2015年2月，美國第二大醫(yī)療保險公司Anthem宣布黑客盜取了公司超過8000萬客戶的個人信息，包括了用戶家庭住址、生日、社保號和個人收入信息。此次泄露成為美國有史以來最嚴重的醫(yī)療信息泄露事件。2015年5月，美國聯(lián)邦醫(yī)療服務商Blue Cross Blue Shield(BCBS)旗下的CareFirst保險公司宣布因為黑客攻擊，1100萬用戶信息泄露。2015年9月，一家名為Excellus保險商被黑客入侵，近千萬用戶信息遭到泄露。根據美國衛(wèi)生與公民服務部(HHS)的統(tǒng)計：近3年來，影響超過500人次的醫(yī)療信息泄露事件發(fā)生次數沒有大幅度增長，但是受泄露所影響的人數呈現出“爆發(fā)式”增長。2015年因各種原因導致的醫(yī)療信息泄露事件累計影響達到了驚人的1.1億人，是之前五年泄露人數總和的2.7倍，相當于三分之一的美國人的醫(yī)療信息出現了安全問題。2016年前三個月，已經發(fā)生了51起泄露事件，牽扯人數達到347萬。IBM下屬的長期關注網絡信息安全的X-Force研究機構將2015年稱之為“醫(yī)療信息安全爆發(fā)之年”。
大洋彼岸的我們此刻也處在“互聯(lián)網+醫(yī)療”概念爆發(fā)的階段。一時間無數醫(yī)療健康類APP、網頁等產品蜂擁上線。我們先不去探討如此眾多的產品究竟能給用戶帶來多少有價值的醫(yī)療服務，首先來關注能否確保用戶的個人信息安全。我們在國內知名的網絡安全網站“烏云”上以“醫(yī)院”為關鍵詞進行搜索，查找出超過600條漏洞。三分之一的漏洞都在近兩年內被“白帽子”發(fā)現上報的。這些安全漏洞，有的是醫(yī)院信息系統(tǒng)建設漏洞，有的是互聯(lián)網醫(yī)療公司網站漏洞，幾乎涵蓋了當前所有與互聯(lián)網醫(yī)療相關的方方面面。泄露的內容也頗為驚人，包含了大量的患者基本信息和病歷信息。更加讓人擔憂的是，絕大多數發(fā)現漏洞的“白帽子”反映，造成這些漏洞的技術問題相對較為低級，在其他成熟的互聯(lián)網行業(yè)已經很難遇到這么低級的錯誤了。這也從一個側面反應了目前國內醫(yī)療信息安全防護意識和能力都急待提高。
通過對2010至2015年美國醫(yī)療信息泄露事件總結分析后發(fā)現了以下三個明顯趨勢：
保險公司成為醫(yī)療信息泄露主要來源。個人醫(yī)療信息主要從以下三大類機構中泄露：醫(yī)療保險商、醫(yī)療機構和商業(yè)合作公司。商業(yè)合作公司的醫(yī)療信息泄露事件從次數和影響人數上都呈下降趨勢。醫(yī)療保險商和醫(yī)療機構泄露事件和影響人數卻在不斷上升。特別值得注意是，醫(yī)療保險商服務用戶數眾多，一旦發(fā)生泄露事件將導致“毀滅性”災難。
黑客入侵成為主要的直接泄露原因。泄露的原因主要有以下五大類：黑客入侵、使用者處置不當、非法登陸、丟失和被竊。近兩年以來，黑客入侵和非法登陸事件次數明顯增多，已經取代了被竊成為最主要的泄露原因。從泄露的人數上來看，黑客入侵也在近兩年內泄露人數快速增長的主要原因。
服務器是造成信息大量泄露的主要渠道。信息泄露主要有以下幾種渠道：臺式電腦、筆記本電腦、服務器、電子醫(yī)療檔案、電子郵件和傳統(tǒng)紙質檔案。紙質病歷泄露事件次數雖然較多，但影響的人數相對有限。因服務器泄露所影響的人數占到了總人數的89%，這與之前所發(fā)現的黑客入侵事件逐年增多有關。
“冰凍三尺非一日之寒”醫(yī)療信息泄露爆發(fā)式增長的原因還得從醫(yī)療和保險機構自身內部說起。
首先，在奧巴馬政府大力推行醫(yī)療信息化普及的大背景下，近些年美國醫(yī)療機構使用信息化系統(tǒng)的比例不斷提高，機構間共享數據也更加普遍。醫(yī)療信息數據正在以幾何倍數增長，這直接增加了泄露發(fā)生的可能。
其次，雖然美國醫(yī)療信息化軟件代表著當前一流水平，但是由于醫(yī)療機構內和醫(yī)療機構之間，軟件“碎片化”嚴重。多數軟件在設計之初，并沒與完全考慮到未來互聯(lián)互通時可能存在的安全問題，留下了很多安全隱患漏洞。據調查，美國41%的醫(yī)療機構沒有對醫(yī)療數據進行加密處理，一半的醫(yī)療機構無法有效預防和應對信息安全泄露。
還有，絕大多數醫(yī)院負責信息系統(tǒng)維護的部門都處于人員短缺的狀態(tài)，美國47%的醫(yī)療機構沒有足夠的信息安全專家，加上長期以來醫(yī)務人員缺乏關于信息安全的有效培訓。這些都增加了信息安全泄露的風險。
