山东省卫生健康行业网络安全调查与分析*

徐东海 屈晓晖 刘志国 李 勇 成世良 包国峰

(1山东健康医疗大数据管理中心 济南 250000 2国家卫生健康委统计信息中心 北京 100044 3东营市第二人民医院 东营 257000 4北方健康医疗大数据科技有限公司 济南 250000 5 广饶县人民医院 东营 257300 6山东第一医科大学附属省立医院 济南 250000)

1 引言

自2016年《网络安全法》[1]颁布以来，各行业纷纷出台适用于本行业的网络安全规章制度。近年来，随着《关于促进和规范健康医疗大数据应用发展的指导意见》《关于促进“互联网+医疗健康”发展的意见》[2]《关于深入推进“互联网+医疗健康”“五个一”服务行动的通知》等政策文件的出台，以及大数据、人工智能等新兴技术的发展，健康医疗数据应用、“互联网+医疗健康”和智慧医疗迎来蓬勃发展。与此同时，各类新技术、新应用的出现为卫生健康行业数据治理带来更多挑战。为应对新兴技术应用带来的安全风险，本文通过定量化风险评估和差距分析，协助医疗行业快速找到安全短板，提升风险管理决策能力。

2 资料与方法

2.1 数据来源

采用山东省卫生健康委员会2022年11月在全省开展的卫生健康领域健康医疗大数据安全治理调研数据。

2.2 研究区域和数据描述

参与本次调研的机构共248家，覆盖山东省16个地市。按照地域分布情况分为6类，即鲁北地区、鲁东地区、鲁南地区、鲁中地区、鲁西北地区、鲁西南地区。其中，鲁北地区包含滨州市和东营市；鲁东地区包含青岛市、烟台市和威海市；鲁南地区包括济宁市、枣庄市、临沂市和日照市；鲁中地区包括济南市、淄博市、潍坊市和泰安市；鲁西北地区包括德州市和聊城市；鲁西南地区为菏泽市。将组织机构分为5类，分别是各地市卫生健康委员会(局)、三级医疗卫生机构、二级医疗卫生机构、一级医疗卫生机构、其他类型医疗卫生机构。

2.3 方法描述

采用调查问卷方式采集数据，按照医疗机构的等级与地域分布，分别从网络与数据安全管理能力、技术防护两个方面进行差距分析。其中网络与数据安全管理能力方面主要涵盖17项指标，技术防护方面涵盖36项指标。差距分析基于调查问卷中各指标的填报数据，进而比较分析。

3 研究结果

3.1 按机构等级进行差距分析

3.1.1 管理能力差距分析(表1)

3.1.2 技术防护差距分析 各级医疗卫生机构技术防护能力参差不齐，其中各地市卫生健康委员会(局)在拒绝服务攻击、数据脱敏系统和主机安全探针等技术防护方面较其他机构更加完善；三级医疗卫生机构在数据库审计、运维审计堡垒机、日志审计与分析等技术防护方面建设更加突出，占比均超过80%；一级医疗卫生机构在上网行为管理、邮件安全和数据库防火墙等技术防护方面优于另外4类机构，占比均在70%以上。各级机构在对脆弱性评估与管理、安全基线与配置管理等技术防护方面关注较为欠缺，均未达到40%，见表2。防火墙、防病毒和数据备份与恢复等技术防护方面建设较完善，且不同等级机构之间相差不大。

表2 医疗机构技术防护能力差距分析

3.2 按机构地域进行差距分析

3.2.1 管理能力差距分析 鲁北、鲁东、鲁南等6个地区在成立领导小组方面做得比较好，各地区之间差距较小。在网络安全管理职能部门建设层面，鲁北和鲁西北地区相较其他地区做得比较好，鲁东、鲁南、鲁中和鲁西南地区管理水平差距不大。在应急处置机制方面，各地区水平差异较大，相比之下，鲁北、鲁东、鲁南、鲁西北等地区管理能力较强，见表3。

表3 各地域医疗机构管理能力差距分析

3.2.2 技术防护差距分析 整体来看，各地域之间对于不同防护手段的部署程度有差异。防火墙、入侵检测与防御、防病毒网关、数据备份与恢复、日志分析与审计等，各地域部署程度均比较成熟且差异较小；在数据库脱敏系统、数据库加密系统、数据泄露防护、文件管理与加密等方面，各地域部署的防护能力普遍偏低，有待加强；而在网络隔离和单向导入、防病毒网关、网络安全审计、虚拟专用网络(virtual private network，VPN)、抗拒绝服务攻击等方面，各地域之间部署防护程度差异较大，见表4。

表4 各地域医疗机构技术能力差距分析

3.3 结果分析

248家机构的网络安全管理制度体系建设和技术防护体系建设都比较完善。约60%的单位在数据安全方面符合管理要求，其余单位在管理层面和技术防护层面仍存在一些问题。在管理层面，部分机构信息安全建设、运维工作缺乏，安全管理技术力量有待加强，40%的单位在等级保护建设、数据分类分级标准制定及实施方面相对欠缺，50%的单位在数据销毁方面未实现监管。在技术防护层面，40%的机构在数据加密、数据脱敏、数据防泄露、威胁分析与管理等方面比较欠缺，目前仅靠防火墙、防病毒软件等产品的简单堆砌，不能有效抵御安全风险。总之，分析本次调研数据可以看出，目前山东省基层医疗卫生机构的信息化建设水平参差不齐，大多数基层医疗卫生机构信息化建设较《医疗卫生机构网络安全管理办法》的要求还有很大距离，当前基层医疗卫生机构信息化建设仍面临巨大挑战。

