前沿 | 医疗机构网络信息安全主要风险分析及对策建议

文 | 北京市卫生健康委员会副主任 严进

医疗机构的信息化系统具有业务复杂、数据密集、服务受众广泛、连续性要求高等特点，其网络信息安全问题需高度关注。结合医疗机构的业务特点和信息化系统现状，本文对其网络信息安全风险进行了分析和归纳，并针对性提出对策建议。

医疗机构网络信息安全风险具有一定的行业特殊性，主要体现在网络安全风险、数据安全风险、应用安全风险和人工智能安全风险等方面。

（一）网络安全风险。互联网暴露是网络风险的最大源头。医疗机构的业务特点决定了信息系统在互联网上存在暴露面，医疗机构往往都有独立的App、小程序或公众号，用于预约挂号、报告查询等面向患者的服务，有的医疗机构甚至有多个互联网业务出口。如果对这些互联网暴露面管理不善，未建立完整的互联网暴露资产台账，系统、端口、域名、应用等底数不清，非必要系统暴露在外，就可能发生网络安全风险。此外，医疗机构往往还与其他专网有业务交互，如卫生专网、医保结算专网、政务网络等，若相互之间隔离管控措施不到位，攻击者可以利用某一个网络为突破口，侵入其他业务系统，造成风险扩散。

（二）数据安全风险。医疗机构的数据量大，涉及大量患者隐私信息，敏感程度高，一旦发生风险，后果不堪设想。数据安全管理的典型问题是数据资产底数不清，未建立分类分级管理制度，数据全生命周期管理机制不健全。包含患者隐私信息的数据权限管控粗放，存在内部越权查询、违规导出、非法拷贝现象。未建立医院内部数据开发利用制度，无法有效引导合理数据应用需求。对与医院内部系统存在数据交互的外部系统供应链管理不到位，导致数据泄露风险发生。

（三）应用安全风险。按照不同服务对象分类，医疗机构信息系统可分为服务公众、服务医生、服务管理决策等不同类别的应用。服务公众的应用一旦出现问题，发生舆情的风险最高。例如，挂号平台、自助机、排队叫号系统等出现故障，导致短时间内患者在诊区聚集，产生舆情。服务医生的应用中风险最大的是服务一线临床的应用（如HIS、临床检验、放射影像等业务系统），一旦业务连续性受到影响，将导致医生临床业务中断及公众问诊受到影响。服务管理决策的应用，在业务连续性上的风险较低，但对于数据真实性的要求较高，一旦系统出错将导致决策偏移。

（四）人工智能安全风险。参照应用分类方法，医疗机构人工智能应用可分为服务公众、服务医生、服务管理决策等类别。根据风险可能导致的后果严重程度不同，服务医生的人工智能应用中，辅助临床决策的人工智能应用风险等级最高，一旦发生错误将导致误诊、漏诊等严重后果，对患者生命健康造成重大影响。此外，人工智能应用的风险因素还包括意识形态、算法歧视、伦理安全等。

医疗机构一旦发生网络信息安全事件，究其原因往往是管理问题与技术问题相互交织，具体体现在以下三个方面。

首先，重视不足。具体表现为“重发展，轻安全；重建设，轻运维”。对于信息系统而言，发展与安全，建设与运维均是一体两面，需统筹兼顾。安全重视不足导致对安全的认识不到位，把安全问题单纯地看作是技术问题，从而缺乏制度、管理、技术、投入等多维度的系统谋划。

其次，投入不足。在经费投入方面，安全运维、渗透测试、攻防演练等需要长期投入；服务器、交换机、防火墙等关键设备长期高负荷运转。网络信息安全作为一个“没有硝烟的战场”，投入不足将显著增加安全事件发生概率。

最后，能力不足。在人员投入方面，医疗机构信息化管理部门多由其他信息化人员兼任，普遍缺少专职网络信息安全人员，安全运维往往停留在被动应对层面。新技术的迭代发展带来新的应用场景，也带来新的风险因素，对人员能力提出更高要求，需要专业的网络信息安全人才队伍。

基于上述分析，可考虑从加强制度建设保障、开展分类分级管理、强化安全能力建设、提升安全保障水平等方面，采取针对性措施，提升医疗机构网络信息安全防范水平。

（一）加强制度建设保障。面对日益复杂的内外部环境，为了有效防范网络信息安全风险，医疗机构应将其纳入重要议事日程，针对如何有效防范化解风险建章立制。要明确组织架构、工作目标、主要任务、职责分工、保障措施等关键内容，通过统筹内外部资源，加强有效组织调度，为防范网络信息安全风险提供坚实有力的制度保障。

（二）开展分类分级管理。结合本机构业务规模、业务特点，对网络、数据、应用、人工智能等不同类别的安全风险进行针对性分析，按照风险事件带来的损害程度进行风险等级评估。根据各个类别风险等级高低不同，形成与风险等级匹配的预防和处置方法，提高风险防范与处置的针对性。例如，在网络安全风险方面，可重点针对互联网暴露面采取针对性措施，采用减少暴露面、开展攻防演练等手段，提高防范水平；在数据安全风险方面，可对数据资源建立台账，针对重要敏感数据采取权限控制、传输加密、匿名化处理等不同方式，提高数据安全管理水平；在应用安全方面，针对受众面广、风险高的重点应用，通过升级为主备双活架构、加强日常巡检、制定熔断策略等方式，确保应用的连续性；在人工智能安全风险方面，针对辅助医生重要决策的人工智能应用，要建立事前评测、事中监测、风险识别、分类处置的管理闭环。

（三）强化安全能力建设。加强医疗机构网络信息安全专职人员的培养，对其开展针对性培训，从理论和实战层面不断提升水平。依托行业相关学会协会，整合行业内外专家与技术资源，组建一支常备的网络信息安全应急响应队伍，提升快速处置能力。对网络信息安全典型事例及时进行复盘，对优秀经验开展总结，供各医疗机构学习借鉴。采取多种形式开展行业交流与实战演练，针对不同类别的真实风险场景，开展实战化的攻防演练与应急拉练，切实提升实战能力。

（四）提升安全保障水平。各医疗机构应建立常态化的网络信息安全经费保障机制，确保投入的连续性。对于长期高负荷运转的关键设备要建立清单，制定设备的定期更新计划，避免超负荷运行或超出使用年限。要建立业务规模、应用需求、设备负载的动态评估机制，确保业务发展与安全资源投入相匹配。