胡海民

(芷江侗族自治縣人民醫(yī)院，湖南 芷江 419100)

0 引言

隨著互聯(lián)網(wǎng)在醫(yī)療領(lǐng)域的不斷擴展，圍繞醫(yī)院網(wǎng)絡(luò)安全而產(chǎn)生的各類問題日益突出。自2018年以來，每年圍繞醫(yī)院遭受網(wǎng)絡(luò)攻擊的案件數(shù)量居高不下，內(nèi)部網(wǎng)絡(luò)系統(tǒng)遭暴露的醫(yī)院近千家。通過排查，幾百家醫(yī)院存在數(shù)據(jù)安全及主機安全隱患，近600家醫(yī)院發(fā)生過重大網(wǎng)絡(luò)安全事故。特別是新冠疫情暴發(fā)后，外國勢力不斷增加對我國網(wǎng)絡(luò)的攻擊，導(dǎo)致醫(yī)療機構(gòu)和網(wǎng)絡(luò)安全事件頻發(fā)。在國際形勢越發(fā)復(fù)雜的近幾年，網(wǎng)絡(luò)安全問題日益嚴重，醫(yī)院網(wǎng)絡(luò)系統(tǒng)的安全正在經(jīng)受嚴重侵襲。網(wǎng)絡(luò)安全防護等級2.0背景決定了醫(yī)院網(wǎng)絡(luò)安全建設(shè)的發(fā)展方向。

1 網(wǎng)絡(luò)安全等級保護2.0概述及實施標準

網(wǎng)絡(luò)安全等級保護2.0執(zhí)行標準，是以一般要求為基礎(chǔ)，通過移動互聯(lián)及云計算等多種方式共同作用，實現(xiàn)對網(wǎng)絡(luò)安全的保護，維護重點行業(yè)領(lǐng)域的信息安全。在技術(shù)方面詳細描述訪問控制和入侵防御的要求，可強化可信認證和信息保護。網(wǎng)絡(luò)安全實施等級保護是維護國家網(wǎng)絡(luò)安全的有力保障。在網(wǎng)絡(luò)安全等級保護2.0推出實施后，網(wǎng)絡(luò)安全防護包括信息管理方面的全部內(nèi)容，對相關(guān)要求也作出了具體說明。網(wǎng)絡(luò)安全等級保護2.0在1.0的基礎(chǔ)上，對等級保護作出進一步明確，對動態(tài)管控、持續(xù)監(jiān)測進行系統(tǒng)性優(yōu)化，不斷提升網(wǎng)絡(luò)安全保護的可靠性[1]。

2 當前醫(yī)院網(wǎng)絡(luò)安全建設(shè)存在的問題

通過調(diào)查發(fā)現(xiàn)，符合網(wǎng)絡(luò)安全等級保護評估標準的醫(yī)院不足50%，網(wǎng)絡(luò)安全等級低、信息安全建設(shè)系統(tǒng)化程度不高是當前醫(yī)院網(wǎng)絡(luò)安全的主要問題。網(wǎng)絡(luò)安全等級保護2.0無論是在信息化程度還是技術(shù)管理服務(wù)方面，都對醫(yī)院的網(wǎng)絡(luò)技術(shù)方面提出了更高的要求。醫(yī)院的主要安全及保護項目如表1所示。

表1 醫(yī)院的主要安全及保護項目

在網(wǎng)絡(luò)安全等級保護2.0背景下，醫(yī)院網(wǎng)絡(luò)安全建設(shè)非常重要。但就目前情況來看，大多數(shù)醫(yī)院的操作系統(tǒng)依然落后，無法有效抵御新型網(wǎng)絡(luò)攻擊。隨著社會環(huán)境及網(wǎng)絡(luò)環(huán)境的日趨復(fù)雜化，越發(fā)突顯出醫(yī)院網(wǎng)絡(luò)安全防護的弊端。設(shè)備的安全性無法得到保障。在信息管理方面，操作不規(guī)范，管理松懈，維護人員缺乏專業(yè)性，缺少成體系的管理規(guī)劃。醫(yī)院各層級管理人員對網(wǎng)絡(luò)安全不重視，讓網(wǎng)絡(luò)安全的防護工作無法順利推進。在資金投入與人才培養(yǎng)上的力度嚴重不足，導(dǎo)致醫(yī)院經(jīng)常遭受網(wǎng)絡(luò)攻擊[2]。

