试论移动医疗的网络安全问题及解决策略

◆谢志纳 郑文俊 叶均明

试论移动医疗的网络安全问题及解决策略

◆谢志纳 郑文俊 叶均明

（江门市中心医院 广东 529000）

移动医疗是智慧医疗布局的一种具体形式，目前移动医疗正在成为医院信息化建设的重心和热点，移动医疗的最大优势是推动医院突破传统的有线应用模式，进入到无线化、移动化的新应用状态。无线网络作为承载移动医疗业务的必要基础，其固有的安全问题也迁延到了移动医疗领域。本文首先阐述了移动医疗的概念、服务功能及运作形式，其次分析了移动医疗在系统、渠道、数据信息等方面存在的安全问题，最后从提升移动医疗系统安全等级，完善移动医疗无线终端管理制度，加强移动医疗系统风险监管几个方面进行策略探讨。希望有利于改善和优化移动医疗网络体系，降低移动医疗的网络安全损失，从而更好地为社会公共卫生事业服务。

移动医疗；网络安全问题；解决策略

1 移动医疗概述

1.1 移动医疗的基本概念

移动医疗（mHealth），这是以互联网、电子通信技术为关键支撑构建的网络化、数据化医疗服务平台。其医疗信息获取和服务功能的实现可以借助（，Personal Digital Assistant）、移动电话或卫星通信，它将社区、医院、以及其他社会资源连接成一个紧密整体，通过无线网络平台实现医疗数据信息高效传输、联网共享、线上线下同步服务等，可有效提升医疗卫生服务效率和服务质量，使患者就医变得更加简单便捷。

1.2 移动医疗的服务功能

移动医疗通过无线网络借助移动终端，将移动医疗中心平台、移动社区应用、城市无线应用、医院移动应用连接成一个网络体系，支持各主体部分实现一体化医疗服务功能（见图1）。如医院移动应用包括：预约挂号、预约体检、检验结果查询、RFID应用、护士移动护理、医生移动查房、无线药品管理、无线监护等；社区移动应包括：远程健康监护、社区移动随诊、人员移动定位等；城市无线医疗应用包括：远程医疗、医疗健康服务、健康档案移动管理等；移动医疗中心平台包括：信息分析及管理、信息安全管理、系统监控和管理、云计算数据中心服务等功能。[1]借助无线技术优势，可以移动救护车上的医护人员，通过移动高清视频获得清晰、准确的远程医疗指引，可帮助患者灵活预约就诊，及时接受医疗救助；各医疗机构可通过网络系统平台组织专家级医生远程会诊；利用社区医疗信息平台，可以用短信、WAP、呼叫中心等方式向公众提供丰富的掌上医讯和预约挂号等服务，对构建人性化、智慧化大医疗体系有着重大意义。

图1 移动医疗服务体系

1.3 移动医疗的运作形式

移动医疗系统网络主要由手机终端、APP软件、无线接入点、服务器设备等组成。移动医疗的网络接入既具有开放性，又具有隐蔽性，医生和护理人员可以借助护理终端和病例档案管理终端，实现对楼道内患者的初步检测，确认相关信息。同时在医院局域网环境下，各类医疗服务APP与各楼层交换机对接，交换机又通过光纤接入医院会合器上，最后通过交换机或防火墙等接入中央机房。在这个连接过程中，APP连接仍保持着隐蔽性或开放性，因此，存在误接其他终端设备的可能性，也容易受到多种风险因素的威胁。

2 移动医疗存在网络安全问题

近年来国家高度重视公共医疗服务事业，在社会医疗保险体系建设的支持下，以及在突发性公共卫生事件的影响下，“互联网+医疗健康”逐渐成为一种新的趋势。但与之而来的移动医疗网络安全风险也在逐步增长，主要为以下几个方面：

2.1 系统安全风险不容忽视

开放性网络，决定了移动医疗系统不可避免存在各类安全缺陷，网络化医疗数据中包含了很多重要信息，诸如患者姓名、年龄、通讯方式等个人私密信息，也让移动医疗网络系统成了犯罪分子的首选侵害目标。据《医疗卫生行业网络安全报告》2019年统计结果显示，在受访的医疗卫生行业15339个单位中，有6446个单位的应用服务端口完全暴露于公共网络环境下，有4546个单位的网站存在不同程度的安全缺陷，医疗网站被侵入，被黑化和篡改数据的现象仍然比较常见[2]。据中国网络信息安全管理中心公布的第44次中国网络发展状况统计报告显示，仅2019年上旬，国家计算机网络突发事件监测中心发现并处理的被篡改网站就高达40000多个，其中医疗卫生服务类网站安全问题占比18.6%，其主要网络安全问题体现为第三方SDK安全缺陷和应用软件程序漏洞。根据医疗保健行业移动应用程序安全观察报告显示，2019年整个医疗卫生行业中存在应用程序安全风险的单位和组织比例达到88.83%。将第三方SDK集成到医疗服务App是大多数医疗卫生机构的常规做法，目的是提高用户使用便捷性，减轻医疗服务线下的工作压力，但也让不法分子有机可乘。根据“全国移动应用SDK市场报告”，医疗卫生及保健行业中，终端APP应用SDK的医疗机构占比25.58%，而其中60%以上的App都存在多种安全风险。

2.2 应用渠道安全风险凸显

移动医疗应用渠道主要分为PC端门户网站和手机客户端软件下载渠道两大类。钓鱼网站是移动医疗网络安全的最大威胁因素，据相关统计报道，在全球4000多个与冠状病毒有关的域名中，恶意域名占比3%，可疑域名占5%。另外，由于网络下载路径多种多样，其中真假链接难以区分，大量的仿冒软件和假链接隐藏着大量的木马病毒，造成用户个人信息被盗。

