“五防”安全防護(hù)思路下的醫(yī)療信息安全研究

◆王湛澤 江丹梨 劉琳輝

“五防”安全防護(hù)思路下的醫(yī)療信息安全研究

◆王湛澤1江丹梨2劉琳輝1

（1.廣州市花都區(qū)人民醫(yī)院 計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)中心 廣東 510800；2.廣州市花都區(qū)婦幼保健院（胡忠醫(yī)院） 廣東 510800）

從2018年至2020年，我國(guó)在各行業(yè)，特別是醫(yī)療行業(yè)，發(fā)生網(wǎng)絡(luò)安全事件逐年上升，網(wǎng)絡(luò)信息安全形勢(shì)十分嚴(yán)峻。面對(duì)當(dāng)前嚴(yán)峻的網(wǎng)絡(luò)安全形勢(shì)，不斷完善安全架構(gòu)[1]，有效提高我院網(wǎng)絡(luò)安全防范能力，是醫(yī)院信息化建設(shè)中的重要任務(wù)。本文介紹了醫(yī)院安全事件、醫(yī)療行業(yè)政策規(guī)范，以及提出了“五防”安全防護(hù)思路的防御措施，對(duì)醫(yī)療大數(shù)據(jù)信息安全、網(wǎng)絡(luò)安全建設(shè)，具有重要意義。

醫(yī)療信息安全；網(wǎng)絡(luò)安全；安全防御；醫(yī)院信息化

從公安部門和多家互聯(lián)網(wǎng)公司獲悉，根據(jù)相關(guān)專項(xiàng)檢測(cè)，整個(gè)醫(yī)療行業(yè)信息安全形勢(shì)不容樂(lè)觀。從2018年至今，有近300家醫(yī)院發(fā)生網(wǎng)絡(luò)安全事件，尤其是在醫(yī)院服務(wù)器及臨床科室計(jì)算機(jī)中檢測(cè)出勒索病毒，醫(yī)療數(shù)據(jù)被破壞，另外醫(yī)院患者信息被人為倒賣，或者被黑客竊取，嚴(yán)重侵害國(guó)家人民群眾的切身利益。本文分析了醫(yī)療行業(yè)網(wǎng)絡(luò)現(xiàn)狀，并從“防攻擊、防病毒、防竄改、防癱瘓、防泄密”五個(gè)不同維度對(duì)醫(yī)療信息網(wǎng)絡(luò)安全建設(shè)提出了安全防護(hù)思路。同時(shí)從集中安全管理和安全持續(xù)運(yùn)營(yíng)的角度，構(gòu)建全面的立體化防護(hù)體系[2]。

1 醫(yī)療行業(yè)網(wǎng)絡(luò)現(xiàn)狀及安全事件介紹

醫(yī)療行業(yè)網(wǎng)絡(luò)空間各資產(chǎn)高危端口沒(méi)有統(tǒng)一管理，遠(yuǎn)程桌面以及文件共享端口開放率高達(dá)50%以上；醫(yī)院內(nèi)外網(wǎng)管理缺乏安全管理；乙方公司平臺(tái)防護(hù)脆弱性增加數(shù)據(jù)泄露的風(fēng)險(xiǎn)；醫(yī)療行業(yè)是保障國(guó)家人民衛(wèi)生健康的民生行業(yè)，重要性不言而喻，容易成為勒索病毒攻擊的主要目標(biāo)。網(wǎng)絡(luò)安全設(shè)備購(gòu)買越來(lái)越多，陳舊不齊，缺乏專業(yè)人員管理以及運(yùn)維[3]。

1.1 多家三甲醫(yī)院服務(wù)器遭黑客入侵并植入挖礦木馬

2018年7月，廣東、重慶多家三甲醫(yī)院服務(wù)器被黑客入侵，攻擊者暴力破解醫(yī)院服務(wù)器的遠(yuǎn)程登錄服務(wù)，之后利用有道筆記的分享文件功能下載多種挖礦木馬。

