医院门户网站是一个医院对外展示的平台，既要向互联网所有用户开放，又要向所有系统维护人员敞开大门，还要对各种黑客、病毒严加防范，它因此成为互联网中最薄弱、最容易受到攻击的环节。近年来，已经多次出现了门户网站被攻击、被篡改、被挂马的惨痛案例，究竟怎样才能建设安全的医院门户网站系统呢？

1.门户网站建设应该先搭架构

如果把医院门户网站建设看成是建设一幢大楼，那么网站的架构则是这栋大楼的地基，地基的好坏则决定了这栋大楼以后的安全稳定性与可持续发展性，因此门户网站建设应该先搭架构。怎样才能制定一个安全合理又适合自己的网站架构呢？

1.1要选择一种适合的服务平台与开发语言，即软件平台架构和开发框架选择。

选择合适的软件架构，对于整个网站的良性演进起着至关重要的作用，从这一需求来看，J2EE（Java2 Enterprise Edition）相对于.NET和PHP技术有着明显的优势，但是J2EE和PHP平台不能提供一个令人满意的应用程序编程模型（Application Programming Model），且开发复杂性和难度较高，一般医院并没有足够的人力和物力投入来进行此项目开发，因此选用Windows Server2003服务平台加上.NET技术可以降低开发难度和复杂度。

1.2制定一个安全合理的网站框架，即依据网站的主要功能，大致可划分的几个功能模块。

一般的医院门户网站可以划分为五大功能模块：注册认证模块、安全审计模块、业务流程模块、后台数据发布模块和操作日志模块。注册认证模块主要用于用户身份、权限及相关信息的识别，同时提供此信息给其他模块；安全审计模块主要完成经过注册系统认证合法后，对于业务内容的合理性检查，具体是对用户权限及用户发布的图片、内容、敏感性文字等安全系统无法识别的内容进行审计和管理；业务流程模块主要包含于医院业务流程有关的各种信息的展示，包含各种专家、专科和排班信息、通知公告、医院概况、新闻信息、院务公开、专科介绍、专家介绍及排班、门诊导诊、药品及收费项目价格查询及随时开展的各项专题活动等，根据医院对信息化的重视和投入程度，还可以增加一些特色的栏目，如：科研教学、护理园地、健康指南、青年文明号、体检、医保等栏目，在栏目设计时应注意遵循需求主导，重点突出、主次分明的原则；后台数据发布模块主要用于发布各种通知公告、新闻及医院随时开展的各项活动信息；操作日志模块主要收集用户及维护人员的访问时间及对网站系统所作各项操作信息，在系统出现异常或者法律纠纷时可以提供给相关部门。

1.3建设门户网站的时候一定要考虑到网站的接口和扩展性

任何一个网站建好后都不是一成不变的，而且医院的业务和维护的工作时时刻刻都在变化，因此在建设网站的时候一定要考虑到网站的接口和扩展性，做好长远的打算，做到全面设计，整体部署，这样可以保证在医院业务发生变化时及时有效地增加、撤出不同业务，做到业务信息更新及时，使用户、患者方便、快捷、准确的找到自己需要的信息，而且不增加后续的开发和维护工作量，节约投入成本。

2.门户网站建设过程中绝不能忽视安全系统的建设

在建设医院门户网站时不能仅看重门面，门面固然重要，但是门户网站安全也是决定其能否健康平稳发展的关键因素，全方面的、多层次的门户网站安全体系应包括以下几个组成部分：

2.1物理安全：物理安全是整个门户网站系统安全的前提，主要用于保证服务器、网络设备以及其他设施免遭地震、水灾、火灾等环境事故、减少人为操作失误及各种计算机犯罪行为导致的破坏。医院门户网站系统安全体系中的物理安全应涉及到门户网站系统应用内的各方主体。

2.2网络安全：主要包括网页防篡改、防火墙、防病毒、漏洞扫描、入侵检测、防DDoS攻击等。网页防篡改软件可以使网站网页遭到恶意修改或改变内容连接时自动恢复；防火墙、防病毒软件可保障门户系统服务器系统安全；漏洞扫描主要用于发现并报告已知应用系统缺陷和网络系统缺陷，并配合更新服务弥补缺陷，做到按计划对系统进行保护；入侵检测系统保障当安全系统其他几个模块对于安全的防护失效后，仍然可以发现并记录入侵行为，或者对可能导致安全隐患的授权操作发出预警。

2.3数据安全：包括数据在传输过程中采取的数字签名与验证、数据加密解密等安全措施，在存储过程中防止数据被非法窃取或篡改，以及保证数据库物理安全与避免非法入侵等手段。

2.4系统安全包含用户身份认证、访问控制、安全技术（加密）、安全审计和日志，防SQL注入等。在用户登录系统及在不同系统之间传递数据时，网站需要对登录用户持有的数字证书进行认证，以保证只有合法持有有效数字证书的用户才能够登录系统，同时还需要进行安全审计和记录系统安全日志；访问控制是在系统中，指定每一个用户所能够访问的业务资源和系统资源，也即访问控制和权限分配策略；安全技术可以是采用包括数据加密与解密、数字签名及验证、时间戳加盖及验证等在内的安全技术以保证系统的安全性和完整性；安全审计和日志可以保证在发生安全相关问题时能够做到追踪问责，通过对安全日志记录的查询和分析以及相关的审计操作找到安全问题的根源所在；防SQL注入可以防止黑客或不法分子利用网站代码漏洞通过对数据库的注入而获取管理员的帐户和密码。

3.门户网站建设过程中需要注意的其他事项

完成以上的架构设计和安全措施可以保证整个网站结构的合理和系统的安全，但还是不够的，因为网站设计开发出来不是给信息科的人用的，而是将权限划分到各个相关的科室，这些科室人员的计算机水平一般不会很高，因此网站建设还应该遵循易维护、易发布、易扩容的原则，做到所见即所得，良好的维护性可以缩短更新时间、及时有效地为用户提供信息，特别是对于时效性强的信息可以做到一点发布、多点生效，同时还应该制订网站安全管理制度并严格实施，防止内部人员操作失误而对服务器、网站造成不必要的损失；还要能够自动生成HTML文件，减轻对服务器的压力，又方便各大搜索引擎能将相关内容搜索出来，对网站的推广有不可低估的作用。

4.结束语

综上所述，医院门户网站建设是一个复杂而长远的项目，决不可能一蹴而就，它涉及了很多繁琐的细节，如服务平台、开发语言、功能模块定义、栏目设计、所采取的各项安全防御措施、网站的接口和扩展性、后台的易维护性等等，只有做好长远而且细密安全的建设措施，才能将医院的门户网站建设成一个安全可靠、有内容、有质量而又符合患者和医院需求的门户网站。