49、医疗行业面临的网络安全风险与应对策略

医疗行业面临的网络安全风险与应对策略

1. 医疗行业的各类安全漏洞

医疗行业在不断强调重症监护和治疗的过程中，虽然推动了治疗技术的进步，但也存在诸多网络安全漏洞，这些漏洞被网络威胁行为者利用，给医疗行业带来了严重的风险。

1.1 网络安全问题概述

医疗行业的信息技术和网络安全专家面临着诸多问题。许多漏洞在被恶意软件感染的受损计算机上被检测到，这会危及系统的完整性，导致患者信息泄露。分布式拒绝服务（DDoS）攻击等会干扰医院的正常运营，阻碍医院提供患者护理服务。此外，电信行业和关键国家基础设施等关键领域也面临类似危险，但由于医疗行业的特殊使命，这些攻击呈现出不同的形式。

医疗行业面临的潜在危险包括企业数据丢失、勒索软件、数据泄露、DDoS 攻击、内部威胁、企业电子邮件诈骗和欺诈计划等。以下是一些医院设施面临的主要且代价高昂的灾难情况：

威胁类型	描述
勒索软件	感染计算机和数据，加密后要求支付赎金才能恢复使用
数据泄露	导致患者个人健康信息（PHI）等敏感数据被获取
DDoS 攻击	使网络过载，无法正常工作
内部威胁	内部人员利用合法权限进行破坏或泄露信息
企业电子邮件诈骗	通过伪造邮件或黑客账户骗取资金

1.2 勒索软件

近年来，医院遭受数据泄露的事件激增，勒索软件已成为普遍威胁。微软内部网安全协会（MS - ISAC）与国家健康信息共享与分析中心（NH - ISAC）和金融服务信息共享与分析中心（FS - ISAC）合作，在全国开展培训课程，教导参与者如何防范勒索软件。

勒索软件是一种感染计算机和数据的软件，它会对数据进行加密，使其无法使用，直到支付赎金。当医疗流程因勒索软件攻击而延迟或无法运行时，医院可能需要减少或移除多余负载，甚至可能需要恢复使用纸笔记录，这会减缓医疗流程，但能节省原本用于医院现代化的资金。

受害者的计算机通常通过以下三种方式感染勒索软件：
1. 包含恶意附件的网络钓鱼邮件；
2. 用户点击恶意链接；
3. 恶意广告（恶意广告软件）。

勒索软件即服务（RaaS）系统，甚至还有 RaaS 即服务（RaaSaaS），这使得一些缺乏技术专长的个人或团体也能发起勒索软件攻击。例如，全国多家医院在部署过时版本的 JBoss 服务器软件后遭受勒索软件攻击。攻击者可以在受害者无需操作的情况下，将恶意软件上传到旧服务器。加利福尼亚州的好莱坞长老会医疗中心就因此事件受到影响，为恢复文件和网络访问权支付了 17,000 美元。

为防范勒索软件，企业可以采取以下措施：
1. 参考 MS - ISAC 编写的勒索软件入门指南，加强网络、系统和用户访问的安全性；
2. 更新杀毒软件；
3. 建立有效的电子邮件过滤机制；
4. 定期进行数据备份；
5. 利用医院免费的恶意域名阻止和报告（MDBR）服务。

1.3 数据泄露

数据泄露对医院和其他医疗设施造成了损害。根据相关研究，医疗组织比其他行业更容易发生数据泄露，这可能是由于《健康保险流通与责任法案》（HIPAA）有明确的法律报告流程，激励了医疗违规行为的报告。

感染事件在几乎所有行业都可能发生，触发因素包括窃取凭证的恶意软件、内部人员有意或无意的信息泄露、丢失或被盗的笔记本电脑或其他设备等。个人健康信息（PHI）在黑市上比信用卡凭证或其他个人可识别信息（PII）更有价值，因此网络黑客有更大的动机获取医疗数据库中的 PHI，用于出售或个人获利。

截至目前，数据泄露已危及超过 1500 万份医疗记录。非医疗组织数据泄露的平均每条被盗记录成本为 158 美元，而医疗组织的平均成本为 355 美元。根据信息安全研究所的报告，信用卡和个人信息在黑市上可能只需 1 - 2 美元，而 PHI 可能高达 363 美元，这是因为个人健康历史是永久的，而信用卡信息和社会安全号码则不是。

为防止数据泄露，医疗保健提供者应遵循 HIPAA 安全规则，实施足够的物理和技术保障措施，确保电子健康记录（EHRs）的安全。具体措施包括：
1. 在存储和传输过程中使用加密技术；
2. 确保第三方或供应商在处理患者数据时遵循批准的数据处理标准；
3. 对员工进行培训，使其正确使用和管理个人健康信息，减少因员工失误导致的数据泄露。

1.4 DDoS 攻击

分布式拒绝服务（DDoS）攻击是黑客活动分子和网络犯罪分子常用的策略，用于使网络过载并使其失效。医疗从业者在提供患者护理时可能需要网络连接，在某些情况下还需要互联网连接来发送和接收电子邮件、处方、记录等信息。

