搜索

[9497] 2015-11-02_行业报告：医疗数据泄露愈发严重，谁之过错？

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-17
2015-11-02_行业报告：医疗数据泄露愈发严重，谁之过错？ 行 业 报 告 ： 医 疗 数 据 泄 露 愈 发 严 重 ， 谁 之 过 错 ？ F r e e B u f   2 0 1 5 - 1 1 - 0 2 T r u s t w a v e 发 布 了 一 份 发 布 了 一 份 2 0 1 5 年 医 疗 行 业 的 安 全 报 告 ， 通 过 对 年 医 疗 行 业 的 安 全 报 告 ， 通 过 对 3 9 8 名 专 业 的 医 疗 专 业 人 员 （ 部 分 是 技 术 人 员 ， 包 括 名 专 业 的 医 疗 专 业 人 员 （ 部 分 是 技 术 人 员 ， 包 括 C I O 、 、 C I S O 、 、 I T 主 管 等 ， 另 一 部 分 是 普 通 的 医 护 人 员 ） 的 调 查 ， 发 现 有 主 管 等 ， 另 一 部 分 是 普 通 的 医 护 人 员 ） 的 调 查 ， 发 现 有 9 1 % 的 调 查 对 象 认 为 针 对 医 疗 行 业 的 网 络 攻 击 活 动 的 调 查 对 象 认 为 针 对 医 疗 行 业 的 网 络 攻 击 活 动 越 来 越 多 ， 然 而 用 在 保 护 病 人 敏 感 信 息 方 面 的 预 算 却 还 不 到 越 来 越 多 ， 然 而 用 在 保 护 病 人 敏 感 信 息 方 面 的 预 算 却 还 不 到 1 0 % 。 。 在 过 去 的 两 年 间 ， 有 9 0 % 的 医 疗 行 业 公 司 均 遭 到 黑 客 攻 击 ， 泄 露 病 人 数 据 。 为 什 么 医 疗 行 业 会 成 为 网 络 攻 击 的 中 心 目 标 呢 ？ 大 致 原 因 有 ： 1 ， 医 疗 记 录 迅 速 的 转 移 到 了 网 上 ， 并 且 在 病 人 、 医 疗 机 构 之 间 可 共 享 ； 2 ， 物 联 网 设 备 和 云 服 务 的 使 用 ； 3 ， 医 疗 健 康 保 险 数 据 的 价 值 越 来 越 高 。 全 球 电 子 医 疗 保 健 记 录 系 统 中 的 数 据 在 以 每 年 5 . 5 % 的 速 度 增 长 ， 其 中 的 数 据 量 可 想 而 知 是 非 常 惊 人 的 。 从 医 院 到 内 科 医 生 、 急 诊 门 诊 ， 再 到 健 康 保 障 组 织 ， 无 不 涵 盖 着 病 人 的 敏 感 数 据 ， 所 以 刻 不 容 缓 的 需 要 采 取 安 全 保 障 措 施 来 保 护 它 们 。 任 何 企 业 都 会 遇 到 安 全 威 胁 ， 但 是 当 这 种 安 全 问 题 威 胁 到 个 人 的 生 命 安 全 ， 那 问 题 就 变 得 非 常 严 重 了 。 方 法 论 方 法 论 T r u s t w a v e 在 第 三 方 专 业 调 查 公 司 的 帮 助 下 ， 对 3 9 8 位 专 业 的 全 职 医 疗 行 业 人 员 （ 其 中 1 9 8 位 是 技 术 人 员 ， 2 0 0 位 是 非 技 术 人 员 ） 进 行 了 调 查 。 目 的 是 衡 量 医 疗 保 健 机 构 所 面 临 的 挑 战 、 员 工 们 的 安 全 意 识 和 期 望 。 