“互聯網+醫療”背景下醫院信息安全的構建解析

劉雷寧

（中信醫療健康產業集團有限公司 北京 100004）

對于信息安全的概念，國際標準化組織（ISO）的定義是為數據處理系統建立和采用技術、管理的安全保護，保護計算機硬件、軟件、數據不受偶然的或者惡意的原因而造成的破壞、更改、泄露。信息安全的主要任務是要保障數據的保密性、完整性、可用性、真實性、不可否認性和可靠性［1］。

我國的信息安全隨著信息化的發展也在逐步完善，國家也不斷出臺相關的信息安全法律法規。2014年，中央網絡安全和信息化領導小組成立，2018年改為中央網絡安全和信息化委員會；2017年6月，《中華人民共和國網絡安全法》正式施行；2019年12月，《信息安全技術等級保護》開始實施；2021年，《數據安全法》和《個人信息保護法》相繼實施，我國信息安全的頂層設計已經初具規模，這些法律法規的出臺為醫院日常經營過程中的信息安全提供了制度保障和有效支撐，促使醫院按照相關要求不斷從人才保障、技術保障、制度保障進行全方位的保護，并持續不斷地進行信息安全防護。信息安全的防護是一場長期的、艱苦的、動態的博弈過程，在這個過程中，需要相關的干系人持續不斷地通過PDCA 的管理流程不斷優化完善，為醫院的發展保駕護航［2］。

1 “互聯網+醫療”環境下醫院面臨的信息安全威脅

在醫院的實際運行過程中，會碰到各類信息安全風險和挑戰，特別是2020年以后，隨著“互聯網+醫療”的發展，新冠肺炎疫情也極大地促進了互聯網醫院的發展，各級醫院逐步開通自己的互聯網醫院業務，隨著對外服務的增多，各醫院面臨的風險和威脅也逐步增大。

國內醫院相關的安全事件層出不窮，例如，國內某兒童醫院多臺服務器感染了Globe Imposter勒索病毒，導致醫院服務器數據文件被強制加密，導致系統癱瘓，患者無法進行正常的掛號、就醫、繳費等流程。2018年2月份，湖北省某醫院系統被植入升級版的勒索病毒，導致系統癱瘓，黑客勒索30萬人民幣。

目前，很多醫院都建立起了互聯網醫院、微信小程序、微信掛號等服務和應用，這類服務和應用都要開通與外部訪問的對接接口，這些接口也成為黑客重點攻擊的目標，這些也是需要重點關注和加強的地方。目前，綜合各省市衛健委的相關要求，都將互聯網醫院三級等保作為申請互聯網醫院拍照的前置條件之一，因此要不斷應對醫院所面臨的各類信息安全威脅和挑戰。

目前，醫院面臨的外部威脅主要有木馬后門通信、異常連接、遠程漏洞連接遠程代碼執行、暴力破解、漏洞掃描破解（IP掃描）、FTP匿名登錄攻擊、軟件漏洞導致的信息泄露、DOS 攻擊、溢出攻擊、WEB 攻擊（惡意命令執行攻擊、遠程代碼執行攻擊）、木馬后門攻擊、病毒蠕蟲、挖礦行為。

（1）木馬后門攻擊。主要是利用計算機的C/S 模式，在目標主機（被攻擊主機）和主控主機之間試圖建立一個連接，從而達到控制目的主機的目的。這類攻擊主要是黑客通過專門的漏洞工具或者軟件來定期地掃描醫院的對外服務系統、防火墻等設備或者服務，獲取系統的漏洞或者風險點，然后利用這些漏洞風險點注入木馬程序，達到控制醫院系統的目的，有的是通過控制有漏洞的主機，達到控制醫院核心系統的目的。

（2）暴力破解。目前，醫院的對外服務面臨許多暴力破解攻擊，這類攻擊的特點是通過反復的測試、嘗試破解，一般都是通過社會工程學搜集到的信息，創建密碼字典，用這些字典進行嘗試，雖然這種攻擊是比較老的攻擊方式，但是確實是比較有效的方式。暴力破解攻擊方式隨著防護手段的提升也在不斷地變換，目前，黑客們借助專門的自動化工具，能通過很短的時間破解用單詞或者數字組成的密碼。

（3）漏洞掃描。漏洞掃描主要是通過專門的漏洞掃描工具、滲透性測試工具集等測試工具，在互聯網業務接入端進行漏洞掃描，對醫院的信息系統的組成部門，如服務器主機、操作系統，通過掃描軟件查找系統中操作系統、數據庫、WEB應用、第三方產品及插件的安全漏洞，并且通過這些漏洞獲取系統的控制權、獲取大量的敏感數據的行為。

