网络独家

医疗保健计算中的七层安全
文/克里斯·鲍恩

从古代战争到现代战场，最古老的军事战略之一是“纵深防御”的概念，它采用多层次的方法来击退坚定的敌人。实施分层的方法——想象一座有护城河、塔楼、内外墙和一系列房间的城堡——让防御者有时间识别漏洞，延迟攻击者，并最终击退攻击，以保证他们最宝贵的资产的安全。

由于网络犯罪分子对患者受保护的健康信息(PHI)的高度重视，这种多层方法现在已成为医疗保健组织所必需的。对网络罪犯来说，包括姓名、出生日期、社会保险号、保单号码和账单信息在内的个人信息比信用卡号码的价值高10倍。它可以被用来开通多个信用额度，制造假身份证，购买医疗设备或药品，然后转售获利，以及欺骗保险公司，等等。信用卡诈骗通常会在几天内出现，很快就会被查封，而PHI盗窃可能会在数年内不被发现。

被盗PHI正在增长
波耐蒙研究所(Ponemon Institute)的一项调查显示，2010年至2013年间，PHI的网络盗窃增加了100%。为什么突然高涨?原因很简单:许多医疗机构很容易成为攻击目标。在创建强化的多层安全方法方面，它们往往落后于零售和金融机构。事实上，许多医疗机构在升级安全系统方面落后了。随着医疗保健行业从按服务收费转向按绩效付费，预算比以往任何时候都紧张，资金是有限的。如果决定升级防火墙或购买新的核磁共振成像机，几乎每次都是核磁共振成像机胜出。

由于HIT部门专注于实施、升级或维护其电子病历系统，因此缺乏内部资源进一步加剧了这一问题;证明有意义的使用;并转换为ICD-10代码。预算的缺乏加上内部资源的缺乏，使得跟上网络罪犯的步伐变得极其困难——尤其是当犯罪分子24/7全天候专注于破坏网络安全的时候。

七层纵深防御
创建适当的纵深防御需要在以下七个不同的层面加强安全性:

1.物理:顶级数据中心的数据存储，24/7周界传感器监控，以及安全区域的标记或生物识别进入。这一领域在医院和卫生系统内往往得不到充分保护。

2.网络:企业级硬件、高级防火墙配置、SSL VPN安全、入侵检测与防御、威胁管理响应。这一层通常存在，但如果在内部管理，则在一个或多个领域中往往过时。

3.应用程序:数据加密(静态和传输)、防病毒防护、补丁、双因素认证、恶意软件防护、日志管理。如果补丁和升级频繁，内部资源有更紧迫的任务，这一层很容易落后。

4.服务器:文件完整性监视、修补、基于角色的访问控制和安全信息事件管理(SIEM)。如果没有专门的内部资源，这是另一个可能落后的领域。

5.数据:备份、静态和传输中的加密、保留、销毁、归档、SIEM和生命周期管理。这一层通常是内部安全工作的主要焦点，尽管所有层的安全性都很重要。

6.设备:移动和医疗设备，以及自带设备(BYOD)的担忧。这通常是内部安全的致命弱点，因为许多设备都不在IT的控制范围之内。

7.用户:双因素认证、社会工程/黑客、与密码和BYOD相关的政策、公司政策、持续教育和道德黑客。这一层是最难管理的，因为它需要改变行为，而不是简单地升级技术。

很少有医疗机构能够在内部建立这种分层防御，然后在网络罪犯每天改变攻击方法的情况下维护它。幸运的是，还有另一种选择。

将PHI转移到云端
许多医疗保健组织不再试图在内部构建和管理PHI的安全性，而是开始看到将数据转移到专门从事医疗保健的云提供商的价值。与云计算提供商合作，不仅消除了购买和维护七层硬件和软件的需要，还消除了雇佣内部网络安全专家来跟上最新发展的需要。

传统上，反对迁移到云的论据之一是希望保护和维护对数据的控制。首席信息官们只是觉得在内部数据中心管理数据更安全。然而，在当今世界，事实正变得越来越明显。

专门从事医疗保健的符合hipaa的云提供商已经拥有保护PHI所需的多层方法，首席信息官可以在做出承诺之前检查和测试PHI。它们还具有保护静态和传输中的PHI的能力，其可用性与保留内部数据一样好，甚至更好。

不是如果，而是什么时候
医疗机构是否会成为网络罪犯的目标，或者这些罪犯是否会成功地利用安全漏洞，这真的不是问题。这是一个何时以及会造成多大损害的问题——在临床、经济和组织声誉方面。

- Chris Bowen是ClearDATA的首席隐私官，该公司提供HITRUST csf认证的符合hipaa的云计算。他拥有美国注册信息隐私专业人员和国际隐私专业人员协会注册信息隐私技术专家的双重认证。