想象一下，您的患者數(shù)據(jù)被黑客扣為人質(zhì)。 醫(yī)療保健中的安全威脅 是一個(gè)真正令人擔(dān)憂的問(wèn)題。英國(guó)的醫(yī)療保健行業(yè)最近遭受了有史以來(lái)最大的網(wǎng)絡(luò)攻擊之一。WannaCry 是一種快速發(fā)展的全球勒索軟件攻擊，使 NHS 系統(tǒng)關(guān)閉了幾個(gè)小時(shí)。全國(guó)各地的醫(yī)療機(jī)構(gòu)都無(wú)法訪問(wèn)患者記錄或安排程序。約會(huì)被推遲，手術(shù)被取消，而專(zhuān)家們正在努力解決這個(gè)問(wèn)題。

盡管這次攻擊也影響了其他公司和行業(yè)，但防御不力的醫(yī)療保健系統(tǒng)受到了更大的打擊。這只是表明醫(yī)療機(jī)構(gòu)在多大程度上容易受到網(wǎng)絡(luò)威脅的事件之一。了解如何為醫(yī)療保健領(lǐng)域的最新網(wǎng)絡(luò)安全威脅做好準(zhǔn)備。

防止醫(yī)療保健中的網(wǎng)絡(luò)攻擊和安全漏洞的 11 條提示

1. 考慮威脅切入點(diǎn)

入口點(diǎn)是系統(tǒng)中容易被黑客入侵的漏洞的通用術(shù)語(yǔ)。通過(guò)利用此漏洞，黑客可以部署病毒來(lái)降低您的網(wǎng)絡(luò)速度、訪問(wèn)關(guān)鍵的健康信息或移除防御措施以使您的系統(tǒng)在未來(lái)更易于訪問(wèn)。惡意軟件可以從您的網(wǎng)絡(luò)或操作系統(tǒng)中的任何易受攻擊的地方引入。

員工可能會(huì)在不知不覺(jué)中單擊文件、下載未經(jīng)授權(quán)的軟件或加載受污染的拇指驅(qū)動(dòng)器。此外，當(dāng) 不使用強(qiáng)安全密碼時(shí) ，會(huì)為黑客創(chuàng)建一個(gè)簡(jiǎn)單的入口點(diǎn)。此外，用于存儲(chǔ)患者數(shù)據(jù)的醫(yī)療軟件和 Web 應(yīng)用程序被發(fā)現(xiàn)包含許多漏洞。 Kaspersky Security Bulletin 的醫(yī)療保健網(wǎng)絡(luò)安全 統(tǒng)計(jì)數(shù)據(jù)發(fā)現(xiàn)，大約有 1500 臺(tái)醫(yī)療保健專(zhuān)業(yè)人員用于處理患者圖像的設(shè)備可供開(kāi)放訪問(wèn)。

2. 了解勒索軟件攻擊

勒索軟件攻擊是一種 特定類(lèi)型的惡意軟件 ，它威脅要鎖定一臺(tái)計(jì)算機(jī)或整個(gè)網(wǎng)絡(luò)，除非支付一定金額。贖金也不一定是不可能的高數(shù)字。即使向企業(yè)索要幾百美元，對(duì)于黑客來(lái)說(shuō)仍然很容易賺錢(qián)，而對(duì)于個(gè)人或公司來(lái)說(shuō)，想辦法找回他們的計(jì)算機(jī)也更容易管理。

3. 創(chuàng)建勒索軟件策略

一臺(tái)損壞的計(jì)算機(jī)不一定會(huì)帶來(lái)很大的損害。但是，無(wú)法訪問(wèn)電子記錄所在的更大扇區(qū)的風(fēng)險(xiǎn)可能會(huì)造成破壞，甚至對(duì)患者治療造成危險(xiǎn)。發(fā)生此類(lèi)事件時(shí)，員工必須立即聯(lián)系其醫(yī)療保健 IT 團(tuán)隊(duì)的人員。這應(yīng)該是他們安全 培訓(xùn)和整體安全意識(shí)的一部分。當(dāng)他們看到勒索軟件消息時(shí)，他們必須遵循醫(yī)療保健組織的程序，而不是試圖自己解決問(wèn)題。

