2020年醫(yī)療衛(wèi)生行業(yè)將面臨的六大網(wǎng)絡(luò)安全威脅
無國界 2019-09-23
近年來，醫(yī)院、醫(yī)療保險(xiǎn)等醫(yī)療衛(wèi)生機(jī)構(gòu)先后被曝發(fā)生重大數(shù)據(jù)泄露事件，加上Anthem 和 Allscripts 等備受矚目的違規(guī)行為，消費(fèi)者也更加擔(dān)心自己受保護(hù)健康信息(Protected Health Information, PHI)會(huì)落入他人之手。2019 年 RSA 數(shù)據(jù)隱私與安全調(diào)查詢問了歐洲和美國近 6400 名消費(fèi)者對(duì)其數(shù)據(jù)安全的看法。調(diào)查顯示，61% 的受訪者擔(dān)心自己的醫(yī)療數(shù)據(jù)會(huì)被泄露。
他們有充分的理由感到擔(dān)心。醫(yī)療衛(wèi)生行業(yè)仍然是黑客的主要目標(biāo)，同時(shí)機(jī)構(gòu)內(nèi)部本身就存在很大的風(fēng)險(xiǎn)威脅。
為什么醫(yī)療衛(wèi)生行業(yè)會(huì)成為黑客攻擊的目標(biāo)？
醫(yī)療衛(wèi)生相關(guān)的組織機(jī)構(gòu)往往具備一些屬性，恰恰這些屬性對(duì)攻擊者來說很具吸引力。關(guān)鍵原因之一是醫(yī)療系統(tǒng)沒有定期更新補(bǔ)丁，致使信息漏洞的廣泛存在。KnowBe4 的首席宣傳官兼戰(zhàn)略官 Perry Carpenter 表示：其中一些是嵌入式系統(tǒng)，即便發(fā)現(xiàn)漏洞也難以打上補(bǔ)丁，如果醫(yī)療機(jī)構(gòu)的IT部門自行更新，可能會(huì)導(dǎo)致供應(yīng)商無法繼續(xù)提供支持。
醫(yī)療衛(wèi)生行業(yè)的關(guān)鍵性質(zhì)使它們成為了攻擊者的目標(biāo)。在網(wǎng)絡(luò)犯罪領(lǐng)域，健康數(shù)據(jù)是一種有價(jià)值的商品，這使得它成為了盜竊的目標(biāo)。由于事關(guān)病人的健康，醫(yī)療機(jī)構(gòu)更有可能為勒索軟件支付贖金。
以下是2020年醫(yī)療衛(wèi)生行業(yè)將會(huì)面對(duì)的六大網(wǎng)絡(luò)安全威脅：
1. 勒索軟件
根據(jù) Verizon 2019 年的數(shù)據(jù)泄露調(diào)查報(bào)告，勒索軟件攻擊連續(xù)兩年占到了醫(yī)療衛(wèi)生行業(yè)所有惡意軟件事件的 70% 以上。另一項(xiàng) Radware 的《信任因子》(The Trust Factor) 報(bào)告顯示，只有 39% 的醫(yī)療機(jī)構(gòu)認(rèn)為面對(duì)勒索軟件的攻擊，他們做好了足夠或充分的準(zhǔn)備。
勒索軟件攻擊在明年也會(huì)持續(xù)存在。Carpenter 表示：在充分強(qiáng)化員工和系統(tǒng)安全之前，（勒索軟件）將持續(xù)取得勝利，并獲得更多動(dòng)力。他們將繼續(xù)將矛頭對(duì)準(zhǔn)會(huì)點(diǎn)擊或下載一些東西的人。
原因很簡單：黑客認(rèn)為他們的勒索軟件攻擊更有可能成功，因?yàn)槿绻t(yī)院、醫(yī)療機(jī)構(gòu)和其他衛(wèi)生組織無法訪問患者的記錄，就會(huì)危及到這些患者的生命。他們將被迫立即采取行動(dòng)，支付贖金，而不會(huì)通過備份進(jìn)行漫長的恢復(fù)工作。
“醫(yī)療也是商業(yè)的一種，但醫(yī)療衛(wèi)生也涉及人們的生活。任何時(shí)候，如果你的公司涉及到人們生活中最私人、最重要的部分，而你對(duì)其構(gòu)成了威脅，就需要立即做出反應(yīng)。這對(duì)部署了勒索軟件的網(wǎng)絡(luò)罪犯來說非常有用。”
