醫療行業(yè)是網(wǎng)絡(luò )攻擊犯罪分子的主要目標之***，遭受網(wǎng)絡(luò )攻擊事件接連發(fā)生，給醫療行業(yè)帶來(lái)巨大損失。根據《2019 健康醫療行業(yè)觀(guān)測報告》數據，醫療行業(yè)總體也處于“較大風(fēng)險”***別，存在多種網(wǎng)絡(luò )安全風(fēng)險及大量可被利用的安全隱患，安全防護能力較弱。

醫療行業(yè)也越來(lái)越重視網(wǎng)絡(luò )安全防護。眾多醫療機構正在重新審視網(wǎng)絡(luò )安全部署架構策略，加強網(wǎng)絡(luò )安全意識，防御與日俱增的網(wǎng)絡(luò )攻擊。應對當下的智慧醫療網(wǎng)絡(luò )安全問(wèn)題，山石網(wǎng)科多年基于醫療行業(yè)安全服務(wù)經(jīng)驗，提出***套新的安全架構思路，將發(fā)展與安全同步結合，助力智慧醫療穩步推進(jìn)。

按需建設，分階段完善醫療行業(yè)網(wǎng)絡(luò )安全部署

據《醫療行業(yè)網(wǎng)絡(luò )安全白皮書(shū)2020》數據顯示，醫院對網(wǎng)閘、防入侵、防毒墻等設備的采用率均小于50%?，F階段絕大多數醫院僅采用防火墻保障網(wǎng)絡(luò )安全，對網(wǎng)絡(luò )進(jìn)行VPN/VLAN劃分和上網(wǎng)行為管理的醫院僅過(guò)半數。大部分醫療信息系統沒(méi)有完善的數據保護機制。

而通過(guò)對參與調查的15339***醫療行業(yè)相關(guān)單位的觀(guān)測，存在僵尸、木馬或蠕蟲(chóng)等惡意程序的單位共計1029***，應用服務(wù)端口暴露在公共互聯(lián)網(wǎng)中的單位有6446***，4546***單位網(wǎng)站存在被篡改安全隱患，其中261***單位已發(fā)生網(wǎng)站被篡改情況。

根據中***評測網(wǎng)安中心對抽樣調查的73***醫療機構的信息系統進(jìn)行網(wǎng)絡(luò )安全測評的結果來(lái)看，58%的醫療信息系統存在弱口令問(wèn)題；59%醫療信息系統存網(wǎng)絡(luò )防護架構不完善問(wèn)題，包括網(wǎng)絡(luò )區域劃分不合理、網(wǎng)絡(luò )鏈路無(wú)冗余等問(wèn)題。

醫療行業(yè)網(wǎng)絡(luò )安全建設還處在初***階段，網(wǎng)絡(luò )安全的建設梯度存在者參差。與之相對比的是，網(wǎng)絡(luò )攻擊來(lái)勢洶洶。針對醫療行業(yè)發(fā)展不同階段及醫療機構的建設目標、建設內容及需求，山石網(wǎng)科構建***套醫療行業(yè)的安全體系建設模型:

縱深安全體系建設：適合初期醫療單位安全建設，目標以補全防護短板、端點(diǎn)防護及合規要求為建設目標。構建內容包括安全域邊界劃分、邊界安全、應用安全、終端安全、身份安全、合規要求、業(yè)務(wù)安全/審計安全/運維管理、應急及風(fēng)險評估及安全管理制度體系建設。

事前安全感知監測：適合中期醫療單位安全建設，目標以構建事前安全監測、重點(diǎn)關(guān)注事前安全的檢測、防御、應急、管理機制為安全建設目標。構建內容包括安全運營(yíng)平臺態(tài)勢監測及預警、安全應急處置/事件回溯/風(fēng)險分析、風(fēng)險分析能力及防御能力提升等。

全方位風(fēng)險態(tài)勢感知：適合醫療單位安全建設已具備***定安全防護能力、預警能力，目標以風(fēng)險治理為安全建設目標，關(guān)注風(fēng)險識別、防御、檢測、處置的各個(gè)階段。同時(shí)建立安全事件庫，使常規安全事件聯(lián)動(dòng)安全產(chǎn)品、安全服務(wù)機制及業(yè)務(wù)流程機制，形成自動(dòng)化安全事件編排處置機制。

從我***近年來(lái)對醫療機構信息化建設的推進(jìn)政策來(lái)看，在強調加快智慧醫療、互聯(lián)網(wǎng)醫院發(fā)展建設的同時(shí)，也著(zhù)重提到安全制度的建立。

智慧互聯(lián)化下，醫院需要留存數據，保證診療活動(dòng)留痕、可追溯，建立就醫各個(gè)環(huán)節的信息數據庫；也需要通過(guò)數據的挖掘，院內與院間的信息共享，賦能醫療水平的提高。但實(shí)際上，在就醫過(guò)程中，要保護患者的個(gè)人隱私不被泄露或者竊取，安全實(shí)現醫療數據院內院間共享，進(jìn)***步挖掘醫療數據的價(jià)值，對信息技術(shù)的開(kāi)發(fā)、大數據的應用以及法律的健全都提出了更高的要求。

注：文章來(lái)源于互聯(lián)網(wǎng)