大多数 DDoS 攻击是机会主义的，但也有一些是有特定原因的。例如，2014 年，知名黑客组织 Anonymous 对波士顿儿童医院发起 DDoS 攻击，原因是医院建议将一名 14 岁女孩交由州政府监护，引发了争议。此次攻击导致医院网络故障，医疗社区和患者受到了超过一周的不便，医院为应对和减少损失花费了超过 30 万美元。

为应对 DDoS 攻击，建议如下：
1. 阅读微软 ISAC 的 DDoS 攻击指南，了解不同类型的 DDoS 攻击（包括标准和反射 DDoS 攻击），并根据具体攻击类型获取个性化建议；
2. 与上游网络服务提供商保持良好合作，并与提供 DDoS 缓解服务的组织合作。

1.5 内部威胁

组织常常过于关注防范外部攻击，而忽视了内部存在的直接危险。内部人员由于拥有或曾经拥有对专有系统的广泛合法访问权限，通常不受典型网络安全防御措施（如入侵检测设备或物理安全）的检测。

内部威胁包括多种人员，如不小心点击恶意链接导致网络受损的人员、故意泄露访问凭证的人员以及故意出售或利用个人信息获利的人员。例如，得克萨斯州的一家医院曾受到内部人员攻击，一名员工利用医院网络构建僵尸网络攻击其他黑客组织。该嫌疑人在制作并在互联网上发布自己试图“黑客”医院网络的 YouTube 视频后被抓获，他是医院的夜间保安。调查发现，他在数百台计算机上安装了恶意软件，包括带有患者信息的护理站，还在 HVAC 单元中安装了后门，如果该单元出现故障，会危及药品和药物，并使医院患者处于危险之中。最终，该嫌疑人被判入狱 9 年，并支付 31,000 美元罚款。

为检测和防范内部威胁，最佳方法是对用户和员工进行培训，让他们了解如何识别和报告内部威胁，并避免无意中成为内部威胁。同时，可以利用一些开源资源、培训计划和教学工具来提高员工的安全意识。

1.6 企业电子邮件诈骗

企业电子邮件诈骗（BEC）犯罪分子利用伪造邮件或黑客账户，欺骗员工将资金转移到欺诈性账户，这也被联邦调查局（FBI）称为“十亿美元诈骗”。今年，这种诈骗的规模增长了 1% - 300%（去年增长了 330%）。

诈骗者通常会冒充组织中的重要人物，如 CEO 或 CFO。他们通过对受害者进行大量研究，模仿目标的语气，并只向少数负责财务的人员发送邮件，从而避开一些基本的安全措施，如电子邮件过滤。

例如，2015 年，一家当地医疗中心接到一家药店的电话，核实一笔价值超过 50 万美元的处方药大订单。调查发现该订单是假的，药店因为医疗中心的邮寄地址与记录不符而进行了核实。最终，由于药店及时联系医疗中心再次确认订单，避免了 50 万美元的损失。

为避免此类诈骗，医院和医疗机构应采取预防措施，防止身份或患者健康信息丢失，以及其他物品（如处方药）的损失。当收到 CEO 等高层人员的资金转移或产品购买请求时，应通过其他方式进行确认。

勒索软件攻击流程

graph LR
    A[攻击者] -->|发送恶意邮件/链接/广告| B[受害者计算机]
    B -->|感染勒索软件| C[数据加密]
    C -->|要求支付赎金| D[受害者决策]
    D -->|支付赎金| E[恢复数据]
    D -->|拒绝支付| F[数据无法恢复]

数据泄露防范措施流程

graph LR
    A[医疗保健提供者] --> B[实施物理和技术保障措施]
    B --> C[存储和传输数据加密]
    B --> D[确保第三方遵循标准]
    B --> E[员工培训]
    C --> F[保护患者数据安全]
    D --> F
    E --> F

综上所述，医疗行业面临着多种网络安全风险，医院和医疗机构需要采取综合措施来防范这些风险，保护患者信息和医疗服务的正常运行。通过加强安全意识培训、实施有效的技术保障措施以及与相关机构合作，可以降低网络安全事件的发生概率，减少损失。

2. 医疗行业网络安全风险总结与应对策略梳理

2.1 风险总结

医疗行业面临的网络安全风险种类繁多，每种风险都有其独特的特点和潜在危害。以下是对上述各类风险的总结：

风险类型	特点	潜在危害
勒索软件	通过多种方式感染计算机，加密数据并索要赎金	导致医疗流程延迟或中断，医院需支付赎金恢复数据
数据泄露	因多种原因触发，个人健康信息在黑市价值高	患者信息泄露，医院面临法律责任和经济损失
DDoS 攻击	使网络过载失效，有机会主义和特定原因之分	干扰医院正常运营，影响患者护理服务
内部威胁	内部人员利用合法权限进行破坏或获利	破坏医院系统，危及患者安全
企业电子邮件诈骗	冒充重要人物，骗取资金转移	医院遭受经济损失