攻擊者將挖礦木馬偽裝成遠(yuǎn)程協(xié)助工具Teamviewer運(yùn)行，攻擊者的挖礦木馬會(huì)檢測(cè)多達(dá)50個(gè)常用挖礦程序的進(jìn)程，將這些程序結(jié)束進(jìn)程后獨(dú)占服務(wù)器資源挖礦。該挖礦木馬還會(huì)通過(guò)修改注冊(cè)表，破壞操作系統(tǒng)安全功能：禁用UAC（用戶賬戶控制）、禁用Windows Defender，關(guān)閉運(yùn)行危險(xiǎn)程序時(shí)的打開警告等等。

已知樣本分析發(fā)現(xiàn)，攻擊者使用的挖礦木馬擁有多個(gè)礦池，開挖的山寨加密幣包括：門羅幣（XMR）、以太坊（ETH）、零幣（ZEC）等等，從礦池信息看，目前攻擊者已累積獲利達(dá)40余萬(wàn)元人民幣。

據(jù)有關(guān)機(jī)構(gòu)統(tǒng)計(jì)分析，我國(guó)醫(yī)療機(jī)構(gòu)開放遠(yuǎn)程登錄服務(wù)（端口號(hào)：22）的比例高達(dá)50%，這意味著有一半服務(wù)器可能遭遇相同的攻擊。

1.2 白求恩國(guó)際和平醫(yī)院網(wǎng)站域名被竄改

2016年7月，根據(jù)中國(guó)數(shù)字醫(yī)療網(wǎng)報(bào)道，在百度的搜索框中輸入“白求恩國(guó)際和平醫(yī)院”，出現(xiàn)的第一個(gè)檢索內(nèi)容點(diǎn)擊出來(lái)的頁(yè)面，卻是“六合彩開獎(jiǎng)網(wǎng)”。白求恩國(guó)際和平醫(yī)院網(wǎng)站用于發(fā)布醫(yī)院的醫(yī)院概況、最新動(dòng)態(tài)和招標(biāo)公示等，是醫(yī)院對(duì)外宣傳的平臺(tái)。在遭到竄改后，網(wǎng)頁(yè)鏈接打開顯示為“六合彩開獎(jiǎng)網(wǎng)”，網(wǎng)頁(yè)內(nèi)容也全部被竄改為六合彩資訊，引發(fā)網(wǎng)友猜測(cè)，醫(yī)院對(duì)外的名譽(yù)受到一定影響。

1.3 永川某私立醫(yī)院網(wǎng)絡(luò)安全形同虛設(shè)

2019年5月，重慶永川某私立醫(yī)院服務(wù)器突然陷入癱瘓，醫(yī)院業(yè)務(wù)全面“停擺”。

重慶永川公安組織網(wǎng)安刑偵、勘驗(yàn)、管理民警和技術(shù)支持專家趕赴現(xiàn)場(chǎng)對(duì)該案件進(jìn)行調(diào)查核實(shí)。

醫(yī)院未按照《中華人民共和國(guó)網(wǎng)絡(luò)安全法》、《網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》進(jìn)行安全建設(shè)和整改[4]。黑客通過(guò)植入勒索病毒到無(wú)防護(hù)的醫(yī)院信息系統(tǒng)，使得醫(yī)院業(yè)務(wù)全面癱瘓。

1.4 數(shù)十萬(wàn)名新生兒信息泄露遭倒賣

某婦幼保健院內(nèi)部人員利用工作的便利，在為新生兒辦理出生證時(shí)，非法下載新生兒和產(chǎn)婦的個(gè)人信息，總量達(dá)8.9萬(wàn)多條。

將這些信息“轉(zhuǎn)賣”給開設(shè)母嬰服務(wù)中心的楊某甲和楊某乙，以及經(jīng)營(yíng)攝影店的肖某某。截至2020年6月案發(fā)時(shí)，她共非法收取“好處費(fèi)”5.64萬(wàn)元。

根據(jù)IBM Security的2020年數(shù)據(jù)泄露成本報(bào)告，2020年全球醫(yī)療數(shù)據(jù)泄露平均成本高達(dá)713萬(wàn)美元，這比去年增長(zhǎng)了10%以上。醫(yī)院就診信息的泄露，嚴(yán)重影響醫(yī)院的聲譽(yù)，還可能導(dǎo)致社會(huì)恐慌。

