由“携程泄密”事件反观医院信息系统安全

医疗健康 2014-03-24 09:26 来源：健康届

2014

03/24

09:26

健康届医疗健康

3月22日，乌云漏洞平台发布消息称，携程系统存在技术漏洞，可导致用户个人信息、银行卡信息等泄露。对此，携程当晚对媒体表示，已进行技术排查和修复。如用户因此产生损失，携程将赔偿。有网友建议，使用信用卡在携程上进行过支付的消费者，应该立刻更换信用卡。还有部分微博网友表示，将因此与携程“告别”。

携程网，作为一家在线票务服务公司，收集和存储了大量公民的信息数据。医院作为社会公共服务领域的重要组成部分，同样收集和储存了海量患者信息。因此，医院信息系统安全问题一直是社会关注的焦点。2013年8月26日，加利福尼亚护士协会的一篇报道称，加利福尼亚北部萨特医院的电子健康记录（Electronic Health Record，EHR）系统全线黑屏，该系统在此之前就被曝存在问题，此次更是将广大患者置于附加危险境地。该医院的注册护士报告说上个月出现了多种问题并登记了无数投诉。2013年7月，宁波两家医院挂号系统瘫痪事件，同样也引起了社会各界对医院信息系统安全的高度关注。

医院信息系统承担着医院内各项业务，其安全状况事关的患者隐私和健康、社会秩序及稳定等等。

医院信息系统所面临的风险

从医院内部管理来看，医院的信息系统面临着很大的安全风险，迫切需要建立起完整的信息安全防护体系。这些风险主要在于：

1.医院的信息系统不是一个孤立的系统，同合作单位(如社保部门)甚至互联网都存在接口，存在被黑客入侵、网络攻击的风险。

2.作为医院最核心的业务系统，医院信息系统（Hospital Information System，HIS）的运营缺少有效的安全保护措施和审计机制，存在账号滥用、业务数据被非法读取的风险。譬如，由于HIS系统缺乏权限管理，任何有机会接触HIS终端的人员均可以通过HIS系统进行药物使用情况的查询等。

3.内外网划分不清晰，缺少内外网隔离措施，有可能存在医院的核心业务信息通过互联网泄密的风险。

4.大部分医院未部署终端安全管理和审计系统，导致不合规的终端也能随时接入内部网络，且出现终端安全事故时无法追查。

5.医院的门户网站缺少必要的安全保护措施，存在被结构化查询语言(Structured Query Language，SQL)注入攻击、网站挂马的风险。

来源：健康届

标签