等保2.0时代医疗行业的网络安全问题探究

杨建朝 潘峰 刘艳亭 胡玉明 任佳智

【摘要】    本文介绍了医疗行业信息系统的网络安全挑战，分析了医疗行业信息系统的安全防护现状，并基于等保2.0，为如何保障医疗行业信息系统在新技术应用下的网络安全提出了全面、可靠的防护建议，最后展望了在新一代信息通信技术与医疗行业深度融合下，医疗行业的网络安全建设发展趋势。

【关键词】    医院信息化    数字医院    医院信息系统    网络安全

引言：

我国的医院信息化建设起步于上个世纪的七十年代， 历经发展前夕和基于小型机的摸索、微机初级应用、全院规模管理信息系统、临床信息系统与区域医疗协同摸索、基于电子病历的医院信息平台、人口健康信息化6个发展阶段[1]。经过半个世纪的演进，目前我国的医院信息化已经基本满足医院对主要业务和管理的支撑需求，在临床服务、便民惠民、科学化运营管理方面都取得了较好成效。

然而，随着信息通信技术的发展以及新兴业务的出现，医院的IT基础设施和运维管理也面临新的要求和挑战[2]-[4]。新的发展需求提高了医院信息系统对数据存储及处理的要求，同时医疗数据安全风险也随之提高。随着先进信息通信技术在医疗行业信息化进程中的深入应用，以及“互联网+医疗健康”的不断推进，党中央、国务院及医疗监管部门陆续出台了一系列信息化安全建设与管理的政策法规，逐步完善医疗行业网络安全体系[5]。从陆续出台的政策法规可以看出，国家高度重视医疗行业的网络安全，强调落实做好网络安全工作。

本文接下来首先介绍了医疗业务发展的趋势及其网络安全挑战。然后，分析了我国医疗行业信息系统的安全防护现状。接着，提出了网络安全防护方案建议。最后，总结了在新一代信息通信技术与医疗行业深度融合潮流下，对医疗行业信息系统的网络安全防护要求。

一、医疗业务发展趋势与网络安全挑战

医院现有的核心业务系统，主要包括HIS、EMR、CIS、LIS、RIS、PACS几大传统系统。伴随着信息化技术和网络技术的跨越式发展，现代医院的运作开始呈现出智能化、协作化的趋势。我国在“十四五”时期大力发展的“新基建”，5G、边缘计算与物联网、云计算、大数据分析与人工智能等新技术在医院场景下的应用，势必会提升医疗信息化水平，但同时医疗行业信息系统的安全将面临更多未知的挑战[5]。

第一，云计算技术使医院对医疗数据的存储和管理变得更加高效。一旦医院信息资产所依托的云平台出现安全事故，将导致众多医疗信息系统业务中断、医疗数据丢失，严重影响医疗活动的正常运转。第二，大数据技术能够帮助医院科研人员实现对医疗数据的专业化分析和再利用，有效提供前瞻性预测及预警功能。医疗数据具有隐私性强、可利用价值高、来源广泛的特点，常常成为黑客重点攻击的对象，导致医疗数据泄露风险的增高。第三，物联网技术是实现智能化医疗的重要组成部分，主要包括人体健康数据监测和体内植入设备。物联网医疗设备也存在重要信息被监听、截获从而控制设备发起攻击的风险。第四，移动互联网技术的进步促进了移动医疗APP的发展，在医患互动过程中发挥着重要作用。移动互联网的医疗网络安全风险主要体现在数据平台分散化、移动终端难以集中管控、移动数据公网裸奔等方面，容易导致敏感信息泄露等安全问题。

综上所述，新的技术应用为提升医疗信息化水平创造了机遇，能够为患者提供更好的服务，但同时新技术的应用也引入了更多未知的挑战。为探究医疗行业信息系统的网络安全问题，下面首先分析我国医疗行业信息系统的安全现状，然后讨论网络安全防护建设方案。

二、我国医疗行业的安全防护现状

在行业间的对比方面，根据2019年国家互联网应急中心报告的研究成果，随着互联网诊疗等业务的快速开展，医疗健康行业相较于其他行业存在网络安全风险的联网系统数量最多[6]。此外，《2019健康医疗行业网络安全观测报告》中指出医疗行业总体处于“较大风险”级别，存在多种网络安全风险及大量可被利用的安全隐患，安全防护能力较弱[7]。中国医院协会信息专业委员会在2019-2020年度的《中国医院信息化状况调查报告》中指出，近年医院在入侵检测、网闸等设备投入普遍增加，但用户网络行为审计、漏洞扫描、终端接入控制、防毒墙等设备的采用率不足60%，大部分医院仍缺乏必要的网络防护设备[8]。

由此可见，医疗行业存在可被利用脆弱性情况普遍，大部分单位没有定期对系统进行安全风险评估，识别资产存在的安全隐患。

三、网络安全防护建设

从以上的分析可以看出，医疗行业信息系统的安全防护水平普遍较低，亟需进一步加强。本文提出了如下的安全管控措施，从而帮助医疗行业信息系统提升网络安全防护力度，为国家及人民生命财产安全保驾护航。下面从安全通信网络、划分区域边界、安全计算环境三个技术层面展开。