数 据 泄 露 数 据 泄 露 在 过 去 的 几 年 间 ， 美 国 政 府 曾 倾 注 了 数 百 亿 的 资 金 来 扶 持 医 疗 保 障 行 业 使 用 电 子 医 疗 保 健 记 录 技 术 ， 目 的 是 为 了 提 高 病 患 照 顾 质 量 、 减 少 医 疗 错 误 的 发 生 、 降 低 就 医 成 本 等 。 由 此 说 来 ， 病 人 的 医 疗 记 录 可 被 所 有 的 医 疗 机 构 共 享 ， 方 便 快 捷 ， 但 同 时 也 给 攻 击 者 留 下 了 一 个 广 阔 的 攻 击 场 所 。 总 而 言 之 ， 几 乎 所 有 医 疗 行 业 的 技 术 人 员 都 认 为 他 们 的 机 构 越 来 越 多 的 成 为 了 黑 客 攻 击 的 目 标 。
是 什 么 使 得 医 疗 机 构 的 电 子 记 录 更 吸 引 人 并 且 更 易 受 到 网 络 攻 击 呢 ？ 是 什 么 使 得 医 疗 机 构 的 电 子 记 录 更 吸 引 人 并 且 更 易 受 到 网 络 攻 击 呢 ？ 大 部 分 医 疗 组 织 和 机 构 的 安 全 保 障 和 风 险 管 理 措 施 比 较 落 后 ， 所 以 黑 客 们 才 有 机 可 乘 窃 取 病 人 的 敏 感 数 据 （ 从 个 人 信 息 到 信 用 卡 账 号 ， 再 到 知 识 产 权 ） 。 从 过 去 几 个 月 泄 露 的 医 疗 数 据 看 ， 黑 客 窃 取 的 数 据 量 巨 大 、 窃 取 过 程 简 单 、 花 费 时 间 较 少 ， 而 且 还 不 容 易 被 察 觉 到 。 其 实 大 部 分 的 网 络 犯 罪 者 组 织 都 是 在 金 融 行 业 炼 就 了 高 超 的 技 能 之 后 ， 转 而 向 医 疗 行 业 发 动 大 规 模 的 攻 击 。 相 比 于 其 他 行 业 ， 医 疗 行 业 的 攻 击 阻 力 比 较 小 ， 并 且 敏 感 数 据 比 较 多 。 医 疗 行 业 的 医 疗 记 录 很 容 易 被 攻 击 的 另 外 一 个 原 因 是 其 流 动 性 比 较 大 ， 数 据 分 类 好 ， 黑 客 可 以 轻 而 易 举 的 找 到 利 益 相 关 的 数 据 。 包 括 姓 名 、 家 庭 住 址 、 邮 箱 地 址 、 生 日 ， 甚 至 还 包 括 保 单 号 码 、 检 验 结 果 、 诊 断 结 果 等 。 如 此 一 来 ， 黑 客 便 可 以 用 这 些 数 据 伪 造 虚 假 身 份 和 虚 假 保 单 进 行 就 医 、 买 药 、 买 医 疗 设 备 等 。 医 疗 行 业 数 据 盗 窃 后 果 非 常 严 重 ， 美 国 每 年 有 超 过 2 0 0 万 的 人 会 成 为 受 害 者 ， 由 此 造 成 的 损 失 高 达 1 3 5 0 0 美 元 ， 并 且 还 需 花 费 上 百 个 小 时 来 解 决 这 个 问 题 。 为 了 解 决 医 疗 行 业 数 据 被 窃 ， 技 术 人 员 提 供 了 两 个 安 全 方 法 ： 1 是 数 据 分 割 ， 控 制 用 户 个 人 和 医 疗 机 构 查 看 数 据 内 容 的 权 限 ； 2 是 加 密 。 加 密 对 数 据 来 说 非 常 重 要 ， 尤 其 是 数 据 在 各 医 疗 机 构 的 传 输 过 程 中 。 然 而 即 使 数 据 加 密 了 ， 但 是 在 向 另 一 机 构 传 输 的 过 程 中 如 果 缺 乏 必 要 的 安 全 保 障 ， 同 样 会 存 在 安 全 风 险 。 调 查 发 现 有 9 4 % 的 人 指 出 机 构 中 加 密 的 用 户 数 据 会 被 传 输 到 外 网 。
