2020年中国医疗行业网络安全发展概况及存在的主要问题分析[图]

    在医疗行业信息化建设蓬勃发展的同时，其所面临的网络安全风险也逐渐增多。我国医疗行业仍存在等级保护工作落实情况不佳、整体安全风险较高、医疗信息系统的安全防护水平相对落后的问题，医疗行业网络安全形势不容乐观。

    一、医疗行业网络安全形势依然严峻

    （一）医疗行业网络安全风险较高

    医疗行业总体处于“较大风险”级别，存在多种网络安全风险及大量可被利用的安全隐患，安全防护能力较弱。通过对15339家医疗行业相关单位的观测，存在僵尸、木马或蠕虫等恶意程序的单位共计1029家，应用服务端口暴露在公共互联网中的单位有6446家，4546家单位网站存在被篡改安全隐患，其中261家单位已发生网站被篡改情况。

三类主要问题涉及的单位数量

资料来源：中国软件评测中心、智研咨询整理

    （二）安全防护水平相对落后

    现阶段绝大多数医院仅采用防火墙保障网络安全，对网络进行VPN/VLAN划分和上网行为管理的医院仅过半数。医院对网闸、防入侵、防毒墙等设备的采用率均小于50%。可见大部分医院都缺乏必要的网络防护设备。

医院采用的网络安全措施

资料来源：中国软件评测中心、智研咨询整理

    三级以下医院只有不到一半采取了VPN/VLAN划分、上网行为管理系统，不到1/3的医院采用了网闸、入侵检测（IDS/IPS），1/5 的医院采用了网络接入控制、漏洞扫描、域用户管理模式，仅有1/10的医院采用了堡垒机进行运维管理。三级以下医院在基础网络安全防护方面非常欠缺，网络安全堪忧。

不同等级医院采用的网络安全措施对比

资料来源：中国软件评测中心、智研咨询整理

    医疗信息系统中大部分的服务器操作系统安装了防病毒软件，主要应用服务器采用双机热备或者集群部署，减少了服务器宕机带来的故障，但缺少必要的网络准入机制，对接入网络的终端没有进行IP限制，也没有必要的认证机制。部署网络准入系统的有0家，而在数据保护方面38%的系统没有数据库审计，只有2%的单位具有灾备服务器，大部分医疗信息系统没有完善的数据保护机制。

已通过等级保护的医疗单位采用的网络安全设备

资料来源：中国软件评测中心、智研咨询整理

    二、医疗行业网络安全存在的主要问题

    医疗机构58%的医疗信息系统存在弱口令问题；59%医疗信息系统存网络防护架构不完善问题，包括网络区域划分不合理、网络链路无冗余等问题。60%的医疗信息系统数据备份机制不健全，包括无异地备份机制、备份策略不合理等问题；72%的医疗信息系统在数据存储和传输过程中未采取加密措施；绝大多数医疗信息系统在管理方面存在监管不力、制度不完善、人员安全意识较弱等问题。

医疗行业信息系统安全问题占比

资料来源：中国软件评测中心、智研咨询整理

    三、提高医疗行业网络安全保障能力建议

    （一）重视网络安全基础防护

    智研咨询发布的《2021-2027年中国医疗行业网络安全行业市场研究分析及投资战略规划报告》数据显示：网络中应部署IDS/IPS、防毒墙、WAF、资源监控系统、垃圾邮件检测系统、上网行为管理系统、堡垒机、日志服务器等安全设备，并定期更新安全设备的规则库和系统版本。

常见安全设备及生产厂商

资料来源：中国软件评测中心、智研咨询整理

    （二）建设安全计算环境

    1、强制使用复杂口令

    设备和软件安全的第一道防线是身份鉴别，黑客攻击系统的一般方法首先是猜测或爆破登录口令然后再进行其他破坏操作。身份鉴别是设备和软件安全的重要模块，使用复杂密码，可以有效阻止三分之一以上的网络攻击行为。

    2、注重安全审计

    安全审计功能是为了在安全事件发生后可以溯源，以便尽快修复系统，找到事件发生源头，并做好预防和惩戒。一旦发生安全事件，之前做好的审计记录就是修复系统并找到攻击源的重要途径。

    （三）加强医疗数据安全保护

    1、加密存储与传输数据
为设备和系统建立普通权限账号，远程访问系统时使用普通用户身份通过SSH或HTTPS协议。使用加密系统保护医疗数据。

    2、加强数据备份与恢复

    在医院网络信息化系统中，数据备份尤为关键，这是系统面临安全隐患问题时数据恢复的最佳途径。

    3、注重数据脱敏与分级保护

    公众场合或支付场景展示数据时，无论是移动终端还是公示大屏，患者关键信息应该采用脱敏的方式来显示。

    （四）强化网络安全制度管理

    1、完善应急预案与响应机制

    建立网络安全应急响应预案，进行预案培训与演练，及时修订应急响应预案。保证发生安全事件时，系统运维人员能有步骤有策略地应对，降低损失。

    2、加强网络安全人员管理

    建立内部运维管理团队，提高人员专业技能。医院信息化进程中对网络安全人才不可或缺，而现在医院体系里不但缺少网络安全人才，而且缺少计算机专业人才，不能专业地完成信息化建设工作。