2 醫(yī)療行業(yè)政策規(guī)范

（1）2017年6月中央網(wǎng)信辦、公安部、工信部等，發(fā)布《中華人民共和國(guó)網(wǎng)絡(luò)安全法》，將醫(yī)療衛(wèi)生行業(yè)列為國(guó)家關(guān)鍵信息基礎(chǔ)設(shè)施領(lǐng)域之一，嚴(yán)格按照等級(jí)保護(hù)標(biāo)準(zhǔn)進(jìn)行安全建設(shè)。

（2）2019年5月公安部發(fā)布《網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》22239-2019、《網(wǎng)絡(luò)安全等級(jí)保護(hù)設(shè)計(jì)要求》25070-2019、《網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)要求》28448-2019，要求各行業(yè)及領(lǐng)域可參照新標(biāo)準(zhǔn)進(jìn)行安全建設(shè)和整改。

（3）2018年6月，原國(guó)家衛(wèi)生部發(fā)布《關(guān)于進(jìn)一步推進(jìn)以電子病歷為核心的醫(yī)療機(jī)構(gòu)信息化建設(shè)工作的通知》[國(guó)衛(wèi)辦醫(yī)發(fā)〔2018〕20號(hào)]，旨在不斷加強(qiáng)電子病歷信息化建設(shè)，確保電子病歷信息化建設(shè)運(yùn)行安全

3 實(shí)“五防”安全防護(hù)思路

“五防”是以防攻擊、防病毒、防竄改、防癱瘓、防泄密為重點(diǎn)，暢通信息收集發(fā)布渠道，保障數(shù)據(jù)規(guī)范使用，切實(shí)保護(hù)個(gè)人隱私安全，防范網(wǎng)絡(luò)安全突發(fā)事件。本院做了如下網(wǎng)絡(luò)安全防護(hù)措施：

3.1 防攻擊

（1）網(wǎng)絡(luò)邊界

根據(jù)終端的重要性進(jìn)行分類，在網(wǎng)絡(luò)上邏輯劃分分區(qū)，如服務(wù)器放在DMZ區(qū)，安全策略設(shè)置調(diào)高等級(jí)，對(duì)防火墻的出入規(guī)則重新梳理定義，來(lái)應(yīng)對(duì)未知網(wǎng)絡(luò)攻擊威脅。

（2）鏈路加密

在公用網(wǎng)絡(luò)上建立專用網(wǎng)絡(luò)，進(jìn)行加密通訊。

（3）應(yīng)用加密

網(wǎng)站業(yè)務(wù)、小程序等可通過(guò)https加密傳輸方式進(jìn)行。客戶端可對(duì)C端以加殼方式進(jìn)行防護(hù)，防止源代碼泄露。

（4）終端安全

每周或者更短時(shí)間間隔對(duì)所有應(yīng)用終端，進(jìn)行系統(tǒng)漏洞掃描，脆弱性分析，及時(shí)補(bǔ)丁系統(tǒng)漏洞，進(jìn)行安全配置加固。

3.2 防病毒

從終端防病毒、網(wǎng)絡(luò)防病毒和云端防病毒三個(gè)方面構(gòu)建“三位一體”的立體化病毒防護(hù)體系。

（1）對(duì)于普通病毒的處理

可通過(guò)部署可統(tǒng)一管理的終端殺毒軟件進(jìn)行防護(hù)，在安全中心可關(guān)注整體終端安全情況，下發(fā)升級(jí)補(bǔ)丁的任務(wù)。

（2）對(duì)于特殊病毒的處理

利用防病毒軟件，入侵檢測(cè)系統(tǒng)，防火墻軟件、個(gè)人經(jīng)驗(yàn)等，對(duì)于特殊病毒，如勒索病毒、木馬、蠕蟲、僵尸網(wǎng)絡(luò)等病毒進(jìn)行正確識(shí)別。識(shí)別到勒索病毒的必須提供警惕，快速切斷網(wǎng)絡(luò)，關(guān)閉網(wǎng)絡(luò)路由器或者交換機(jī)的電源，并拔下網(wǎng)線，利用防火墻關(guān)閉終端的攻擊端口；已經(jīng)感染勒索病毒的，確認(rèn)原來(lái)可以訪問(wèn)的文件無(wú)法訪問(wèn)并且后綴統(tǒng)一，收集后綴名稱以及ID信息、通過(guò)加密通告頁(yè)面和后綴確認(rèn)勒索病毒版本，如GANDCRAB、GlobeImposter、Crysis等，利用硬盤殘留數(shù)據(jù)進(jìn)行恢復(fù)，如果是手動(dòng)方式，可以進(jìn)行查看下回收站，或者通過(guò)nomoreransom平臺(tái)發(fā)布的勒索軟件破解軟件進(jìn)行解密。做了以上努力，仍有數(shù)據(jù)未恢復(fù)則選擇有償支付或舍棄已備份或者不重要數(shù)據(jù)。