2.1 技術(shù)及應(yīng)用層面相對落后

相關(guān)人員利用開放醫(yī)療領(lǐng)域的多項新技術(shù)和互聯(lián)網(wǎng)醫(yī)院等新的醫(yī)療創(chuàng)新模式，開發(fā)了大量的健康數(shù)據(jù)應(yīng)用程序。醫(yī)療專家和醫(yī)療服務(wù)涉及互聯(lián)網(wǎng)和各種規(guī)模的服務(wù)。復(fù)雜的網(wǎng)絡(luò)環(huán)境讓網(wǎng)絡(luò)安全事件層出不窮。這意味著醫(yī)院的網(wǎng)絡(luò)安全保護尤為重要。大部分醫(yī)療機構(gòu)應(yīng)用系統(tǒng)相對落后，網(wǎng)絡(luò)安全防護存在嚴重的弊端，軟件的安全性無法得到保障。操作不規(guī)范、管理松懈以及資金投入與人才培養(yǎng)上的不足，讓網(wǎng)絡(luò)安全的防護工作無法有效開展。利用開放醫(yī)療領(lǐng)域的多項新技術(shù)，利用互聯(lián)網(wǎng)醫(yī)院等新的醫(yī)療創(chuàng)新模式，開發(fā)了大量健康數(shù)據(jù)應(yīng)用程序。

2.2 缺少具體的操作規(guī)范

隨著社會的發(fā)展進步，醫(yī)療領(lǐng)域涉及的業(yè)務(wù)種類不斷增加，相關(guān)信息管理的工作量也隨之加大，人們對網(wǎng)絡(luò)及相關(guān)技術(shù)的需求也更多。為加強網(wǎng)絡(luò)安全防護，醫(yī)院網(wǎng)絡(luò)安全建設(shè)主要包括應(yīng)用信息平臺及基礎(chǔ)設(shè)備，但在具體操作規(guī)范上仍有所欠缺，導(dǎo)致相關(guān)問題因缺少制度依據(jù)無法得到解決。醫(yī)院在遭受網(wǎng)絡(luò)攻擊時，也會因缺少應(yīng)對處理機制而讓網(wǎng)絡(luò)安全事件升級。

3 醫(yī)院在進行網(wǎng)絡(luò)安全建設(shè)時應(yīng)注意的要點

網(wǎng)絡(luò)安全等級保護對醫(yī)院信息安全管理非常重要。在醫(yī)院信息化的前提下，安全網(wǎng)絡(luò)的建設(shè)需要圍繞規(guī)劃、建設(shè)及運行是否同步開展。然而，醫(yī)院信息系統(tǒng)的安全是相對的。建立一個基于密鑰保護、完整保護和動態(tài)檢測的網(wǎng)絡(luò)安全體系，需要制定具體的保護標準，根據(jù)醫(yī)院信息系統(tǒng)的屬性提供相應(yīng)保護。每個系統(tǒng)的確定，關(guān)鍵在于資源系統(tǒng)的保護，并最終影響內(nèi)部保護系統(tǒng)的核心保護，同時考慮到環(huán)境層面的安全等級，在技術(shù)上提高系統(tǒng)的安全能力。建立一個長期的醫(yī)院網(wǎng)絡(luò)安全戰(zhàn)略是一個可持續(xù)的項目。需要加強網(wǎng)絡(luò)安全和信息系統(tǒng)的監(jiān)管力度，不斷完善醫(yī)院網(wǎng)絡(luò)安全體系[3]。

4 醫(yī)院建設(shè)網(wǎng)絡(luò)安全體系的主要方法

按照網(wǎng)絡(luò)安全等級保護2.0相關(guān)標準，醫(yī)院要在信息安全和應(yīng)用程序方面實行一級保護，并要提高對信息、圖像和可持續(xù)性的需求。新標準和基本制度是醫(yī)院安全網(wǎng)絡(luò)建設(shè)的主要依據(jù)，如圖1所示。

圖1 醫(yī)院網(wǎng)絡(luò)安全體系建設(shè)

