應(yīng)對(duì)網(wǎng)絡(luò)攻擊 醫(yī)院如何開“藥方”

應(yīng)對(duì)網(wǎng)絡(luò)攻擊 醫(yī)院如何開“藥方”

■ 本報(bào)記者 程紅琳

醫(yī)療衛(wèi)生系統(tǒng)正成為網(wǎng)絡(luò)攻擊的重災(zāi)區(qū)。

近年來，醫(yī)療機(jī)構(gòu)信息化建設(shè)給患者帶來更方便、更便捷的就醫(yī)體驗(yàn)。與此同時(shí)，新技術(shù)的應(yīng)用也給醫(yī)療機(jī)構(gòu)帶來了新的安全風(fēng)險(xiǎn)。隨著醫(yī)療機(jī)構(gòu)逐步向數(shù)字化醫(yī)療、智慧醫(yī)療發(fā)展，其信息安全問題愈發(fā)突出，患者個(gè)人信息丟失情況時(shí)有發(fā)生。

為信息安全問題“把脈”并開出“藥方”，正成為醫(yī)療衛(wèi)生系統(tǒng)在信息化建設(shè)中亟須攻關(guān)的問題。

醫(yī)院頻遭網(wǎng)絡(luò)攻擊

較早之前，北京等地“健康碼”系統(tǒng)曾遭受不同程度的網(wǎng)絡(luò)攻擊，消息一出，引發(fā)社會(huì)廣泛關(guān)注。事實(shí)上，記者注意到，近年來醫(yī)療衛(wèi)生系統(tǒng)網(wǎng)絡(luò)安全事件頻發(fā)，大型醫(yī)院被網(wǎng)絡(luò)攻擊導(dǎo)致數(shù)據(jù)泄露、醫(yī)院停診的新聞屢見不鮮。

360集團(tuán)創(chuàng)始人周鴻祎曾透露，360集團(tuán)曾接到了多家醫(yī)院的緊急求援。部分醫(yī)院因核心數(shù)據(jù)被勒索軟件攻擊之后不能使用，導(dǎo)致醫(yī)院停擺，甚至有的病人手術(shù)都無法正常進(jìn)行。

事實(shí)上，近年來，醫(yī)療機(jī)構(gòu)網(wǎng)絡(luò)安全問題頻發(fā)也引起了相關(guān)部門的重視，多地網(wǎng)警也紛紛組織了專項(xiàng)檢查，防患于未然。

日前，河北保定曲陽、阜平、定興、高碑店網(wǎng)警在對(duì)轄區(qū)重點(diǎn)企業(yè)開展網(wǎng)絡(luò)行政執(zhí)法工作時(shí)發(fā)現(xiàn)，曲陽釣魚臺(tái)醫(yī)院、曲陽京協(xié)門診部未履行網(wǎng)絡(luò)安全等級(jí)保護(hù)制度、未采取措施防范計(jì)算機(jī)病毒，同時(shí)其網(wǎng)站未辦理等級(jí)保護(hù)備案手續(xù)，嚴(yán)重忽視網(wǎng)站信息安全建設(shè)。曲陽網(wǎng)警隨即根據(jù)網(wǎng)絡(luò)安全法給予兩家醫(yī)療機(jī)構(gòu)行政警告處罰。

較早之前，湖北省棗陽市公安局網(wǎng)安大隊(duì)民警聯(lián)合該市網(wǎng)信辦、衛(wèi)生健康局等部門的工作人員依法對(duì)14家醫(yī)療機(jī)構(gòu)進(jìn)行了網(wǎng)絡(luò)信息安全專項(xiàng)檢查，發(fā)現(xiàn)部分醫(yī)院存在內(nèi)外網(wǎng)混連現(xiàn)象、未安裝防火墻、安全制度保密制度不健全等問題。

從公安機(jī)關(guān)披露的涉及醫(yī)療衛(wèi)生系統(tǒng)的網(wǎng)絡(luò)安全行政執(zhí)法案例中，不難發(fā)現(xiàn)，一些醫(yī)療機(jī)構(gòu)對(duì)信息系統(tǒng)網(wǎng)絡(luò)安全建設(shè)依舊重視不足，既未制定網(wǎng)絡(luò)安全管理制度和操作流程，又未按照等級(jí)保護(hù)標(biāo)準(zhǔn)建設(shè)信息系統(tǒng)，進(jìn)而導(dǎo)致出現(xiàn)信息安全問題時(shí)無法及時(shí)處置。而黑客正是利用醫(yī)療機(jī)構(gòu)信息系統(tǒng)中的漏洞發(fā)動(dòng)攻擊，造成醫(yī)療機(jī)構(gòu)信息系統(tǒng)癱瘓甚至業(yè)務(wù)受到影響。

