打造三重防线守护移动互联网医疗安全

国家高度重视“互联网+医疗健康”工作，近年来出台了一系列政策推动其发展。移动互联网医疗的出现，提升了患者就诊方便性和就医及时性。移动互联网医疗通过移动终端或互联网提供医疗健康服务，由于移动终端应用安全保障机制和系统纵深防御不足，导致其面临新的安全风险挑战。近日，中国软件评测中心医疗测评实验室在有关部门的指导下，通过多年来在卫健委的技术支撑和医疗行业的实战经验帮助下，结合已建立的基于电子健康卡的移动应用的风控实例发布了《移动互联网医疗安全风控白皮书》（以下简称《白皮书》）。

四类安全风险日渐严峻

随着5G的持续推进和移动智能终端设备的深化应用，越来越多的生活服务类数据通过移动应用涌人移动互联网。作为与公民密切相关的互联网医疗服务发展尤其迅速，各大医院都推出了各自的移动医疗App，许多第三方机构更是把握市场方向，建立医院、医生和患者三者撮合的第三方移动医疗App平台。

在近年来国家对“互联网+医疗健康”的鼓励支持下，以及新冠肺炎疫情影响下，可以预见，移动互联网医疗业务将呈蓬勃发展之势。同时，移动互联网医疗应用安全风险也呈现着增加趋势。首先是系统安全风险日益增加。由于移动互联网医疗数据中包含患者姓名、年龄、电话等个人敏感信息，因此移动互联网医疗系统成为不法分子窥视的重要目标。医疗健康行业联网系统高危漏洞需要警惕。2019医疗健康行业网络安全观测报告》统计数据显示，在被调查的医疗健康行业15339家单位中，应用服务端口暴露在公共互联网的有6446家，网站存在安全隐患的有4546家。互联网医疗网站被篡改现象依然突出。根据中国互联网信息中心发布的《第44次中国互联网网络发展状况统计报告》统计数据，2019年上半年国家计算机网络应急技术处理协调中心监测发现并协调处置我国境内被篡改的网站近4万个。App漏洞和第三方SDK漏洞成移动医疗领域主要安全隐患。据《2019医疗健康行业移动App安全观测报告》统计，88.83%的医疗健康行业App存在高危漏洞。医疗健康行业的机构为了给公众提供更多的便民服务，在App中集成了第三方SDK。爱加密2019年发布的《全国移动应用SDK市场占有率分析报告》显示，有25.58%的医疗健康行业App引入了第三方SDK，平均每款App引入了2.5个SDK，同时超过60%的SDK含有多种漏洞。

其次，应用渠道安全风险不可忽视。移动互联网医疗应用渠道主要分为两类：PC端互联网门户网站和移动客户端软件下载渠道。钓鱼网站威胁移动互联网医疗安全。新冠肺炎疫情爆发引发了网络钓鱼和恶意软件攻击的新潮流，根据Checkpoint的研究，全球超过4000个与冠状病毒相关的域名中，3%是恶意域名，5%是非常可疑域名。移动客户端软件仿冒带来敏感信息泄露问题。由于下载渠道的多样性，以及渠道对移动客户端软件的管理、技术检测等手段不足，使得具有钓鱼目的、欺诈行为的移动客户端软件仿冒成为不法者的工具。

再次，违法违规收集使用个人信息问题日益凸显。在中央网信办、工信部、公安部、市场监管总局四部委2019年开展的App违法违规收集使用个人信息专项治理行动中发现，移动医疗App存在违规收集个人隐私信息行为，如读取用户联系人数据、读取用户短信内容等超范围收集用户信息，部分存在无用户协议和隐私政策。

最后，数据泄露事件频发，影响程度加剧。很多互联网医疗运营机构疏于安全保障和健康医疗数据生命周期管理措施，移动互联网医疗系统成为黑客攻击的主要目标。

新冠肺炎疫情的出现，推动了我国移动互联网医疗服务的发展和普及。与此同时，移动互联网医疗安全风险影响深度和广度也在加剧，需要提高警惕并加以应对。

安全风险应对思路

为了贯彻国家对于“互联网+医疗健康”政策要求，应对移动互联网医疗安全风险，需打造政府监管、行业自律、机构自治的三重安全防线。

一是政府监管。行业主管部门要发挥规划、指导、行业牵引作用，建立健全监管协调机制，确保各项监管举措落地实施。二是行业自律。风控体系管理的实际操作更多地要依靠行业性联盟，通过行业组织的自律行为实现。联盟配合行业主管部门落实相应的管理和技术工作，为监管要求落地提供支撑。三是机构自治。医疗和卫生机构落实风控主体责任，加强安全内控和自我约束，主动接受行业自律和社会监督，建立健全投诉响应、应急处置等机制，切实保障用户合法权益。

此外，要构建技术模型和管理机制相结合的安全风险监控管理体系。首先是行业主管部门。行业主管部门要明确行业监管目标和监管流程，协调相关资源，制定相关监管协调机制，完成行业管理模型顶层设计。二是区域监管机构。包含区域有移动应用监管需求的各类组织和机构，通常情况下由各区域或地方卫健委承担该角色，对属地内的移动应用进行风险监测和汇总，收集的数据进行分析统计后向行业管理主体平台进行上报，并接收行业管理主体发放的移动应用风险提示，根据风险提示进行核查。三是终端监控节点。风控监管技术落地单位，包括各类型医院、各种医疗服务机构，他们通过技术和管理手段对所属移动应用按照监控规则进行数据采集并向区域或地方监管机构上报。

其中，在标准支撑组织方面，要本着行业自管、自控、自律原则，倡议在互联网医疗领域成立安全风控联盟，依据行业顶层设计，制定行业风控标准规范，建立风控汇聚平台，为技术实现提供依据。技术支撑单位要依据行业标准提供多技术维度技术保障解决方案，实现风险管控目标。

思考和建议

2019年相继出台了《网络安全等级保护2.0）和《信，息安全技术移动互联网应用程序（App）收集个人信息基本规范》等标准规范，加强了对移动互联网应用的安全合规要求，同时也要求在移动互联网应用安全风险监测和控制方面需进一步进行创新和完善。例如，鉴于主管单位的职责定位，如何保持长效的安全风险管理机制;面对新的安全风险和个人隐私保护需求，如何提高安全风险监测水平等。因此我们建议：

1.成立安全风控联盟。联盟应包含行业主管的技术支撑机构、第三方评测机构、医疗服务机构：安全服务机构等，统一对移动互聯网医疗应用安全风控相关事宜进行管理，制定相关管理制度技术标准和规范。

2.制定移动互联网医疗应用备案管理办法。通过管理措施，加强移动互联网医疗行业自律管理，提高移动互联网医疗应用软件安全水平，保护用户权益。

3.研究个人医疗健康信息技术保护标准。制定个人医疗健康信息分类分级和对应的安全保护要求，指导医疗健康行业提升个人信息保护水平。