4.1 主動防護

新型保護技術(shù)需要利用海量數(shù)據(jù)，在網(wǎng)絡(luò)攻擊對醫(yī)院網(wǎng)絡(luò)系統(tǒng)產(chǎn)生影響之前，通過數(shù)據(jù)采集和分析，建立安全檢測和報警信息系統(tǒng)，形成自主動態(tài)保護，處理和跟蹤網(wǎng)絡(luò)系統(tǒng)。預(yù)警檢測是主動防御的核心[4]。利用大量數(shù)據(jù)技術(shù)對醫(yī)院內(nèi)部網(wǎng)絡(luò)環(huán)境進行分析，可及時發(fā)現(xiàn)安全威脅并通過平臺預(yù)警、更新安全信息。本地保護平臺集成系統(tǒng)將可疑文件傳輸?shù)絻?nèi)部網(wǎng)絡(luò)，將系統(tǒng)集成到安全中心，利用智能信息技術(shù)和海量數(shù)據(jù)分析和檢測各種威脅。主動防護包括實現(xiàn)安全設(shè)備的通信及實現(xiàn)動態(tài)保護，結(jié)合醫(yī)院信息系統(tǒng)建設(shè)，將安全模塊集成到系統(tǒng)入口，實現(xiàn)主動防護的動態(tài)管理，如圖2所示。

圖2 防護平臺

為了保護網(wǎng)絡(luò)避免遭受破壞，服務(wù)器主要包括集中管理和運維安全，通過識別驗證，對設(shè)備驅(qū)動程序和目標用戶進行隔離，并對用戶管理進行簡化，對相關(guān)信息實施加密，通過對記錄的審核來恢復(fù)數(shù)據(jù)。審核數(shù)據(jù)庫操作，記錄和報告數(shù)據(jù)庫訪問行為。當數(shù)據(jù)庫有危險行為時及時發(fā)出警報，制定合理的策略來防止攻擊行為。在事件發(fā)生后，在訪談報告中跟蹤事件的根本原因，有效檢測外部威脅，審計內(nèi)部行為，從而保障網(wǎng)絡(luò)內(nèi)部安全。收集和存儲設(shè)備的備份記錄有利于集中審核系統(tǒng)的統(tǒng)計，提供及時保護[5]。醫(yī)院終端管理一直是醫(yī)院管理的薄弱環(huán)節(jié)，由于量多、型號繁雜、設(shè)備陳舊，醫(yī)院計算機設(shè)備無法與新保護系統(tǒng)相匹配，加之相關(guān)人員缺乏專業(yè)知識，網(wǎng)絡(luò)安全意識相對不強，使醫(yī)院的網(wǎng)絡(luò)安全體系一直得不到完善和優(yōu)化。管理員應(yīng)檢測終端狀態(tài)并在管理平臺上管理終端，及時發(fā)現(xiàn)整個網(wǎng)絡(luò)安全隱患，并通過網(wǎng)絡(luò)圖顯示設(shè)備的網(wǎng)絡(luò)狀態(tài)。如果發(fā)生故障，可以及時定位，及時收集網(wǎng)絡(luò)狀態(tài)和備份、響應(yīng)狀態(tài)變化、修復(fù)故障。

4.2 信息驗證

信息驗證是新標準執(zhí)行的基本工作，在安全通信網(wǎng)絡(luò)增加可靠認證的要求?；緱l件是：控制啟動系統(tǒng)，確定基本配置參數(shù)，動態(tài)控制運行應(yīng)用程序。信息驗證的關(guān)鍵是確保系統(tǒng)和應(yīng)用程序的安全，降低損壞數(shù)據(jù)的攻擊概率，提高系統(tǒng)或軟件的使用效率。網(wǎng)絡(luò)安全等級保護的動態(tài)控制要求在預(yù)警和行動之間建立聯(lián)系，避免因可能存在的干擾影響數(shù)據(jù)的安全，防止攻擊，實現(xiàn)保護效果。

4.3 信息保護

目前，隨著數(shù)據(jù)采集規(guī)模的擴大和數(shù)據(jù)安全事件的增多，數(shù)據(jù)的保護變得越來越重要。相關(guān)法律法規(guī)的實施，對數(shù)據(jù)安全保護做出了明確要求，將數(shù)據(jù)保護作為一項工作要求納入標準。移動支付、遠程診斷越來越多地被用作中心實體，尤其是在線醫(yī)院的總體趨勢中，為了收集數(shù)據(jù)，醫(yī)院必須收集與用戶業(yè)務(wù)活動相關(guān)的數(shù)據(jù)，醫(yī)院通過數(shù)據(jù)庫技術(shù)控制安全。系統(tǒng)還建立了相應(yīng)的數(shù)據(jù)保護規(guī)則，用戶只能通過加密設(shè)備、用戶名和密碼登錄，并只能使用自己的相關(guān)應(yīng)用程序。

