59%醫(yī)療機(jī)構(gòu)網(wǎng)絡(luò)防護(hù)架構(gòu)存在漏洞，如何完善？

醫(yī)療行業(yè)是網(wǎng)絡(luò)攻擊犯罪分子的主要目標(biāo)之一，遭受網(wǎng)絡(luò)攻擊事件接連發(fā)生，給醫(yī)療行業(yè)帶來(lái)巨大損失。根據(jù)《2019 健康醫(yī)療行業(yè)觀測(cè)報(bào)告》數(shù)據(jù)，醫(yī)療行業(yè)總體也處于“較大風(fēng)險(xiǎn)”級(jí)別，存在多種網(wǎng)絡(luò)安全風(fēng)險(xiǎn)及大量可被利用的安全隱患，安全防護(hù)能力較弱。

醫(yī)療行業(yè)也越來(lái)越重視網(wǎng)絡(luò)安全防護(hù)。眾多醫(yī)療機(jī)構(gòu)正在重新審視網(wǎng)絡(luò)安全部署架構(gòu)策略，加強(qiáng)網(wǎng)絡(luò)安全意識(shí)，防御與日俱增的網(wǎng)絡(luò)攻擊。應(yīng)對(duì)當(dāng)下的智慧醫(yī)療網(wǎng)絡(luò)安全問(wèn)題，山石網(wǎng)科多年基于醫(yī)療行業(yè)安全服務(wù)經(jīng)驗(yàn)，提出一套新的安全架構(gòu)思路，將發(fā)展與安全同步結(jié)合，助力智慧醫(yī)療穩(wěn)步推進(jìn)。

按需建設(shè)，分階段完善醫(yī)療行業(yè)網(wǎng)絡(luò)安全部署

據(jù)《醫(yī)療行業(yè)網(wǎng)絡(luò)安全白皮書(shū)2020》數(shù)據(jù)顯示，醫(yī)院對(duì)網(wǎng)閘、防入侵、防毒墻等設(shè)備的采用率均小于50%。現(xiàn)階段絕大多數(shù)醫(yī)院僅采用防火墻保障網(wǎng)絡(luò)安全，對(duì)網(wǎng)絡(luò)進(jìn)行VPN/VLAN劃分和上網(wǎng)行為管理的醫(yī)院僅過(guò)半數(shù)。大部分醫(yī)療信息系統(tǒng)沒(méi)有完善的數(shù)據(jù)保護(hù)機(jī)制。

而通過(guò)對(duì)參與調(diào)查的15339家醫(yī)療行業(yè)相關(guān)單位的觀測(cè)，存在僵尸、木馬或蠕蟲(chóng)等惡意程序的單位共計(jì)1029家，應(yīng)用服務(wù)端口暴露在公共互聯(lián)網(wǎng)中的單位有6446家，4546家單位網(wǎng)站存在被篡改安全隱患，其中261家單位已發(fā)生網(wǎng)站被篡改情況。

根據(jù)中國(guó)評(píng)測(cè)網(wǎng)安中心對(duì)抽樣調(diào)查的73家醫(yī)療機(jī)構(gòu)的信息系統(tǒng)進(jìn)行網(wǎng)絡(luò)安全測(cè)評(píng)的結(jié)果來(lái)看，58%的醫(yī)療信息系統(tǒng)存在弱口令問(wèn)題；59%醫(yī)療信息系統(tǒng)存網(wǎng)絡(luò)防護(hù)架構(gòu)不完善問(wèn)題，包括網(wǎng)絡(luò)區(qū)域劃分不合理、網(wǎng)絡(luò)鏈路無(wú)冗余等問(wèn)題。

醫(yī)療行業(yè)網(wǎng)絡(luò)安全建設(shè)還處在初級(jí)階段，網(wǎng)絡(luò)安全的建設(shè)梯度存在者參差。與之相對(duì)比的是，網(wǎng)絡(luò)攻擊來(lái)勢(shì)洶洶。針對(duì)醫(yī)療行業(yè)發(fā)展不同階段及醫(yī)療機(jī)構(gòu)的建設(shè)目標(biāo)、建設(shè)內(nèi)容及需求，山石網(wǎng)科構(gòu)建一套醫(yī)療行業(yè)的安全體系建設(shè)模型:

1、縱深安全體系建設(shè)：適合初期醫(yī)療單位安全建設(shè)，目標(biāo)以補(bǔ)全防護(hù)短板、端點(diǎn)防護(hù)及合規(guī)要求為建設(shè)目標(biāo)。構(gòu)建內(nèi)容包括安全域邊界劃分、邊界安全、應(yīng)用安全、終端安全、身份安全、合規(guī)要求、業(yè)務(wù)安全/審計(jì)安全/運(yùn)維管理、應(yīng)急及風(fēng)險(xiǎn)評(píng)估及安全管理制度體系建設(shè)。