调 查 中 还 发 现 了 一 个 很 致 命 的 安 全 隐 患 ， 就 是 大 部 分 的 医 疗 机 构 并 没 有 把 敏 感 数 据 和 非 敏 感 数 据 分 开 ， 这 种 机 构 占 到 8 9 % 。 内 部 威 胁 其 实 是 医 疗 机 构 一 个 很 严 重 的 安 全 风 险 ， 最 近 发 生 的 几 起 医 疗 行 业 入 侵 事 件 都 是 由 内 部 人 员 引 起 的 。 除 了 健 康 信 息 带 来 的 利 益 驱 动 ， 处 于 个 人 的 好 奇 也 可 能 导 致 不 正 当 的 访 问 或 者 数 据 窃 取 。 所 以 这 些 组 织 需 要 严 格 限 制 访 问 权 限 ， 确 保 数 据 只 能 被 相 关 人 员 访 问 。
安 全 专 业 资 源 短 缺 安 全 专 业 资 源 短 缺 随 着 威 胁 的 增 加 和 攻 击 范 围 的 扩 大 ， 医 疗 行 业 面 临 着 越 来 越 大 的 挑 战 。 其 中 最 大 的 问 题 是 企 业 中 安 全 部 门 员 工 严 重 缺 失 ， 迫 切 需 要 配 备 专 业 的 网 络 安 全 人 员 ， 这 种 情 况 不 是 一 个 地 区 的 问 题 ， 全 球 的 医 疗 行 业 都 面 临 这 个 问 题 。 从 传 统 经 济 学 的 角 度 来 说 ， 高 需 求 和 短 供 应 这 种 严 重 失 衡 的 状 态 必 然 会 造 成 市 场 混 乱 。 应 用 到 医 疗 行 业 ， 专 业 的 网 络 安 全 人 员 极 度 缺 失 ， 而 专 业 人 员 的 供 应 又 极 其 不 足 ， 所 以 医 疗 机 构 需 要 通 过 高 薪 水 来 激 发 更 多 的 人 加 入 医 疗 行 业 的 网 络 安 全 队 伍 ， 缓 解 这 种 不 平 衡 。 通 过 调 查 发 现 有 3 5 % 的 人 称 ， 公 司 安 全 方 面 的 专 业 人 员 不 足 。 在 近 几 年 频 繁 发 生 的 数 据 泄 露 事 件 之 后 ， 越 来 越 多 的 人 认 为 他 们 需 要 聘 用 更 多 的 安 全 人 员 ， 以 保 障 用 户 数 据 安 全 。
漏 洞 漏 洞 试 想 一 下 ， 一 个 黑 客 坐 在 几 百 英 里 以 外 ， 只 需 通 过 输 入 几 行 命 令 就 可 以 控 制 病 人 胰 岛 素 输 送 管 中 的 激 素 剂 量 ， 那 将 是 一 件 多 么 可 怕 的 事 。 也 许 他 是 个 稍 有 “ 良 知 ” 的 黑 客 ， 不 会 用 这 种 方 法 杀 人 于 无 形 ， 但 他 可 以 通 过 入 侵 联 网 医 疗 设 备 ， 进 而 入 侵 医 院 网 络 ， 窃 取 病 人 的 敏 感 数 据 。 随 着 电 子 医 疗 记 录 的 普 及 ， 黑 客 们 越 来 越 多 的 关 注 在 了 医 疗 行 业 上 ， 被 发 现 的 漏 洞 也 越 来 越 多 ， 最 常 见 的 有 ： S Q L 注 入 漏 洞 ， 弱 口 令 ， 远 程 访 问 漏 洞 ， 未 修 复 的 漏 洞 等 。 