勒索事件频发,医疗行业信息安全如何保障

勒索事件频发，医疗行业信息安全如何保障2018年11月23日晚间，美国俄亥俄州医院遭恶意软件攻击，医院无法接诊急诊室病人。急诊室病人被迫转移至其他地区医院的急诊室。针对医疗机构的勒索病毒攻击已经成为全行业的挑战，造成严重的后果。据经济参考报消息，根据专项检测，近年来针对医院等医疗系统的网络安全风险和网络攻击一直处于活跃状态且呈现持续上升态势，整个医疗行业信息安全形势不容乐观。其中，在我国多地医院持续检测出勒索病毒、医院出现患者信息被盗等情况。报告显示，仅在全国三甲医院中，今年就有247家医院检出了勒索病毒，全国各地均有三甲医院“中招”，其中，以广东、湖北、江苏等地区检出勒索病毒的医院数量最多。

在敲诈病毒肆虐的大安全时代，长期忽视信息安全建设的医疗机构点该如何保障自身安全？

医疗行业的安全建设相对落后

2018年，国内医疗信息化、互联网医疗重量级政策和标准频发，为医院进入下一个发展阶段奠定了基础。但医疗机构频发的安全事件说明，我们在推进信息化建设过程中，信息安全应该成为最先考虑问题。

针对医疗行业信息安全领域的现状，广州市妇女儿童医疗中心数据中心副主任曹晓均认为，相比其他行业，医疗行业的安全建设相对落后——医疗行业缺乏整体的安全规划或建设思路。大部分医院的安全建设都是满足合规性要求上的投入。如采购几台防火墙、终端管理软件再加上管理制度，就可以通过等保要求，真正用心做安全整体设计的并不多。这种现状为整个医疗行业的信息安全敲响警钟。

长期以来，目前国内医疗行业更关注业务发展需求，对于信息安全建设不够重视。在整个行业面临网络安全人才挑战的背景下，医疗行业的安全人才专业储备问题，更是比较大的挑战。

一位业内人士则透露，一方面医院信息部门的地位相对弱势，信息化建设大多取决于院方领导的意识。对医院来说，单位网络设备体量不大，一般是纯内网的环境，当前重点建设基本集中在网络基础设施完善，安全建设相对滞后。再加上医疗行业属于财政差额拨款单位，有相当一部分医院资金不富裕，因此安全建设的优先级相对较低。

安全人员认为，医疗行业信息安全问题有以下两点原因：

其一，信息安全相关配套政策和标准较少。在网络安全法正式实施之前，国内对于个人隐私信息的安全要求几乎空白。而医疗行业是涉及个人隐私信息最为深入的领域，没有法律法规上的明确要求，没有行业标准的具体指向，各级医疗机构很难认识到信息安全对自身业务的深刻影响，也就很少会主动考虑在安全方面有所投入。

其二，信息或网络安全对医疗行业的实际业务推进上缺乏直观的价值感受。举例而言，一所三甲医院每年的IT类投资可能达到千万级。但医院决策者基于业务发展的考虑更多的会对临床、研究、医技等业务领域方面进行投入，原因就在于这些IT投资对业务的推进和支撑几乎是肉眼可见，而信息安全的价值却很难被感知。防护了多少安全攻击、解决了多少安全漏洞、抵御了多少次信息泄露，这些都不会被直接展示到决策者的案桌上。

正因如此，最近两年，可以直观展示网络安全状况的安全态势产品受到关注，尽管各家的产品千差万别，但却可以让决策者直观看到“效果”，在获得预算支持时说服力更强。

互联网医院安全如何保障？

如何保障互联网医院的信息安全？在回答这一问题前，首先要明确而其定义和具体要求。

互联网医院的概念提出，是为了解决原有传统医疗体系中所欠缺的专业医疗资源不均衡和医疗服务体验差的问题。因此互联网医院为了解决这两大核心问题，采用的机制是借助互联网这个强大的资源共享方式，借助云计算和大数据等技术，从模式和能力上对作为传统医疗业务的补充。

互联网医院的管理办法中提到，互联网医院由互联网进行远程访问，会涉及到实体医疗机构的重要系统数据交换，同时根据互联网医院信息系

统按照国家有关法律法规和规定，实施第三级信息安全等级保护。所以，在满足医院的互联网接入和虚拟专用用上，医院还要满足数据安全的要求。

从本质上讲，互联网医院的信息安全所要保障的根本并没有变，依然是对于数据，特别是医疗临床等相关的健康数据的保护，从传输、处理、共享、存储各方面考虑其安全性。因此，要满足这类安全需求，绝不是单一的安全产品能实现。医院需要充分结合实际的技术场景，选择在各个维度能够达到风险控制需要的安全产品。

例如，在传输层面，互联网边界需要考虑访问控制、入侵防护、病毒检测和防护、WEB安全防护等措施。而在数据交换场景下，医院需要考虑数据脱敏、数据加密、数据防泄漏、数据库审计或防护等。所以，没有最好的安全产品，只有最适合业务的安全解决方案。

对于目前备受关注的互联网医院的信息安全建设，安华金和医疗行业负责人认为，互联网专线和VPN能够解决一部分的外网接入的安全问题，但从业务访问的角度来讲，业务数据系统对外提供，包括远程医疗、医保查询、预约挂号等都需要直接访问业务数据，对于数据本身的访问安全以及对于内网访问安全也需要加强。

例如，在数据库安全方面可以采用数据库审计、数据库防火墙、数据库加密、数据库脱敏等手段进行安全加固。整体而言，可以从主动防御体系的思路做安全建设，这涉及四道防线：

第一道防线：检查预警。通过数据库漏扫产品对数据库威胁进行检查分析，给出安全建议。

第二道防线：主动防御。通过数据库安全运维产品的身份识别、运维审批、流程管理，防止非法人员操作；防止外部攻击破坏；与此同时做好内部防护，防止内部超级权限。

第三道防线：底线防守。

阈值管控：规避批量恶意访问，针对大批量医疗泄密进行告警控管，防止医疗数据批量查询；

数据库加密产品：防止防止医患数据泄露“脱库”；

数据库脱敏产品：医疗数据去隐私化，防止泄漏真实数据给第三方。

第四道防线：事后追查。利用数据库审计产品来区分是外部威胁还是内鬼作案，可以对安全事件进行责任追溯。

对于远程移动访问的安全，曹主任认为，在远程移动的访问上，采用SSL VPN(国密)实现远程访问的却是较好的方案。在互联网医院与偏远地区医疗机构、基层医疗卫生机构、全科医生与专科医生的数据资源共享和业务协同上，可以考虑采用安全一体机部署在基础医疗机构本地，实现VPN安全组网和数据加密传输。

医院数据安全如何保护？