2017 年遭受了互聯(lián)網(wǎng)歷史上最大的勒索軟件攻擊。在英國的醫(yī)院中檢測到 WannaCry 勒索軟件。然后它在全球范圍內(nèi)爆發(fā)，影響了150 個國家的 200,000 多臺計算機(jī)。這次攻擊通過加密數(shù)據(jù)以運(yùn)行微軟 Windows 操作系統(tǒng)的計算機(jī)為目標(biāo)，并要求以比特幣支付贖金。這次網(wǎng)絡(luò)攻擊對全球經(jīng)濟(jì)造成了數(shù)十億美元的損失。

此外，根據(jù)HIPPAJournal.com的數(shù)據(jù)，從 2009 年到 2017 年，大約有 2181 起醫(yī)療保健違規(guī)事件，每起事件至少泄露了 500 條記錄。這些違規(guī)行為完全暴露了 1.76 億條醫(yī)療記錄，約占整個美國人口的一半。

這些數(shù)字表明，網(wǎng)絡(luò)安全是醫(yī)療保健領(lǐng)域的一個主要問題，實施安全措施并采取措施保護(hù)數(shù)據(jù)應(yīng)該是該行業(yè)的首要任務(wù)。

除了網(wǎng)絡(luò)威脅和攻擊者之外，還有其他問題會導(dǎo)致嚴(yán)重的安全漏洞。

移動設(shè)備

醫(yī)療保健領(lǐng)域?qū)σ苿釉O(shè)備的采用正在增加。然而，大多數(shù)移動設(shè)備和平板電腦未能滿足安全標(biāo)準(zhǔn)，這使得它們?nèi)菀资艿綈阂廛浖秃诳偷墓簟?/p>

Fortinet 的高級安全策略師兼研究員 Anthony Giandomenico在接受 HealthTech 采訪時表示：“大多數(shù)用戶不知道他們的手機(jī)與臺式機(jī)和筆記本電腦一樣不安全，這反過來又降低了他們在確定是否，例如，電子郵件是否合法。”

在對醫(yī)療保健、金融服務(wù)和公共部門等行業(yè)的 600 名移動專業(yè)人士進(jìn)行的一項獨(dú)立調(diào)查中發(fā)現(xiàn)，“超過三分之一的醫(yī)療保健組織 (35%) 實體表示他們因移動設(shè)備而遭受數(shù)據(jù)丟失或停機(jī)安全漏洞。”

如何保護(hù)移動設(shè)備？

• 為防止通過移動設(shè)備泄露數(shù)據(jù)，醫(yī)療保健提供者應(yīng)鼓勵用戶在使用移動設(shè)備時采取基本的網(wǎng)絡(luò)衛(wèi)生措施。這些衛(wèi)生措施包括確保應(yīng)用程序是最新的、在移動設(shè)備上安裝惡意軟件保護(hù)以及僅連接到受信任的 Wifi 網(wǎng)絡(luò)。
• 使用網(wǎng)絡(luò)訪問控制可以成為保護(hù)數(shù)據(jù)的智能解決方案。它可以掃描設(shè)備以查找威脅或過時的間諜軟件保護(hù)，確保設(shè)備安全。
• 醫(yī)療保健組織應(yīng)強(qiáng)制使用安全平臺來交換患者信息。例如，2017 年 5 月，Mary Washington Healthcare與 1000 多名臨床醫(yī)生采用了 TigerConnect，用于在醫(yī)療保健專業(yè)人員和患者之間進(jìn)行安全消息傳遞。

員工錯誤

兩份報告清楚地表明，員工是醫(yī)療數(shù)據(jù)安全的最大威脅之一；Verizon 的 2018 年網(wǎng)絡(luò)安全報告檢查了 27 個國家/地區(qū)的 1,368 起醫(yī)療保健數(shù)據(jù)安全事件，發(fā)現(xiàn) 28% 的數(shù)據(jù)泄露來自內(nèi)部。

與此同時，埃森哲進(jìn)行的醫(yī)療數(shù)據(jù)安全調(diào)查結(jié)果顯示，近五分之一的醫(yī)療保健員工愿意以微薄的價格將患者的機(jī)密數(shù)據(jù)出售給第三方。這些人在醫(yī)療保健行業(yè)找到工作的唯一目的是竊取機(jī)密數(shù)據(jù)。

