12月2015

网络安全:锁定保险库
杰克·普洛特金著
郑重声明
第27卷第12页

医疗信息和数据安全的关系从未如此紧迫或相关。例如，安森公司和加州大学洛杉矶分校医疗系统的数据泄露就损害了数百万消费者的健康和个人信息。随着全国各地的医疗保健组织争相更新IT基础设施和修补漏洞，许多组织发现，这一挑战非常复杂和深远。

新范式
传统的HIT系统是在电子病历的数字盗窃极其罕见的世界中设计和建造的。多年来，电子健康信息分散在数百个不同的电子病历中，这些电子病历本地安装在数千个医疗办公室的数万台计算机上。这些电脑中有许多没有连接到互联网。因此，这些系统代表了具有专有格式的气隙机器，并且在小的患者亚群中具有有限的数据。它们是难以对付的目标，对潜在的攻击者来说优势有限。

当健康数据从医疗办公室流向健康保险公司时，它们传统上以实物或传真文件的形式传输。即使数字化了，这些文件也以扫描或图像的形式存在于保险公司的系统中，这使得网络犯罪分子对数据集进行索引、排序和提取有用信息的时间非常长。

在过去几年中，医疗保健数据的格局发生了巨大变化。大多数医疗机构已经转移到少数市场领先的电子病历;超过90%的美国医院使用10种领先的电子病历解决方案之一。反过来，一些电子病历转移到云端，使得医疗办公室的计算机必须连接到互联网，从而为大量人群提供一致的、广泛的数据集。与此同时，健康保险公司通过使用电子数据交换医疗服务索赔等工具实现流程自动化，并创建了庞大的企业数据仓库，将与所有计划成员相关的个人、人口统计和健康数据绑定在一起。

高价值目标
这些最近的技术变化极大地提高了卫生保健提供者和协调员改善护理的能力。然而，它们也导致电子健康数据比以往任何时候都更集中、更完整、更可用、更可搜索，使信息更容易受到网络安全威胁。

当然，仅仅有脆弱性是不够的。例如，柠檬水摊比银行更容易受到物理攻击。然而，劫匪往往更频繁地瞄准银行，而不是柠檬水摊。正是脆弱性和价值的结合，使健康数据成为如此有吸引力的目标。

在这种情况下，重要的不是数据对所有者的价值，而是对窃贼的价值。例如，一张古老的家庭照片对它的主人来说可能是珍贵的，但对强盗来说却没有什么价值。事实证明，健康数据对潜在的窃贼有着巨大的价值。健康数据具有直接的货币价值，因为它们可以用于涉及保险公司和贷方的金融欺诈。健康数据还具有间接的货币价值，因为它们可以卖给犯罪企业或半合法组织，希望通过个人的医疗诊断和行为障碍对其施加影响。最后，卫生数据是持久的;与信用卡号码或银行账户不同的是，一旦发现数据泄露，就不能简单地更改它们。

医疗保健机构必须明确地明白，他们是攻击目标，如果他们不实施网络安全最佳实践，就只是何时发生的问题，而不是是否会发生的问题。卫生保健组织还必须明白，没有一套政策和协议是万无一失的。零日漏洞(Zero-day exploit)是一种从未被诊断出的漏洞，每天都会被发现。因此，实际目标是网络安全的最佳实践水平。

更聪明的方法
举例来说，假设一个高档社区有五户人家，除了四户人家的门锁以外，其他各方面都一样，而第五户人家的门锁上装有电动围栏、运动传感器、看门狗、摄像头和最先进的报警系统。当窃贼造访社区时，他们最有可能避开哪户人家?如果罪犯真的盯上了第五户人家，他们成功的可能性有多大?

医疗保健中的挑战是，大多数组织依赖于遗留信息系统和不一致的安全协议的拼凑。为了正确应对网络安全挑战，医疗机构必须采取以下三管齐下的方法:

•接受更新基础设施以支持适当的安全级别将带来物质和持续成本的事实。银行不安装保险库和最先进的报警系统，因为它们很便宜;他们安装它们是因为它们比其他选择成本更低。

•制定一套一致的网络安全标准和可行的实施计划，以强调近期效果。攻击者不会等到2017年年中才让企业制定完美的网络安全计划。

•积极主动地识别和减轻漏洞。有短吻鳄的护城河可能对挥舞斧头的步兵很有效，但对持枪的伞兵来说可能就不那么有效了。随着攻击者进攻性武器库的发展，组织网络安全防御也必须随之发展。

为了实现前两个步骤，组织必须提供必要的专业知识和资金支持，以制定全面的网络安全政策和现实的实施计划。至少，策略必须处理用户访问和审计跟踪、数据管理和加密、电子安全和入侵检测、物理安全和凭证管理、通信和事件报告、业务连续性和灾难恢复、人员培训和策略演变，以及内部和外部应用程序的安全评估。实现计划必须在组织现有的基础结构和约束的上下文中进行智能的分阶段、适当的资源分配和实际的目标定位。

在建立了一套网络安全政策和协议之后，医疗保健组织应该强烈考虑雇用在网络安全评估和渗透测试领域具有特定专业知识的安全公司的服务。这些公司使用技术和社会工程来探测漏洞并暴露弱点。通过加强识别此类“假”攻击的防御，医疗保健组织可以显著提高其在未来挫败真正攻击的能力。

底线
与物理记录相比，电子版本更容易运输、销售和挖掘信息。然而，同样的组织将纸质医疗记录锁在有钥匙卡进入和最先进的报警系统保护的办公室里，转而将他们的电子病历放在相当于高中储物柜的网络中。结果是不言而喻的。

行业需要的模式转变不是要认识到问题——大多数组织别无选择，只能认识到网络安全的重要性——而是要正确应对威胁。那些今天进行必要投资的组织几乎可以保证在不久的将来获得相对于竞争对手的巨大利益。

Jack Plotkin是Virtual Health的首席技术官。