2、事前安全感知監(jiān)測(cè)：適合中期醫(yī)療單位安全建設(shè)，目標(biāo)以構(gòu)建事前安全監(jiān)測(cè)、重點(diǎn)關(guān)注事前安全的檢測(cè)、防御、應(yīng)急、管理機(jī)制為安全建設(shè)目標(biāo)。構(gòu)建內(nèi)容包括安全運(yùn)營(yíng)平臺(tái)態(tài)勢(shì)監(jiān)測(cè)及預(yù)警、安全應(yīng)急處置/事件回溯/風(fēng)險(xiǎn)分析、風(fēng)險(xiǎn)分析能力及防御能力提升等。

3、全方位風(fēng)險(xiǎn)態(tài)勢(shì)感知：適合醫(yī)療單位安全建設(shè)已具備一定安全防護(hù)能力、預(yù)警能力，目標(biāo)以風(fēng)險(xiǎn)治理為安全建設(shè)目標(biāo)，關(guān)注風(fēng)險(xiǎn)識(shí)別、防御、檢測(cè)、處置的各個(gè)階段。同時(shí)建立安全事件庫(kù)，使常規(guī)安全事件聯(lián)動(dòng)安全產(chǎn)品、安全服務(wù)機(jī)制及業(yè)務(wù)流程機(jī)制，形成自動(dòng)化安全事件編排處置機(jī)制。

構(gòu)建智慧醫(yī)療可持續(xù)安全運(yùn)營(yíng)體系

從我國(guó)近年來(lái)對(duì)醫(yī)療機(jī)構(gòu)信息化建設(shè)的推進(jìn)政策來(lái)看，在強(qiáng)調(diào)加快智慧醫(yī)療、互聯(lián)網(wǎng)醫(yī)院發(fā)展建設(shè)的同時(shí)，也著重提到安全制度的建立。

智慧互聯(lián)化下，醫(yī)院需要留存數(shù)據(jù)，保證診療活動(dòng)留痕、可追溯，建立就醫(yī)各個(gè)環(huán)節(jié)的信息數(shù)據(jù)庫(kù)；也需要通過(guò)數(shù)據(jù)的挖掘，院內(nèi)與院間的信息共享，賦能醫(yī)療水平的提高。但實(shí)際上，在就醫(yī)過(guò)程中，要保護(hù)患者的個(gè)人隱私不被泄露或者竊取，安全實(shí)現(xiàn)醫(yī)療數(shù)據(jù)院內(nèi)院間共享，進(jìn)一步挖掘醫(yī)療數(shù)據(jù)的價(jià)值，對(duì)信息技術(shù)的開(kāi)發(fā)、大數(shù)據(jù)的應(yīng)用以及法律的健全都提出了更高的要求。

比如，數(shù)據(jù)在傳輸過(guò)程中，如何界定網(wǎng)絡(luò)邊界安全問(wèn)題，端到端的安全防護(hù)如何打通？而從當(dāng)下醫(yī)療行業(yè)信息安全建設(shè)的現(xiàn)狀來(lái)看，諸多新型技術(shù)領(lǐng)域中頻發(fā)的安全問(wèn)題已經(jīng)無(wú)法通過(guò)傳統(tǒng)的安全解決方案處理。醫(yī)療行業(yè)將會(huì)更加趨向于通過(guò)專業(yè)的安全服務(wù)團(tuán)隊(duì)針對(duì)客戶的實(shí)際需求定制安全服務(wù)內(nèi)容。

山石網(wǎng)科已服務(wù)于國(guó)家衛(wèi)生健康委員會(huì)、中國(guó)疾病預(yù)防控制中心、國(guó)家醫(yī)療保障局等公共衛(wèi)生機(jī)構(gòu)近百家，協(xié)和醫(yī)院、301醫(yī)院、盛京醫(yī)院等三級(jí)醫(yī)院200余家?；趯?duì)醫(yī)療行業(yè)政策和發(fā)展的理解和產(chǎn)品服務(wù)技術(shù)優(yōu)勢(shì)，提出適用于醫(yī)療行業(yè)的全生命周期安全服務(wù)體系。

具體來(lái)看，山石網(wǎng)科基于PPDR的可持續(xù)安全運(yùn)營(yíng)體系，依托山石可靠服務(wù)專家+山石專業(yè)服務(wù)工具，可以為醫(yī)療用戶提供“自適應(yīng)、全感知、全覆蓋”的全生命周期安全服務(wù)體系。圍繞預(yù)測(cè)與發(fā)現(xiàn)、防御與控制、監(jiān)測(cè)與分析、響應(yīng)與管理形成的安全閉環(huán)。結(jié)合多年醫(yī)療行業(yè)客戶安全攻防研究、安全威脅處置經(jīng)驗(yàn)，山石網(wǎng)科通過(guò)完善的安全服務(wù)解決方案，提供全托管式的安全服務(wù)體驗(yàn)。