由舒马赫医疗数据外泄引发的思考(1)

为了提升医疗机构运作效率，我们抛弃了传统手写处方，抛弃了胶片，抛弃了手写收据。在焕然一新的数字化医院里，数据可以自由交互，可以被采集存储并挖掘出更高的价值;患者减少跑动，管理者对院内状况一目了然，监管部门也有据可查……

看上去，一切是那么的井然有序。然而，信息化带来的不只是高效便捷，还有随之而来的安全隐患。不久前舒马赫的医疗数据在黑市叫卖，我们发现，医疗数据安保工作似乎尚不尽如人意。那么，到底是哪个环节出了问题呢?日前，记者偶遇东软集团网络安全事业部副总经理张泉先生，他帮我们做了一次“摸底排查”。

医疗数据危机重重

常见的数据安全威胁

首先，医疗数据安全的威胁主要来自两方面：一种是黑客攻击导致数据丢失或系统崩溃，传统上采用容灾备份的方式预防;另一种是数据泄露，造成数据泄露的可能是两类人，外来的黑客爆库或内部人员访问敏感数据都能造成数据泄露，比如常说的统方通常是“内鬼”所为。

医疗机构中潜伏的安全隐患

数据泄露方式可能会出现在医疗机构信息化流程中的各个环节，而无论是医改政策利导下的数据交互，还是ICT技术革新掀起的BYOD运动或者云应用浪潮，都使得医疗机构面临的数据泄露威胁日趋严峻，具体表现在以下3方面。

1. 联通信息孤岛，种下安全祸根。

信息孤岛制约着医疗数据的交互与上下流动，因此，近年来，消除信息孤岛是医疗信息化建设的重中之重。

纵向来看，一方面，政策推动医疗机构上传数据，方便医疗主管部门监管医院运营;另一方面，区域平台、医联体也需要借助网络实现医疗资源下沉，上至卫计委，下至县医院、村卫生院都分布着信息终端，每个终端都可能成为数据泄露的出口。

横向来看，医保系统一方面与医院系统对接，另一方面还要与各级主管部门以及定点药店对接，在数据与业务共享的前提下为参保人提供服务。当然，这一横向的网络上还点缀着银行、运营商等辅助机构，因此，安全威胁的来源也更加广泛，远远不局限于医疗机构内部。

除了纵横交错的外在交互，医疗机构自有的公共服务平台也存在安全隐患。比如医院官网，几乎所有三级以上医疗机构都有网站，任何人都可能通过网站对医院服务器发起进攻。

2. BYOD浪潮引发新漏洞

无论是3G还是Wifi，都让非法用户可以更方便的入侵医院数据。

移动终端后门多，手机被植入木马后，通过Wifi、3G网络就能接入核心业务。如果用户使用的是iOS系统，由于iOS应用全部得到苹果公司的安全验证，安全系数较高;

如果用户使用的Android系统情况就会比较糟糕。众所周知，Android系统缺乏合法验证机制，没有安全机制，缺乏有效的防护手段，一旦医生使用Android系统时从不安全的移动应用商店中下载APP就可能被植入木马，再将木马带入医院系统，进而威胁医院数据安全。

3. 云应用埋下隐患

医疗机构也在尝试应用云来提升资源利用率。当用户通过云读取数据时，数据从数据中心机房通过云传到用户终端，然而中间的云安全保护机制是否完善呢?据调查医疗机构云服务安全保障还有待完善，医疗机构在构建云应用时一定要注意安全保护工作。