少有行業(yè)像醫(yī)療保健行業(yè)一樣，面臨著如此復雜且高風險的數字環(huán)境，一次數據泄露就可能危及患者和醫(yī)療服務提供者的安全。雖然HIPAA合規(guī)性和患者隱私是大多數網絡安全討論的焦點，但許多其他關鍵威脅仍然被忽視——隱藏在工作流程、醫(yī)療設備和第三方合作伙伴關系中。這些漏洞可能會被悄無聲息地利用，有時甚至長達數月，直到被發(fā)現。
下文，揭示了醫(yī)療保健領域最容易被忽視的網絡安全挑戰(zhàn)。他們解釋了為何應對這些風險對于保障患者護理、維護合規(guī)性以及維護醫(yī)療保健系統的信任至關重要。
1.老化、互聯的設備和軟件
最大的弱點在于差異巨大的醫(yī)療設備和軟件之間的互操作性，以及它們之間的堆棧和使用年限。該行業(yè)依賴的互聯技術從尖端到已有20年歷史，不一而足。這迫使先進的系統與安全性較低的系統進行通信，不可避免地將安全性降至最低，并使生態(tài)系統在其最薄弱的環(huán)節(jié)變得脆弱?！狦unter Ollmann，Cobalt
2.供應商的電子郵件系統
我們在內部安全方面投入巨資，但真正的風險往往來自供應商的收件箱。電子郵件仍然是最主要的攻擊媒介，而防御薄弱的第三方合作伙伴則將我們所有人都置于風險之中?，F在是時候讓我們的生態(tài)系統達到更高的標準了——在身份驗證、網絡釣魚防范和賬戶盜用防護方面提出一些尖銳的問題。——Eyal Benishti，IRONSCALES
3.第三方軟件和設備
許多醫(yī)院和醫(yī)療系統依賴數十種（有時甚至數百種）第三方工具：電子健康記錄插件、診斷系統、計費平臺以及物聯網醫(yī)療設備。這些供應商通常需要訪問敏感的患者數據或內部網絡；然而，他們可能不像醫(yī)療機構本身那樣遵守相同的安全和合規(guī)標準?！狫onathan Stewart，ZenSource
4.網絡釣魚攻擊
一個被忽視的挑戰(zhàn)是針對醫(yī)療保健機構的網絡釣魚攻擊數量之巨。黑客瞄準寶貴的患者數據，利用過時的系統、龐大的供應鏈和有限的安全培訓，誘騙員工點擊鏈接或與企業(yè)電子郵件入侵攻擊進行交互。這可能導致勒索軟件的出現，而醫(yī)療保健機構更有可能支付勒索軟件費用以維持關鍵服務的運行?！狹ike Britton，Abnormal AI
5.過時的遺留系統
過時的遺留系統是一個被忽視的重大弱點。較長的折舊周期意味著關鍵的聯網醫(yī)療設備和軟件通常無法更新，迫使人們依賴易受攻擊的舊策略。這一普遍存在的問題造成了巨大的網絡攻擊面。更好的控制、可視性和微分段對于限制訪問和減輕損害至關重要，直到可以修復為止?！狤rez Tadmor，Tufin
6.缺乏一線網絡安全培訓
一線員工通常缺乏足夠的網絡安全培訓，這讓他們容易受到社會工程學攻擊。例如，一個能言善辯的病人可能會分散臨床醫(yī)生的注意力，導致醫(yī)生在離開房間前忘記鎖上工作站。這可能會泄露敏感數據，包括個人身份信息和其他患者的健康記錄，從而對隱私和醫(yī)療系統安全構成嚴重風險。——Sunny Banerjee，第一公民銀行
7.人工智能驅動系統中缺少數據沿襲
在當今人工智能驅動的醫(yī)療保健服務中，一個鮮為人知的重大缺口是數據沿襲。我們癡迷于加密和訪問控制，卻很少問：“數據從何而來？它是如何被篡改的？又是誰觸碰了它？” 如果沒有清晰的追蹤，靜默腐敗和模型中毒就會悄無聲息地潛入，隨著時間的推移，診斷的準確性、人工智能的性能和患者的信任度都會逐漸下降?！狵iran Elengickal，Siemba
8.本地服務器
醫(yī)療保健領域一個被忽視的網絡安全風險是對本地服務器的依賴。許多機構仍然將敏感的患者數據存儲在本地，缺乏定期更新、備份或監(jiān)控。這造成了嚴重的漏洞?；谠频钠脚_擁有管理完善的開放API，可以提供集中式安全保障以及更安全、可擴展的集成?！狤ric Giesecke，Planet DDS
9.手動證書管理
醫(yī)療保健網絡安全中一個被忽視的挑戰(zhàn)是手動證書管理。過期或配置錯誤的數字證書可能會導致EHR系統癱瘓、延誤護理并危及患者安全。自動化證書生命周期管理對于維護安全、不間斷的運營至關重要?！狫ason Sabin，DigiCert Inc.
