聯(lián)系電話：020-31420363
醫(yī)療行業(yè)保護網(wǎng)絡安全建議
2019-05-09
2352次瀏覽分享到：
隨著大量醫(yī)療服務提供商及其第三方供應商數(shù)據(jù)遭竊的新聞出現(xiàn)頻頻出現(xiàn)在公眾視野，人們不難嗅到其中暗藏的信號：非法攻擊者獲得醫(yī)療信息有利可圖。
醫(yī)療行業(yè)需要處理大量高度敏感的數(shù)據(jù)，與其他數(shù)據(jù)不同的是，這些數(shù)據(jù)必須準確且保持更新，因為病人的生死與數(shù)據(jù)息息相關。由于醫(yī)療數(shù)據(jù)的特性，醫(yī)療記錄在暗網(wǎng)成為熱門商品，價格常高于信用卡。這向醫(yī)療服務提供商發(fā)出了一個問題——在履行嚴格監(jiān)管的義務同時，還可以推出什么措施限制數(shù)據(jù)泄露。
過去十年中，隨著許多醫(yī)療服務提供商從紙質醫(yī)療系統(tǒng)向數(shù)字醫(yī)療系統(tǒng)轉型，醫(yī)療市場發(fā)生了巨大變化。為了推進現(xiàn)代化進程，提供更加優(yōu)質、高效的服務，許多醫(yī)療服務提供者將遠程醫(yī)療服務提上日程。遠程醫(yī)療服務面臨和其他在線傳輸服務相同的安全問題，如連接的完整性和對數(shù)據(jù)的保護需求。
基本網(wǎng)絡安全狀況
與病人數(shù)字記錄相關的隱私和安全問題使醫(yī)療保健行業(yè)成為不少國家監(jiān)管最嚴的行業(yè)之一。如美國的《醫(yī)療保險可攜帶性和責任法案》(HIPAA)和《健康信息技術促進經(jīng)濟和臨床健康法案》(HITECH Act)等法規(guī)在隱私和信息披露要求方面比其他垂直領域的監(jiān)管標準要高得多。
然而，即便遵從法規(guī)也不意味著能擁有絕對安全。傳統(tǒng)意義上，醫(yī)療服務提供者的使命是拯救生命。因此，IT安全部門很難優(yōu)先爭取到更多預算，而且他們常常人手不足。這也是許多過時的醫(yī)療網(wǎng)絡環(huán)境應對網(wǎng)絡攻擊時毫無準備的原因。于是醫(yī)療環(huán)境的信息威脅程度升高，另外還有更多的威脅因子，如員工無意泄露數(shù)據(jù)(例如，電子郵件誤送、計算機丟失、數(shù)據(jù)輸入錯誤)、物理盜竊、惡意軟件和社會工程。根據(jù)2018年Verizon保護健康信息數(shù)據(jù)泄露報告(P，信息濫用是醫(yī)療市場數(shù)據(jù)泄露的常見根源。在66%的事件中，威脅行為者濫用特權憑證獲取未經(jīng)授權的數(shù)據(jù)訪問。
從內部對抗敵人
Verizon的報告還得出結論：醫(yī)療行業(yè)是唯一的內部人員對組織造成最大威脅的行業(yè)?——58％的數(shù)據(jù)泄露事件涉及內部人員，而外部參與者造成的事件不到一半?？紤]到醫(yī)療保健行業(yè)的工作條件和工資水平，再考慮潛在的財務收益，這些數(shù)字或許就變得不那么令人驚訝，這正是造成數(shù)據(jù)泄露的直接原因。
在暗網(wǎng)上，完整的醫(yī)療記錄（如患者姓名，出生日期，社會安全號碼和醫(yī)療信息）每份可以賣50美元，而社保號碼只需15美元。被盜信用卡的售價僅為1美元至3美元。醫(yī)療記錄可能被用于各種各樣的惡意目的，從醫(yī)療保健欺詐、身份盜竊到開辟新的信貸額度和敲詐勒索等。
那么應該采取哪些保障措施來最大限度地降低接觸外部或內部威脅因子的風險？醫(yī)療服務提供者可以采取四項基本措施來增強其安全態(tài)勢：
員工安全意識培訓——推動組織中的文化變革，將安全實踐納入日常運營，并確保實施這些變革所需的財務資源。經(jīng)常培訓員工和合作伙伴的員工，以最大限度地降低網(wǎng)絡釣魚攻擊和社交工程的風險。
數(shù)據(jù)加密——未加密設備的被盜或錯位繼續(xù)導致醫(yī)療保健市場中的數(shù)據(jù)泄露。在這種情況下，數(shù)據(jù)加密既是一種有效且低成本的方法，可以使敏感數(shù)據(jù)不落入壞人之手。數(shù)據(jù)加密還可以減輕物理盜竊資產(chǎn)的后果。
使用多重身份驗證（MFA）補充密碼。由于MFA需要多種識別方法，因此它是防止未經(jīng)授權的用戶訪問敏感數(shù)據(jù)并在網(wǎng)絡中橫向移動的最佳方法之一。MFA應該在任何地方使用，這不僅意味著最終用戶訪問應用程序，而且意味著每個用戶（最終用戶，特權用戶，承包商和合作伙伴）以及每個IT資源（云和本地應用程序，VPN，端點和服務器）都能受到保護。
實施最低訪問權限和特權——考慮到醫(yī)療保健行業(yè)中特權訪問濫用的比例很高，通過采用零信任安全方法來限制訪問和特權是至關重要的。這需要建立細致的、基于角色的訪問控制，以限制橫向移動，以及對應用程序和基礎設施的即時特權。
通過實施這些措施，醫(yī)療保健組織可以在履行嚴格的監(jiān)管義務的同時，限制其暴露于內部和外部網(wǎng)絡威脅。解決衛(wèi)生保健提供者面臨的安全挑戰(zhàn)將促進更快的增長，使進一步的數(shù)字轉換成為可能，并最終導致加強患者護理和數(shù)據(jù)保護。