當(dāng)醫(yī)療機(jī)構(gòu)無法快速進(jìn)行恢復(fù)時(shí)，勒索軟件導(dǎo)致的后果可能是毀滅性的。這一點(diǎn)在電子健康檔案(Electronic Health Record, EHR)公司Allscripts在1月份因?yàn)槔账鬈浖舳P(guān)停時(shí)體現(xiàn)的非常明顯。這次攻擊感染了兩個(gè)數(shù)據(jù)中心，導(dǎo)致很多應(yīng)用程序離線，影響了該公司服務(wù)的數(shù)千名醫(yī)療行業(yè)客戶。
2. 竊取病人資料
對(duì)網(wǎng)絡(luò)罪犯來說，醫(yī)療數(shù)據(jù)可能比財(cái)務(wù)數(shù)據(jù)更有價(jià)值。根據(jù) Trend Micro 的醫(yī)療行業(yè)所面臨的網(wǎng)絡(luò)犯罪和其他威脅這份報(bào)告，竊取的醫(yī)療保險(xiǎn) ID 在黑市上的售價(jià)至少為 1 美元，醫(yī)療檔案的起價(jià)為 5 美元。
黑客可以利用身份證和其他醫(yī)療數(shù)據(jù)獲取政府文件，比如駕照。據(jù) Trend Micro 報(bào)道，駕照售價(jià)約為 170 美元。一個(gè)制造完整的身份（一個(gè)由完整的 PHI 和一位死者其他的身份數(shù)據(jù)構(gòu)成的身份）可以賣到 1000 美元。相比之下，信用卡號(hào)在黑市上只賣幾美分。
Carpenter表示，醫(yī)療記錄比信用卡數(shù)據(jù)更有價(jià)值，因?yàn)獒t(yī)療記錄將大量信息集中在了一個(gè)地方，包括財(cái)務(wù)信息和個(gè)人的關(guān)鍵背景數(shù)據(jù)。身份盜竊所需的一切都在那里。
犯罪分子在竊取健康數(shù)據(jù)方面變得越來越狡猾。偽勒索軟件就是一個(gè)例子。這是一種看起來像勒索軟件的惡意軟件，但它并沒有做勒索軟件所做的邪惡的事情，它會(huì)在背后竊取醫(yī)療記錄，或在系統(tǒng)中橫向移動(dòng)，安裝其他間諜軟件或惡意軟件，這些軟件在之后會(huì)使犯罪分子受益。
正如下一節(jié)所述，醫(yī)療衛(wèi)生業(yè)行業(yè)內(nèi)的人士也在竊取患者的數(shù)據(jù)。
3. 內(nèi)部威脅
根據(jù) Verizon 保護(hù)健康信息數(shù)據(jù)泄露報(bào)告，被調(diào)查的醫(yī)療服務(wù)供應(yīng)商中，59% 的威脅行為者是內(nèi)部人士。83% 的情況下其動(dòng)機(jī)與經(jīng)濟(jì)利益相關(guān)。
很大一部分的內(nèi)部泄露動(dòng)機(jī)是出于樂趣或好奇心，訪問他們工作職責(zé)之外的數(shù)據(jù)——例如，查詢名人的 PHI。間諜活動(dòng)和復(fù)仇也是動(dòng)機(jī)之一。Fairwarning 的首席執(zhí)行官 Kurt Long 表示：在病人住院期間，有數(shù)十人可以查閱醫(yī)療記錄，正因?yàn)槿绱?，醫(yī)療服務(wù)供應(yīng)商往往會(huì)設(shè)置寬松的準(zhǔn)入控制。普通員工可以接觸到大量數(shù)據(jù)，因?yàn)闉榱苏樟喜∪耍麄冃枰焖佾@取數(shù)據(jù)。
醫(yī)療組織機(jī)構(gòu)中不同系統(tǒng)的數(shù)量也是一個(gè)因素。Long 表示這不僅包括付費(fèi)和注冊，還包括專門用于婦產(chǎn)科、腫瘤學(xué)、診斷和其他臨床系統(tǒng)的系統(tǒng)。
“任何東西都可能用來交易，從用于身份盜竊的病人數(shù)據(jù)或醫(yī)療身份盜竊欺詐計(jì)劃。這已經(jīng)成為了這個(gè)行業(yè)的常態(tài)。人們在為自己、朋友、家人謀取錢財(cái)，或者（他們正在）轉(zhuǎn)向阿片類藥物或處方藥物。他們獲取處方，然后出售以獲取利潤。”
當(dāng)你從整體上看待阿片類藥物危機(jī)時(shí)，可以說醫(yī)療工作者正坐在系統(tǒng)中處方阿片類藥物帶來的金礦上。這是阿片類藥物危機(jī)的最新證明。醫(yī)療工作者認(rèn)識(shí)到它們的價(jià)值，他們可能會(huì)對(duì)它們上癮，或者為了經(jīng)濟(jì)利益而使用他們的權(quán)利（開處方）。
