無(wú)論是在中國(guó)還是美國(guó)，互聯(lián)網(wǎng)醫(yī)療都是當(dāng)前關(guān)注度最高的創(chuàng)業(yè)和投資領(lǐng)域。美國(guó)Mercom資本認(rèn)為遠(yuǎn)程醫(yī)療、大數(shù)據(jù)分析和可穿戴設(shè)備將是2016年醫(yī)療投資最火熱的領(lǐng)域。

我們也看到了越來(lái)越多的美國(guó)保險(xiǎn)機(jī)構(gòu)攜手醫(yī)療機(jī)構(gòu)和研究機(jī)構(gòu)利用各類(lèi)互聯(lián)網(wǎng)技術(shù)來(lái)完善服務(wù)流程和提高服務(wù)水平。但同時(shí)，部分人可能還沒(méi)有意識(shí)到頭上懸著的達(dá)摩克利斯之劍——醫(yī)療信息安全問(wèn)題。

2015年2月，美國(guó)第二大醫(yī)療保險(xiǎn)公司Anthem宣布黑客盜取了公司超過(guò)8000萬(wàn)客戶(hù)的個(gè)人信息，包括了用戶(hù)家庭住址、生日、社保號(hào)和個(gè)人收入信息。此次泄露成為美國(guó)有史以來(lái)最嚴(yán)重的醫(yī)療信息泄露事件。

2015年5月，美國(guó)聯(lián)邦醫(yī)療服務(wù)商Blue Cross Blue Shield（BCBS）旗下的CareFirst保險(xiǎn)公司宣布因?yàn)楹诳凸簦?100萬(wàn)用戶(hù)信息泄露。2015年9月，一家名為Excellus保險(xiǎn)商被黑客入侵，近千萬(wàn)用戶(hù)信息遭到泄露。

根據(jù)美國(guó)衛(wèi)生與公民服務(wù)部（HHS）的統(tǒng)計(jì)：近3年來(lái)，影響超過(guò)500人次的醫(yī)療信息泄露事件發(fā)生次數(shù)沒(méi)有大幅度增長(zhǎng)，但是受泄露所影響的人數(shù)呈現(xiàn)出“爆發(fā)式”增長(zhǎng)。

2015年因各種原因?qū)е碌尼t(yī)療信息泄露事件累計(jì)影響達(dá)到了驚人的1.1億人，是之前五年泄露人數(shù)總和的2.7倍，相當(dāng)于三分之一的美國(guó)人的醫(yī)療信息出現(xiàn)了安全問(wèn)題。2016年前三個(gè)月，已經(jīng)發(fā)生了51起泄露事件，牽扯人數(shù)達(dá)到347萬(wàn)。

IBM下屬的長(zhǎng)期關(guān)注網(wǎng)絡(luò)信息安全的X-Force研究機(jī)構(gòu)將2015年稱(chēng)之為“醫(yī)療信息安全爆發(fā)之年”。

大洋彼岸的我們此刻也處在“互聯(lián)網(wǎng)+醫(yī)療”概念爆發(fā)的階段。一時(shí)間無(wú)數(shù)醫(yī)療健康類(lèi)APP、網(wǎng)頁(yè)等產(chǎn)品蜂擁上線。我們先不去探討如此眾多的產(chǎn)品究竟能給用戶(hù)帶來(lái)多少有價(jià)值的醫(yī)療服務(wù)，首先來(lái)關(guān)注能否確保用戶(hù)的個(gè)人信息安全。

我們?cè)趪?guó)內(nèi)知名的網(wǎng)絡(luò)安全網(wǎng)站“烏云”上以“醫(yī)院”為關(guān)鍵詞進(jìn)行搜索，查找出超過(guò)600條漏洞。三分之一的漏洞都在近兩年內(nèi)被“白帽子”發(fā)現(xiàn)上報(bào)的。

這些安全漏洞，有的是醫(yī)院信息系統(tǒng)建設(shè)漏洞，有的是互聯(lián)網(wǎng)醫(yī)療公司網(wǎng)站漏洞，幾乎涵蓋了當(dāng)前所有與互聯(lián)網(wǎng)醫(yī)療相關(guān)的方方面面。泄露的內(nèi)容也頗為驚人，包含了大量的患者基本信息和病歷信息。

