腾讯携CHIMA发布医疗行业安全指数报告：全国医疗行业指数值良好

2018-09-23          悟空

9月20日，腾讯公司联合中国医院协会信息管理专业委员会（CHIMA）重磅发布《医疗行业安全指数报告》（以下简称《报告》）。基于腾讯智慧安全指数和CHIMA医院信息化状况调查，《报告》全面梳理了国内医疗行业信息安全态势以及安全措施采用情况，从指数总体情况来看，全国医疗行业网络安全状况处于良好水平，医疗行业信息安全建设稳步提升。与此同时，黑客入侵攻击、勒索病毒攻击、信息泄露等安全问题对医院等公共机构的威胁不容忽视。今年以来，我国医疗体系遭受攻击的频率呈明显上升趋势，整体医疗信息安全环境并不乐观。

医疗行业信息安全环境整体提升，60%医院安全指数良好

据了解，成立于1995年的CHIMA是医疗卫生信息化的主要学术力量和重要学术平台，每年会针对医疗信息化领域开展相关调查并发布报告，供各级政府和企业及医院参考借鉴。本次与腾讯智慧安全携手，基于腾讯近20年安全能力沉淀，以及其在全国范围内为多家三甲医院提供安全智能防护体系的经验，全景式展现当前医疗单位的安全现状，为医疗信息安全建设提供参考标准。

《报告》涵盖了956家三级甲等医院、7家第三方医疗服务平台，包括92个授权网站、79个患者手机应用APP等外部网络资产，以企业安全指数和行业互联网安全指数构成的腾讯智慧安全指数对医疗行业整体安全态势进行评估。其中，0—499指数值代表较差、500—699指数值代表一般、700—899指数值代表良好、900—1000指数值代表优秀。

《报告》显示，国内38%的医院指数值处于良好水平，22%的医院处于优秀水平。显示出在卫健委指导下，全国医院信息安全建设水平正在不断提升 。

（图：安全指数的等级分布情况——医院维度）

对于安全措施采用情况，《报告》参考了CHIMA此前发布的《2017-2018年度中国医院信息化状况调查报告》。从医院实施等级保护情况来看，在484家样本医院中，66.74％的医院实施了等级保护规划工作。其中，经济发达地区实施等级保护工作的比例高于中等发达地区和经济欠发达地区。

（图：医院等级保护工作情况）

不法分子瞄准医疗机构，医疗体系频遭外部攻击

虽然大部分医疗机构实施了信息安全防护工作，但数据的经济价值驱使不法分子铤而走险。《报告》显示，自2017年以来，医疗行业已成为不法分子实施勒索的最主要目标，29%的勒索软件的攻击目标是各类医疗相关机构。

另外，腾讯智慧安全近日发布的《医疗行业勒索病毒专题报告》同样显示，在勒索攻击方面，自7月以来，勒索病毒一直处于持续活跃传播的状态，其中8月份相对于7月份勒索病毒传播有所加强。除勒索病毒威胁外，医疗业务资源被黑客滥用于挖矿，破坏企业内部 IT 环境、数据中心的正常运行秩序以及关键应用的交付，使得业务连续性遭受极大安全威胁。

（图：被勒索软件攻击行业分布）

进入2018年后，腾讯御见威胁情报中心监测到全国多地多家医院服务器被黑客入侵，国内医疗机构遭受攻击的频率呈明显上升趋势。与此同时，在全球范围内，黑客攻击造成的的重大医疗信息泄露事件频发。仅在2018年过去的几个月中，单次泄露数据大于500条的数据泄露事件就发生了数百起，几乎每个月都会发生3到4起重大医疗数据泄露事件。

医疗内部存在安全风险，信息安全意识有待提升

除了来自不法黑客的外部攻击威胁外，随着医疗服务信息化的持续推进，医疗机构还面临内部安全风险，需要进一步提升信息安全意识。《报告》指出，目前医疗行业面临的安全风险问题主要集中在主机安全、应用安全和网络安全。

在主机安全方面，《报告》基于第三方网络空间资产测绘的结果，筛选了最近几年黑客攻击事件中出现频率较高的端口，发现全国有不少医疗单位仍然开放着如3306、3389等高危端口，明显高于国内全网相应端口的开放比例。此外，还有较大比重的邮件服务、数据库服务等端口暴露在公网上；同时医院外网也存在较多风险，国内三级甲等医院30%的电脑存在高危漏洞，12%的医院有外网电脑曾被入侵并植入挖矿木马；15%的医院有外网电脑存在勒索病毒的破坏行为。

在应用安全上，国内医疗行业的脆弱性凸显。《报告》显示，基于对已授权医院的患者APP漏洞检测、分析发现，80%左右的患者APP存在漏洞，其中有67%更是存在可利用的高危漏洞；同时，第三方医疗服务平台多存在严重的信息泄露风险，包括登录绕过、未授权访问、平等越权等问题，可能导致大量患者的姓名、手机号、身份证、以及就诊记录、化验检验报告等多项敏感信息泄露。

（医院安卓应用软件存在的高危漏洞情况）

针对目前国内医疗行业存在的信息安全风险问题，腾讯安全智慧在《报告》中提出五点建议：对当前医疗信息化安全系统进行全面体检，定位安全问题，排除安全隐患；选择专业医疗安全解决方案，建设安全防御体系，降低网络信息安全风险；加强医疗网络信息安全技术团队培训，全面提升安全防御意识和团队素养；定期进行网络信息安全检查及安全防御演练，提升重大威胁应急响应能力；建立面向行业应急响应协同机制，及时预警联防共治，携手应对网络风险。

据了解，腾讯智慧安全将为医疗行业免费提供信息安全诊脉服务，或将上线一款针对医疗行业安全指数查询的小程序，以便企业用户能够实时了解自身安全情况，及时改善。长久以来，腾讯安全向行业全面开放安全能力，除了将研究成果共享外，还希望发动更多社会力量参与到医疗行业信息安全建设中来，只有协同共治，新的网络安全生态才能够建立起来，才能有效保障和驱动医疗信息化的良性发展，维护公众医疗数据安全。