當(dāng)局警告不要支付勒索軟件的罪魁禍?zhǔn)祝驗(yàn)椴荒鼙ＷC會(huì)提供密鑰。犯罪分子還可能重新瞄準(zhǔn)過(guò)去曾向他們付款的公司。許多公司通過(guò)報(bào)警然后擦除受影響的計(jì)算機(jī)并將其恢復(fù)到以前的狀態(tài)來(lái)解決勒索軟件攻擊。云數(shù)據(jù)備份可以在發(fā)生攻擊時(shí)輕松恢復(fù)系統(tǒng)。災(zāi)難恢復(fù)計(jì)劃應(yīng)在網(wǎng)絡(luò)安全威脅發(fā)生之前完成。

員工在醫(yī)療保健安全中的角色

4. 注重員工安全培訓(xùn)

網(wǎng)絡(luò)安全專(zhuān)業(yè)人員使用強(qiáng)大的防火墻和其他防御措施，但人為因素仍然是一個(gè)薄弱環(huán)節(jié)，正如 WannaCry 漏洞利用所顯示的那樣。為了盡量減少人為錯(cuò)誤，系統(tǒng)管理員需要不斷提醒所有員工注意危險(xiǎn)行為。這可能包括從下載未經(jīng)授權(quán)的軟件和創(chuàng)建弱密碼到訪問(wèn)惡意網(wǎng)站或使用受感染設(shè)備的任何事情。

教育員工如何識(shí)別合法和可疑的電子郵件、威脅和網(wǎng)站，從而避免 網(wǎng)絡(luò)釣魚(yú)攻擊。（標(biāo)志中不尋常的顏色或不同的詞匯都是警告標(biāo)志）。培訓(xùn)應(yīng)定期更新或針對(duì)不同的員工群體進(jìn)行定制。

5. 創(chuàng)建或擴(kuò)展安全性 衡量風(fēng)險(xiǎn)級(jí)別

應(yīng)為不同的員工群體提供不同的網(wǎng)絡(luò)訪問(wèn)權(quán)限。在醫(yī)院，護(hù)士可能需要與單位內(nèi)的其他工作人員共享信息，但其他部門(mén)沒(méi)有理由看到這一點(diǎn)。來(lái)訪的醫(yī)生可能只能訪問(wèn)其患者的信息。安全設(shè)置應(yīng)監(jiān)控各個(gè)級(jí)別的未經(jīng)授權(quán)的訪問(wèn)或訪問(wèn)嘗試。Digital Guardian 的 Chris Leffel 建議首先進(jìn)行培訓(xùn)/教育，然后限制特定的應(yīng)用程序、區(qū)域和患者醫(yī)療保健數(shù)據(jù)。他還建議要求多因素身份驗(yàn)證，這是額外的保護(hù)層。

6. 醫(yī)療保健行業(yè)網(wǎng)絡(luò)安全應(yīng)超越員工訪問(wèn)權(quán)限

在醫(yī)院被黑客入侵后創(chuàng)建更安全、更強(qiáng)大的系統(tǒng)或改進(jìn)網(wǎng)絡(luò)安全框架時(shí)，應(yīng)牢記患者對(duì)醫(yī)療保健中敏感數(shù)據(jù)安全和 IT 的擔(dān)憂。患者往往已經(jīng)很緊張，不想擔(dān)心數(shù)據(jù)安全。同樣，系統(tǒng)管理員還應(yīng)確保威脅情報(bào)資金仍然是優(yōu)先事項(xiàng)，這意味著繼續(xù)投資于安全計(jì)劃。宣傳您在患者安全工作中采取了額外措施將推動(dòng)更多有安全意識(shí)的患者走上您的道路。患者關(guān)懷。

7. 保護(hù)“智能”設(shè)備上的健康數(shù)據(jù)

臺(tái)式機(jī)、筆記本電腦、手機(jī)和所有醫(yī)療設(shè)備，尤其是那些連接到網(wǎng)絡(luò)的設(shè)備，都應(yīng)該受到監(jiān)控，并具有防病毒保護(hù)、防火墻或相關(guān)防御措施。今天的醫(yī)療中心還擁有其他連接的電子設(shè)備，例如 IV 泵或胰島素監(jiān)視器等醫(yī)療設(shè)備，可將患者信息直接遠(yuǎn)程同步到醫(yī)生的平板電腦或護(hù)士站。這些互連設(shè)備中的許多都可能被黑客入侵、中斷或禁用，這可能會(huì)極大地影響患者護(hù)理。

