“五防”安全防护思路下的医疗信息安全研究

◆王湛泽 江丹梨 刘琳辉

“五防”安全防护思路下的医疗信息安全研究

◆王湛泽1江丹梨2刘琳辉1

（1.广州市花都区人民医院 计算机网络技术中心 广东 510800；2.广州市花都区妇幼保健院（胡忠医院） 广东 510800）

从2018年至2020年，我国在各行业，特别是医疗行业，发生网络安全事件逐年上升，网络信息安全形势十分严峻。面对当前严峻的网络安全形势，不断完善安全架构[1]，有效提高我院网络安全防范能力，是医院信息化建设中的重要任务。本文介绍了医院安全事件、医疗行业政策规范，以及提出了“五防”安全防护思路的防御措施，对医疗大数据信息安全、网络安全建设，具有重要意义。

医疗信息安全；网络安全；安全防御；医院信息化

从公安部门和多家互联网公司获悉，根据相关专项检测，整个医疗行业信息安全形势不容乐观。从2018年至今，有近300家医院发生网络安全事件，尤其是在医院服务器及临床科室计算机中检测出勒索病毒，医疗数据被破坏，另外医院患者信息被人为倒卖，或者被黑客窃取，严重侵害国家人民群众的切身利益。本文分析了医疗行业网络现状，并从“防攻击、防病毒、防窜改、防瘫痪、防泄密”五个不同维度对医疗信息网络安全建设提出了安全防护思路。同时从集中安全管理和安全持续运营的角度，构建全面的立体化防护体系[2]。

1 医疗行业网络现状及安全事件介绍

医疗行业网络空间各资产高危端口没有统一管理，远程桌面以及文件共享端口开放率高达50%以上；医院内外网管理缺乏安全管理；乙方公司平台防护脆弱性增加数据泄露的风险；医疗行业是保障国家人民卫生健康的民生行业，重要性不言而喻，容易成为勒索病毒攻击的主要目标。网络安全设备购买越来越多，陈旧不齐，缺乏专业人员管理以及运维[3]。

1.1 多家三甲医院服务器遭黑客入侵并植入挖矿木马

2018年7月，广东、重庆多家三甲医院服务器被黑客入侵，攻击者暴力破解医院服务器的远程登录服务，之后利用有道笔记的分享文件功能下载多种挖矿木马。

攻击者将挖矿木马伪装成远程协助工具Teamviewer运行，攻击者的挖矿木马会检测多达50个常用挖矿程序的进程，将这些程序结束进程后独占服务器资源挖矿。该挖矿木马还会通过修改注册表，破坏操作系统安全功能：禁用UAC（用户账户控制）、禁用Windows Defender，关闭运行危险程序时的打开警告等等。

已知样本分析发现，攻击者使用的挖矿木马拥有多个矿池，开挖的山寨加密币包括：门罗币（XMR）、以太坊（ETH）、零币（ZEC）等等，从矿池信息看，目前攻击者已累积获利达40余万元人民币。

据有关机构统计分析，我国医疗机构开放远程登录服务（端口号：22）的比例高达50%，这意味着有一半服务器可能遭遇相同的攻击。

1.2 白求恩国际和平医院网站域名被窜改

2016年7月，根据中国数字医疗网报道，在百度的搜索框中输入“白求恩国际和平医院”，出现的第一个检索内容点击出来的页面，却是“六合彩开奖网”。白求恩国际和平医院网站用于发布医院的医院概况、最新动态和招标公示等，是医院对外宣传的平台。在遭到窜改后，网页链接打开显示为“六合彩开奖网”，网页内容也全部被窜改为六合彩资讯，引发网友猜测，医院对外的名誉受到一定影响。

1.3 永川某私立医院网络安全形同虚设

2019年5月，重庆永川某私立医院服务器突然陷入瘫痪，医院业务全面“停摆”。

重庆永川公安组织网安刑侦、勘验、管理民警和技术支持专家赶赴现场对该案件进行调查核实。

医院未按照《中华人民共和国网络安全法》、《网络安全等级保护基本要求》进行安全建设和整改[4]。黑客通过植入勒索病毒到无防护的医院信息系统，使得医院业务全面瘫痪。

1.4 数十万名新生儿信息泄露遭倒卖

某妇幼保健院内部人员利用工作的便利，在为新生儿办理出生证时，非法下载新生儿和产妇的个人信息，总量达8.9万多条。

将这些信息“转卖”给开设母婴服务中心的杨某甲和杨某乙，以及经营摄影店的肖某某。截至2020年6月案发时，她共非法收取“好处费”5.64万元。

根据IBM Security的2020年数据泄露成本报告，2020年全球医疗数据泄露平均成本高达713万美元，这比去年增长了10%以上。医院就诊信息的泄露，严重影响医院的声誉，还可能导致社会恐慌。