漏洞掃描又分為惡意和良性。良性的主要是醫院聘請專業的機構進行，用來發現系統中存在的漏洞和風險；惡意的就是外部黑客通過專門工具進行掃描，竊取系統的敏感數據，達到非法目的。

漏洞又分為超危（非常危險）、高危、中危、低危4個級別，其中，超危、高危是必須要進行整改的，醫院關鍵系統必須進行高危漏洞的修復，因為這關系到信息系統的三級評審，且每年的復測也需要針對發現的漏洞進行修復完善。

（4）DDOS。這是一種比較老的攻擊方式，黑客通過控制大量的僵尸主機發送大量的數據或者請求，導致系統在短時間內無法及時處理巨量請求，從而導致系統無法為合法用戶提供正常服務。常用的攻擊方式有典型的利用協議攻擊，例子是TCP SYN攻擊、洪水攻擊。

DDoS的表現形式主要有兩種：一種為流量攻擊，主要是針對網絡帶寬的攻擊，即大量攻擊包導致網絡帶寬被阻塞，合法網絡包被虛假的攻擊包淹沒而無法到達主機；另一種為資源耗盡攻擊，主要是針對服務器主機的攻擊，即通過大量攻擊包導致主機的內存被耗盡或CPU被內核及應用程序占完而造成無法提供網絡服務。

（5）病毒攻擊。計算機病毒主要是在計算機中能附著或者插入到計算機程序上，能夠自我復制、傳播的一組代碼或者指令，它主要是通過郵件、網頁木馬、程序傳播。

病毒又分為系統病毒（前綴：Win32、PE、W32）、蠕蟲病毒（如惡鷹——Worm.BBeagle）、木馬病毒、黑客病毒（如QQ 消息尾巴木馬——Trojan.QQ3344）、腳本病毒（如紅色代碼——Script.Redlof）、宏病毒（如美麗莎——Macro.Melissa）、后門病毒（如灰鴿子——Backdoor.Win32.Huigezi）、病毒種植程序病毒（如冰河播種者——Dropper.BingHe2.2C）、破壞性程序病毒（如殺手命令——Harm.Command.Killer）、玩笑病毒（如女鬼——Joke.Girl ghost）、捆綁機病毒（如捆綁QQ——Binder.QQPass.QQBin）。

（6）社會工程學攻擊。這是一種比較特殊的攻擊方式，主要是利用了人們的某種心理，也是一種綜合性比較強的攻擊方式，主要利用人性的弱點，通過各種手段和方法搜集個人信息，通過這些信息來實現欺騙、入侵和破壞，例如，現在比較多的詐騙電話都是通過電話、短信誘導受害者按照攻擊者設定好的程序進行操作，從而造成財產損失?？傮w來說，社會工程學是計算機技術和心理學結合的產物，這類攻擊沒辦法通過技術手段、管理手段而達到完全消除，所以這類攻擊防范起來比較難。

2 信息安全面臨的威脅——造成安全事件的原因

（1）技術弱點：主要是因為系統、程序、設備中存在諸多漏洞或缺陷，這些缺陷或者漏洞中，有些是沒有及時修復，有的是醫院基于成本考慮沒有考慮替換或者進行補丁修復。例如，有的醫院的內網終端還是采用Windows XP 系統，一旦木馬通過U 盤感染了內網的機器，這些終端很容易成為攻擊的重點，也很容成為重要的風險點。

（2）操作弱點：主要指配置、操作和使用中的缺陷，包括人員的不良習慣、審計或備份過程的不當操作等。另外，有的醫院雖然制定了相關的操作規范和流程，但是由于人員的素質、操作可行性等因素，導致未按照規定操作、定期進行備份、定期進行應急演練，從而造成一些風險事件的發生。

（3）管理弱點：主要指策略、程序、規章制度、人員意識、組織結構等方面的不足，有的醫院沒有從頂層設計，安全制度缺失，容易形成信息安全風險點。

3 醫院做好信息安全需要關注的重點

外因是條件，內因才是根本，醫院的信息安全工作需要不斷地利用系統廠商、安全廠商的資源，以等保測評為手段，不斷提高自身應對風險的能力，主要通過以下幾個方面加強和提高。

