少有行業(yè)像醫(yī)療保健行業(yè)一樣，面臨著如此復(fù)雜且高風(fēng)險的數(shù)字環(huán)境，一次數(shù)據(jù)泄露就可能危及患者和醫(yī)療服務(wù)提供者的安全。雖然HIPAA合規(guī)性和患者隱私是大多數(shù)網(wǎng)絡(luò)安全討論的焦點，但許多其他關(guān)鍵威脅仍然被忽視——隱藏在工作流程、醫(yī)療設(shè)備和第三方合作伙伴關(guān)系中。這些漏洞可能會被悄無聲息地利用，有時甚至長達(dá)數(shù)月，直到被發(fā)現(xiàn)。
下文，揭示了醫(yī)療保健領(lǐng)域最容易被忽視的網(wǎng)絡(luò)安全挑戰(zhàn)。他們解釋了為何應(yīng)對這些風(fēng)險對于保障患者護(hù)理、維護(hù)合規(guī)性以及維護(hù)醫(yī)療保健系統(tǒng)的信任至關(guān)重要。
1.老化、互聯(lián)的設(shè)備和軟件
最大的弱點在于差異巨大的醫(yī)療設(shè)備和軟件之間的互操作性，以及它們之間的堆棧和使用年限。該行業(yè)依賴的互聯(lián)技術(shù)從尖端到已有20年歷史，不一而足。這迫使先進(jìn)的系統(tǒng)與安全性較低的系統(tǒng)進(jìn)行通信，不可避免地將安全性降至最低，并使生態(tài)系統(tǒng)在其最薄弱的環(huán)節(jié)變得脆弱?！狦unter Ollmann，Cobalt
2.供應(yīng)商的電子郵件系統(tǒng)
我們在內(nèi)部安全方面投入巨資，但真正的風(fēng)險往往來自供應(yīng)商的收件箱。電子郵件仍然是最主要的攻擊媒介，而防御薄弱的第三方合作伙伴則將我們所有人都置于風(fēng)險之中?，F(xiàn)在是時候讓我們的生態(tài)系統(tǒng)達(dá)到更高的標(biāo)準(zhǔn)了——在身份驗證、網(wǎng)絡(luò)釣魚防范和賬戶盜用防護(hù)方面提出一些尖銳的問題?！狤yal Benishti，IRONSCALES
3.第三方軟件和設(shè)備
許多醫(yī)院和醫(yī)療系統(tǒng)依賴數(shù)十種（有時甚至數(shù)百種）第三方工具：電子健康記錄插件、診斷系統(tǒng)、計費(fèi)平臺以及物聯(lián)網(wǎng)醫(yī)療設(shè)備。這些供應(yīng)商通常需要訪問敏感的患者數(shù)據(jù)或內(nèi)部網(wǎng)絡(luò)；然而，他們可能不像醫(yī)療機(jī)構(gòu)本身那樣遵守相同的安全和合規(guī)標(biāo)準(zhǔn)?！狫onathan Stewart，ZenSource
4.網(wǎng)絡(luò)釣魚攻擊
一個被忽視的挑戰(zhàn)是針對醫(yī)療保健機(jī)構(gòu)的網(wǎng)絡(luò)釣魚攻擊數(shù)量之巨。黑客瞄準(zhǔn)寶貴的患者數(shù)據(jù)，利用過時的系統(tǒng)、龐大的供應(yīng)鏈和有限的安全培訓(xùn)，誘騙員工點擊鏈接或與企業(yè)電子郵件入侵攻擊進(jìn)行交互。這可能導(dǎo)致勒索軟件的出現(xiàn)，而醫(yī)療保健機(jī)構(gòu)更有可能支付勒索軟件費(fèi)用以維持關(guān)鍵服務(wù)的運(yùn)行?！狹ike Britton，Abnormal AI
5.過時的遺留系統(tǒng)
過時的遺留系統(tǒng)是一個被忽視的重大弱點。較長的折舊周期意味著關(guān)鍵的聯(lián)網(wǎng)醫(yī)療設(shè)備和軟件通常無法更新，迫使人們依賴易受攻擊的舊策略。這一普遍存在的問題造成了巨大的網(wǎng)絡(luò)攻擊面。更好的控制、可視性和微分段對于限制訪問和減輕損害至關(guān)重要，直到可以修復(fù)為止?！狤rez Tadmor，Tufin
