2022年醫(yī)療領(lǐng)域網(wǎng)絡(luò)安全和漏洞事件頻發(fā)，對醫(yī)院運營和患者信息保護產(chǎn)生了越來越嚴重的影響。為了提升醫(yī)療行業(yè)對網(wǎng)絡(luò)安全工作的認識，美國衛(wèi)生與公眾服務(wù)部(HHS)在其網(wǎng)站上設(shè)立了“恥辱之墻”，公布正在調(diào)查的安全案件詳情，近兩年來共有數(shù)百起安全違規(guī)事件被曝光。當今，醫(yī)療行業(yè)網(wǎng)絡(luò)安全事件發(fā)生數(shù)量仍在增加，其導致的損失也變得越來越大。

　　醫(yī)療行業(yè)組織與聯(lián)邦立法機構(gòu)共同研究加強網(wǎng)絡(luò)安全工作的具體措施：一是，建議政府在醫(yī)療行業(yè)關(guān)鍵基礎(chǔ)設(shè)施遭到攻擊時提供幫助;二是，醫(yī)療行業(yè)應(yīng)高度關(guān)注第三方網(wǎng)絡(luò)安全問題;三是，醫(yī)療行業(yè)應(yīng)尋求聯(lián)邦調(diào)查局的支持，獲取技術(shù)幫助，盡早獲悉網(wǎng)絡(luò)安全漏洞信息。

　　以下是HIMSS出版物《Healthcare IT News》發(fā)表的2022年十大網(wǎng)絡(luò)安全事件。

　　1數(shù)據(jù)泄露導致電子病歷廠商被起訴

　　去年1月，總部位于田納西州的電子病歷廠商QRS被用戶起訴。其原因是，自2021年8月份始，QRS公司沒有采取有效的監(jiān)測手段，未實施安全風險隱患加固措施，導致患者門戶被攻擊，數(shù)據(jù)被泄露。原告認為，“QRS公司未能合理地保護、監(jiān)控和維護存儲在其患者門戶網(wǎng)站上的個人信息和法定保護的個人健康信息(PHI)”。

　　2CommonSpirit醫(yī)療集團遭受勒索病毒攻擊

　　去年10月，CommonSpirit醫(yī)療集團遭受網(wǎng)絡(luò)攻擊。本次攻擊導致分布在多個州的醫(yī)療機構(gòu)業(yè)務(wù)工作大面積中斷。CommonSpirit醫(yī)療集團在全國擁有350多家醫(yī)院，是全美第二大非營利性連鎖醫(yī)院集團。在遭受網(wǎng)絡(luò)攻擊后，患者無法訪問病歷數(shù)據(jù)和登錄患者門戶，140多家醫(yī)院不能正常運營。經(jīng)過進一步調(diào)查發(fā)現(xiàn)，該事件還導致了患者病歷數(shù)據(jù)泄露。

　　3提出醫(yī)療設(shè)備物聯(lián)網(wǎng)安全法案建議

　　去年4月，威斯康星州參議員Tammy Baldwin和路易斯安那州的Bill Cassidy博士針對醫(yī)療設(shè)備和網(wǎng)絡(luò)安全措施提出新的法案建議，稱之為“Protecting and Transforming Cyber Health Care Act”。該法案的目的是，要求醫(yī)療設(shè)備制造商，在通過FDA審批上市前，需要實施相關(guān)網(wǎng)絡(luò)安全協(xié)議和程序，以確保用戶能夠妥善地應(yīng)對國內(nèi)外勒索軟件病毒的攻擊。盡管該法案沒能得到通過，但是美國FDA發(fā)布了醫(yī)療器械網(wǎng)絡(luò)安全指南(草案)，以及應(yīng)對突發(fā)事件的預案和應(yīng)急響應(yīng)手冊。

　　4聯(lián)邦調(diào)查局對醫(yī)院醫(yī)療設(shè)備進行網(wǎng)絡(luò)安全風險評估

　　聯(lián)邦調(diào)查局針對醫(yī)院醫(yī)療設(shè)備的網(wǎng)絡(luò)安全進行了評估。研究發(fā)現(xiàn)，胰島素泵、心內(nèi)除顫器、移動心臟遙測、起搏器和鞘內(nèi)疼痛泵等醫(yī)療設(shè)備存在網(wǎng)絡(luò)安全漏洞。調(diào)查發(fā)現(xiàn)，平均每臺醫(yī)療設(shè)備有6.2個漏洞，約有40%的醫(yī)療設(shè)備沒有安裝安全補丁程序或進行軟件升級。

