我國非常重視網(wǎng)絡(luò)空間的安全，推出了系列法律法規(guī)和政策。“十四五”期間，國家層面網(wǎng)絡(luò)空間安全推出了以下法律法規(guī)和政策：2021年1月，發(fā)布《中華人民共和國個人信息保護(hù)法》；2021年9月，發(fā)布《中華人民共和國數(shù)據(jù)安全法》；2021年9月，發(fā)布《關(guān)鍵信息基礎(chǔ)設(shè)施保護(hù)條例》；2022年2月，發(fā)布 《網(wǎng)絡(luò)安全審查辦法》。“相關(guān)統(tǒng)計(jì)數(shù)據(jù)顯示，醫(yī)療行業(yè)總體處于‘較大風(fēng)險’級別，發(fā)生安全事件頻率較高。” 中南大學(xué)湘雅二醫(yī)院信息網(wǎng)絡(luò)中心主任朱洪濤強(qiáng)調(diào)，通過對15339家醫(yī)療行業(yè)相關(guān)單位的觀測，存在僵尸、木馬或蠕蟲等惡意程序的單位共計(jì)1029家，應(yīng)用服務(wù)端口暴露在公共互聯(lián)網(wǎng)中的單位有6446家，網(wǎng)站存在被篡改安全隱患的單位有4546家，其中261家單位已發(fā)生網(wǎng)站被篡改情況。

　　“醫(yī)療行業(yè)發(fā)生網(wǎng)絡(luò)安全事件的原因以漏洞利用和惡意程序?yàn)橹鳎┒蠢谜急?66.0%，惡意程序占比 29.7%，其他類型占比 4.3%。”朱洪濤介紹，從醫(yī)療行業(yè)被攻陷系統(tǒng)的損失來看，數(shù)據(jù)丟失占比最高，達(dá) 29.8%；其次是系統(tǒng)(網(wǎng)絡(luò)) 不可用，占比 16.7%；生產(chǎn)效率低下排第三，占比 11.9%。

面臨的主要安全問題及應(yīng)對策略

　　朱洪濤強(qiáng)調(diào)，醫(yī)院在網(wǎng)絡(luò)安全方面，目前主要面臨以下挑戰(zhàn)：網(wǎng)絡(luò)結(jié)構(gòu)不合理，網(wǎng)絡(luò)邊界不明確；網(wǎng)絡(luò)訪問控制策略未細(xì)化；缺少基礎(chǔ)安全防護(hù)設(shè)備或者配置使用不到位；內(nèi)外網(wǎng)未進(jìn)行嚴(yán)格的隔離措施；無線網(wǎng)絡(luò)未實(shí)現(xiàn)實(shí)名制、訪問審計(jì)。對此，朱洪濤提出了以下應(yīng)對建議：明確清晰的網(wǎng)絡(luò)結(jié)構(gòu)，劃分明確Vlan，梳理網(wǎng)絡(luò)邊界，各Vlan和邊界細(xì)化網(wǎng)絡(luò)訪問控制網(wǎng)絡(luò)訪問控制策略未細(xì)化以合規(guī)性為基礎(chǔ)，部署網(wǎng)絡(luò)安全防護(hù)及審計(jì)設(shè)備，以自身業(yè)務(wù)安全需求加強(qiáng)防護(hù)措施內(nèi)、外網(wǎng)需要嚴(yán)格的隔離措施無線接入實(shí)現(xiàn)實(shí)名制，及網(wǎng)絡(luò)訪問審計(jì)。

　　在主機(jī)安全方面，醫(yī)院主要面臨以下挑戰(zhàn)：系統(tǒng)(操作系統(tǒng)、數(shù)據(jù)庫)弱口令；未及時更新系統(tǒng)補(bǔ)丁；未安裝統(tǒng)一的防病毒系統(tǒng)或未定期升級，未對桌面安全進(jìn)行管控，未關(guān)閉USB口和實(shí)施準(zhǔn)入；未對操作行為進(jìn)行運(yùn)維審計(jì)。為保障主機(jī)安全，朱洪濤提出了以下建議：必須設(shè)置復(fù)雜口令，打好補(bǔ)丁，加強(qiáng)病毒防護(hù)，做好桌面管理和運(yùn)維審計(jì)。

　　在數(shù)據(jù)安全方面，醫(yī)院主要面臨以下挑戰(zhàn)：數(shù)據(jù)備份不及時，未進(jìn)行異地備份；生產(chǎn)系統(tǒng)與備份系統(tǒng)未隔離和異構(gòu)。對此，朱洪濤提出如下應(yīng)對建議：按照一份多個副本，本地生產(chǎn)副本和備份副本(數(shù)據(jù)庫設(shè)置在線備份)，異地有一份副本；生產(chǎn)系統(tǒng)和備份系統(tǒng)不在同一個存儲上，備份操作系統(tǒng)異構(gòu)，并且IP和端口設(shè)定了嚴(yán)格的訪問協(xié)議。