Long 指出，內(nèi)部人士從竊取病人數(shù)據(jù)中獲利的一個(gè)公開例子來自 Memorial Healthcare Systems。去年，為了了結(jié)一起內(nèi)部違規(guī)案件，該公司支付了 550 萬美元的 HIPAA 和解金。在這起案件中，兩名員工訪問了 11 萬 5 千多名患者的 PHI。那次入侵事件徹底改變了 Memorial 對(duì)隱私和安全的態(tài)度，以防范未來來自內(nèi)部人士和其他各方的威脅。
4. 網(wǎng)絡(luò)釣魚
網(wǎng)絡(luò)釣魚是攻擊者進(jìn)入系統(tǒng)最常用的手段。它可以用來安裝勒索軟件、挖礦腳本、間諜軟件或代碼來竊取數(shù)據(jù)。
一些人認(rèn)為，醫(yī)療衛(wèi)生行業(yè)更容易受到網(wǎng)絡(luò)釣魚的影響，但數(shù)據(jù)顯示并非如此。KnowBe4 的一項(xiàng)研究表明，在遭受網(wǎng)絡(luò)釣魚攻擊方面，醫(yī)療衛(wèi)生行業(yè)與大多數(shù)其他行業(yè)不相上下。在規(guī)模為 250 至 1000 名員工的醫(yī)療機(jī)構(gòu)里，如果這些員工沒有接受過安全意識(shí)培訓(xùn)，就有 27.85% 的幾率成為網(wǎng)絡(luò)釣魚的受害者，而行業(yè)平均概率為 27%。
Carpenter表示，你可能會(huì)認(rèn)為利他主義、面對(duì)生死，可能會(huì)導(dǎo)致人們（醫(yī)療工作者）在心理上更容易受到影響去點(diǎn)擊一些東西，但數(shù)據(jù)并沒有證明這一點(diǎn)。
人員規(guī)模與被網(wǎng)絡(luò)釣魚的可能性有很大相關(guān)。KnowBe4 的數(shù)據(jù)顯示，員工人數(shù)在 1,000 人以上的醫(yī)療機(jī)構(gòu)，平均有 25.6% 的可能性會(huì)被網(wǎng)絡(luò)釣魚。
Carpenter 發(fā)現(xiàn)在擁有 1000 多名員工的企業(yè)中，大多數(shù)人接受了更多的培訓(xùn)，并且運(yùn)營的復(fù)雜程度也更高，因?yàn)闉榱俗袷貒?yán)格的規(guī)定，他們不得不使用不同的系統(tǒng)。
5. 加密貨幣劫持
秘密劫持系統(tǒng)進(jìn)行挖礦，在所有行業(yè)都是一個(gè)日益嚴(yán)重的問題。醫(yī)療衛(wèi)生行業(yè)使用的系統(tǒng)對(duì)于挖礦者是一個(gè)很誘人的目標(biāo)，因?yàn)楸３诌@些系統(tǒng)的運(yùn)行至關(guān)重要。系統(tǒng)運(yùn)行的時(shí)間越長，犯罪分子就越有可能通過挖掘加密貨幣獲利。Carpenter說道，在醫(yī)院里，他們可能不會(huì)急于拔掉這些機(jī)器的插頭（如果懷疑有加密貨幣劫持行為），（受感染的）機(jī)器運(yùn)行的時(shí)間越長，犯罪分子就受益越多。
這是假設(shè)醫(yī)療衛(wèi)生行業(yè)從業(yè)人員能夠檢測到加密貨幣劫持行為。挖礦劫持代碼不會(huì)危害系統(tǒng)，但會(huì)消耗大量的計(jì)算能力。人們最有可能在系統(tǒng)和生產(chǎn)力降低時(shí)發(fā)現(xiàn)它們。一些挖礦人會(huì)限制他們的代碼來降低被檢測到的風(fēng)險(xiǎn)。很多醫(yī)療機(jī)構(gòu)沒有IT或安全人員來識(shí)別和應(yīng)對(duì)這種加密貨幣劫持攻擊。
6. 入侵物聯(lián)網(wǎng)設(shè)備
醫(yī)療設(shè)備安全多年來一直是醫(yī)療衛(wèi)生領(lǐng)域的一個(gè)熱點(diǎn)問題，很多聯(lián)網(wǎng)的醫(yī)療設(shè)備都很容易受到攻擊。問題的關(guān)鍵在于很多醫(yī)療設(shè)備的設(shè)計(jì)并沒有考慮到網(wǎng)絡(luò)安全問題。在能打補(bǔ)丁的情況下，補(bǔ)丁通常也只能提供有限的保護(hù)。
