医疗行业网络安全工作的三个关键

6月29日至7月1日，“粤港澳大湾区卫生信息技术高峰论坛暨广东省卫生经济学会信息分会2018年会”在东莞举行。本次高峰论坛邀请到国家卫健委、省卫计委、省政府港澳办、东莞卫健委等机构的领导，以及香港医院管理局和澳门卫生局的领导与专家，广东大中型医院的院长及信息中心主任约500人与会，共同探讨医疗卫生信息行业的新思想、新经验和新分享。

作为专门为政府、军队、企业等机构和组织提供网络安全技术、产品和服务的网络安全龙头企业，360企业安全集团受邀参加论坛，发表题为《医疗信息化改革下网络安全工作的三个关键》主题演讲。

360企业安全集团华南区技术总监林晓明围绕着技术发展、合规保障以及人才培养等三个关键点，分享了360企业安全集团对医疗行业网络安全的新思考和新建议。

随着医疗信息化的不断深入和发展，诊疗数据、疾控数据、健康数据分布在各区医院、妇幼保健院、疾控中心及监管机构的各自数据库中，形成信息孤岛，不利于医疗资源的优化和数据共享。区域医疗卫生平台的建设带来数据的全面整合，形成人口病历库、健康档案库和电子病历三大数据库。

数据的集中化导致原有以医院和单位为传统的网络安全边界逐步消失，信息的共享和大数据的应用也在逐步引领众多医疗行业领域的创新发展。360企业安全基于在安全前沿领域的研究和对医疗领域的深入了解，提出了构建以业务为安全管理对象、以数据泄漏防护为核心、以身份管理为控制基础的医疗网络安全新边界。

林晓明进一步指出，安全防护架构应该围绕医疗业务系统的可用性进行建设，尤其要保障核心HIS系统、医疗协同等业务的安全运行；数据安全的防护架构应该以电子病历和健康数据为对象，防护敏感数据不泄露，达到隐私防护的合规要求；通过一次性密码、多因素身份认证控制并监控内部人员或外包人员对区域医疗数据的访问。

目前，医疗机构正从传统等级保护合规发展到2.0时代，从被动监听过渡到主动监管的方式，医疗监管机构在网络安全的监管层面以及合规要求也在不断变化，医疗单位面临的安全压力随之增加，360企业安全可以提供针对等保2.0的一体化解决方案支持，防患于未然，规避安全风险。

层出不穷的网络安全案件表明，原有的单纯以等保合规为目标的安全建设已经很难防御当前面临的勒索病毒等高级威胁；同时，监管机构仅通过漏洞通告等传统手段，也难以实现对下辖单位的安全威胁进行感知和及时预警。要提高监管机构的预警能力，360建议通过大数据分析技术结合高质量的威胁情报，以及安全分析团队，建设态势感知与预警平台。

针对目前医疗单位面临的切实问题，林晓明就如何通过安全运营能力建设提高网络管理者对安全的信心进行了分享，指出安全运营能力的提高，依赖于安全人才的建设，360企业安全已经针对医疗行业推出多种契合医疗单位所需的各类安全服务，包括安全架构咨询、应急响应服务、勒索病毒防治服务等。

为了应对安全人才的大量缺口，360企业安全还与全国各地共建网络安全学院，培养核心网络安全人才，持续保障网络安全。

来源 360企业安全