您当前的位置是:  首页 > 资讯 > 国内 >
 首页 > 资讯 > 国内 >

危机四伏的业务:新冠肺炎时期的医疗机构信息安全

2020-07-23 09:14:26   作者:瞻博网络安全业务与策略副总裁Samantha Madrid   来源:CTI论坛   评论:0  点击:


  如果让您立刻排列出目前社会环境下的首要需求,会是什么?我敢打赌,无论是您的商业成就、个人需求还是作为公民的社会任务,安全性都处于第一位。在这样特殊的时期,无论是财务安全还是自己及家人的安全与健康,“安全性”这三个字始终是我们所有关注点的重心。不幸的是,网络犯罪份子也熟知我们的“首要任务”,并且会抓住一切机会来利用它们。
  事实上,当整个社会都面对如此多需要考虑的问题时,网络攻击事件的数量确实出现了大幅攀升。社会工程学攻击一直是破坏和入侵网络的有效方式。在社会不稳定期间,人们的精力会不自觉地转移到重要的事情上,比如自己所属的社会群体,和亲人的健康、安全和福祉等。
  几乎每个组织都需要重新评估自己的安全策略并评价风险几率,但有个群体已经深受漏洞和攻击的伤害,那就是医疗行业。是什么让该行业如此易受攻击,从业者又可以做什么来保护自己呢?
  他们掌握关键信息
  医疗机构遭受网络攻击的概率越来越大,因为他们拥有网络犯罪份子可以出售或用于勒索的重要机密信息。由于医疗机构联网设备的数量极其庞大,几乎无法对每一台设备实施单独的有效保护,况且,设备层面上的保护并非万全。
  此外,由于医院的医疗设备是由生产商直接设计和维护的,所以维护它们的安全更具挑战性。而关于医疗设备安全的指导参考也非常少见,所以这一难题就留给了医疗服务的提供者。
  具体来说,医疗行业面临两种安全挑战:
  • 访问者:谁可以使用什么设备?在很多情况下,一台设备是供多人使用的(例如护士站的电脑),让设备出现了更多可攻击漏洞。
  • 覆盖范围:确保这些设备安全的需求(在网络中且拥有IP地址的所有设备)。例如,呼吸机系统和心脏监测系统是无法在设备终端上部署安全软件的。实际上,由于它们受制于严格的监管标准,机器本身根本无法自动更新操作系统或是给漏洞打补丁--这意味着巨大的风险,也让他们更容易成为被攻击的目标。既然在设备中无法安装传统的安全软件,网络就必须能够起到监测和追踪威胁的作用。
  这意味着,网络需要确保设备使用符合规定(只能由受到批准的人使用),并处理来自各种设备和位置受保护的患者及员工的健康信息,同时又要遵守地域规定(例如健康保险可携性及责任性法案(HIPAA)、通用数据保护条例(GDPR)和支付卡行业数据安全标准(PCI DSS)等),还要防止故意或非故意的系统、设备宕机或数据丢失。同时兼顾这一切并不是一件容易的事!
  合规和隐私
  要在不违反合规性与隐私保护的前提下,保护系统老旧的医疗设备,显然是非常困难的。这也是为什么医疗领域的安全性成为了一项独特的挑战。为了保护患者,很多安全技术都会在某种程度上忽略患者信息保密规定。
  要想满足合规性和隐私标准,设备需要提供基于角色访问或分段功能,但老旧系统无法满足。它们也无法提供准确识别潜在威胁所需的安全控制。例如,勒索程序可以在不破坏加密或损害隐私的同时藏匿在加密流量中。并且,加密流量的可见性也越来越低,让隐私与安全之间的平衡更加难以维系。
  从访问和覆盖范围,到合规与隐私,医疗行业正在面临着实现全面保护的艰苦斗争。再考虑到全球疫情蔓延的现状以及那些想趁火打劫的犯罪分子,重大安全事件发生的风险陡然上升。
  安全是一道“全选题”
  无论是从运营还是技术的角度,能够意识到当前挑战就是战胜它的第一步。所以医疗IT团队有必要制定出保障网络中所有设备端到端安全的有效策略。安全不能只是一个单选题,而是必须包括所有选项的“全选题”。抛开设备本身的价值,如果安全性只停留在单独的设备上,那么无论这台设备有多么重要,我们所说的安全问题都不会被完全解决,这样只会将问题推向另一个地方。
  这就是威胁感知网络的作用所在。如果您的网络可以感知威胁,便无需在如何确保所有设备安全的事情上花费心思,因为它的恢复能力可能出乎您的意料。
  在众多医院都将网络隔离,建设独立的分诊设施,为社区居民进行大规模的检测和结果评估之时。部署一个能够更好感知威胁的网络变得至关重要--它可以将安全性覆盖到每一个连接点,并能够检测出堆栈任何位置的威胁。
  将威胁情报(TI)整合进网络也是一个道理。如果用户在系统已经内置TI的情况下遭到攻击,网络则会自动识别感染并将其隔离,从而降低了大面积感染的风险。
  尽管医疗行业面临着许多障碍,但仍有一些方法可以防御恶意攻击。认清网络安全的重要性并树立安全第一的正确思想,可以帮助我们有效阻止网络攻击,从而将主要精力放在当前最重要的事情上--确保人民的安全和健康。
【免责声明】本文仅代表作者本人观点,与CTI论坛无关。CTI论坛对文中陈述、观点判断保持中立,不对所包含内容的准确性、可靠性或完整性提供任何明示或暗示的保证。请读者仅作参考,并请自行承担全部责任。

专题

CTI论坛会员企业