10.數據孤島和BMA
一個被忽視的弱點或挑戰(zhàn)是數據孤島和業(yè)務管理應用程序。BMA在安全準則方面往往不被重視，并且始終面臨數據泄露的風險。BMA還往往面臨不同層面的合規(guī)性違規(guī)風險。財務分析或運營分析的風險更高，因為它們涉及高度敏感和關鍵的數據。——Sanath Chilakala，NTT Data
11.過期的醫(yī)療器械
醫(yī)療保健領域一個重大的網絡安全風險是過時的醫(yī)療設備。許多設備使用的是昂貴的舊版軟件，每次更新都費力不討好，很容易成為網絡攻擊者的攻擊目標。由于加密技術有限，而且更換的可能性很小，這些設備仍然被接入敏感網絡，危及患者和客戶記錄的完整性?！猄reekanth Narayan，LTIMindtree
12.影子IT和BYOD實踐
醫(yī)療保健領域的影子IT和自帶設備（BYOD）做法，例如工作人員為了方便使用個人設備或應用程序，將攻擊面擴大到大多數系統監(jiān)控范圍之外。這些非正式的工作流程繞過了標準保護措施，導致患者數據和核心系統暴露在外，卻無人察覺?！狹ark Mahle，NetActuate, Inc.
13.臨床試驗期間數據共享不安全
醫(yī)療保健領域一個被忽視的網絡安全風險是臨床試驗期間不安全的數據共享。由于利益相關者眾多且監(jiān)管分散，敏感的患者數據經常在缺乏統一治理的系統之間流動。該行業(yè)必須采用安全設計的互操作性框架，在保護信任的同時，也保障創(chuàng)新?！猂ishi Kumar，MatchingFit
14.醫(yī)療物聯網設備產生的不安全數據
醫(yī)療保健領域一個關鍵但討論不足的漏洞是來自輸液泵和智能監(jiān)視器等醫(yī)療物聯網設備的數據排放。這些設備持續(xù)傳輸遙測數據，通常不安全，從而形成了一個悄無聲息卻巨大的攻擊面。直接在這些設備上部署基于邊緣的零信任代理可以實時驗證每個出站數據包。——Nicola Sfondrini，普華永道
15.具有硬編碼憑證的舊設備
帶有硬編碼憑證或過時固件的舊式醫(yī)療設備是一個巨大的盲點。它們通常位于扁平網絡中，IT團隊無法察覺。在EHR數據泄露期間，受感染的輸液泵或MRI接口可能會悄悄地提供持續(xù)訪問權限，將患者護理工具變成攻擊面。網絡安全必須不斷發(fā)展，將這些設備視為端點，而不是例外。——福特汽車公司Raghu Para
16.繼續(xù)使用傳真機
醫(yī)療網絡安全的真正威脅是什么？傳真機。醫(yī)院仍然通過過時、不安全的系統發(fā)送患者數據，因為“這就是慣例”。我們最應該擔心的不是黑客，而是自滿。安全并非來自修補過去的漏洞，而是來自徹底的反思?！狾leg Sadikov，DeviQA
17.缺乏標準化的安全通信協議
不同公司之間共享安全通信存在風險。雖然醫(yī)療保健行業(yè)有HIPAA合規(guī)標準，但目前尚無通信標準。一些數據仍然以物理形式交換。當數據從一個系統轉移到另一個系統且未加密時，就會出現漏洞。最佳解決方案是建立使用可變密鑰和算法的通信標準?！猈aiJe Coler，InfoTracer
18.移動設備的端點安全性薄弱
醫(yī)療網絡安全領域一個重大但經常被忽視的挑戰(zhàn)是，醫(yī)護人員使用的移動設備缺乏強大的終端安全保障。這些設備通常會遠程訪問敏感的患者數據，但許多機構未能實施足夠的安全措施，例如加密和遠程擦除功能。這增加了數據泄露的風險?！猂oman Vinogradov，Improvado
19.不安全的DevOps管道
一個經常被忽視的風險是醫(yī)療技術棧中不安全的DevOps流水線?？焖俚腃I/CD部署周期（缺乏質量控制和網絡審查）可能會繞過關鍵的安全門，將未經審查的代碼引入患者數據環(huán)境。安全的DevSecOps集成不應是可有可無的；它是開發(fā)安全代碼的重要方面，對于保護數據完整性和維護臨床信任至關重要?！狣an Sorensen
20.缺乏全面的DSPM實踐
醫(yī)療行業(yè)云應用的不規(guī)律趨勢、傳統設備分散的網絡以及缺乏一致的網絡安全培訓，共同構成了惡意軟件和勒索軟件攻擊的絕佳機會。通過整合全面的數據安全態(tài)勢管理，團隊可以在不犧牲患者隱私的情況下持續(xù)提升數字化能力?！猅hyaga Vasudevan，Skyhigh Security
特別聲明：智慧醫(yī)療網轉載其他網站內容，出于傳遞更多信息而非盈利之目的，同時并不代表贊成其觀點或證實其描述，內容僅供參考。版權歸原作者所有，若有侵權，請聯系我們刪除。
凡來源注明智慧醫(yī)療網的內容為智慧醫(yī)療網原創(chuàng)，轉載需獲授權。