如果由于員工的粗心或惡意而發(fā)生任何數(shù)據(jù)泄露，則會對醫(yī)院或組織的形象產(chǎn)生不利影響。與外部威脅相比，這些被認(rèn)為是成本和危害的兩倍。

如何減輕它們？

• 在招聘過程中應(yīng)進(jìn)行徹底的背景調(diào)查，以避免內(nèi)部威脅。
• 所有有權(quán)訪問關(guān)鍵數(shù)據(jù)的員工都應(yīng)該接受有關(guān)網(wǎng)絡(luò)安全最佳實踐以及與不請自來的活動相關(guān)的風(fēng)險的教育。
• 應(yīng)舉辦關(guān)于提高員工職業(yè)道德的研討會。
• 實施允許高層管理人員快速識別安全威脅的解決方案。
• 此外，組織應(yīng)審核員工使用的所有設(shè)備，因為審核是查看每個人使用歷史的更可靠方法。

供應(yīng)鏈

資料來源：幫助網(wǎng)安全

供應(yīng)鏈對網(wǎng)絡(luò)威脅不再陌生。由于醫(yī)療保健行業(yè)嚴(yán)重依賴基于云的系統(tǒng)、第三方服務(wù)提供商和供應(yīng)鏈中的供應(yīng)商。這些組織還意識到供應(yīng)鏈攻擊的風(fēng)險。黑客可以破壞第三方商品和服務(wù)以竊取私人數(shù)據(jù)、安裝惡意代碼或?qū)⒓倜霸O(shè)備帶入組織。ISTR 指出此類攻擊增加了200%。

研究人員強(qiáng)調(diào)了威脅行為者可以用來利用醫(yī)院供應(yīng)鏈的多個條目。潛在的一個是設(shè)備制造商；醫(yī)院或醫(yī)療機(jī)構(gòu)不知道他們使用的設(shè)備是否符合質(zhì)量和安全標(biāo)準(zhǔn)，或者在制造過程中是否被篡改，因為他們?nèi)狈χ圃靻挝?、配送中心和運(yùn)輸公司的了解。

由于外包供應(yīng)商缺乏網(wǎng)絡(luò)安全實踐，供應(yīng)鏈威脅也在上升。而且，網(wǎng)絡(luò)犯罪分子會在受信任方/企業(yè)的系統(tǒng)中尋找后門漏洞，這些系統(tǒng)要么與該醫(yī)療機(jī)構(gòu)相連，要么向該醫(yī)療機(jī)構(gòu)提供軟件或設(shè)備。

例如，2018 年 1 月，印第安納州格林菲爾德的一家地區(qū)醫(yī)院 Hancock Health 遭到SamSam 勒索軟件的攻擊。攻擊者使用第三方供應(yīng)商管理帳戶的憑據(jù)訪問醫(yī)院的數(shù)據(jù)中心，然后要求他們獲得 4 個比特幣以重新獲得對 1400 個文件的訪問權(quán)限。

如何緩解供應(yīng)鏈攻擊？

• 醫(yī)療保健提供者應(yīng)與符合醫(yī)療保健行業(yè)法規(guī)遵從性的值得信賴的合作伙伴合作。
• 應(yīng)與供應(yīng)商簽訂大量合同，并應(yīng)強(qiáng)制執(zhí)行以履行每個條款和條件。
• 員工只能訪問執(zhí)行任務(wù)所需的特定數(shù)據(jù)。
• 如果發(fā)生供應(yīng)鏈攻擊，請確保所有員工都接受過培訓(xùn)并配備了所需的工具，以最大程度地減少數(shù)據(jù)泄露的影響。

結(jié)論

在討論醫(yī)療保健部門的數(shù)據(jù)安全時存在許多威脅，但這三個屬于最脆弱的威脅。領(lǐng)先于這些威脅必須是每個醫(yī)療保健提供者的首要任務(wù)。值得提醒的是，如果發(fā)現(xiàn)這些威脅被忽視，醫(yī)療保健組織可能會損失數(shù)百萬美元。

如果出現(xiàn)這些威脅，組織必須分配資金來應(yīng)對這些威脅。因此，花費(fèi)大量資金來建立堅實的基礎(chǔ)以防止此類威脅可能比廣泛的數(shù)據(jù)泄露造成的后果要便宜得多。