5 醫(yī)院網(wǎng)絡(luò)安全建設(shè)實施策略

隨著我國“十四五”規(guī)劃的全面推進，通過應(yīng)用5G技術(shù)、大數(shù)據(jù)共享平臺等方式逐步強化醫(yī)療信息互通。政府積極對不同的單位作出回應(yīng)，提高網(wǎng)絡(luò)安全性，為今后醫(yī)院信息安全的發(fā)展提供網(wǎng)絡(luò)安全幫助。

5.1 提高安全防范的預(yù)測精準程度

網(wǎng)絡(luò)安全應(yīng)充分結(jié)合監(jiān)測、識別、保護、修復(fù)等防御策略。醫(yī)院有必要與當前網(wǎng)絡(luò)共享信息，并將信息確定為整個網(wǎng)絡(luò)的安全中心，以收集和分析流量密鑰、網(wǎng)絡(luò)狀態(tài)，快速防御、發(fā)出警告。

5.2 重視細節(jié)層面的監(jiān)督與排查

隨著5G技術(shù)的發(fā)展，醫(yī)院的所有醫(yī)療設(shè)備都可以接入互聯(lián)網(wǎng)，在指令的指導(dǎo)下實時監(jiān)測和處理工作，提高工作質(zhì)量及效率。有效防御非法獲取醫(yī)院信息，避免因信息泄露而引發(fā)的一系列事件及負面影響。終端設(shè)備在進入網(wǎng)絡(luò)之前必須安裝防病毒軟件。進入網(wǎng)絡(luò)后，有一個管理平臺，實時監(jiān)控終端的狀態(tài)，及時檢測和糾正漏洞，列出網(wǎng)絡(luò)設(shè)備的地址，使用標準通信進行數(shù)據(jù)交換。

5.3 提高用戶權(quán)限的保密標準

醫(yī)院信息系統(tǒng)的數(shù)據(jù)信息主要包括病歷及圖像等，需要對歸檔系統(tǒng)、通信系統(tǒng)和電子病歷系統(tǒng)進行用戶權(quán)限設(shè)置，并提高相關(guān)保密標準，以強化相關(guān)數(shù)據(jù)的安全性。醫(yī)院需制定標準化的執(zhí)行制度，對相關(guān)數(shù)據(jù)的存儲時間提出具體要求，以此為數(shù)據(jù)信息管理提供幫助。滿足遠程存儲和數(shù)據(jù)恢復(fù)的需要，要充分考慮云存儲服務(wù)的使用，應(yīng)選擇具有高安全性的云服務(wù)支撐醫(yī)院訪問系統(tǒng)，以保證數(shù)據(jù)的機密性和可恢復(fù)性，有效提高建設(shè)效果。完整的網(wǎng)絡(luò)安全保護方案決定了安全保護具體效果，既要在相關(guān)人員方面加強規(guī)范化的管理，也要對技術(shù)手段進行不斷創(chuàng)新升級。要建立專業(yè)化、規(guī)范化的網(wǎng)絡(luò)安全管理機制，形成系統(tǒng)的信息安全管理體系，要讓網(wǎng)絡(luò)安全等級保護2.0的新標準落到實處。強化網(wǎng)絡(luò)安全等級管理與劃分，提高人才培養(yǎng)和資金支持力度，對安全等級進行嚴格控制，以此保障醫(yī)院網(wǎng)絡(luò)安全管理的高質(zhì)量發(fā)展。

6 結(jié)語

由此可見，網(wǎng)絡(luò)安全并不是絕對的。網(wǎng)絡(luò)安全保護更是需要建立持續(xù)的動態(tài)防護體系。在網(wǎng)絡(luò)安全等級保護2.0的標準下，對醫(yī)院網(wǎng)絡(luò)安全提出了更高的要求，也指出了醫(yī)院網(wǎng)絡(luò)安全的發(fā)展趨勢。醫(yī)療機構(gòu)應(yīng)結(jié)合自身實際情況，適應(yīng)網(wǎng)絡(luò)安全需求的變化，選擇先進技術(shù)，對相關(guān)應(yīng)對措施進行調(diào)整，逐步完善安全技術(shù)和管理體系，使相關(guān)信息更加有效。醫(yī)院加強網(wǎng)絡(luò)安全建設(shè)，不僅是對醫(yī)院信息安全的保護，也是承擔社會和國家責任的重要表現(xiàn)。