8. 為您的數(shù)據(jù)考慮云遷移

云為醫(yī)療保健數(shù)據(jù)存儲(chǔ)和備份提供了安全靈活的解決方案。它還提供了按需擴(kuò)展資源的可能性，這可以顯著改善醫(yī)療保健組織管理數(shù)據(jù)的方式。基于云的備份和災(zāi)難恢復(fù)解決方案可確保即使在出現(xiàn)違規(guī)或停機(jī)的情況下患者記錄仍然可用。結(jié)合控制數(shù)據(jù)訪問(wèn)的選項(xiàng)，這些解決方案可以提供所需的安全級(jí)別。借助云，醫(yī)療保健組織不必在關(guān)鍵基礎(chǔ)設(shè)施上進(jìn)行大量投資以進(jìn)行數(shù)據(jù)存儲(chǔ)。 符合 HIPAA 標(biāo)準(zhǔn)的云存儲(chǔ) 可顯著降低 IT 成本，因?yàn)椴恍枰魏斡布顿Y。隨著機(jī)構(gòu)數(shù)據(jù)存儲(chǔ)需求的變化，它還帶來(lái)了新的靈活性。

9. 確保供應(yīng)商合規(guī)

由美國(guó)衛(wèi)生與公眾服務(wù)部和國(guó)土安全部成立的醫(yī)療保健行業(yè)網(wǎng)絡(luò)安全工作組警告供應(yīng)商注意供應(yīng)鏈中的脆弱領(lǐng)域。他們的要求之一是讓供應(yīng)商采取適當(dāng)?shù)拇胧﹣?lái)監(jiān)控和檢測(cè)威脅，并限制對(duì)其系統(tǒng)的訪問(wèn)。保險(xiǎn)公司、基礎(chǔ)設(shè)施提供商和任何其他醫(yī)療保健業(yè)務(wù)合作伙伴必須擁有一塵不染的安全記錄才能保護(hù)醫(yī)療信息。這對(duì)于從第三方供應(yīng)商外包 IT 人員的組織來(lái)說(shuō)尤其重要。

10. HIPAA 合規(guī)性如何提供幫助

較大的醫(yī)療保健組織至少有一個(gè)人致力于確保 HIPAA 合規(guī)性。他們的主要職責(zé)是創(chuàng)建和執(zhí)行安全協(xié)議，以及制定遵循 HIPAA 建議的綜合隱私政策。

對(duì)員工進(jìn)行 HIPAA 法規(guī)教育有助于營(yíng)造安全文化。它還有助于組建特定的 HIPAA 團(tuán)隊(duì)，這些團(tuán)隊(duì)還可以分享有關(guān)如何限制醫(yī)療數(shù)據(jù)或組織中進(jìn)一步網(wǎng)絡(luò)防御的建議。

HIPAA 合規(guī)性是處理醫(yī)療數(shù)據(jù)或與醫(yī)療機(jī)構(gòu)合作時(shí)必須遵循的基本標(biāo)準(zhǔn)。它對(duì)醫(yī)療數(shù)據(jù)安全的整體改善影響顯著，這就是為什么醫(yī)療保健行業(yè)的每個(gè)人都應(yīng)該意識(shí)到這一點(diǎn)。

11.推動(dòng)自上而下的安全計(jì)劃

每個(gè)醫(yī)療機(jī)構(gòu)都可能有安全人員和 IT 團(tuán)隊(duì)，但它們很少重疊。在管理層面增加醫(yī)療網(wǎng)絡(luò)安全職責(zé)，即使是作為行政職位，也可以帶來(lái)多重好處。它可以確保創(chuàng)建、啟動(dòng)和執(zhí)行正確的計(jì)劃，以及為安全計(jì)劃提供資金。面對(duì)網(wǎng)絡(luò)安全威脅，積極主動(dòng)是確保長(zhǎng)期安全的關(guān)鍵。定期風(fēng)險(xiǎn)評(píng)估應(yīng)成為任何醫(yī)療保健提供者的威脅管理計(jì)劃的一部分。