根據(jù) 2019 年初愛迪德 (Irdeto) 全球互聯(lián)產(chǎn)業(yè)網(wǎng)絡(luò)安全調(diào)查報(bào)告，82% 的醫(yī)療機(jī)構(gòu)表示他們在過去 12 個(gè)月里經(jīng)歷過針對(duì)物聯(lián)網(wǎng)設(shè)備的網(wǎng)絡(luò)攻擊。這些攻擊造成的平均財(cái)務(wù)影響為 346,205 美元。這些攻擊造成的最常見影響是業(yè)務(wù)下線 (47%)，其次是客戶數(shù)據(jù)泄露 (42%)和終端用戶安全受損 (31%)。
在制造商開始制造更安全的設(shè)備之前，醫(yī)療衛(wèi)生行業(yè)脆弱的醫(yī)療和其他聯(lián)網(wǎng)設(shè)備將持續(xù)帶來風(fēng)險(xiǎn)。但更新、更安全的型號(hào)要取代舊型號(hào)設(shè)備還需要數(shù)年的時(shí)間。
關(guān)于降低醫(yī)療安全風(fēng)險(xiǎn)的一些建議
1、加強(qiáng)對(duì)關(guān)鍵基礎(chǔ)設(shè)施的維護(hù)和更新工作。那些老舊的未打補(bǔ)丁的系統(tǒng)作為關(guān)鍵設(shè)備被嵌入其中，這一事實(shí)導(dǎo)致這些系統(tǒng)非常容易受到勒索軟件的影響。這可能很困難，因?yàn)榫S護(hù)過程可能會(huì)破壞關(guān)鍵系統(tǒng)或使供應(yīng)商支持系統(tǒng)的能力受損。
在某些情況下，對(duì)于已知的漏洞沒有可用的補(bǔ)丁。Carpenter 建議在供應(yīng)商沒有或不能修復(fù)或更新系統(tǒng)的情況下對(duì)他們施加壓力，對(duì)供應(yīng)商強(qiáng)勢一些，問問他們?yōu)槭裁催@些系統(tǒng)不能或沒有更新，并從行業(yè)角度施加壓力。
2、對(duì)員工進(jìn)行網(wǎng)絡(luò)安全培訓(xùn)。根據(jù) KnowBe4 的研究，在培訓(xùn)員工識(shí)別網(wǎng)絡(luò)釣魚企圖方面，醫(yī)療衛(wèi)生行業(yè)低于平均水平。很多醫(yī)療機(jī)構(gòu)規(guī)模都很小——不到 1000 名員工，這可能是一個(gè)原因。Carpenter表示，不僅僅是告訴他們應(yīng)該做什么，是要建立一個(gè)行為條件項(xiàng)目，訓(xùn)練他們不要點(diǎn)擊釣魚鏈接。
這個(gè)項(xiàng)目會(huì)給員工發(fā)送模擬的釣魚郵件。點(diǎn)擊這些鏈接的員工會(huì)立即收到反饋，告訴他們自己做了什么以及他們在未來如何去做正確的事情。這樣的項(xiàng)目可以產(chǎn)生巨大的影響。
如果能夠持續(xù)進(jìn)行培訓(xùn)，培訓(xùn)會(huì)產(chǎn)生效果。KnowBe4 的研究表明，擁有 250 到 999 名員工的醫(yī)療機(jī)構(gòu)在經(jīng)過一年的網(wǎng)絡(luò)釣魚培訓(xùn)和測試后，被網(wǎng)絡(luò)釣魚的可能性可以從 27.85% 下降到 1.65%。
3、注意員工信息。網(wǎng)絡(luò)釣魚攻擊越個(gè)性化，成功的機(jī)會(huì)就越大。在魚叉式釣魚攻擊中，攻擊者試圖盡可能多地了解目標(biāo)本身。Carpenter說道，如果 “外出” 的回復(fù)給出了可以聯(lián)系的人的名字，（攻擊者）可以通過這些名單和關(guān)系來建立信任。
4、加強(qiáng)防御和應(yīng)對(duì)威脅的能力。Long說道，自己（對(duì)醫(yī)療安全）最擔(dān)心的一件事是，醫(yī)護(hù)人員沒有能力在發(fā)現(xiàn)事件以后對(duì)其進(jìn)行適當(dāng)?shù)恼{(diào)查，沒有能力對(duì)事件進(jìn)行記錄和評(píng)估，也無法進(jìn)行充分的取證，以配合執(zhí)法或法律行動(dòng)。醫(yī)療機(jī)構(gòu)也缺少能夠進(jìn)行徹底修復(fù)的工作人員，有了這些工作人員這種情況就不會(huì)再發(fā)生了。他的建議是：從員工或合作伙伴那里獲得專業(yè)知識(shí)。并且安全性需要成為董事會(huì)和管理層的優(yōu)先考慮的事項(xiàng)，確定安全優(yōu)先級(jí)后的第一步是確保你有一位具有相關(guān)經(jīng)驗(yàn)的專職 CISO。