2.3 数据信息安全风险加重

一是非法收集、盗用用户隐私信息的问题日益突出。移动医疗App在为患者提供就医服务便利的同时，也暴露出用户隐私泄密的普遍问题，现阶段我国还没有专门针对移动医疗APP安全风险的有效监管治理机制，移动医疗APP的开发、运营随意性非常大，每一个医疗卫生机构或社会企业组织可以开发自己的APP软件，却没有用户协议和隐私政策，其合法性难以保障；某些APP以医疗服务为幌子，通过福利性承诺来吸引用户注册，背后却干着肆意非法收集个人隐私信息的勾当，如监控用户手机信息、窃取用户联系方式、身份信息、短信内容，套取金融账户密码等。二是医疗数据频繁泄露，造成恶劣社会影响。一些移动医疗网络运营商缺乏完善的医疗系统安全防控机制，医疗健康关键数据的防护级别较低，屡屡遭到网络黑客的侵害，出现移动医疗系统瘫痪，医疗机构内外部网络通信中断，医疗机构及用户的核心数据信息被泄露，既给医疗机构和用户带来声誉、经济上的损失，又加剧了社会矛盾。

3 应对移动医疗网络安全问题的主要策略

移动医疗的网络安全问题不可忽视，目前已经成了网络风险高发项，带来的医疗资源及用户经济损失逐年上升，要想有效解决这一安全问题需要从以下三个方面入手：

3.1 技术层面提升移动医疗系统安全等级

医疗卫生机构应组建专业的技术维护小组，对移动医疗系统予以定期升级，使用多种技术措施对存在的风险隐患予以及时处理。首先，采用网闸和高安全级别的防火墙建立物理隔离防护网，利用网闸从电路上切断风险网络的链接通道；使用高安全性的防火墙，一方面降低外部安全侵入系统平台的可能性，另一方面避免攻击者以破解后的数据网关为切口进而危及内网安全，从而有效提升移动医疗的网络安全环境，可以使用HTTPS协议防护技术和移动设备检验技术，提升外网安全层级。[3]其次，加强网络访问安全控制。在路由器接口端建立访问控制列表，通过限制网络流量的方式来提升移动医疗网络访问安全。内网服务器只能够对访问外网的指定IP，限制其他访问自由；外部访问请求必须获得内部授权后才能进入，内外网双层制约可最大限度避免非法侵入。

3.2 医院方面完善移动医疗无线终端管理制度

移动医疗的网络安全问题关键是自身无线终端安全管理，这就需要有一套完善且科学的管理体系。各类使用移动医疗系统的医疗机构应建立健全《移动医疗系统安全管理规范》《无线终端管理制度》《移动网络管理制度》等。使用移动医疗系统的人员必须是安全培训合格者，要严格登录密码和系统验证码管理，操作人员要设置较高安全级别的密码并经常更换。密码需包含多种信息内容，如指纹、多重口令、人脸动态图像等，以此有效降低网络安全风险[4]。此外，还要定期抽检、检查无线终端安全状态，对于移动医疗应用，要确保域内无线端口专项使用，不能用于网页浏览、在线游戏、视频播放、网上购物等，防止误点木马链接，也可以采取非常规许可、自定义键盘、防窥探等安全防范措施。

3.3 内外结合加强移动医疗系统风险监管

应对移动医疗安全问题，需要构筑政府监管、行业自律、机构自检的三道防线。政府方面，相关管理部门要做好安全规划，建立网络安全监管机制，加强指导和引导，确保各项监管措施落实到位。医疗行业方面，落实社会信用保证制度，加强行内监督，积极配合监管部门进行自查自检。还要建立技术模式与管理机制相结合的安全风险监控管理系统；首先，各行业主管部门要明确行业监管的目标和程序，积极协调内部主体，建立行业监管协调机制。其次，地区监管机构应对辖区内的移动应用风险进行实时监测和汇总，建立大数据信息库，做好移动医疗网络风险预警。另外，信用管理监督检查技术实施单位，即各类医疗卫生服务机构，应根据监督检查规则，运用技术和管理手段收集所属移动应用程序的数据，并将数据报告给地区或当地的监督检查机构。

4 结语

飞速发展的无线网络技术既为医院的医疗信息化建设提供了载体支持，明显提高了医疗工作效率和质量，但同时又潜藏着数据丢失、信息泄露、系统瘫痪等一系列的网络安全问题，在机遇与挑战并存的现实情况下，移动医疗建设和发展要特别重视网络安全风险应对。必须积极利用更先进的信息网络技术提升系统安全等级，建立一套完善的安全管理制度体系，加强系统监管实时进行数据信息更新，以此，更好地保证医院医疗信息安全，有效降低不法网络攻击造成的医疗信息损失，从而保障医疗事业的健康稳定发展。

[1]姜丛吾.移动医疗医院信息网络安全和对策探索[J].科技创新导报，2020，17（9）：140，142.

[2]聂靓.移动医疗医院信息网络安全和对策探索[J].中国新通信，2019，21（8）：120.

[3]述旭，陶红兵，都丽婷，等.“互联网 +”背景下移动医疗质量与安全问题分析及对策研究[J].中国卫生质量管理，2017（3）：82-85.

[4]徐扬凯.医院信息网络安全分析与解决措施的探讨[J].电子世界，2016（17）：175-175