3.1 管理保障

主要是通過建立一個自上而下的信息安全管理體系來達到信息安全的動態防御的目標。首先，醫院必須認識到信息安全關系到醫院的正常運行，一旦出現信息安全事件，將會對醫院的業務造成致命的打擊。信息安全不是醫院一個部門的工作，也不是某個人的職責，更不是一段時期安全就永遠不用擔心了，信息安全應該貫穿整個醫院的全流程管理，醫院的每個成員都要承擔相應的職責和義務。另外，信息安全應該得到醫院高層的重視，網絡安全法規定，醫院的最高領導是醫院信息安全的第一責任人，對于醫院的信息安全事件負主要責任，所以就需要我們的醫院管理層提供適當的人力、物力、財力，充分保障醫院的信息安全活動正常進行。

醫院的信息安全管理體系采用PDCA 的過程方法，PDCA 過程方法是由美國管理專家戴明博士提出的，在該模型中，按照完整的“Plan—Do—Check—Act”的順序依次進行，在醫院的信息安全過程中，醫院的每一次都是逐步完善、逐步提升的階段。

圖1中，將信息安全的流程描述為一個動態的過程，信息安全都需要預先計劃、分步實施、監督檢查、處置完善流程，一個階段完成后，重新進入下一個PDCA流程。

圖1 信息安全建設PDCA流程圖

3.2 制度保障

信息安全管理體系是建立在文檔的基礎上的。目前，醫院常用的制度體系包括：高級領導方針、政策；中層的制度、流程及規范；基層的操作手冊、使用說明、預案，以及過程文件、日志、記錄、巡查表等內容［3］。圖2中主要將信息安全管理過程中所涉及的相關制度、規范進行梳理分類，并形成體系。

圖2 醫院信息安全體系框架

醫院日常管理管理方面需要具備以下制度體系，醫院的信息安全制度應該按照等保三級的制度體系進行制定和規范［4］。

信息安全管理機構：主要包括信息安全工作的委員會或領導小組制度，并成立相關信息安全部門。

安全管理人員：主要包括人員錄用及離職管理、人員安全意識教育和培訓、外部人員訪問管理等制度。

安全管理制度：主要包括網絡安全工作的總體方針和安全策略、管理人員或操作人員執行的日常管理操作規程等內容。

安全建設管理：主要包括項目管理、供應商管理、軟件開發管理、外包管理、軟件測試及驗收等相關制度規范。

安全運維管理：主要包括環境管理、資產管理、設備維護管理制度、網絡系統安全管理制度、安全事件管理、數據備份及恢復管理、業務連續性管理制度及IT設備管理制度。

3.3 技術保障

在日常的管理過程中，要嚴格按照以下標準不斷提升醫院應用系統的風險防范能力。

服務器安全：修改及重新命名默認賬戶、卸載所有未使用的應用程序、關閉所有不需要的服務（如443、3389 等高危端口），并對端口進行監控，設置對諸如cmd.exe、sethc.exe的程序的訪問權限。

防火墻：應該配置好WAF 相關端口及服務，設置內部訪問IP 的白名單，并定期檢查防火墻日志，及時進行策略調整。

殺毒軟件：配置服務器殺毒軟件，并定期進行離線升級，保障服務器應用安全。

漏洞補?。簯盟凶钚碌姆瞻透?。

日志審計：配置日志審計設備或者軟件，將應用系統、數據庫、服務器日志單獨存放到日志審計系統中，并定期進行日志查看。

堡壘機：使用堡壘機（運維審計系統）遠程登錄設備進行維護操作。

主機防護：配置好主機防護軟件，定期進行漏洞掃描，及時發現系統、應用的漏洞，如果允許的話，每半年或者一年請外部機構進行滲透性測試，發現系統的薄弱點［5］。

3.4 人員保障

醫院應該建立信息安全人員保障制度，規范信息安全人員的錄入、培養、培訓，并建立信息安全定期培訓機制，針對全員展開信息安全意識培訓，針對醫院信息人員進行信息安全知識培訓，針對信息安全人員進行專業技能培訓，并且保障須持有CISP、CISSP、CISA、信息安全工程師等相關證書之一［6］。

4 結語

針對醫院面臨的各類信息安全威脅和挑戰，需要堅持動態防御、主動防御、縱深防御、精準防護、整體防控、聯防聯控的原則，筑牢信息安全的防線，補足信息安全的短板，從而避免信息安全中的“木桶效應”的出現，不留死角。通過建立頂層的信息安全管理領導架構、培養專業的信息安全人才、不斷持續做好系統漏洞、加強公司整體的安全意識、不斷加大信息安全方面的技術投入和資金投入，持續不斷地保障公司業務的健康、良性發展，不斷提高公司的信息安全水平。