2.2 应对策略梳理

为了有效应对这些网络安全风险，医疗行业可以采取以下综合策略：

2.2.1 技术层面

• 加强网络防护 ：更新杀毒软件，建立有效的电子邮件过滤机制，利用恶意域名阻止和报告（MDBR）服务，防止恶意软件和钓鱼邮件进入医院网络。
• 数据加密 ：在数据存储和传输过程中使用加密技术，确保患者信息的安全性。
• DDoS 防护 ：与上游网络服务提供商和 DDoS 缓解服务组织合作，及时应对 DDoS 攻击。

2.2.2 人员层面

• 安全培训 ：对员工进行网络安全培训，提高他们的安全意识和识别风险的能力，减少因员工失误导致的安全漏洞。
• 内部监控 ：建立内部监控机制，及时发现和处理内部威胁。

2.2.3 制度层面

• 合规管理 ：遵循相关法律法规，如 HIPAA 安全规则，确保医院的网络安全措施符合法律要求。
• 应急响应 ：制定完善的应急响应计划，在发生网络安全事件时能够迅速采取措施，减少损失。

2.3 综合应对流程

为了更好地应对网络安全风险，医疗行业可以建立一个综合的应对流程，如下所示：

graph LR
    A[风险评估] --> B[制定策略]
    B --> C[技术实施]
    C --> D[人员培训]
    D --> E[制度建设]
    E --> F[日常监控]
    F -->|发现风险| G[应急响应]
    G -->|解决问题| F

2.4 具体案例分析

通过具体案例可以更直观地了解网络安全风险的危害和应对策略的重要性。以下是对前面提到的几个案例的分析：

2.4.1 好莱坞长老会医疗中心勒索软件攻击

• 事件回顾 ：该医院因部署过时的 JBoss 服务器软件，遭受勒索软件攻击，支付 17,000 美元赎金才恢复数据。
• 教训总结 ：医院应及时更新软件，避免使用过时版本，同时加强网络安全防护，防止勒索软件入侵。

2.4.2 波士顿儿童医院 DDoS 攻击

• 事件回顾 ：黑客组织 Anonymous 因争议事件对医院发起 DDoS 攻击，导致医院网络故障，花费超 30 万美元应对。
• 教训总结 ：医院应加强网络安全监测，与相关机构合作，提高应对 DDoS 攻击的能力。

2.4.3 得克萨斯州医院内部威胁事件

• 事件回顾 ：医院夜间保安利用网络构建僵尸网络，安装恶意软件和后门，最终被判入狱并罚款。
• 教训总结 ：医院应加强内部人员管理，对员工进行背景审查和安全培训，及时发现和处理内部威胁。

2.4.4 当地医疗中心企业电子邮件诈骗事件

• 事件回顾 ：药店因地址不符核实订单，避免了医疗中心 50 万美元的损失。
• 教训总结 ：医院和医疗机构应建立严格的资金转移和订单核实机制，避免企业电子邮件诈骗。

2.5 未来展望

随着医疗行业的数字化转型不断加速，网络安全风险将持续存在并可能不断演变。未来，医疗行业需要不断加强网络安全建设，采用先进的技术和管理手段，应对日益复杂的网络安全挑战。

• 技术创新 ：利用人工智能、区块链等新技术，提高网络安全防护能力。
• 合作与共享 ：加强医疗行业内部以及与其他行业的合作与信息共享，共同应对网络安全威胁。
• 法规完善 ：随着网络安全问题的日益突出，相关法规将不断完善，医院和医疗机构需要及时适应法规要求。

2.6 总结

医疗行业的网络安全问题不容忽视，各类网络安全风险对医院的正常运营和患者的信息安全构成了严重威胁。通过对各种风险的分析和应对策略的梳理，我们可以看到，采取综合措施是防范网络安全风险的关键。医院和医疗机构应加强安全意识培训，实施有效的技术保障措施，建立健全的制度体系，并与相关机构合作，共同应对网络安全挑战。只有这样，才能确保医疗行业的网络安全，保护患者的利益和医疗服务的正常运行。

行动建议列表

• 医院定期对员工进行网络安全培训，至少每季度一次。
• 每月检查软件版本，及时更新过时软件。
• 建立应急响应小组，确保在发生网络安全事件时能够迅速响应。
• 与网络安全机构建立合作关系，及时获取最新的安全信息和技术支持。

决策流程图

graph LR
    A[发现网络安全事件] --> B{事件类型}
    B -->|勒索软件| C[评估损失和赎金要求]
    B -->|数据泄露| D[启动数据保护措施]
    B -->|DDoS 攻击| E[联系网络服务提供商]
    B -->|内部威胁| F[调查涉事人员]
    B -->|企业电子邮件诈骗| G[核实资金转移情况]
    C --> H{是否支付赎金}
    H -->|是| I[恢复数据]
    H -->|否| J[寻求其他恢复方法]
    D --> K[通知相关部门和患者]
    E --> L[实施 DDoS 缓解措施]
    F --> M[采取法律措施]
    G --> N[追回资金]
    I --> O[总结经验教训]
    J --> O
    K --> O
    L --> O
    M --> O
    N --> O

通过以上的分析和建议，希望能够为医疗行业的网络安全管理提供有益的参考，帮助医院和医疗机构更好地应对网络安全风险，保障患者的信息安全和医疗服务的质量。