9月20日，騰訊公司聯(lián)合中國(guó)醫(yī)院協(xié)會(huì)信息管理專(zhuān)業(yè)委員會(huì)（CHIMA）重磅發(fā)布《醫(yī)療行業(yè)安全指數(shù)報(bào)告》（以下簡(jiǎn)稱(chēng)《報(bào)告》）?；隍v訊智慧安全指數(shù)和CHIMA醫(yī)院信息化狀況調(diào)查，《報(bào)告》全面梳理了國(guó)內(nèi)醫(yī)療行業(yè)信息安全態(tài)勢(shì)以及安全措施采用情況，從指數(shù)總體情況來(lái)看，全國(guó)醫(yī)療行業(yè)網(wǎng)絡(luò)安全狀況處于良好水平，醫(yī)療行業(yè)信息安全建設(shè)穩(wěn)步提升。與此同時(shí)，黑客入侵攻擊、勒索病毒攻擊、信息泄露等安全問(wèn)題對(duì)醫(yī)院等公共機(jī)構(gòu)的威脅不容忽視。今年以來(lái)，我國(guó)醫(yī)療體系遭受攻擊的頻率呈明顯上升趨勢(shì)，整體醫(yī)療信息安全環(huán)境并不樂(lè)觀。
醫(yī)療行業(yè)信息安全環(huán)境整體提升，60%醫(yī)院安全指數(shù)良好
據(jù)了解，成立于1995年的CHIMA是醫(yī)療衛(wèi)生信息化的主要學(xué)術(shù)力量和重要學(xué)術(shù)平臺(tái)，每年會(huì)針對(duì)醫(yī)療信息化領(lǐng)域開(kāi)展相關(guān)調(diào)查并發(fā)布報(bào)告，供各級(jí)政府和企業(yè)及醫(yī)院參考借鑒。本次與騰訊智慧安全攜手，基于騰訊近20年安全能力沉淀，以及其在全國(guó)范圍內(nèi)為多家三甲醫(yī)院提供安全智能防護(hù)體系的經(jīng)驗(yàn)，全景式展現(xiàn)當(dāng)前醫(yī)療單位的安全現(xiàn)狀，為醫(yī)療信息安全建設(shè)提供參考標(biāo)準(zhǔn)。
《報(bào)告》涵蓋了956家三級(jí)甲等醫(yī)院、7家第三方醫(yī)療服務(wù)平臺(tái)，包括92個(gè)授權(quán)網(wǎng)站、79個(gè)患者手機(jī)應(yīng)用APP等外部網(wǎng)絡(luò)資產(chǎn)，以企業(yè)安全指數(shù)和行業(yè)互聯(lián)網(wǎng)安全指數(shù)構(gòu)成的騰訊智慧安全指數(shù)對(duì)醫(yī)療行業(yè)整體安全態(tài)勢(shì)進(jìn)行評(píng)估。其中，0—499指數(shù)值代表較差、500—699指數(shù)值代表一般、700—899指數(shù)值代表良好、900—1000指數(shù)值代表優(yōu)秀。
《報(bào)告》顯示，國(guó)內(nèi)38%的醫(yī)院指數(shù)值處于良好水平，22%的醫(yī)院處于優(yōu)秀水平。顯示出在衛(wèi)健委指導(dǎo)下，全國(guó)醫(yī)院信息安全建設(shè)水平正在不斷提升 。
（圖：安全指數(shù)的等級(jí)分布情況——醫(yī)院維度）
對(duì)于安全措施采用情況，《報(bào)告》參考了CHIMA此前發(fā)布的《2017-2018年度中國(guó)醫(yī)院信息化狀況調(diào)查報(bào)告》。從醫(yī)院實(shí)施等級(jí)保護(hù)情況來(lái)看，在484家樣本醫(yī)院中，66.74％的醫(yī)院實(shí)施了等級(jí)保護(hù)規(guī)劃工作。其中，經(jīng)濟(jì)發(fā)達(dá)地區(qū)實(shí)施等級(jí)保護(hù)工作的比例高于中等發(fā)達(dá)地區(qū)和經(jīng)濟(jì)欠發(fā)達(dá)地區(qū)。
（圖：醫(yī)院等級(jí)保護(hù)工作情況）
不法分子瞄準(zhǔn)醫(yī)療機(jī)構(gòu)，醫(yī)療體系頻遭外部攻擊
雖然大部分醫(yī)療機(jī)構(gòu)實(shí)施了信息安全防護(hù)工作，但數(shù)據(jù)的經(jīng)濟(jì)價(jià)值驅(qū)使不法分子鋌而走險(xiǎn)?！秷?bào)告》顯示，自2017年以來(lái)，醫(yī)療行業(yè)已成為不法分子實(shí)施勒索的最主要目標(biāo)，29%的勒索軟件的攻擊目標(biāo)是各類(lèi)醫(yī)療相關(guān)機(jī)構(gòu)。
另外，騰訊智慧安全近日發(fā)布的《醫(yī)療行業(yè)勒索病毒專(zhuān)題報(bào)告》同樣顯示，在勒索攻擊方面，自7月以來(lái)，勒索病毒一直處于持續(xù)活躍傳播的狀態(tài)，其中8月份相對(duì)于7月份勒索病毒傳播有所加強(qiáng)。除勒索病毒威脅外，醫(yī)療業(yè)務(wù)資源被黑客濫用于挖礦，破壞企業(yè)內(nèi)部 IT 環(huán)境、數(shù)據(jù)中心的正常運(yùn)行秩序以及關(guān)鍵應(yīng)用的交付，使得業(yè)務(wù)連續(xù)性遭受極大安全威脅。