相比上面所提到的三大內部因素，現在來自外部的因素正在成為信息泄露的主要驅動力。黑客們已經發(fā)現這是一條穩(wěn)定的“生財之道”。黑客利用醫(yī)療信息安全漏洞獲利的方式主要可以分為以下兩大類。一是利用泄露的信息直接“變現”。在黑市上，個人醫(yī)療信息的價值比信用卡信息要高50倍。因為它里面包括了患者的個人基本信息、財務信息和健康信息等多種敏感數據。不法分子可以利用這些信息進行詐騙、勒索等行為。二是利用安全漏洞間接“變現”。主要的手段是通過網絡安全漏洞控制醫(yī)院網絡系統(tǒng)，進而向醫(yī)院索要贖金。目前在美國，第二種“間接”的手段，正在成為主要的安全危害。今年2月份發(fā)生在洛杉磯長老會醫(yī)院的網絡安全事件極具代表性。黑客通過利用惡意軟件滲透入醫(yī)院網絡系統(tǒng)，對系統(tǒng)內的文件進行加密，使全部電子病歷數據無法使用，再以解鎖密鑰作為籌碼向醫(yī)院索取贖金。雖然，醫(yī)院負責人聲稱患者或員工的信息數據沒有被黑客非法利用。但是由于醫(yī)務人員只能靠手工工作，效率明顯降低;患者也無法獲取在線病歷和化驗結果，只好轉往其他醫(yī)院。醫(yī)院在嘗試各種辦法都無法恢復系統(tǒng)之后，只好向黑客支付了40比特幣(一種虛擬電子貨幣，價值1.7萬美元)才得以恢復正常運行。對于一個擁有400多張病床的醫(yī)院來說，支付1.7萬美金贖金可能并不算太多。但是這種以攻擊醫(yī)院信息系統(tǒng)、要挾贖金謀利的“閉環(huán)”模式一旦成熟，必將會有更多的“黑手”伸向醫(yī)院。
根據美國一家名為Royal Jay軟件公司統(tǒng)計，因為醫(yī)療信息泄露帶給整個醫(yī)療行業(yè)的損失高達每年60億美元，平均每次泄露會給醫(yī)院造成350萬美元的損失，會給個人造成近400美元的損失。在黑客眼中，醫(yī)療保險機構的安全漏洞“多如牛毛”，通過簡單的滲透破壞就能索要贖金，還能夠利用比特幣這樣的電子虛擬貨幣來隱蔽交易，讓執(zhí)法者更加難以追蹤破案。對患者和醫(yī)療機構而言，因為信息安全“破財消災”只是“噩夢”的開始，潛在的最大危害是黑客利用網絡安全漏洞直接對醫(yī)療設備進行控制進而危害醫(yī)療安全和患者生命。在“互聯(lián)網+”的浪潮中，我們?yōu)榱双@取更多的用戶信息，將許多傳統(tǒng)設備接入網絡，相當于在原本就不牢固的屏障中增加了許多扇不上鎖的大門。
羅馬不是一天建成的，建設醫(yī)療信息安全“護城墻”任重而道遠。
美國政府有關機構已經開始與不少廠商已經嘗試聯(lián)手，加強網絡安全防護，防范與日俱增的風險。2013年，美國FDA向醫(yī)療設備生產廠商發(fā)出提醒，建議其評估有關產品的網絡安全。2014年10月，美國FDA發(fā)布了醫(yī)療設備網絡安全功能指南，提醒醫(yī)療設備廠商加強設備的安全性，防止被攻擊者利用。2015年，各類醫(yī)療設備和醫(yī)療保險商網絡安全事件頻發(fā)，甚至引起了美國國土安全部的關注。2016年1月，美國FDA針對醫(yī)療設備網絡安全公布了一份指南草案，其中包括了一系列關于增強設備安全性的具體指導。從政府到醫(yī)療設備廠商、醫(yī)療保險商和醫(yī)療機構一副嚴陣以待，大敵當前的態(tài)勢。
現階段，我們還只是看到了有不法之徒利用網絡安全漏洞行“謀財”一事。遲早，我們會看到有人利用漏洞干“害命”的勾當。這才是最令人感到不寒而栗的事情。雖然我們不是網絡安全專家，但在這里還是想為醫(yī)療機構和有關廠商提幾點建議：1、不要高估自己的網絡安全防護能力;2、加強員工網絡安全培訓;3、考慮與第三方專業(yè)機構合作進行網絡安全建設;4、建立一套周全的應急方案應對信息泄露事件。
重視數據的安全，就是重視用戶的安全。
未來，類似前面提到的洛杉磯長老會醫(yī)院“被黑”的悲劇肯定還會出現。機構和廠商加強網絡安全建設的同時，只有“祈禱”自己不會成為黑客的下一個目標。
a&s傳媒是全球知名展覽公司法蘭克福展覽集團旗下的專業(yè)媒體平臺，自1994年品牌成立以來，一直專注于安全&自動化產業(yè)前沿產品、技術及市場趨勢的專業(yè)媒體傳播和品牌服務。從安全管理到產業(yè)數字化，a&s傳媒擁有首屈一指的國際行業(yè)展覽會資源以及豐富的媒體經驗，提供媒體、活動、展會等整合營銷服務。
粵公網安備 44030402000264號