Long 表示規(guī)模較小的醫(yī)療服務(wù)提供商可能沒有資源雇傭 CISO，但他們?nèi)匀恍枰獌?yōu)先考慮安全性。他們可能需要在如何獲得一流的安全專業(yè)知識(shí)方面更具有創(chuàng)造性?？赡苁峭ㄟ^合作關(guān)系或托管安全服務(wù)，但沒有方案能夠替代直接走上前說，“我的病人的安全需要得到保障，我必須進(jìn)行合作，或在這里找到合適的安全專業(yè)人員。”
他們有充分的理由感到擔(dān)心。醫(yī)療衛(wèi)生行業(yè)仍然是黑客的主要目標(biāo)，同時(shí)機(jī)構(gòu)內(nèi)部本身就存在很大的風(fēng)險(xiǎn)威脅。
為什么醫(yī)療衛(wèi)生行業(yè)會(huì)成為黑客攻擊的目標(biāo)？
醫(yī)療衛(wèi)生相關(guān)的組織機(jī)構(gòu)往往具備一些屬性，恰恰這些屬性對(duì)攻擊者來說很具吸引力。關(guān)鍵原因之一是醫(yī)療系統(tǒng)沒有定期更新補(bǔ)丁，致使信息漏洞的廣泛存在。KnowBe4 的首席宣傳官兼戰(zhàn)略官 Perry Carpenter 表示：其中一些是嵌入式系統(tǒng)，即便發(fā)現(xiàn)漏洞也難以打上補(bǔ)丁，如果醫(yī)療機(jī)構(gòu)的IT部門自行更新，可能會(huì)導(dǎo)致供應(yīng)商無法繼續(xù)提供支持。
醫(yī)療衛(wèi)生行業(yè)的關(guān)鍵性質(zhì)使它們成為了攻擊者的目標(biāo)。在網(wǎng)絡(luò)犯罪領(lǐng)域，健康數(shù)據(jù)是一種有價(jià)值的商品，這使得它成為了盜竊的目標(biāo)。由于事關(guān)病人的健康，醫(yī)療機(jī)構(gòu)更有可能為勒索軟件支付贖金。
以下是2020年醫(yī)療衛(wèi)生行業(yè)將會(huì)面對(duì)的六大網(wǎng)絡(luò)安全威脅：
1. 勒索軟件
根據(jù) Verizon 2019 年的數(shù)據(jù)泄露調(diào)查報(bào)告，勒索軟件攻擊連續(xù)兩年占到了醫(yī)療衛(wèi)生行業(yè)所有惡意軟件事件的 70% 以上。另一項(xiàng) Radware 的《信任因子》(The Trust Factor) 報(bào)告顯示，只有 39% 的醫(yī)療機(jī)構(gòu)認(rèn)為面對(duì)勒索軟件的攻擊，他們做好了足夠或充分的準(zhǔn)備。
勒索軟件攻擊在明年也會(huì)持續(xù)存在。Carpenter 表示：在充分強(qiáng)化員工和系統(tǒng)安全之前，（勒索軟件）將持續(xù)取得勝利，并獲得更多動(dòng)力。他們將繼續(xù)將矛頭對(duì)準(zhǔn)會(huì)點(diǎn)擊或下載一些東西的人。
原因很簡單：黑客認(rèn)為他們的勒索軟件攻擊更有可能成功，因?yàn)槿绻t(yī)院、醫(yī)療機(jī)構(gòu)和其他衛(wèi)生組織無法訪問患者的記錄，就會(huì)危及到這些患者的生命。他們將被迫立即采取行動(dòng)，支付贖金，而不會(huì)通過備份進(jìn)行漫長的恢復(fù)工作。
“醫(yī)療也是商業(yè)的一種，但醫(yī)療衛(wèi)生也涉及人們的生活。任何時(shí)候，如果你的公司涉及到人們生活中最私人、最重要的部分，而你對(duì)其構(gòu)成了威脅，就需要立即做出反應(yīng)。這對(duì)部署了勒索軟件的網(wǎng)絡(luò)罪犯來說非常有用。”
當(dāng)醫(yī)療機(jī)構(gòu)無法快速進(jìn)行恢復(fù)時(shí)，勒索軟件導(dǎo)致的后果可能是毀滅性的。這一點(diǎn)在電子健康檔案(Electronic Health Record, EHR)公司Allscripts在1月份因?yàn)槔账鬈浖舳P(guān)停時(shí)體現(xiàn)的非常明顯。這次攻擊感染了兩個(gè)數(shù)據(jù)中心，導(dǎo)致很多應(yīng)用程序離線，影響了該公司服務(wù)的數(shù)千名醫(yī)療行業(yè)客戶。
2. 竊取病人資料