　　在安全管理方面，醫(yī)院主要面臨以下挑戰(zhàn)：未對醫(yī)院員工網(wǎng)絡(luò)安全教育培訓(xùn)；欠缺專業(yè)的安全管理、運(yùn)維人員；新系統(tǒng)未進(jìn)行上線安全測試，未定期開展安全評估；網(wǎng)絡(luò)運(yùn)行日志未留存六個月；安全管理中心沒有集中管控的工具。對此，朱洪濤提出如下應(yīng)對建議：加強(qiáng)安全管理和意識；合規(guī)化的安全防護(hù)及審計(jì)設(shè)備；定級、備案、等級保護(hù)測評；全面化的風(fēng)險評估；安全方面人才隊(duì)伍；專業(yè)安全服務(wù)外包，可考慮采用MSS安全運(yùn)營服務(wù)和其他專項(xiàng)服務(wù)結(jié)合的方式；采用專業(yè)的網(wǎng)管軟件以及具有APT探測功能的SOC平臺進(jìn)行集中化、可視化的管理。

應(yīng)用層面安全問題及應(yīng)對

　　朱洪濤進(jìn)一步指出，醫(yī)院應(yīng)用層面主要面臨以下安全問題：業(yè)務(wù)系統(tǒng)弱口令；應(yīng)用接口缺乏身份認(rèn)證；SQL注入漏洞；文件上傳漏洞；跨站腳本漏洞；越權(quán)訪問(信息泄露)；Docker Remote API未授權(quán)訪問漏洞；shiro反序列化漏洞；log4j遠(yuǎn)程代碼執(zhí)行漏洞等。

　　針對業(yè)務(wù)系統(tǒng)弱口令這一挑戰(zhàn)，朱洪濤認(rèn)為：“必須設(shè)置復(fù)雜口令，建議8位以上，數(shù)字、大、小寫字母、特殊符號等至少三種組合；初始口令符合密碼復(fù)雜度要求；用戶第一次登錄必須修復(fù)初始口令。應(yīng)用程序應(yīng)滿足密碼復(fù)雜度要求，同時做好登錄失敗策略。”

　　對于接口未進(jìn)行身份認(rèn)證這一挑戰(zhàn)，朱洪濤建議：“對接口必須進(jìn)行身份認(rèn)證處理。接口上線前進(jìn)行安全性評估，涉及內(nèi)網(wǎng)的接口，外網(wǎng)需要訪問，建議使用網(wǎng)閘或訪問控制設(shè)備進(jìn)行隔離或控制。”

　　針對SQL注入漏洞，朱洪濤提出了如下應(yīng)對措施：服務(wù)器端對客戶端提交數(shù)據(jù)進(jìn)行嚴(yán)格校驗(yàn)，對于數(shù)字型參數(shù)進(jìn)行是否為數(shù)字檢驗(yàn)；對于字符型參數(shù)可以根據(jù)參數(shù)類別進(jìn)行判斷校驗(yàn)，限制參數(shù)長度，過濾SQL語句及特殊字符等；前端不使用完整的拼接式語句，只傳遞對應(yīng)參數(shù)；程序?qū)崿F(xiàn)以預(yù)編譯方式執(zhí)行語句將有效避免SQL注入攻擊；使用WEB應(yīng)用防護(hù)系統(tǒng)進(jìn)行防護(hù)(保持最新的特征庫)。

　　為保障醫(yī)院軟件供應(yīng)鏈安全，朱洪濤認(rèn)為可使用軟件成分分析Software Compostition Analysis(SCA)安全檢測工具，對供應(yīng)商、外包開發(fā)商提供軟件系統(tǒng)進(jìn)行安全漏洞檢測，確定知識產(chǎn)權(quán)許可正規(guī)合法、暴露軟件中開源組件的安全風(fēng)險，從而進(jìn)行安全漏洞修復(fù)保證軟件質(zhì)量。

　　“只要醫(yī)院的服務(wù)器和終端還連在網(wǎng)絡(luò)上，我們的信息系統(tǒng)和數(shù)據(jù)就處在風(fēng)險之中。網(wǎng)絡(luò)安全與醫(yī)院業(yè)務(wù)應(yīng)用系統(tǒng)共生存。安全和便捷將作為矛盾存在。網(wǎng)絡(luò)安全問題往往是一系列的疏忽造成的。網(wǎng)絡(luò)安全絕對不是簡單的設(shè)備堆砌，使用和管理更重要。只要網(wǎng)絡(luò)還存在，醫(yī)院安全就是一個永恒的主題。”朱洪濤表示。