更加讓人擔(dān)憂的是，絕大多數(shù)發(fā)現(xiàn)漏洞的“白帽子”反映，造成這些漏洞的技術(shù)問(wèn)題相對(duì)較為低級(jí)，在其他成熟的互聯(lián)網(wǎng)行業(yè)已經(jīng)很難遇到這么低級(jí)的錯(cuò)誤了。

這也從一個(gè)側(cè)面反應(yīng)了目前國(guó)內(nèi)醫(yī)療信息安全防護(hù)意識(shí)和能力都急待提高。

某社區(qū)居民疾病登記管理系統(tǒng)賬號(hào)密碼泄露，暴露大量用戶(hù)敏感信息。

某醫(yī)院在線隨訪系統(tǒng)可以隨意注冊(cè)，查看患者有關(guān)信息。

蛋殼研究院通過(guò)對(duì)2010至2015年美國(guó)醫(yī)療信息泄露事件總結(jié)分析后發(fā)現(xiàn)了以下三個(gè)明顯趨勢(shì)：

保險(xiǎn)公司成為醫(yī)療信息泄露主要來(lái)源。個(gè)人醫(yī)療信息主要從以下三大類(lèi)機(jī)構(gòu)中泄露：醫(yī)療保險(xiǎn)商、醫(yī)療機(jī)構(gòu)和商業(yè)合作公司。

商業(yè)合作公司的醫(yī)療信息泄露事件從次數(shù)和影響人數(shù)上都呈下降趨勢(shì)。醫(yī)療保險(xiǎn)商和醫(yī)療機(jī)構(gòu)泄露事件和影響人數(shù)卻在不斷上升。

特別值得注意是，醫(yī)療保險(xiǎn)商服務(wù)用戶(hù)數(shù)眾多，一旦發(fā)生泄露事件將導(dǎo)致“毀滅性”災(zāi)難。

黑客入侵成為主要的直接泄露原因。泄露的原因主要有以下五大類(lèi)：黑客入侵、使用者處置不當(dāng)、非法登陸、丟失和被竊。

近兩年以來(lái)，黑客入侵和非法登陸事件次數(shù)明顯增多，已經(jīng)取代了被竊成為最主要的泄露原因。從泄露的人數(shù)上來(lái)看，黑客入侵也在近兩年內(nèi)泄露人數(shù)快速增長(zhǎng)的主要原因。

服務(wù)器是造成信息大量泄露的主要渠道。信息泄露主要有以下幾種渠道：臺(tái)式電腦、筆記本電腦、服務(wù)器、電子醫(yī)療檔案、電子郵件和傳統(tǒng)紙質(zhì)檔案。

紙質(zhì)病歷泄露事件次數(shù)雖然較多，但影響的人數(shù)相對(duì)有限。因服務(wù)器泄露所影響的人數(shù)占到了總?cè)藬?shù)的89%，這與之前所發(fā)現(xiàn)的黑客入侵事件逐年增多有關(guān)。

“冰凍三尺非一日之寒”醫(yī)療信息泄露爆發(fā)式增長(zhǎng)的原因還得從醫(yī)療和保險(xiǎn)機(jī)構(gòu)自身內(nèi)部說(shuō)起。

首先，在奧巴馬政府大力推行醫(yī)療信息化普及的大背景下，近些年美國(guó)醫(yī)療機(jī)構(gòu)使用信息化系統(tǒng)的比例不斷提高，機(jī)構(gòu)間共享數(shù)據(jù)也更加普遍。醫(yī)療信息數(shù)據(jù)正在以幾何倍數(shù)增長(zhǎng)，這直接增加了泄露發(fā)生的可能。

其次，雖然美國(guó)醫(yī)療信息化軟件代表著當(dāng)前一流水平，但是由于醫(yī)療機(jī)構(gòu)內(nèi)和醫(yī)療機(jī)構(gòu)之間，軟件“碎片化”嚴(yán)重。多數(shù)軟件在設(shè)計(jì)之初，并沒(méi)與完全考慮到未來(lái)互聯(lián)互通時(shí)可能存在的安全問(wèn)題，留下了很多安全隱患漏洞。