（圖：被勒索軟件攻擊行業(yè)分布）
進(jìn)入2018年后，騰訊御見(jiàn)威脅情報(bào)中心監(jiān)測(cè)到全國(guó)多地多家醫(yī)院服務(wù)器被黑客入侵，國(guó)內(nèi)醫(yī)療機(jī)構(gòu)遭受攻擊的頻率呈明顯上升趨勢(shì)。與此同時(shí)，在全球范圍內(nèi)，黑客攻擊造成的的重大醫(yī)療信息泄露事件頻發(fā)。僅在2018年過(guò)去的幾個(gè)月中，單次泄露數(shù)據(jù)大于500條的數(shù)據(jù)泄露事件就發(fā)生了數(shù)百起，幾乎每個(gè)月都會(huì)發(fā)生3到4起重大醫(yī)療數(shù)據(jù)泄露事件。
醫(yī)療內(nèi)部存在安全風(fēng)險(xiǎn)，信息安全意識(shí)有待提升
除了來(lái)自不法黑客的外部攻擊威脅外，隨著醫(yī)療服務(wù)信息化的持續(xù)推進(jìn)，醫(yī)療機(jī)構(gòu)還面臨內(nèi)部安全風(fēng)險(xiǎn)，需要進(jìn)一步提升信息安全意識(shí)?！秷?bào)告》指出，目前醫(yī)療行業(yè)面臨的安全風(fēng)險(xiǎn)問(wèn)題主要集中在主機(jī)安全、應(yīng)用安全和網(wǎng)絡(luò)安全。
在主機(jī)安全方面，《報(bào)告》基于第三方網(wǎng)絡(luò)空間資產(chǎn)測(cè)繪的結(jié)果，篩選了最近幾年黑客攻擊事件中出現(xiàn)頻率較高的端口，發(fā)現(xiàn)全國(guó)有不少醫(yī)療單位仍然開(kāi)放著如3306、3389等高危端口，明顯高于國(guó)內(nèi)全網(wǎng)相應(yīng)端口的開(kāi)放比例。此外，還有較大比重的郵件服務(wù)、數(shù)據(jù)庫(kù)服務(wù)等端口暴露在公網(wǎng)上；同時(shí)醫(yī)院外網(wǎng)也存在較多風(fēng)險(xiǎn)，國(guó)內(nèi)三級(jí)甲等醫(yī)院30%的電腦存在高危漏洞，12%的醫(yī)院有外網(wǎng)電腦曾被入侵并植入挖礦木馬；15%的醫(yī)院有外網(wǎng)電腦存在勒索病毒的破壞行為。
在應(yīng)用安全上，國(guó)內(nèi)醫(yī)療行業(yè)的脆弱性凸顯。《報(bào)告》顯示，基于對(duì)已授權(quán)醫(yī)院的患者APP漏洞檢測(cè)、分析發(fā)現(xiàn)，80%左右的患者APP存在漏洞，其中有67%更是存在可利用的高危漏洞；同時(shí)，第三方醫(yī)療服務(wù)平臺(tái)多存在嚴(yán)重的信息泄露風(fēng)險(xiǎn)，包括登錄繞過(guò)、未授權(quán)訪問(wèn)、平等越權(quán)等問(wèn)題，可能導(dǎo)致大量患者的姓名、手機(jī)號(hào)、身份證、以及就診記錄、化驗(yàn)檢驗(yàn)報(bào)告等多項(xiàng)敏感信息泄露。
（醫(yī)院安卓應(yīng)用軟件存在的高危漏洞情況）
針對(duì)目前國(guó)內(nèi)醫(yī)療行業(yè)存在的信息安全風(fēng)險(xiǎn)問(wèn)題，騰訊安全智慧在《報(bào)告》中提出五點(diǎn)建議：對(duì)當(dāng)前醫(yī)療信息化安全系統(tǒng)進(jìn)行全面體檢，定位安全問(wèn)題，排除安全隱患；選擇專(zhuān)業(yè)醫(yī)療安全解決方案，建設(shè)安全防御體系，降低網(wǎng)絡(luò)信息安全風(fēng)險(xiǎn)；加強(qiáng)醫(yī)療網(wǎng)絡(luò)信息安全技術(shù)團(tuán)隊(duì)培訓(xùn)，全面提升安全防御意識(shí)和團(tuán)隊(duì)素養(yǎng)；定期進(jìn)行網(wǎng)絡(luò)信息安全檢查及安全防御演練，提升重大威脅應(yīng)急響應(yīng)能力；建立面向行業(yè)應(yīng)急響應(yīng)協(xié)同機(jī)制，及時(shí)預(yù)警聯(lián)防共治，攜手應(yīng)對(duì)網(wǎng)絡(luò)風(fēng)險(xiǎn)。
據(jù)了解，騰訊智慧安全將為醫(yī)療行業(yè)免費(fèi)提供信息安全診脈服務(wù)，或?qū)⑸暇€一款針對(duì)醫(yī)療行業(yè)安全指數(shù)查詢(xún)的小程序，以便企業(yè)用戶(hù)能夠?qū)崟r(shí)了解自身安全情況，及時(shí)改善。長(zhǎng)久以來(lái)，騰訊安全向行業(yè)全面開(kāi)放安全能力，除了將研究成果共享外，還希望發(fā)動(dòng)更多社會(huì)力量參與到醫(yī)療行業(yè)信息安全建設(shè)中來(lái)，只有協(xié)同共治，新的網(wǎng)絡(luò)安全生態(tài)才能夠建立起來(lái)，才能有效保障和驅(qū)動(dòng)醫(yī)療信息化的良性發(fā)展，維護(hù)公眾醫(yī)療數(shù)據(jù)安全。
皖公網(wǎng)安備34019202000476號(hào)