4 问题与讨论

4.1 问题分析

4.1.1 人员安全管理薄弱 医院管理层对信息化建设及网络安全工作不够重视，未配备足够的专业技术与管理人员，甚至有些等级较低的机构未设置专职岗位，导致医院信息系统安全隐患与漏洞问题无法及时发现与处理。

4.1.2 终端防护能力匮乏 大数据和云计算技术改变了数据存储方式，打破了数据访问边界，医院也开始对外共享数据资源，传统基于物理边界的安全防护已不适用，终端防护能力匮乏引起的病毒威胁、工作效率低下问题日益突显。

4.1.3 安全事件监测能力欠缺 各机构虽在制度规范上趋于完善，但部分机构仍存在制度落实不到位、应急响应不及时、缺乏高端网络安全人才的现象。这极易造成医疗行业信息安全短板效应突出、顶层设计不足、统筹力度不够等问题。

4.1.4 协同联动处置能力不足 卫生健康信息化建设的各个业务系统如果按照条线进行建设和管理，各自为政的建设模式会导致信息烟囱和孤岛的形成，医疗资源无法实现充分整合及利用，信息难以共享，业务服务不能协同。

4.1.5 数据安全防护能力薄弱 自2021年《数据安全法》颁布后，医疗行业对数据安全的关注度大幅提升，但在本次调研中发现，大部分机构在此方面的建设能力相对薄弱，使用数据安全关键技术的组织机构占比较低，缺乏数据安全技术的投入，整体防护面建设能力较薄弱。

4.2 解决措施

4.2.1 优化管理机制，强化落实安全管理责任 网络安全管理制度建设可以最大化地发挥安全系统效能，串联预防、保障、监控、应急全流程，从根本上提升网络安全能力。在此基础上，首先要考虑加强机房安全建设、完善网络安全架构等基础防护，为持续安全建设奠定良好基础。

4.2.2 加强网络安全培训，提升网络安全能力 定期对现有人员开展网络安全培训，动员和组织广大干部职工积极参与，正确认识和使用网络，自觉抵制有害、低俗信息，提高网络安全防范能力[3]，远离网络陷阱、钓鱼事件，确保公众信息及财产安全。

4.2.3 加强数据保护，开展分类分级，关注安全审计 建立数据分级分类指南，注重数据脱敏保护，从业务需求出发对重要数据进行备份，定期检查备份数据的有效性，使用加密系统保护传输和存储数据，达到数据保护与数据价值释放的双重目标。对重要用户及行为进行审计，并将审计日志实时备份至日志服务器，以便在事件发生后进行溯源，快速修复系统，发挥预防和惩戒的作用。

4.2.4 积极利用新技术，解决新问题 在健康医疗大数据利用层面，医疗卫生机构的强诉求是数据不出本地，可利用联邦学习、安全多方计算等安全技术手段实现“数据可用不可见”。

4.2.5 加强网络边界感知能力，提升安全防护意识 现阶段医疗体系的网络边界已经被重新定义，其安全防护措施和手段也应同步更新和提升。如何对各种设施有效实施准入机制以及部署管理措施是面临的主要问题之一[4]。

4.2.6 定期开展资产梳理，减少互联网暴露面 定期采用主动扫描方式，使用网络风险资产监测分析系统，识别联网的资产，获取端口、协议，对网络风险资产进行全面、准确的梳理[5]。通过快速、轻量级漏洞专扫及概念验证(proof of concept，PoC)主动发现网络资产存在的安全漏洞、弱口令等可被攻击者利用的安全风险，准确定位风险优先级，快速有效地解决潜在威胁。

4.2.7 加强威胁情报共享，提升威胁分析能力 基于集中智能化“网络威胁情报云共享平台”，在行业分布式部署威胁情报联防阻断系统，实时汇聚、加工、分析和共享“正向攻击、反向外联”网络威胁情报数据，利用旁路阻断、点对点可信认证、畸形数据包检测、全流量审计、多维度攻击画像等核心技术，发挥云端专家监测分析优势。一点监测、全网阻断，有效落实网络安全防护“关口前移，防患于未然”的要求[6]。

4.2.8 建立安全运营管理中心 建立安全运营管理中心，进一步加强医疗卫生机构的安全防护水平，形成具有主动防御和协同运营能力的医疗卫生机构间的安全运营合作机制。将防病毒系统、桌面准入系统、堡垒机、数据库审计、日志审计、态势感知、运维管理平台等进行统一管理、监控、审计、综合分析[7]。

5 结语

山东省卫生健康行业网络安全治理具有典型代表性，可为各机构提升网络安全保障能力提供参考。卫生健康行业的网络和数据安全治理，对强化卫生健康领域网络和数据安全管理，消除网络和数据安全重大隐患，确保全省乃至全国卫生健康行业网络和数据安全建设工作的有序开展具有重要意义。