3.3 防竄改

從漏洞修復(fù)、服務(wù)器防竄改、規(guī)范運(yùn)維管理三個(gè)方面進(jìn)行多維度實(shí)現(xiàn)網(wǎng)站防竄改。

（1）漏洞修復(fù)

對(duì)操作系統(tǒng)、服務(wù)器系統(tǒng)、官網(wǎng)等系統(tǒng)漏洞掃描，及時(shí)打補(bǔ)丁。

（2）服務(wù)器防竄改

通過(guò)在應(yīng)用服務(wù)器上部署防竄改軟件，自動(dòng)全量、增量備份網(wǎng)站文件[5]，對(duì)竄改實(shí)時(shí)阻斷和恢復(fù)。

（3）規(guī)范運(yùn)維管理

3.4 防癱瘓

從防斷網(wǎng)、防應(yīng)用故障、防數(shù)據(jù)丟失個(gè)方面進(jìn)行系統(tǒng)防癱瘓

（1）防斷網(wǎng)

對(duì)關(guān)鍵網(wǎng)絡(luò)區(qū)域，如DMZ區(qū)，要設(shè)置雙核心路由器、雙核心交換機(jī)等保障網(wǎng)絡(luò)線路冗余，滿足網(wǎng)絡(luò)信息安全的可用性要求。

（2）應(yīng)用故障

定期對(duì)應(yīng)用數(shù)據(jù)進(jìn)行備份，避免受到未預(yù)期的刪除、修改等。

（3）數(shù)據(jù)丟失

為防止重要數(shù)據(jù)丟失，采購(gòu)服務(wù)器一體化備份系統(tǒng)，對(duì)重要的服務(wù)器、數(shù)據(jù)庫(kù)、軟件、重要資料進(jìn)行備份，時(shí)間間隔盡可能縮短，并定期驗(yàn)證恢復(fù)是否可用。每月進(jìn)行災(zāi)備演練。

3.5 防泄密

（1）數(shù)據(jù)梳理與風(fēng)險(xiǎn)評(píng)估

2.對(duì)比法。把形聲字中形符或聲符相同的形聲字進(jìn)行比較分析的教學(xué)方法。例如可以將“青、精、睛、情、晴、清、請(qǐng)”這一組聲符相同的形聲字進(jìn)行對(duì)比分析，也可將形符相同的形聲字進(jìn)行對(duì)比，例如“祝、福、視、神、社、禮”。通過(guò)對(duì)比分析，可以凸顯彼此之間的差別，加深記憶。類似這樣的形聲字均可按照對(duì)比法進(jìn)行分析。

數(shù)據(jù)規(guī)范制定、敏感數(shù)據(jù)定義、敏感數(shù)據(jù)發(fā)現(xiàn)、數(shù)據(jù)分類分級(jí)、數(shù)據(jù)資產(chǎn)測(cè)繪、大數(shù)據(jù)組件與掃描、數(shù)據(jù)安全風(fēng)險(xiǎn)評(píng)估

（2）數(shù)據(jù)庫(kù)安全防護(hù)

數(shù)據(jù)庫(kù)安全審計(jì)，SQL注入行為檢測(cè)阻斷、防止敏感數(shù)據(jù)泄露竄改、精細(xì)訪問(wèn)權(quán)限管理

（3）終端數(shù)據(jù)安全防護(hù)

終端用戶遵循權(quán)限最小化原則，并制定相應(yīng)的終端使用制度對(duì)用戶行為進(jìn)行規(guī)范。

3.6 在日常運(yùn)維中如何做到“五防”[6]