對(duì)網(wǎng)絡(luò)罪犯來說，醫(yī)療數(shù)據(jù)可能比財(cái)務(wù)數(shù)據(jù)更有價(jià)值。根據(jù) Trend Micro 的醫(yī)療行業(yè)所面臨的網(wǎng)絡(luò)犯罪和其他威脅這份報(bào)告，竊取的醫(yī)療保險(xiǎn) ID 在黑市上的售價(jià)至少為 1 美元，醫(yī)療檔案的起價(jià)為 5 美元。
黑客可以利用身份證和其他醫(yī)療數(shù)據(jù)獲取政府文件，比如駕照。據(jù) Trend Micro 報(bào)道，駕照售價(jià)約為 170 美元。一個(gè)制造完整的身份（一個(gè)由完整的 PHI 和一位死者其他的身份數(shù)據(jù)構(gòu)成的身份）可以賣到 1000 美元。相比之下，信用卡號(hào)在黑市上只賣幾美分。
Carpenter表示，醫(yī)療記錄比信用卡數(shù)據(jù)更有價(jià)值，因?yàn)獒t(yī)療記錄將大量信息集中在了一個(gè)地方，包括財(cái)務(wù)信息和個(gè)人的關(guān)鍵背景數(shù)據(jù)。身份盜竊所需的一切都在那里。
犯罪分子在竊取健康數(shù)據(jù)方面變得越來越狡猾。偽勒索軟件就是一個(gè)例子。這是一種看起來像勒索軟件的惡意軟件，但它并沒有做勒索軟件所做的邪惡的事情，它會(huì)在背后竊取醫(yī)療記錄，或在系統(tǒng)中橫向移動(dòng)，安裝其他間諜軟件或惡意軟件，這些軟件在之后會(huì)使犯罪分子受益。
正如下一節(jié)所述，醫(yī)療衛(wèi)生業(yè)行業(yè)內(nèi)的人士也在竊取患者的數(shù)據(jù)。
3. 內(nèi)部威脅
根據(jù) Verizon 保護(hù)健康信息數(shù)據(jù)泄露報(bào)告，被調(diào)查的醫(yī)療服務(wù)供應(yīng)商中，59% 的威脅行為者是內(nèi)部人士。83% 的情況下其動(dòng)機(jī)與經(jīng)濟(jì)利益相關(guān)。
很大一部分的內(nèi)部泄露動(dòng)機(jī)是出于樂趣或好奇心，訪問他們工作職責(zé)之外的數(shù)據(jù)——例如，查詢名人的 PHI。間諜活動(dòng)和復(fù)仇也是動(dòng)機(jī)之一。Fairwarning 的首席執(zhí)行官 Kurt Long 表示：在病人住院期間，有數(shù)十人可以查閱醫(yī)療記錄，正因?yàn)槿绱?，醫(yī)療服務(wù)供應(yīng)商往往會(huì)設(shè)置寬松的準(zhǔn)入控制。普通員工可以接觸到大量數(shù)據(jù)，因?yàn)闉榱苏樟喜∪耍麄冃枰焖佾@取數(shù)據(jù)。
醫(yī)療組織機(jī)構(gòu)中不同系統(tǒng)的數(shù)量也是一個(gè)因素。Long 表示這不僅包括付費(fèi)和注冊，還包括專門用于婦產(chǎn)科、腫瘤學(xué)、診斷和其他臨床系統(tǒng)的系統(tǒng)。
“任何東西都可能用來交易，從用于身份盜竊的病人數(shù)據(jù)或醫(yī)療身份盜竊欺詐計(jì)劃。這已經(jīng)成為了這個(gè)行業(yè)的常態(tài)。人們在為自己、朋友、家人謀取錢財(cái)，或者（他們正在）轉(zhuǎn)向阿片類藥物或處方藥物。他們獲取處方，然后出售以獲取利潤。”
當(dāng)你從整體上看待阿片類藥物危機(jī)時(shí)，可以說醫(yī)療工作者正坐在系統(tǒng)中處方阿片類藥物帶來的金礦上。這是阿片類藥物危機(jī)的最新證明。醫(yī)療工作者認(rèn)識(shí)到它們的價(jià)值，他們可能會(huì)對(duì)它們上癮，或者為了經(jīng)濟(jì)利益而使用他們的權(quán)利（開處方）。
Long 指出，內(nèi)部人士從竊取病人數(shù)據(jù)中獲利的一個(gè)公開例子來自 Memorial Healthcare Systems。去年，為了了結(jié)一起內(nèi)部違規(guī)案件，該公司支付了 550 萬美元的 HIPAA 和解金。在這起案件中，兩名員工訪問了 11 萬 5 千多名患者的 PHI。那次入侵事件徹底改變了 Memorial 對(duì)隱私和安全的態(tài)度，以防范未來來自內(nèi)部人士和其他各方的威脅。
4. 網(wǎng)絡(luò)釣魚