據(jù)調(diào)查，美國(guó)41%的醫(yī)療機(jī)構(gòu)沒(méi)有對(duì)醫(yī)療數(shù)據(jù)進(jìn)行加密處理，一半的醫(yī)療機(jī)構(gòu)無(wú)法有效預(yù)防和應(yīng)對(duì)信息安全泄露。

還有，絕大多數(shù)醫(yī)院負(fù)責(zé)信息系統(tǒng)維護(hù)的部門(mén)都處于人員短缺的狀態(tài)，美國(guó)47%的醫(yī)療機(jī)構(gòu)沒(méi)有足夠的信息安全專(zhuān)家，加上長(zhǎng)期以來(lái)醫(yī)務(wù)人員缺乏關(guān)于信息安全的有效培訓(xùn)。這些都增加了信息安全泄露的風(fēng)險(xiǎn)。

相比上面所提到的三大內(nèi)部因素，現(xiàn)在來(lái)自外部的因素正在成為信息泄露的主要驅(qū)動(dòng)力。黑客們已經(jīng)發(fā)現(xiàn)這是一條穩(wěn)定的“生財(cái)之道”。

黑客利用醫(yī)療信息安全漏洞獲利的方式主要可以分為以下兩大類(lèi)。

一是利用泄露的信息直接“變現(xiàn)”。在黑市上，個(gè)人醫(yī)療信息的價(jià)值比信用卡信息要高50倍。因?yàn)樗锩姘嘶颊叩膫€(gè)人基本信息、財(cái)務(wù)信息和健康信息等多種敏感數(shù)據(jù)。不法分子可以利用這些信息進(jìn)行詐騙、勒索等行為。

二是利用安全漏洞間接“變現(xiàn)”。主要的手段是通過(guò)網(wǎng)絡(luò)安全漏洞控制醫(yī)院網(wǎng)絡(luò)系統(tǒng)，進(jìn)而向醫(yī)院索要贖金。目前在美國(guó)，第二種“間接”的手段，正在成為主要的安全危害。

今年2月份發(fā)生在洛杉磯長(zhǎng)老會(huì)醫(yī)院的網(wǎng)絡(luò)安全事件極具代表性。黑客通過(guò)利用惡意軟件滲透入醫(yī)院網(wǎng)絡(luò)系統(tǒng)，對(duì)系統(tǒng)內(nèi)的文件進(jìn)行加密，使全部電子病歷數(shù)據(jù)無(wú)法使用，再以解鎖密鑰作為籌碼向醫(yī)院索取贖金。

雖然，醫(yī)院負(fù)責(zé)人聲稱(chēng)患者或員工的信息數(shù)據(jù)沒(méi)有被黑客非法利用。但是由于醫(yī)務(wù)人員只能靠手工工作，效率明顯降低；患者也無(wú)法獲取在線病歷和化驗(yàn)結(jié)果，只好轉(zhuǎn)往其他醫(yī)院。醫(yī)院在嘗試各種辦法都無(wú)法恢復(fù)系統(tǒng)之后，只好向黑客支付了40比特幣（一種虛擬電子貨幣，價(jià)值1.7萬(wàn)美元）才得以恢復(fù)正常運(yùn)行。

對(duì)于一個(gè)擁有400多張病床的醫(yī)院來(lái)說(shuō)，支付1.7萬(wàn)美金贖金可能并不算太多。但是這種以攻擊醫(yī)院信息系統(tǒng)、要挾贖金謀利的“閉環(huán)”模式一旦成熟，必將會(huì)有更多的“黑手”伸向醫(yī)院。

根據(jù)美國(guó)一家名為Royal Jay軟件公司統(tǒng)計(jì)，因?yàn)獒t(yī)療信息泄露帶給整個(gè)醫(yī)療行業(yè)的損失高達(dá)每年60億美元，平均每次泄露會(huì)給醫(yī)院造成350萬(wàn)美元的損失，會(huì)給個(gè)人造成近400美元的損失。