讓第三方遠(yuǎn)程處理業(yè)務(wù)系統(tǒng)故障時(shí)，采用高安全性的堡壘機(jī)，并且需要手機(jī)二次驗(yàn)證，同時(shí)對(duì)第三方遠(yuǎn)程行為進(jìn)行監(jiān)控，審計(jì)，防止第三方出現(xiàn)違規(guī)行為。

每臺(tái)應(yīng)用終端桌面，安裝終端安全防護(hù)軟件，對(duì)操作系統(tǒng)的版本，安裝的軟件進(jìn)行監(jiān)控，及時(shí)對(duì)高危漏洞進(jìn)行后臺(tái)補(bǔ)丁。

醫(yī)療業(yè)務(wù)系統(tǒng)，定期巡查督促醫(yī)護(hù)人員定期修改密碼，設(shè)置高安全性密碼，如大小寫字母、特殊符號(hào)、數(shù)字結(jié)合，并且八位以上。

服務(wù)器等重要關(guān)鍵基礎(chǔ)資產(chǎn)進(jìn)行防病毒檢查，入侵檢測(cè)，安裝防火墻，定期備份及驗(yàn)證備份，并且關(guān)閉遠(yuǎn)程，文件共享等高危端口。

提高保護(hù)數(shù)據(jù)安全認(rèn)識(shí)，定期做好個(gè)人數(shù)據(jù)備份。

3.7 整體安全體系建設(shè)[7]

伴隨“互聯(lián)網(wǎng)+醫(yī)療健康”推進(jìn)，醫(yī)療企業(yè)和機(jī)構(gòu)所面臨的網(wǎng)絡(luò)信息安全風(fēng)險(xiǎn)也被成倍放大，提升安全風(fēng)險(xiǎn)防范意識(shí)，加強(qiáng)信息安全體系建設(shè)，才能有效保障和驅(qū)動(dòng)醫(yī)療信息化的良性發(fā)展。

當(dāng)前，我國(guó)醫(yī)療信息化建設(shè)正在提速，而醫(yī)療信息安全建設(shè)保障工作也得到了行業(yè)普遍關(guān)注和重視；解決醫(yī)療信息安全相關(guān)威脅和挑戰(zhàn)，需要繼續(xù)加強(qiáng)在醫(yī)療信息安全領(lǐng)域的投入、建立系統(tǒng)化的安全保障體系：

（1）對(duì)當(dāng)前醫(yī)療信息化安全系統(tǒng)進(jìn)行全面體檢，定位安全問(wèn)題，排除安全隱患；

（2）構(gòu)建醫(yī)院網(wǎng)絡(luò)空間安全防御系統(tǒng)，提高信息安全水平；

（3）加強(qiáng)醫(yī)療網(wǎng)絡(luò)信息安全技術(shù)團(tuán)隊(duì)培訓(xùn)，全面提升安全防御意識(shí)和團(tuán)隊(duì)素養(yǎng)；

（4）定期進(jìn)行網(wǎng)絡(luò)信息安全檢查及安全防御演練，提升重大威脅應(yīng)急響應(yīng)能力；

（5）建立面向行業(yè)的應(yīng)急響應(yīng)協(xié)同機(jī)制，及時(shí)預(yù)警聯(lián)防共治，攜手應(yīng)對(duì)網(wǎng)絡(luò)風(fēng)險(xiǎn)。

3.8 安全運(yùn)營(yíng)建設(shè)思路[8]

（1）系統(tǒng)化的安全基礎(chǔ)設(shè)施建設(shè)

所有體系化的安全基礎(chǔ)建設(shè)是安全運(yùn)營(yíng)體系中不可或缺的一部分。按照網(wǎng)絡(luò)安全等級(jí)保護(hù)制度，對(duì)關(guān)鍵信息基礎(chǔ)設(shè)施做好安全防護(hù)建設(shè)。