網(wǎng)絡(luò)釣魚是攻擊者進(jìn)入系統(tǒng)最常用的手段。它可以用來安裝勒索軟件、挖礦腳本、間諜軟件或代碼來竊取數(shù)據(jù)。
一些人認(rèn)為，醫(yī)療衛(wèi)生行業(yè)更容易受到網(wǎng)絡(luò)釣魚的影響，但數(shù)據(jù)顯示并非如此。KnowBe4 的一項(xiàng)研究表明，在遭受網(wǎng)絡(luò)釣魚攻擊方面，醫(yī)療衛(wèi)生行業(yè)與大多數(shù)其他行業(yè)不相上下。在規(guī)模為 250 至 1000 名員工的醫(yī)療機(jī)構(gòu)里，如果這些員工沒有接受過安全意識(shí)培訓(xùn)，就有 27.85% 的幾率成為網(wǎng)絡(luò)釣魚的受害者，而行業(yè)平均概率為 27%。
Carpenter表示，你可能會(huì)認(rèn)為利他主義、面對(duì)生死，可能會(huì)導(dǎo)致人們（醫(yī)療工作者）在心理上更容易受到影響去點(diǎn)擊一些東西，但數(shù)據(jù)并沒有證明這一點(diǎn)。
人員規(guī)模與被網(wǎng)絡(luò)釣魚的可能性有很大相關(guān)。KnowBe4 的數(shù)據(jù)顯示，員工人數(shù)在 1,000 人以上的醫(yī)療機(jī)構(gòu)，平均有 25.6% 的可能性會(huì)被網(wǎng)絡(luò)釣魚。
Carpenter 發(fā)現(xiàn)在擁有 1000 多名員工的企業(yè)中，大多數(shù)人接受了更多的培訓(xùn)，并且運(yùn)營的復(fù)雜程度也更高，因?yàn)闉榱俗袷貒?yán)格的規(guī)定，他們不得不使用不同的系統(tǒng)。
5. 加密貨幣劫持
秘密劫持系統(tǒng)進(jìn)行挖礦，在所有行業(yè)都是一個(gè)日益嚴(yán)重的問題。醫(yī)療衛(wèi)生行業(yè)使用的系統(tǒng)對(duì)于挖礦者是一個(gè)很誘人的目標(biāo)，因?yàn)楸３诌@些系統(tǒng)的運(yùn)行至關(guān)重要。系統(tǒng)運(yùn)行的時(shí)間越長，犯罪分子就越有可能通過挖掘加密貨幣獲利。Carpenter說道，在醫(yī)院里，他們可能不會(huì)急于拔掉這些機(jī)器的插頭（如果懷疑有加密貨幣劫持行為），（受感染的）機(jī)器運(yùn)行的時(shí)間越長，犯罪分子就受益越多。
這是假設(shè)醫(yī)療衛(wèi)生行業(yè)從業(yè)人員能夠檢測到加密貨幣劫持行為。挖礦劫持代碼不會(huì)危害系統(tǒng)，但會(huì)消耗大量的計(jì)算能力。人們最有可能在系統(tǒng)和生產(chǎn)力降低時(shí)發(fā)現(xiàn)它們。一些挖礦人會(huì)限制他們的代碼來降低被檢測到的風(fēng)險(xiǎn)。很多醫(yī)療機(jī)構(gòu)沒有IT或安全人員來識(shí)別和應(yīng)對(duì)這種加密貨幣劫持攻擊。
6. 入侵物聯(lián)網(wǎng)設(shè)備
醫(yī)療設(shè)備安全多年來一直是醫(yī)療衛(wèi)生領(lǐng)域的一個(gè)熱點(diǎn)問題，很多聯(lián)網(wǎng)的醫(yī)療設(shè)備都很容易受到攻擊。問題的關(guān)鍵在于很多醫(yī)療設(shè)備的設(shè)計(jì)并沒有考慮到網(wǎng)絡(luò)安全問題。在能打補(bǔ)丁的情況下，補(bǔ)丁通常也只能提供有限的保護(hù)。
根據(jù) 2019 年初愛迪德 (Irdeto) 全球互聯(lián)產(chǎn)業(yè)網(wǎng)絡(luò)安全調(diào)查報(bào)告，82% 的醫(yī)療機(jī)構(gòu)表示他們在過去 12 個(gè)月里經(jīng)歷過針對(duì)物聯(lián)網(wǎng)設(shè)備的網(wǎng)絡(luò)攻擊。這些攻擊造成的平均財(cái)務(wù)影響為 346,205 美元。這些攻擊造成的最常見影響是業(yè)務(wù)下線 (47%)，其次是客戶數(shù)據(jù)泄露 (42%)和終端用戶安全受損 (31%)。