2 医疗行业政策规范

（1）2017年6月中央网信办、公安部、工信部等，发布《中华人民共和国网络安全法》，将医疗卫生行业列为国家关键信息基础设施领域之一，严格按照等级保护标准进行安全建设。

（2）2019年5月公安部发布《网络安全等级保护基本要求》22239-2019、《网络安全等级保护设计要求》25070-2019、《网络安全等级保护测评要求》28448-2019，要求各行业及领域可参照新标准进行安全建设和整改。

（3）2018年6月，原国家卫生部发布《关于进一步推进以电子病历为核心的医疗机构信息化建设工作的通知》[国卫办医发〔2018〕20号]，旨在不断加强电子病历信息化建设，确保电子病历信息化建设运行安全

3 实“五防”安全防护思路

“五防”是以防攻击、防病毒、防窜改、防瘫痪、防泄密为重点，畅通信息收集发布渠道，保障数据规范使用，切实保护个人隐私安全，防范网络安全突发事件。本院做了如下网络安全防护措施：

3.1 防攻击

（1）网络边界

根据终端的重要性进行分类，在网络上逻辑划分分区，如服务器放在DMZ区，安全策略设置调高等级，对防火墙的出入规则重新梳理定义，来应对未知网络攻击威胁。

（2）链路加密

在公用网络上建立专用网络，进行加密通讯。

（3）应用加密

网站业务、小程序等可通过https加密传输方式进行。客户端可对C端以加壳方式进行防护，防止源代码泄露。

（4）终端安全

每周或者更短时间间隔对所有应用终端，进行系统漏洞扫描，脆弱性分析，及时补丁系统漏洞，进行安全配置加固。

3.2 防病毒

从终端防病毒、网络防病毒和云端防病毒三个方面构建“三位一体”的立体化病毒防护体系。

（1）对于普通病毒的处理

可通过部署可统一管理的终端杀毒软件进行防护，在安全中心可关注整体终端安全情况，下发升级补丁的任务。

（2）对于特殊病毒的处理

利用防病毒软件，入侵检测系统，防火墙软件、个人经验等，对于特殊病毒，如勒索病毒、木马、蠕虫、僵尸网络等病毒进行正确识别。识别到勒索病毒的必须提供警惕，快速切断网络，关闭网络路由器或者交换机的电源，并拔下网线，利用防火墙关闭终端的攻击端口；已经感染勒索病毒的，确认原来可以访问的文件无法访问并且后缀统一，收集后缀名称以及ID信息、通过加密通告页面和后缀确认勒索病毒版本，如GANDCRAB、GlobeImposter、Crysis等，利用硬盘残留数据进行恢复，如果是手动方式，可以进行查看下回收站，或者通过nomoreransom平台发布的勒索软件破解软件进行解密。做了以上努力，仍有数据未恢复则选择有偿支付或舍弃已备份或者不重要数据。

3.3 防窜改

从漏洞修复、服务器防窜改、规范运维管理三个方面进行多维度实现网站防窜改。

（1）漏洞修复

对操作系统、服务器系统、官网等系统漏洞扫描，及时打补丁。

（2）服务器防窜改

通过在应用服务器上部署防窜改软件，自动全量、增量备份网站文件[5]，对窜改实时阻断和恢复。

（3）规范运维管理

3.4 防瘫痪

从防断网、防应用故障、防数据丢失个方面进行系统防瘫痪

（1）防断网

对关键网络区域，如DMZ区，要设置双核心路由器、双核心交换机等保障网络线路冗余，满足网络信息安全的可用性要求。

（2）应用故障

定期对应用数据进行备份，避免受到未预期的删除、修改等。

（3）数据丢失

为防止重要数据丢失，采购服务器一体化备份系统，对重要的服务器、数据库、软件、重要资料进行备份，时间间隔尽可能缩短，并定期验证恢复是否可用。每月进行灾备演练。

3.5 防泄密

（1）数据梳理与风险评估

2.对比法。把形声字中形符或声符相同的形声字进行比较分析的教学方法。例如可以将“青、精、睛、情、晴、清、请”这一组声符相同的形声字进行对比分析，也可将形符相同的形声字进行对比，例如“祝、福、视、神、社、礼”。通过对比分析，可以凸显彼此之间的差别，加深记忆。类似这样的形声字均可按照对比法进行分析。

