进行漏洞统一识别，可按漏洞ID、严重程度、发布时间等条件查询未安装补丁和高风险漏洞。针对医院内网物理隔离或无法直连外网的环境特点，系统提供离线补丁导入功能——管理员在外网环境下载补丁资源后，通过离线方式导入内网服务器，再由系统集中分发至各终端，确保补丁更新不受网络环境限制。补丁安装结果和时间统一留存，便于后续审计核查。

• 3外设与网络边界管控，堵住数据外流通道

  针对医疗场景中U盘使用频繁的问题，系统提供U盘分级管控策略：对行政办公终端设置“允许使用”模式，对涉及患者隐私数据的终端设置“只读使用”或“禁止使用”模式，同时支持U盘使用申请与审批流程，将例外场景纳入管控闭环。在打印管理方面，系统强制添加包含终端IP、计算机名称、打印时间等信息的水印，实现打印行为的全链路留痕。此外，系统通过终端防火墙为每台终端划定可访问的网络区域，对违规外联行为自动告警并支持断网处置。

• 4安全集中检查与风险告警，实现主动防御

  系统支持统一发起全网终端安全检查，集中查看各终端的安全状态、检查摘要和所属部门，管理员可根据检查结果对异常终端进行针对性处理。同时，系统建立了多维度的风险告警体系，覆盖违规外联告警、违规设备管控告警、软硬件变更告警、关键信息篡改告警、终端运行状态预警等场景，将原本分散在不同终端上的安全信息统一汇总，为医院的安全自查和合规检查提供数据支撑。

三、实施效果

迪康端点安全一体化管理系统在重庆市东南医院部署上线后，终端安全管理水平显著提升，主要体现在以下方面：

• 统一

  全院终端资产台账

• 离线

  补丁集中分发

• 分级

  U盘/外设管控

• 
  实时
  
  风险告警响应

资产管理方面，全院终端设备信息实现集中化、结构化记录，硬件变更自动留痕，信息科在进行设备盘点、故障排查和合规检查时，不再依赖人工逐个排查，工作效率明显提升。

安全防护方面，补丁管理流程从“终端各自为战”转变为“集中识别、统一分发、离线导入”的闭环模式，高风险漏洞的修复效率大幅提高。外设管控策略的落地，有效减少了U盘交叉感染和敏感数据违规外拷的风险。

运维管理方面，风险告警体系的建立使信息科从“事后处理”转向“事中告警、事前预防”。违规外联、软硬件变更、关键配置篡改等异常行为能够被及时发现和定位，为医院信息系统的稳定运行提供了有力保障。

四、项目价值与展望

重庆市东南医院作为市级三级综合医院，终端安全管理是医院信息化建设和等保合规工作的重要组成部分。迪康端点安全一体化管理系统以“资产管得住、补丁跟得上、通道控得严、风险看得见”为核心能力，帮助医院构建了一套可持续运转的终端安全管理机制。

随着医院二期工程的推进和新院区的投入使用，终端设备数量将进一步增长，管理场景也将更加复杂。后续双方将持续深化合作，结合医院实际业务需求，在终端行为审计、数据防泄漏、准入控制等方向进一步拓展管控能力，为医院的信息化建设和患者数据安全提供更加坚实的保障。