（2）數(shù)據(jù)驅(qū)動(dòng)安全－運(yùn)營(yíng)體系持續(xù)優(yōu)化

通過(guò)對(duì)安全數(shù)據(jù)治理實(shí)現(xiàn)安全分析、威脅建模、態(tài)勢(shì)感知、可視化展示等，根據(jù)分析結(jié)果，指導(dǎo)安全工作開展，實(shí)現(xiàn)安全事件的響應(yīng)追蹤和威脅預(yù)測(cè)；參考運(yùn)營(yíng)過(guò)程數(shù)據(jù)，持續(xù)優(yōu)化運(yùn)營(yíng)體系，逐步形成貼合業(yè)務(wù)場(chǎng)景的成熟的運(yùn)營(yíng)體系。

（3）運(yùn)營(yíng)服務(wù)隊(duì)伍與體系建設(shè)

培養(yǎng)、引進(jìn)高水平、高素質(zhì)人才，建設(shè)完備的、科學(xué)分工的、整體化的運(yùn)營(yíng)服務(wù)體系來(lái)支撐安全體系建設(shè)；

（4）閉環(huán)的安全能力持續(xù)輸出

以Gartner提出的下一代的自適應(yīng)安全框架（ASA）為標(biāo)準(zhǔn)，通過(guò)持續(xù)的預(yù)測(cè)、防御、檢測(cè)、響應(yīng)的閉環(huán)運(yùn)營(yíng)，持續(xù)輸出安全能力。同時(shí)通過(guò)SOAR逐步實(shí)現(xiàn)安全運(yùn)營(yíng)過(guò)程自動(dòng)化。

4 結(jié)束語(yǔ)

信息化發(fā)展，離不開安全規(guī)劃。醫(yī)院著力發(fā)展信息化同時(shí)，要認(rèn)識(shí)到醫(yī)院網(wǎng)絡(luò)安全和信息化是一體之兩翼、驅(qū)動(dòng)之雙輪，必須統(tǒng)一謀劃、統(tǒng)一部署、統(tǒng)一推進(jìn)、統(tǒng)一實(shí)施。本文從“五防”安全防護(hù)思路出發(fā)，逐一講解了，各類安全問(wèn)題的防護(hù)手段，最后提出了在日常工作中如何做到“五防”、整體安全體系建設(shè)以及安全運(yùn)營(yíng)建設(shè)思路，對(duì)醫(yī)院網(wǎng)絡(luò)信息安全建設(shè)提供了參考。

[1]沈穎杰. 分析網(wǎng)絡(luò)信息安全防護(hù)體系及其在醫(yī)院網(wǎng)絡(luò)系統(tǒng)中的運(yùn)用[J]. 電子技術(shù)與軟件工程，2019（3）：182.

[2]陳擁軍，肖新文，陳泓伶，等. 醫(yī)院網(wǎng)絡(luò)安全體系構(gòu)建與實(shí)現(xiàn)[J]. 中國(guó)數(shù)字醫(yī)學(xué)，2016，11（7）：105-107.

[3]胡芳，沈紹武. 醫(yī)院信息安全體系規(guī)劃與設(shè)計(jì)[J]. 中國(guó)數(shù)字醫(yī)學(xué)，2012，7（11）：79-82.

[4]陳明. 基于等級(jí)保護(hù)的掌上醫(yī)院安全防護(hù)體系設(shè)計(jì)[D]. 陜西：西安電子科技大學(xué)，2018.

[5]李哲. 醫(yī)療機(jī)構(gòu)電子病歷長(zhǎng)期保存的風(fēng)險(xiǎn)防范研究[D]. 河南：鄭州大學(xué)，2019.

[6]周松柏. 醫(yī)療行業(yè)信息安全發(fā)展形勢(shì)淺析及展望[C]. //2012中華醫(yī)院信息網(wǎng)絡(luò)大會(huì)暨第五屆中美醫(yī)院信息化論壇論文集. 2012：1-5.

[7]吳明偉，常奕. 醫(yī)院信息系統(tǒng)安全建設(shè)構(gòu)想[C]. //2012中華醫(yī)院信息網(wǎng)絡(luò)大會(huì)暨第五屆中美醫(yī)院信息化論壇論文集. 2012：1-4.

[8]楊帆帆，彭聰留. 安全運(yùn)營(yíng)賦能關(guān)鍵信息基礎(chǔ)設(shè)施安全防護(hù)實(shí)踐[J]. 警察技術(shù)，2021（1）：21-24.