应对网络攻击 医院如何开“药方”

应对网络攻击 医院如何开“药方”

■ 本报记者 程红琳

医疗卫生系统正成为网络攻击的重灾区。

近年来，医疗机构信息化建设给患者带来更方便、更便捷的就医体验。与此同时，新技术的应用也给医疗机构带来了新的安全风险。随着医疗机构逐步向数字化医疗、智慧医疗发展，其信息安全问题愈发突出，患者个人信息丢失情况时有发生。

为信息安全问题“把脉”并开出“药方”，正成为医疗卫生系统在信息化建设中亟须攻关的问题。

医院频遭网络攻击

较早之前，北京等地“健康码”系统曾遭受不同程度的网络攻击，消息一出，引发社会广泛关注。事实上，记者注意到，近年来医疗卫生系统网络安全事件频发，大型医院被网络攻击导致数据泄露、医院停诊的新闻屡见不鲜。

360集团创始人周鸿祎曾透露，360集团曾接到了多家医院的紧急求援。部分医院因核心数据被勒索软件攻击之后不能使用，导致医院停摆，甚至有的病人手术都无法正常进行。

事实上，近年来，医疗机构网络安全问题频发也引起了相关部门的重视，多地网警也纷纷组织了专项检查，防患于未然。

日前，河北保定曲阳、阜平、定兴、高碑店网警在对辖区重点企业开展网络行政执法工作时发现，曲阳钓鱼台医院、曲阳京协门诊部未履行网络安全等级保护制度、未采取措施防范计算机病毒，同时其网站未办理等级保护备案手续，严重忽视网站信息安全建设。曲阳网警随即根据网络安全法给予两家医疗机构行政警告处罚。

较早之前，湖北省枣阳市公安局网安大队民警联合该市网信办、卫生健康局等部门的工作人员依法对14家医疗机构进行了网络信息安全专项检查，发现部分医院存在内外网混连现象、未安装防火墙、安全制度保密制度不健全等问题。

从公安机关披露的涉及医疗卫生系统的网络安全行政执法案例中，不难发现，一些医疗机构对信息系统网络安全建设依旧重视不足，既未制定网络安全管理制度和操作流程，又未按照等级保护标准建设信息系统，进而导致出现信息安全问题时无法及时处置。而黑客正是利用医疗机构信息系统中的漏洞发动攻击，造成医疗机构信息系统瘫痪甚至业务受到影响。

网络攻击也倒逼着医疗机构 对网络安全工作予以重视。不少医院纷纷加快了信息系统等级保护建设步伐，与此同时，系统漏洞扫描、应用安全测试等安全自查和安全加固工作也逐渐成为医院日常维护网络安全的重要内容。

加强投入 主动防御

据《2019—2020年度中国医院信息化状况调查报告》显示，医疗机构在信息安全方面的投入已占信息化总投入的9.43%。有66.18%的医院通过了网络安全等级保护测评。但仍有部分医疗机构并没有将网络安全建设落到实处。

例如，一些医疗机构安全管理中心存在人员和职能缺位问题，导致信息安全管理、监控、审计与综合分析能力不足。不少医疗机构仅仅为了安全等级保护测评达标而配备相关信息安全硬件设备，并不注重安全能力建设，导致安装了安全预警系统，却没有开展安全审计分析；或是购买了容灾系统，却没有开展容灾演练；又或是采购了数据备份设施，却未按规定进行定期备份和恢复验证。

打开中国政府采购网，记者注意到，这一情况也在逐步改变。为了确保网络安全运营工作规范化、常态化开展，除购买相应的软硬件设备外，不少医疗机构正通过公开招标的方式采购安全运维服务，以加强网络安全建设，提高内网、互联网、专网的整体防护能力水平，保障业务正常开展。

记者梳理了相关采购项目，发现与安全相关的采购需求愈发细化，包括但不限于：驻场运维服务、安全资产梳理服务、风险评估服务、安全加固服务、咨询规划服务、渗透测试服务、应急响应服务、安全保障服务、攻防演练服务、安全培训服务等。如福建省福州市第一医院日前发布安全运维服务项目招标公告，采购应用安全风险评估与应急防守服务、三级等保安全服务以及网络运维服务攻防实战演练服务。

亚信安全科技股份有限公司相关工作人员表示，医疗机构网络安全建设已从单机版走向网络版，从局域网走向广域网，在解决网络安全问题的过程中，医疗机构无法一劳永逸。因此，持续改进、螺旋式上升，是网络安全建设的基本原则。医疗机构应该将工作重心放在事前预防、事中控制上，对尚未暴露的风险隐患进行重点排查，及时发现并化解风险，构建动态防御、主动防御、纵深防御、精准防护、整体防控、联防联控的网络安全综合防控体系；同时，基于现有的安全防护系统，将网络安全运营工作与系统运维工作进行融合，以实现更低的总体拥有成本和更好的运营效率。

本报拥有此文版权，若需转载或复制，请注明来源于中国政府采购报，标注作者，并保持文章的完整性。否则，将追究法律责任。