数据规范制定、敏感数据定义、敏感数据发现、数据分类分级、数据资产测绘、大数据组件与扫描、数据安全风险评估

（2）数据库安全防护

数据库安全审计，SQL注入行为检测阻断、防止敏感数据泄露窜改、精细访问权限管理

（3）终端数据安全防护

终端用户遵循权限最小化原则，并制定相应的终端使用制度对用户行为进行规范。

3.6 在日常运维中如何做到“五防”[6]

让第三方远程处理业务系统故障时，采用高安全性的堡垒机，并且需要手机二次验证，同时对第三方远程行为进行监控，审计，防止第三方出现违规行为。

每台应用终端桌面，安装终端安全防护软件，对操作系统的版本，安装的软件进行监控，及时对高危漏洞进行后台补丁。

医疗业务系统，定期巡查督促医护人员定期修改密码，设置高安全性密码，如大小写字母、特殊符号、数字结合，并且八位以上。

服务器等重要关键基础资产进行防病毒检查，入侵检测，安装防火墙，定期备份及验证备份，并且关闭远程，文件共享等高危端口。

提高保护数据安全认识，定期做好个人数据备份。

3.7 整体安全体系建设[7]

伴随“互联网+医疗健康”推进，医疗企业和机构所面临的网络信息安全风险也被成倍放大，提升安全风险防范意识，加强信息安全体系建设，才能有效保障和驱动医疗信息化的良性发展。

当前，我国医疗信息化建设正在提速，而医疗信息安全建设保障工作也得到了行业普遍关注和重视；解决医疗信息安全相关威胁和挑战，需要继续加强在医疗信息安全领域的投入、建立系统化的安全保障体系：

（1）对当前医疗信息化安全系统进行全面体检，定位安全问题，排除安全隐患；

（2）构建医院网络空间安全防御系统，提高信息安全水平；

（3）加强医疗网络信息安全技术团队培训，全面提升安全防御意识和团队素养；

（4）定期进行网络信息安全检查及安全防御演练，提升重大威胁应急响应能力；

（5）建立面向行业的应急响应协同机制，及时预警联防共治，携手应对网络风险。

3.8 安全运营建设思路[8]

（1）系统化的安全基础设施建设

所有体系化的安全基础建设是安全运营体系中不可或缺的一部分。按照网络安全等级保护制度，对关键信息基础设施做好安全防护建设。

（2）数据驱动安全－运营体系持续优化

通过对安全数据治理实现安全分析、威胁建模、态势感知、可视化展示等，根据分析结果，指导安全工作开展，实现安全事件的响应追踪和威胁预测；参考运营过程数据，持续优化运营体系，逐步形成贴合业务场景的成熟的运营体系。

（3）运营服务队伍与体系建设

培养、引进高水平、高素质人才，建设完备的、科学分工的、整体化的运营服务体系来支撑安全体系建设；

（4）闭环的安全能力持续输出

以Gartner提出的下一代的自适应安全框架（ASA）为标准，通过持续的预测、防御、检测、响应的闭环运营，持续输出安全能力。同时通过SOAR逐步实现安全运营过程自动化。

4 结束语

信息化发展，离不开安全规划。医院着力发展信息化同时，要认识到医院网络安全和信息化是一体之两翼、驱动之双轮，必须统一谋划、统一部署、统一推进、统一实施。本文从“五防”安全防护思路出发，逐一讲解了，各类安全问题的防护手段，最后提出了在日常工作中如何做到“五防”、整体安全体系建设以及安全运营建设思路，对医院网络信息安全建设提供了参考。

[1]沈颖杰. 分析网络信息安全防护体系及其在医院网络系统中的运用[J]. 电子技术与软件工程，2019（3）：182.

[2]陈拥军，肖新文，陈泓伶，等. 医院网络安全体系构建与实现[J]. 中国数字医学，2016，11（7）：105-107.

[3]胡芳，沈绍武. 医院信息安全体系规划与设计[J]. 中国数字医学，2012，7（11）：79-82.

[4]陈明. 基于等级保护的掌上医院安全防护体系设计[D]. 陕西：西安电子科技大学，2018.

[5]李哲. 医疗机构电子病历长期保存的风险防范研究[D]. 河南：郑州大学，2019.

[6]周松柏. 医疗行业信息安全发展形势浅析及展望[C]. //2012中华医院信息网络大会暨第五届中美医院信息化论坛论文集. 2012：1-5.

[7]吴明伟，常奕. 医院信息系统安全建设构想[C]. //2012中华医院信息网络大会暨第五届中美医院信息化论坛论文集. 2012：1-4.

[8]杨帆帆，彭聪留. 安全运营赋能关键信息基础设施安全防护实践[J]. 警察技术，2021（1）：21-24.