3.1构建安全的通信网络

在网络架构方面，如何根据业务系统的特点构建网络是非常关键的。应该根据所建设的医疗行业信息系统的业务量预期情况合理构建网络，既要达到控制成本的目标，又要保证网络设备的业务处理能力具备冗余空间、网络各个部分的带宽满足业务高峰期需要。可采取的技术措施包括部署流量控制设备对关键业务系统的流量带宽进行控制、在相关设备上启用QoS配置对网络各个部分进行带宽分配、在主要网络设备上进行VLAN划分、在重要网络区域和其它网络区域之间部署网闸、防火墙等安全设备、业务类网络设备（包括交换机、防火墙、路由器）成对部署。在通信传输方面，为了防止数据在通信过程中被修改、破坏或窃听，应采用HTTPS、SSH等传输协议，采用VPN技术建立安全的访问路径，保证通信过程中数据的完整性和保密性。

3.2合理劃分区域边界

网络实现了不同系统的互联互通，然而在生产环境中往往需要根据不同的安全需求切割系统，将网络划分成不同的区域，即形成安全区域边界。下面我们结合医院的实际业务需求，尝试着将医院信息系统划分为五个安全区域。

核心业务区：将医院的核心业务系统部署于本网络区域。由于敏感性极高的公众医疗信息和医学影像数据存储于该区域，应实现该区域与互联网的隔离、严格限制“非授权接入”行为。

DMZ区：可以在DMZ区部署需要对互联网用户提供线上服务的业务系统，例如门户网站、预约挂号业务系统，并部署网络防火墙，仅允许互联网访问DMZ区服务器主机，但不允许DMZ区访问公司内网主机。

综合办公区：为满足医院工作人员的自动化办公需求，例如考勤、考核、科研和管理等工作，需要划分出综合办公区部署相应的信息系统。根据该网络区域所承载业务的特点，需要严格限制该区域终端的接入行为，包括接入内网及连接互联网的行为。

安全管理区：本区域实现对安全设备和安全组件的管理接口和数据独立且集中的管控，网络中部署的安全设备日志信息需要传输到本区域实现安全审计功能。

灾备区：由于核心业务系统对医院持续对患者提供高质量服务的重要性极高，还需要部署一个容灾备份区域来实现核心业务系统的高可用性和可恢复性。

3.3创建安全的计算环境

用户鉴别是操作系统、数据库管理系统、应用系统的一个主要安全问题。最常见的用户身份鉴别方法是口令的使用。为了不被恶意用户利用，口令应该具有一定的复杂度要求并设置登录失败处理机制。然而，由于存在肩窥、嗅探等口令泄露风险，仅采用口令方式仍不够安全，可采用生物、密码技术等双因子认证方式加固安全。此外，信息系统的访问控制应遵循最小权限原则，并尽量实现系统、安全、审计等管理用户的权限分离。由于计算机程序面临着特洛伊木马、逻辑炸弹、堆栈和缓冲区溢出和电脑病毒等威胁，需要保证计算机系统的最小化安装、安装有效的杀毒软件并定期更新病毒库。另一方面，系统和网络面临着蠕虫、端口扫描、拒绝服务等恶意攻击行为的威胁，因此需要控制计算机系统服务端口的开放。在应用安全层面，需要防范SQL注入和XSS攻击，可采取数据有效性校验的技术手段。审计、日志功能会降低系统性能，但对安全等方面十分有帮助。用户可以通过日志解读程序的运行情况，此外可疑事件日志（例如认证失败和授权失败）能够反映入侵行为。因此，需要启用安全审计功能，并定期备份数据保护审计记录。最后，医疗行业信息系统中的数据大多包含敏感信息，因此要重视对个人信息的保护。例如，医院的HIS、EMR、PACS等系统中存储了大量敏感的患者信息和医疗数据，应禁止未授权访问和非法使用用户个人信息。

四、结束语

在新一代信息通信技术与医疗行业深度融合潮流下，医院行业不断涌现新的业务模式，云计算、大数据、物聯网和移动互联等新技术的应用要以信息系统安全为前提，保障医疗行业的网络安全。此外，等保2.0时代的来临表明了国家对网信事业发展的重视。医疗行业信息系统是保障民生的重要基础设施，应当遵循国家相关法律规定积极主动做好等级保护建设工作，这既是对自身资产的保护，也是对公众、社会、国家负责的体现。

参  考  文  献

[1] 刘晓强， 华永良， 薛成兵. 我国医院信息化发展历程浅析[J]. 中国卫生信息管理杂志， 2016， 13（2）： 142-152.

[2] 国务院. 国务院关于积极推进“互联网+”行动的指导意见（国发〔2015〕40号）[Z]. 2015-07-04.

[3] 国务院办公厅. 国务院办公厅印发《关于促进“互联网+医疗健康”发展的意见》（国办发〔2018〕26号）[Z]. 2018-04-28.

[4] 国家卫生健康委员会. 国家卫生健康委办公厅关于印发医院智慧服务分级评估标准体系 （试行） 的通知 （国卫办医函〔2019〕236号）[Z]. 2019-03-18.

[5] 刘思思，徐丽娟，路红，李杺恬，黄峥，张德馨.医疗行业网络安全白皮书（2020年）[N]. 中国计算机报， 2020-04-20（008）.

[6] 国家计算机网络应急技术处理协调中心. 2019年我国互联网网络安全态势综述[Z]. 2020-04.

[7] 中国信息通信研究院. 2019健康医疗行业网络安全观测报告[Z]. 2020-04.

[8] 中国医院协会信息专业委员会. 2019-2020年度中国医院信息化状况调查报告[Z]. 2021-03.