在制造商開始制造更安全的設(shè)備之前，醫(yī)療衛(wèi)生行業(yè)脆弱的醫(yī)療和其他聯(lián)網(wǎng)設(shè)備將持續(xù)帶來風(fēng)險(xiǎn)。但更新、更安全的型號(hào)要取代舊型號(hào)設(shè)備還需要數(shù)年的時(shí)間。
關(guān)于降低醫(yī)療安全風(fēng)險(xiǎn)的一些建議
1、加強(qiáng)對(duì)關(guān)鍵基礎(chǔ)設(shè)施的維護(hù)和更新工作。那些老舊的未打補(bǔ)丁的系統(tǒng)作為關(guān)鍵設(shè)備被嵌入其中，這一事實(shí)導(dǎo)致這些系統(tǒng)非常容易受到勒索軟件的影響。這可能很困難，因?yàn)榫S護(hù)過程可能會(huì)破壞關(guān)鍵系統(tǒng)或使供應(yīng)商支持系統(tǒng)的能力受損。
在某些情況下，對(duì)于已知的漏洞沒有可用的補(bǔ)丁。Carpenter 建議在供應(yīng)商沒有或不能修復(fù)或更新系統(tǒng)的情況下對(duì)他們施加壓力，對(duì)供應(yīng)商強(qiáng)勢一些，問問他們?yōu)槭裁催@些系統(tǒng)不能或沒有更新，并從行業(yè)角度施加壓力。
2、對(duì)員工進(jìn)行網(wǎng)絡(luò)安全培訓(xùn)。根據(jù) KnowBe4 的研究，在培訓(xùn)員工識(shí)別網(wǎng)絡(luò)釣魚企圖方面，醫(yī)療衛(wèi)生行業(yè)低于平均水平。很多醫(yī)療機(jī)構(gòu)規(guī)模都很小——不到 1000 名員工，這可能是一個(gè)原因。Carpenter表示，不僅僅是告訴他們應(yīng)該做什么，是要建立一個(gè)行為條件項(xiàng)目，訓(xùn)練他們不要點(diǎn)擊釣魚鏈接。
這個(gè)項(xiàng)目會(huì)給員工發(fā)送模擬的釣魚郵件。點(diǎn)擊這些鏈接的員工會(huì)立即收到反饋，告訴他們自己做了什么以及他們在未來如何去做正確的事情。這樣的項(xiàng)目可以產(chǎn)生巨大的影響。
如果能夠持續(xù)進(jìn)行培訓(xùn)，培訓(xùn)會(huì)產(chǎn)生效果。KnowBe4 的研究表明，擁有 250 到 999 名員工的醫(yī)療機(jī)構(gòu)在經(jīng)過一年的網(wǎng)絡(luò)釣魚培訓(xùn)和測試后，被網(wǎng)絡(luò)釣魚的可能性可以從 27.85% 下降到 1.65%。
3、注意員工信息。網(wǎng)絡(luò)釣魚攻擊越個(gè)性化，成功的機(jī)會(huì)就越大。在魚叉式釣魚攻擊中，攻擊者試圖盡可能多地了解目標(biāo)本身。Carpenter說道，如果 “外出” 的回復(fù)給出了可以聯(lián)系的人的名字，（攻擊者）可以通過這些名單和關(guān)系來建立信任。
4、加強(qiáng)防御和應(yīng)對(duì)威脅的能力。Long說道，自己（對(duì)醫(yī)療安全）最擔(dān)心的一件事是，醫(yī)護(hù)人員沒有能力在發(fā)現(xiàn)事件以后對(duì)其進(jìn)行適當(dāng)?shù)恼{(diào)查，沒有能力對(duì)事件進(jìn)行記錄和評(píng)估，也無法進(jìn)行充分的取證，以配合執(zhí)法或法律行動(dòng)。醫(yī)療機(jī)構(gòu)也缺少能夠進(jìn)行徹底修復(fù)的工作人員，有了這些工作人員這種情況就不會(huì)再發(fā)生了。他的建議是：從員工或合作伙伴那里獲得專業(yè)知識(shí)。并且安全性需要成為董事會(huì)和管理層的優(yōu)先考慮的事項(xiàng)，確定安全優(yōu)先級(jí)后的第一步是確保你有一位具有相關(guān)經(jīng)驗(yàn)的專職 CISO。
Long 表示規(guī)模較小的醫(yī)療服務(wù)提供商可能沒有資源雇傭 CISO，但他們?nèi)匀恍枰獌?yōu)先考慮安全性。他們可能需要在如何獲得一流的安全專業(yè)知識(shí)方面更具有創(chuàng)造性?？赡苁峭ㄟ^合作關(guān)系或托管安全服務(wù)，但沒有方案能夠替代直接走上前說，“我的病人的安全需要得到保障，我必須進(jìn)行合作，或在這里找到合適的安全專業(yè)人員。”