6.缺乏一線網(wǎng)絡(luò)安全培訓(xùn)
一線員工通常缺乏足夠的網(wǎng)絡(luò)安全培訓(xùn)，這讓他們?nèi)菀资艿缴鐣こ虒W(xué)攻擊。例如，一個能言善辯的病人可能會分散臨床醫(yī)生的注意力，導(dǎo)致醫(yī)生在離開房間前忘記鎖上工作站。這可能會泄露敏感數(shù)據(jù)，包括個人身份信息和其他患者的健康記錄，從而對隱私和醫(yī)療系統(tǒng)安全構(gòu)成嚴(yán)重風(fēng)險?！猄unny Banerjee，第一公民銀行
7.人工智能驅(qū)動系統(tǒng)中缺少數(shù)據(jù)沿襲
在當(dāng)今人工智能驅(qū)動的醫(yī)療保健服務(wù)中，一個鮮為人知的重大缺口是數(shù)據(jù)沿襲。我們癡迷于加密和訪問控制，卻很少問：“數(shù)據(jù)從何而來？它是如何被篡改的？又是誰觸碰了它？” 如果沒有清晰的追蹤，靜默腐敗和模型中毒就會悄無聲息地潛入，隨著時間的推移，診斷的準(zhǔn)確性、人工智能的性能和患者的信任度都會逐漸下降?！狵iran Elengickal，Siemba
8.本地服務(wù)器
醫(yī)療保健領(lǐng)域一個被忽視的網(wǎng)絡(luò)安全風(fēng)險是對本地服務(wù)器的依賴。許多機(jī)構(gòu)仍然將敏感的患者數(shù)據(jù)存儲在本地，缺乏定期更新、備份或監(jiān)控。這造成了嚴(yán)重的漏洞。基于云的平臺擁有管理完善的開放API，可以提供集中式安全保障以及更安全、可擴(kuò)展的集成?！狤ric Giesecke，Planet DDS
9.手動證書管理
醫(yī)療保健網(wǎng)絡(luò)安全中一個被忽視的挑戰(zhàn)是手動證書管理。過期或配置錯誤的數(shù)字證書可能會導(dǎo)致EHR系統(tǒng)癱瘓、延誤護(hù)理并危及患者安全。自動化證書生命周期管理對于維護(hù)安全、不間斷的運(yùn)營至關(guān)重要?！狫ason Sabin，DigiCert Inc.
10.數(shù)據(jù)孤島和BMA
一個被忽視的弱點或挑戰(zhàn)是數(shù)據(jù)孤島和業(yè)務(wù)管理應(yīng)用程序。BMA在安全準(zhǔn)則方面往往不被重視，并且始終面臨數(shù)據(jù)泄露的風(fēng)險。BMA還往往面臨不同層面的合規(guī)性違規(guī)風(fēng)險。財務(wù)分析或運(yùn)營分析的風(fēng)險更高，因為它們涉及高度敏感和關(guān)鍵的數(shù)據(jù)?！猄anath Chilakala，NTT Data
11.過期的醫(yī)療器械
醫(yī)療保健領(lǐng)域一個重大的網(wǎng)絡(luò)安全風(fēng)險是過時的醫(yī)療設(shè)備。許多設(shè)備使用的是昂貴的舊版軟件，每次更新都費(fèi)力不討好，很容易成為網(wǎng)絡(luò)攻擊者的攻擊目標(biāo)。由于加密技術(shù)有限，而且更換的可能性很小，這些設(shè)備仍然被接入敏感網(wǎng)絡(luò)，危及患者和客戶記錄的完整性?！猄reekanth Narayan，LTIMindtree
12.影子IT和BYOD實踐
醫(yī)療保健領(lǐng)域的影子IT和自帶設(shè)備（BYOD）做法，例如工作人員為了方便使用個人設(shè)備或應(yīng)用程序，將攻擊面擴(kuò)大到大多數(shù)系統(tǒng)監(jiān)控范圍之外。這些非正式的工作流程繞過了標(biāo)準(zhǔn)保護(hù)措施，導(dǎo)致患者數(shù)據(jù)和核心系統(tǒng)暴露在外，卻無人察覺。——Mark Mahle，NetActuate, Inc.
