首 页医院互联网大门“洞开”，阜外医院赵韡谈如何筑牢信息安全防线
医院互联网大门“洞开”，安全威胁与日俱增
2018年4月以来，国家“互联网+医疗健康”与国家信息安全相关最新政策陆续出台，“互联网+医疗健康”如雨后春笋般蓬勃发展，这些业务的开展确实给老百姓带来很多获得感，但同时也出现了网络安全方面的很多问题。
赵韡谈道，国家卫生健康委发布的“医院智慧服务分级评价标准体系（4S标准）”包括5个类别17个评估项目，覆盖诊前、诊中、诊后全业务流程，这就需要将医院现有的各类业务向互联网延伸，实现线上线下的无缝连接。以阜外医院目前提供的患者服务为例，挂号、付费功能就要与HIS系统连接，排队提示需要使用院内的排队叫号系统推送的数据，报告查询需要直接调阅PACS、LIS等系统生成的报告；在线门诊服务中的开药、问诊等环节更是需要直接调用电子病历系统的功能服务。
“在这样的环境下，互联网大门已经打开，安全威胁与日俱增。内外网数据已经打通，所有来自互联网的攻击已严重威胁内网业务连续性和数据安全。医院的互联网业务越开放，安全威胁越大。”赵韡表示，在传统的业务模式下，医院的业务网络是封闭的，与外界进行物理隔离，但这样的方式已经越来越不适应现在的需要。
当前，医院已成为勒索病毒重灾区。根据2018年《医疗行业勒索病毒专题报告》，全国三甲医院中有247家医院检出了勒索病毒。经济发达地区是重灾区，广东地区是最高危的。一方面，病毒传播者不断增加病毒的可传播性和隐蔽性，经常是在很短时间内就进行病毒版本的更新，比如短短两个月就更新了4个版本，导致安全软件无法及时报毒；另一方面，在互联网时代，随着移动医疗、AI医疗、电子病历等数字化应用的普及，给这些病毒打开了方便之门。
换位思考：从攻击者视角看
安全防护第一步：知己
部署和建立防御体系
“纵深防御来源于战争，比如中华门-瓮城，有第一道、第二道、第三道防御门，还有最后的防御防线。”赵韡表示，可以基于这样的思路，建立网络安全的纵深防御体系，针对不同位置的安全域防护特点采用不同的安全防护手段，实现纵深防御。建好防御体系后，还要做一些其他技术性处理。
1.蜜罐系统。中国古代战争有“围城必阙”的理论，围城如果全部包围的话，里面的人必定输死反抗，所以围城要围三面、留一面，让其逃跑，跑出来之后在远处进行狙击。对应在网络安全方面，就是要建立“蜜罐系统”：建立各种各样的假目标，主动暴露弱点，诱使攻击方实施攻击，从而可以对攻击行为进行捕获和分析，了解攻击方所使用的工具与方法，推测攻击意图和动机，能够让防御方清晰地了解他们所面对的安全威胁，并通过技术和管理手段增强实际系统的安全防护能力。
2.态势感知。通过态势感知的一些工具，利用大数据技术实时分析网络流量，可以从大量数据中寻找蛛丝马迹，找到攻击行为，及时发现报警。“现阶段黑客与以前不一样了，以前的黑客是炫技，证明他水平高；现在是来偷东西的，悄无声息地在后台放一个小程序，把数据拿走，你还不知道。所以需要利用感知设备。”赵韡说。
3.安全加固。包括：安全设备登录控制、最小授权原则、弱口令检查和漏洞修复等。
4.系统渗透测试。前提条件是你已经建立起了防御体系，之后进行渗透测试。赵韡谈到了马奇诺防线，二战时法国为了防止德国的进攻，花巨资建立了非常完善的马奇诺防线，结果德军没打这个防线，从阿尔卑斯山绕道过来，法国一下子就被打败了。“再多的防护设备也有可能因百密一疏而被绕过，一定要请专业黑客攻击一下试试，看是否有小道可以包抄。”赵韡认为，“渗透测试可以最大程度模拟攻击思路，寻找程序漏洞。”
5.源代码泄露检查。很多系统的源代码被泄露，比如开发人员离职之后，把源代码公布出去，这样就把系统本身的一些问题暴露在互联网下。要定期对所有外包开发公司、信息中心技术人员进行安全意识培训，定期检查重点源代码托管平台代码泄露情况。
6.安全意识培训。这是管理方面的，是对全员的。比如：不随意打开陌生邮件及附件，不在邮箱或网盘中存储敏感信息，不向不明身份人员提供系统账号密码，不允许无关人员进入办公场所等。这是物理安防，相关的安全意识需要进行培训和培养。
7.现场布防。医院是公共场所，任何人可随意出入，现场防护难度很大。对黑客来讲，社工是很容易的手段，如：接入WIFI、拔线直接进内网。所以，要对现场进行布防，包括WIFI、暴露的网口，都是最容易攻击的资源。
Wi–Fi防护手段包括：最小授权原则；使用强口令；绑定MAC、隐藏SSID；随时维护无线AP安装位置，发现异常立即定位。拔线防护手段包括：最小授权原则；自助机、导诊屏等公共场所的设备要将网口遮蔽在设备箱体内，并及时上锁；利用网络准入控制，防止非法接入；部署蜜罐网口，非法接入立即报警。
加强医院所有员工的安全意识，团结一切可以团结的力量，形成统一战线。保安、保洁、护工、引导员、志愿者、护士、医生都是安全监督员，发现可疑人员立即上前盘查，并及时上报信息中心。
前一段时间，阜外医院组织组织了重大的攻防项目，扛住了20多天的攻击，取得了比较好的成绩。赵韡说：“我们最害怕的是从社工进来的，而不是从互联网进来的。当前各医院的漏洞非常多，专业的黑客半天就能攻到核心系统中，医疗行业信息安全的管理和技术水平在所有行业里面算是很低的。”
8.应急处置。所有应急的基础是资产清单梳理，一旦发生问题，能够精准快速定位，判断事态影响程度，及时向领导汇报；找准攻击源，利用网络阻断器第一时间阻断攻击IP；快速导出系统日志，保存攻击证据；熟悉应急预案，按照预案能准确处置事件。
平常多流汗，战时少流血。赵韡强调，“要定期查看预案的可操作性，是否与当时情况符合，现在变化非常快，最好一季度检查一次，半年做一次调整，每年两次应急演练，而且应急预案绝不能是手工的。”
四个结合
本文转载自HIT专家网，南湖论坛演讲内容。