　　5聯(lián)邦調(diào)查局警告“齊柏林飛艇勒索軟件”是針對醫(yī)療行業(yè)的病毒

　　去年8月，聯(lián)邦調(diào)查局和國土安全部網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局發(fā)布聯(lián)合警報，稱“齊柏林飛艇勒索軟件”(Zeppelin)被用于針對醫(yī)療行業(yè)機構(gòu)進行網(wǎng)絡(luò)攻擊。根據(jù)網(wǎng)絡(luò)安全和基礎(chǔ)設(shè)施安全局稱，自2019年以來，網(wǎng)絡(luò)犯罪分子已針對各種關(guān)鍵基礎(chǔ)設(shè)施，組織部署“齊柏林飛艇勒索軟件”，并要求對方以比特幣支付高額贖金。該警報概述了相關(guān)策略，技術(shù)手段和工作程序，以及事件導致的后果，并提出幫助醫(yī)院和衛(wèi)生系統(tǒng)降低風險的建議。

　　6網(wǎng)絡(luò)安全導致Tenet Healthcare醫(yī)療集團運營中斷

　　去年4月，總部位于達拉斯的Tenet Healthcare醫(yī)療集團遭受攻擊，其550多個急診醫(yī)療業(yè)務(wù)被迫中斷，其中包括在馬薩諸塞州救護車無法調(diào)度，佛羅里達州的醫(yī)院無法使用電子病歷系統(tǒng)。由于網(wǎng)絡(luò)漏洞的存在，該醫(yī)療集團停止了業(yè)務(wù)運營，并在一周后發(fā)布了相關(guān)事件情況公告。

　　7凱撒醫(yī)療集團員工安全違規(guī)導致患者電子病歷信息泄漏

　　去年11月，凱撒醫(yī)療集團宣布，該單位一名員工非法訪問了位于美國東中部幾個州單位的患者醫(yī)療記錄，導致患者基本信息和醫(yī)療信息泄露。在HIMSS 2022網(wǎng)絡(luò)安全論壇上，在討論單位內(nèi)部安全威脅時，許多醫(yī)療信息技術(shù)專業(yè)人員表達了他們對電子病歷訪問控制管理上的擔憂。

　　8研究顯示，醫(yī)院物聯(lián)網(wǎng)設(shè)備安全防范能力薄弱

　　Cynerio和Ponemon研究所在年中發(fā)布了醫(yī)療物聯(lián)網(wǎng)設(shè)備的安全脆弱性報告。報告詳細介紹了醫(yī)療行業(yè)存在令人擔憂的安全問題。由于醫(yī)院未能采取基本的網(wǎng)絡(luò)安全加固措施，導致反復遭受攻擊，造成了數(shù)百萬的經(jīng)濟損失。

　　9美國FDA發(fā)布醫(yī)療器械網(wǎng)絡(luò)安全指南草案

　　去年4月，F(xiàn)DA發(fā)布了新版的醫(yī)療設(shè)備網(wǎng)絡(luò)安全指南草案，取代了2018年發(fā)布的舊指南。發(fā)布新指南的目的是，確保醫(yī)療設(shè)備上市前應(yīng)具備應(yīng)對網(wǎng)絡(luò)安全威脅和抗攻擊能力。新版的指南草案在7月份之前接受了社會各界的建議和意見。該指南草案的主要內(nèi)容是，關(guān)于“醫(yī)療器械網(wǎng)絡(luò)安全：質(zhì)量體系考慮因素和上市前提交內(nèi)容”的建議。

　　10研究顯示，醫(yī)院網(wǎng)絡(luò)被攻擊與患者死亡率存在相關(guān)關(guān)系

　　Ponemon研究院針對640多名IT和安全領(lǐng)導者進行了民意調(diào)查。調(diào)查發(fā)現(xiàn)，89%的受訪機構(gòu)在過去一年平均遭受到43次攻擊，幾乎每周遭受一次。去年9月份的一份報告指出，20%的受訪者表示，遭受四種最常見網(wǎng)絡(luò)攻擊醫(yī)院的患者死亡率有所增加。

　　來源：healthcareitnews

　　作者：Andrea Fox