自新冠疫情流行以來,醫(yī)療機構的安全事件變得越來越普遍。其中的危險一方面是醫(yī)療機構的安全成本正不斷增加,同時安全事件頻發(fā)更帶來嚴重的數(shù)據(jù)泄露負擔。
與其他機構不同,醫(yī)療機構在許多方面都被認為是攻擊者的完美目標,一方面是其直接為生命安全負責,另一方面其醫(yī)療科研數(shù)據(jù)和患者敏感信息更具價值,如IBM發(fā)布的最新數(shù)據(jù)泄露成本報告就指出醫(yī)療機構是全行業(yè)數(shù)據(jù)泄露成本最高的行業(yè)。所以其業(yè)務系統(tǒng)的連續(xù)性和數(shù)據(jù)安全的重要性不容有失。
在整個2022年,僅安全419觀察到的國內外僅因勒索軟件攻擊造成的醫(yī)療機構安全事件保守估計至少百起以上,HIMSS的一份調研數(shù)據(jù)顯示,原因在于絕大多數(shù)醫(yī)療機構面臨老舊設備與操作系統(tǒng)不受最新安全解決方案的支持,同時聯(lián)系到全球供應鏈方面的吃緊,從而影響了包括安全在內的全面運營成本上的提升。
更糟糕的是,醫(yī)療機構擁有大量的遺留設備,其中大多數(shù)設備容易受到攻擊。比如醫(yī)療環(huán)境中與loT和相關設備相關的安全威脅處理能力仍然嚴重不足,有數(shù)據(jù)顯示,醫(yī)院53%的聯(lián)網(wǎng)醫(yī)療設備和其他loT設備存在已知的嚴重漏洞。此前,有安全廠商就向安全419分享了來自醫(yī)療IoT設備的真實威脅案例。
更加嚴重的是,醫(yī)療機構各部門在處理與疫情相關的危機時仍然捉襟見肘,以至于常規(guī)安全措施可能會半途而廢,這可能是人力的問題,或者直接就是成本方面的問題。總之,一些安全事件很可能會在數(shù)周內未被發(fā)現(xiàn),這也會進一步導致驗證分支機構和第三方采取的安全措施的努力可能會落空。
國內網(wǎng)絡安全公司安恒信息技術專家此前在接受安全419采訪時也曾指出,醫(yī)療機構之所以常常面臨違規(guī)事件,這與傳統(tǒng)行業(yè)擁抱信息化時代邁向更加開放的信息化集成,但同時普遍缺乏系統(tǒng)化安全建設和安全意識具有較高關聯(lián),僅就勒索軟件攻擊而言,針對醫(yī)療機構的攻擊趨勢正在不斷增加。
在我國,此前根據(jù)騰訊智慧安全發(fā)布的《醫(yī)療行業(yè)勒索病毒專題報告》顯示,在全國三甲醫(yī)院中,有247家醫(yī)院檢出了勒索病毒,以廣東、湖北、江蘇等地區(qū)檢出勒索病毒最多。
浙大二院信息中心主任許杰此前分享指出,就醫(yī)療機構而言,信息安全管理是一個涉及資源和管理的復雜系統(tǒng)性問題,其中來自技術、資源、流程、人員為代表的普遍性缺失是醫(yī)院在信息安全管理方面面臨的主要痛點。
其進一步表示,其中技術、資源將決定架構設計與業(yè)務系統(tǒng)的安全程度,比如技術不足,會使業(yè)務系統(tǒng)設計缺陷難以被發(fā)現(xiàn),資源投入不足將難以彌補IT基礎架構容災能力的缺失等。在流程和人員方面,運維管理流程需要規(guī)范梳理,更要不斷提升全院醫(yī)護人員的安全意識水平。其中資源的投入處于關鍵位置,其對信息化及安全投入、高水平專業(yè)崗位人員缺失表現(xiàn)尤為突出。
可以預見的是,進入數(shù)字時代,隨著醫(yī)療設備變得更加智能和互聯(lián),網(wǎng)絡犯罪將變得更加隱蔽,這強調了加強醫(yī)療信息化安全性以保護醫(yī)療機構及其患者的重要性。醫(yī)療機構作為國家關鍵基礎設施重要組成部分,必須高度重視并強化安全投入。
更多信息可以來這里獲取==>>電子技術應用-AET<<