在黑客眼中，醫(yī)療保險(xiǎn)機(jī)構(gòu)的安全漏洞“多如牛毛”，通過(guò)簡(jiǎn)單的滲透破壞就能索要贖金，還能夠利用比特幣這樣的電子虛擬貨幣來(lái)隱蔽交易，讓執(zhí)法者更加難以追蹤破案。

對(duì)患者和醫(yī)療機(jī)構(gòu)而言，因?yàn)樾畔踩?ldquo;破財(cái)消災(zāi)”只是“噩夢(mèng)”的開(kāi)始，潛在的最大危害是黑客利用網(wǎng)絡(luò)安全漏洞直接對(duì)醫(yī)療設(shè)備進(jìn)行控制進(jìn)而危害醫(yī)療安全和患者生命。

在“互聯(lián)網(wǎng)+”的浪潮中，我們?yōu)榱双@取更多的用戶(hù)信息，將許多傳統(tǒng)設(shè)備接入網(wǎng)絡(luò)，相當(dāng)于在原本就不牢固的屏障中增加了許多扇不上鎖的大門(mén)。

羅馬不是一天建成的，建設(shè)醫(yī)療信息安全“護(hù)城墻”任重而道遠(yuǎn)。

美國(guó)政府有關(guān)機(jī)構(gòu)已經(jīng)開(kāi)始與不少?gòu)S商已經(jīng)嘗試聯(lián)手，加強(qiáng)網(wǎng)絡(luò)安全防護(hù)，防范與日俱增的風(fēng)險(xiǎn)。

2013年，美國(guó)FDA向醫(yī)療設(shè)備生產(chǎn)廠商發(fā)出提醒，建議其評(píng)估有關(guān)產(chǎn)品的網(wǎng)絡(luò)安全。

2014年10月，美國(guó)FDA發(fā)布了醫(yī)療設(shè)備網(wǎng)絡(luò)安全功能指南，提醒醫(yī)療設(shè)備廠商加強(qiáng)設(shè)備的安全性，防止被攻擊者利用。

2015年，各類(lèi)醫(yī)療設(shè)備和醫(yī)療保險(xiǎn)商網(wǎng)絡(luò)安全事件頻發(fā)，甚至引起了美國(guó)國(guó)土安全部的關(guān)注。

2016年1月，美國(guó)FDA針對(duì)醫(yī)療設(shè)備網(wǎng)絡(luò)安全公布了一份指南草案，其中包括了一系列關(guān)于增強(qiáng)設(shè)備安全性的具體指導(dǎo)。從政府到醫(yī)療設(shè)備廠商、醫(yī)療保險(xiǎn)商和醫(yī)療機(jī)構(gòu)一副嚴(yán)陣以待，大敵當(dāng)前的態(tài)勢(shì)。

現(xiàn)階段，我們還只是看到了有不法之徒利用網(wǎng)絡(luò)安全漏洞行“謀財(cái)”一事。遲早，我們會(huì)看到有人利用漏洞干“害命”的勾當(dāng)。這才是最令人感到不寒而栗的事情。雖然我們不是網(wǎng)絡(luò)安全專(zhuān)家，但在這里還是想為醫(yī)療機(jī)構(gòu)和有關(guān)廠商提幾點(diǎn)建議：

1、不要高估自己的網(wǎng)絡(luò)安全防護(hù)能力；

2、加強(qiáng)員工網(wǎng)絡(luò)安全培訓(xùn)；

3、考慮與第三方專(zhuān)業(yè)機(jī)構(gòu)合作進(jìn)行網(wǎng)絡(luò)安全建設(shè)；

4、建立一套周全的應(yīng)急方案應(yīng)對(duì)信息泄露事件。

重視數(shù)據(jù)的安全，就是重視用戶(hù)的安全。

未來(lái)，類(lèi)似前面提到的洛杉磯長(zhǎng)老會(huì)醫(yī)院“被黑”的悲劇肯定還會(huì)出現(xiàn)。機(jī)構(gòu)和廠商加強(qiáng)網(wǎng)絡(luò)安全建設(shè)的同時(shí)，只有“祈禱”自己不會(huì)成為黑客的下一個(gè)目標(biāo)。

歡迎國(guó)內(nèi)有關(guān)醫(yī)療信息安全的公司與我們聯(lián)系，一起探討醫(yī)療信息防護(hù)之道。