13.臨床試驗期間數(shù)據(jù)共享不安全
醫(yī)療保健領(lǐng)域一個被忽視的網(wǎng)絡(luò)安全風(fēng)險是臨床試驗期間不安全的數(shù)據(jù)共享。由于利益相關(guān)者眾多且監(jiān)管分散，敏感的患者數(shù)據(jù)經(jīng)常在缺乏統(tǒng)一治理的系統(tǒng)之間流動。該行業(yè)必須采用安全設(shè)計的互操作性框架，在保護(hù)信任的同時，也保障創(chuàng)新?！猂ishi Kumar，MatchingFit
14.醫(yī)療物聯(lián)網(wǎng)設(shè)備產(chǎn)生的不安全數(shù)據(jù)
醫(yī)療保健領(lǐng)域一個關(guān)鍵但討論不足的漏洞是來自輸液泵和智能監(jiān)視器等醫(yī)療物聯(lián)網(wǎng)設(shè)備的數(shù)據(jù)排放。這些設(shè)備持續(xù)傳輸遙測數(shù)據(jù)，通常不安全，從而形成了一個悄無聲息卻巨大的攻擊面。直接在這些設(shè)備上部署基于邊緣的零信任代理可以實時驗證每個出站數(shù)據(jù)包?！狽icola Sfondrini，普華永道
15.具有硬編碼憑證的舊設(shè)備
帶有硬編碼憑證或過時固件的舊式醫(yī)療設(shè)備是一個巨大的盲點。它們通常位于扁平網(wǎng)絡(luò)中，IT團(tuán)隊無法察覺。在EHR數(shù)據(jù)泄露期間，受感染的輸液泵或MRI接口可能會悄悄地提供持續(xù)訪問權(quán)限，將患者護(hù)理工具變成攻擊面。網(wǎng)絡(luò)安全必須不斷發(fā)展，將這些設(shè)備視為端點，而不是例外?！Ｌ仄嚬綬aghu Para
16.繼續(xù)使用傳真機(jī)
醫(yī)療網(wǎng)絡(luò)安全的真正威脅是什么？傳真機(jī)。醫(yī)院仍然通過過時、不安全的系統(tǒng)發(fā)送患者數(shù)據(jù)，因為“這就是慣例”。我們最應(yīng)該擔(dān)心的不是黑客，而是自滿。安全并非來自修補(bǔ)過去的漏洞，而是來自徹底的反思?！狾leg Sadikov，DeviQA
17.缺乏標(biāo)準(zhǔn)化的安全通信協(xié)議
不同公司之間共享安全通信存在風(fēng)險。雖然醫(yī)療保健行業(yè)有HIPAA合規(guī)標(biāo)準(zhǔn)，但目前尚無通信標(biāo)準(zhǔn)。一些數(shù)據(jù)仍然以物理形式交換。當(dāng)數(shù)據(jù)從一個系統(tǒng)轉(zhuǎn)移到另一個系統(tǒng)且未加密時，就會出現(xiàn)漏洞。最佳解決方案是建立使用可變密鑰和算法的通信標(biāo)準(zhǔn)?！猈aiJe Coler，InfoTracer
18.移動設(shè)備的端點安全性薄弱
醫(yī)療網(wǎng)絡(luò)安全領(lǐng)域一個重大但經(jīng)常被忽視的挑戰(zhàn)是，醫(yī)護(hù)人員使用的移動設(shè)備缺乏強(qiáng)大的終端安全保障。這些設(shè)備通常會遠(yuǎn)程訪問敏感的患者數(shù)據(jù)，但許多機(jī)構(gòu)未能實施足夠的安全措施，例如加密和遠(yuǎn)程擦除功能。這增加了數(shù)據(jù)泄露的風(fēng)險?！猂oman Vinogradov，Improvado
19.不安全的DevOps管道
一個經(jīng)常被忽視的風(fēng)險是醫(yī)療技術(shù)棧中不安全的DevOps流水線。快速的CI/CD部署周期（缺乏質(zhì)量控制和網(wǎng)絡(luò)審查）可能會繞過關(guān)鍵的安全門，將未經(jīng)審查的代碼引入患者數(shù)據(jù)環(huán)境。安全的DevSecOps集成不應(yīng)是可有可無的；它是開發(fā)安全代碼的重要方面，對于保護(hù)數(shù)據(jù)完整性和維護(hù)臨床信任至關(guān)重要?！狣an Sorensen
20.缺乏全面的DSPM實踐
醫(yī)療行業(yè)云應(yīng)用的不規(guī)律趨勢、傳統(tǒng)設(shè)備分散的網(wǎng)絡(luò)以及缺乏一致的網(wǎng)絡(luò)安全培訓(xùn)，共同構(gòu)成了惡意軟件和勒索軟件攻擊的絕佳機(jī)會。通過整合全面的數(shù)據(jù)安全態(tài)勢管理，團(tuán)隊可以在不犧牲患者隱私的情況下持續(xù)提升數(shù)字化能力。——Thyaga Vasudevan，Skyhigh Security
特別聲明：智慧醫(yī)療網(wǎng)轉(zhuǎn)載其他網(wǎng)站內(nèi)容，出于傳遞更多信息而非盈利之目的，同時并不代表贊成其觀點或證實其描述，內(nèi)容僅供參考。版權(quán)歸原作者所有，若有侵權(quán)，請聯(lián)系我們刪除。
凡來源注明智慧醫(yī)療網(wǎng)的內(nèi)容為智慧醫(yī)療網(wǎng)原創(chuàng)，轉(zhuǎn)載需獲授權(quán)。
智慧醫(yī)療網(wǎng) ? 2022 版權(quán)所有 ICP備案號：滬ICP備17004559號-5
