本文是由作者蔡毅獨家投遞數據猿，並參與數據猿推出的《尋找新冠戰「疫」，中國數據智能產業先鋒力量》的公益主題策劃活動的徵文部分。
信息化新技術的不斷發展，雲計算、大數據的不斷深化應用，使得醫療信息化快速發展。此次疫情的爆發更是推動了遠程診療、移動診療、醫療物聯網等拓展場景的使用和網際網路醫院的開展。
隨著實體醫院將診療活動延伸至網際網路端，數據共享和流通成為剛性業務需求，靜態的隔離保護措施難以控制數據在流動中的風險，關乎患者隱私、種類繁多的醫療數據價值快速提升，迎來愈加嚴峻的安全挑戰。醫療行業需要通過動態變化的視角分析和判斷數據安全風險。
醫療行業的「老大難」問題
醫療數據安全問題，一直是醫療行業的「老大難」。近年來醫療行業成為了黑色產業關注的主要對象，據騰訊安全聯合中國信通院發布的《2019健康醫療行業網絡安全觀測報告》顯示，勒索病毒、數據洩漏、網站篡改是醫療行業網絡與數據安全風險的三個主要方面。疫情期間，一些黑客組織以「新冠肺炎」話題為誘餌，通過釣魚軟體、惡意連結等方式對醫療機構、醫護人員的電腦發起網絡攻擊，從而達到勒索、竊取信息等目的。
過去一年，美創科技接收並處理了近百家遭受勒索病毒軟體攻擊的醫療機構的求助，勒索病毒頻發，已是醫療行業的主流威脅之一。目前來看，定向攻擊植入勒索病毒的事件逐漸增多，且勒索軟體新變種不斷產生，通過清除殺毒軟體相關進程，甚至自我混淆加密，傳統基於特徵碼的防護方式效用大減。針對以上問題，我建議醫療機構在加強弱口令、漏洞、文件共享和遠程桌面管理等自身信息安全管理能力的基礎上，改變防禦思路，採取更加主動的防禦機制，對勒索病毒攻擊的重點目標，如：資料庫、核心文檔、啞終端等進行主動式防禦。
在面臨各類外部威脅的同時，醫療行業也面臨著各類內部風險管理問題：
1、技術人員不足
在當前的建設條件下，各個醫院的信息化設備一般都採取機房集中式託管的模式。在實際應用中，往往是數十臺至幾百臺伺服器的機房，卻只能配備1-2名技術人員，顯然，人員需求是不足的。
2、管理手段需要強化
在設備的日常管理和維護方面，大多數操作都是直接遠程登錄操作管理，或者派人員去機房對所需設備外接顯示器進行操作。對於這些操作過程的記錄和可追溯性不足，不滿足相關法規要求。
3、安全建設意識薄弱
安全建設一直處於一種「重建設、輕管理」的狀態，通常也只是在網絡安全層面部署安全產品，如網絡層面的內外隔離、防止底層的網絡攻擊等。
隨著IT技術的不斷深入發展，面臨的安全危險也越來越多，傳統的網絡安全界限也逐漸模糊化。對於實際的日常工作中遇到的最核心的數據層面的安全問題，缺乏有效的建設防護。
針對內部風險，我們一直建議醫療行業在敏感數據安全保護方面，不僅要加強流程、制度的約定，更要以技術手段做相應的管控，建立健全的敏感數據分級分類機制，對內部人員權限進行細化和鑑權並加強事後追責溯源。做好制度和技術的雙重保障。
新技術新應用也在引發新的數據安全隱患
在整個疫情防護過程中，醫療大數據分析可謂功不可沒，但伴隨著大數據的採集、存儲和應用增長，涉及到醫療信息數據流轉使用各個層面的數據安全問題不容忽視。我認為醫療單位需要全面考慮到數據的防攻擊、防洩露和防竊取，做到數據全生命周期安全保護。尤其在數據存儲、傳輸、使用過程中，應充分應用先進的數據保護技術，如脫敏技術及加密技術，對醫療敏感數據進行持續性的保護，避免數據在共享交換過程中的洩漏。
無論是包括勒索病毒在內的外部威脅，還是內部人員非法竊取，醫療數據安全備受關注離不開其獨特的地位和價值。當前，數據這一要素的重要性已經提升到與土地、勞動力、資本、技術同等地位的高度，基於國家健康醫療大數據戰略，醫療數據資源整合、互聯互通持續加強，數據快速流動，安全問題也將在數據生態體系的互動中進一步放大。
如何解決內憂外患？首當其衝的是安全架構，當傳統的網絡邊界模糊失效的時候，我們需要基於新視角對安全架構做演進。首先我們定義了一個明確的保護目標即數據，從資產、入侵、風險三個視角看數據安全並做好數據安全防護。從而解決黑客攻擊、勒索軟體、社會工程等外患，防範由於軟體開發人員、高權限人員等內部因素導致內部數據安全等內憂。
隨著數據源的不斷增多，數據結構的不斷增加，要從海量數據中明確保護的對象，基於安全的數據分類、分級的作用日益凸顯。醫療機構需要從認識數據出發，對醫療數據進行梳理，並基於安全角度對數據進行分類分級，將結果運用於醫療數據安全防護以及數據治理的開展，從而提高數據安全防護質量、更有效的發揮數據資產的價值、提升醫院信息化建設水平。
2020年，數據安全建設仍將是醫療行業的重要工作內容，醫療機構需要做的是：深入了解數據全生命周期面臨的安全風險，並對這些環節的關鍵風險點進行分析，藉助和利用最新的技術、方法，形成完整、行之有效的安全防護能力，從而贏得患者的信任、實現醫療數位化轉型下的數據之安。
本文作者·蔡毅：蔡毅，美創科技解決方案總監，從事數據管理、信息安全及戰略諮詢工作十餘年，是行業信息化建設和數位化轉型的資深專家。
數據猿官網原文：http://www.datayuan.cn/article/17200.htm