網(wǎng)絡(luò)攻擊也倒逼著醫(yī)療機(jī)構(gòu) 對(duì)網(wǎng)絡(luò)安全工作予以重視。不少醫(yī)院紛紛加快了信息系統(tǒng)等級(jí)保護(hù)建設(shè)步伐，與此同時(shí)，系統(tǒng)漏洞掃描、應(yīng)用安全測(cè)試等安全自查和安全加固工作也逐漸成為醫(yī)院日常維護(hù)網(wǎng)絡(luò)安全的重要內(nèi)容。

加強(qiáng)投入 主動(dòng)防御

據(jù)《2019—2020年度中國醫(yī)院信息化狀況調(diào)查報(bào)告》顯示，醫(yī)療機(jī)構(gòu)在信息安全方面的投入已占信息化總投入的9.43%。有66.18%的醫(yī)院通過了網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)。但仍有部分醫(yī)療機(jī)構(gòu)并沒有將網(wǎng)絡(luò)安全建設(shè)落到實(shí)處。

例如，一些醫(yī)療機(jī)構(gòu)安全管理中心存在人員和職能缺位問題，導(dǎo)致信息安全管理、監(jiān)控、審計(jì)與綜合分析能力不足。不少醫(yī)療機(jī)構(gòu)僅僅為了安全等級(jí)保護(hù)測(cè)評(píng)達(dá)標(biāo)而配備相關(guān)信息安全硬件設(shè)備，并不注重安全能力建設(shè)，導(dǎo)致安裝了安全預(yù)警系統(tǒng)，卻沒有開展安全審計(jì)分析；或是購買了容災(zāi)系統(tǒng)，卻沒有開展容災(zāi)演練；又或是采購了數(shù)據(jù)備份設(shè)施，卻未按規(guī)定進(jìn)行定期備份和恢復(fù)驗(yàn)證。

打開中國政府采購網(wǎng)，記者注意到，這一情況也在逐步改變。為了確保網(wǎng)絡(luò)安全運(yùn)營工作規(guī)范化、常態(tài)化開展，除購買相應(yīng)的軟硬件設(shè)備外，不少醫(yī)療機(jī)構(gòu)正通過公開招標(biāo)的方式采購安全運(yùn)維服務(wù)，以加強(qiáng)網(wǎng)絡(luò)安全建設(shè)，提高內(nèi)網(wǎng)、互聯(lián)網(wǎng)、專網(wǎng)的整體防護(hù)能力水平，保障業(yè)務(wù)正常開展。

記者梳理了相關(guān)采購項(xiàng)目，發(fā)現(xiàn)與安全相關(guān)的采購需求愈發(fā)細(xì)化，包括但不限于：駐場(chǎng)運(yùn)維服務(wù)、安全資產(chǎn)梳理服務(wù)、風(fēng)險(xiǎn)評(píng)估服務(wù)、安全加固服務(wù)、咨詢規(guī)劃服務(wù)、滲透測(cè)試服務(wù)、應(yīng)急響應(yīng)服務(wù)、安全保障服務(wù)、攻防演練服務(wù)、安全培訓(xùn)服務(wù)等。如福建省福州市第一醫(yī)院日前發(fā)布安全運(yùn)維服務(wù)項(xiàng)目招標(biāo)公告，采購應(yīng)用安全風(fēng)險(xiǎn)評(píng)估與應(yīng)急防守服務(wù)、三級(jí)等保安全服務(wù)以及網(wǎng)絡(luò)運(yùn)維服務(wù)攻防實(shí)戰(zhàn)演練服務(wù)。

亞信安全科技股份有限公司相關(guān)工作人員表示，醫(yī)療機(jī)構(gòu)網(wǎng)絡(luò)安全建設(shè)已從單機(jī)版走向網(wǎng)絡(luò)版，從局域網(wǎng)走向廣域網(wǎng)，在解決網(wǎng)絡(luò)安全問題的過程中，醫(yī)療機(jī)構(gòu)無法一勞永逸。因此，持續(xù)改進(jìn)、螺旋式上升，是網(wǎng)絡(luò)安全建設(shè)的基本原則。醫(yī)療機(jī)構(gòu)應(yīng)該將工作重心放在事前預(yù)防、事中控制上，對(duì)尚未暴露的風(fēng)險(xiǎn)隱患進(jìn)行重點(diǎn)排查，及時(shí)發(fā)現(xiàn)并化解風(fēng)險(xiǎn)，構(gòu)建動(dòng)態(tài)防御、主動(dòng)防御、縱深防御、精準(zhǔn)防護(hù)、整體防控、聯(lián)防聯(lián)控的網(wǎng)絡(luò)安全綜合防控體系；同時(shí)，基于現(xiàn)有的安全防護(hù)系統(tǒng)，將網(wǎng)絡(luò)安全運(yùn)營工作與系統(tǒng)運(yùn)維工作進(jìn)行融合，以實(shí)現(xiàn)更低的總體擁有成本和更好的運(yùn)營效率。

本報(bào)擁有此文版權(quán)，若需轉(zhuǎn)載或復(fù)制，請(qǐng)注明來源于中國政府采購報(bào)，標(biāo)注作者，并保持文章的完整性。否則，將追究法律責(zé)任。