医 疗 机 构 还 有 一 个 很 大 的 安 全 疏 忽 ， 就 是 他 们 不 会 定 期 检 查 基 础 设 施 是 否 含 有 漏 洞 。 有 8 7 % 的 人 称 他 们 的 机 构 基 本 上 一 年 或 者 两 年 才 对 其 基 础 设 施 检 查 一 次 。 所 以 ， 医 疗 行 业 中 的 安 全 评 估 是 非 常 有 必 要 的 ， 它 可 以 帮 助 企 业 预 测 系 统 、 进 程 、 政 策 中 存 在 的 安 全 风 险 ， 从 而 可 以 保 障 医 疗 行 业 数 据 的 安 全 。 然 而 并 不 是 所 有 的 医 疗 机 构 都 会 定 期 的 对 其 基 础 设 施 进 行 评 估 。 另 外 ， 医 疗 组 织 还 必 须 要 确 定 这 些 安 全 问 题 是 来 自 外 部 供 应 商 ， 还 是 内 部 问 题 。
医 疗 行 业 的 安 全 主 要 分 为 两 种 ， 一 种 是 来 自 内 部 的 威 胁 ， 一 种 是 外 部 威 胁 。 内 部 威 胁 可 以 概 括 为 以 下 两 种 ： 1 ， 怀 有 恶 意 目 的 的 员 工 会 访 问 并 窃 取 用 户 的 敏 感 信 息 2 ， 正 常 员 工 的 一 个 人 为 错 误 可 能 会 给 攻 击 者 留 下 攻 击 入 口 （ 员 工 不 小 心 弄 丢 了 电 脑 ； 不 小 心 点 了 含 有 恶 意 程 序 的 链 接 ； 安 全 人 员 不 小 心 装 错 了 系 统 ） 外 部 威 胁 主 要 就 是 黑 客 利 用 设 备 漏 洞 、 系 统 漏 洞 、 人 性 缺 陷 （ 社 工 ） 来 攻 击 机 构 网 站 ， 从 而 窃 取 用 户 数 据 。 所 以 企 业 应 该 定 期 对 员 工 进 行 培 训 ， 让 员 工 掌 握 一 定 的 安 全 知 识 和 技 能 。 然 而 当 下 企 业 对 员 工 的 安 全 培 训 并 不 尽 人 意 。 建 议 建 议 医 疗 行 业 正 经 历 一 个 非 常 严 峻 的 安 全 时 代 ： 威 胁 越 来 越 高 级 ， 安 全 技 能 却 没 能 同 步 进 化 ， 安 全 方 面 的 预 算 严 重 不 足 ， 医 疗 设 备 很 难 管 理 ， 传 统 系 统 亟 待 更 新 ， 被 攻 击 的 范 围 在 逐 渐 扩 大 。 对 于 用 户 个 人 来 说 ， 我 们 需 要 做 的 是 ： 1 ， 不 要 在 多 个 网 站 上 使 用 相 同 的 密 码 2 ， 不 要 留 下 过 多 的 个 人 信 息 3 ， 不 要 随 意 打 开 来 源 不 明 的 链 接 和 文 件 对 于 医 疗 设 备 供 应 商 来 说 ， 他 们 需 要 不 断 的 检 测 物 联 网 设 备 和 应 用 程 序 的 安 全 ， 如 发 现 漏 洞 应 及 时 通 知 相 关 买 家 ， 快 速 响 应 修 复 漏 洞 。 对 于 医 疗 机 构 （ 医 院 ） 来 说 ， 应 该 定 期 对 员 工 进 行 培 训 ， 提 高 安 全 防 范 意 识 ， 训 练 安 全 应 急 技 能 。 查 看 完 整 报 告 请 点 击 阅 读 全 文 。
*   F r e e B u f 综 合 整 理 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理