医疗设备越来越多地连接到互联网。医院通过网络可以改善医疗服务，随着网络时代的来。但是相应地也会面对网络平安风险。
医疗设备也很容易受到平安漏洞的影响，和其他计算机系统一样。医疗器械网络平安出现问题不只可能会侵犯患者隐私，而且可能会发生医疗器械非预期运行的风险，导致患者或使用者受到伤害或死亡。
医疗器械网络平安是医疗器械平安性和有效性的重要组成局部之一。因此。如何降低风险显得尤为重要。国内外的医疗设备网络平安问题处于什么样的环境中？这个赛道又哪些守业公司以全新的方法论和技术可以构筑防火墙？威胁和漏洞无法消除。
医疗器械将成为网络攻击下一个目标
据2017年的数据显示，动脉网曾继续关注过医疗网络安全问题。美国2010-2015年医疗信息泄露事件次数每年发生200多起。而今，形势甚至变得更为严峻，2018就发生503起医疗保健数据泄露事件。数据来源：美国卫生与公民服务部）
2017年医疗保健平均每个组织平均每天有近32,FortiGuard实验室演讲称。000次入侵攻击，而在其他行业这个数字是超越14,300次。显然，医疗行业受到更多的攻击。
国内情况也不容乐观，2017年，《法制日报》发布了一篇名为7亿条个人信息遭泄露 〈浙江判决特大侵犯公民信息案〉报道，曝出黑客入侵了某部委的医疗服务信息系统，大量孕检信息遭到泄露和买卖。黑客们不再满足于提取医疗记录和患者数据。把手伸向了医疗设备，然而有一个值得关注的趋势。威胁患者的平安。
医疗器械厂家以及医疗机构一直在维护患者的个人健康信息(PHI随着物联网时代的来，多年来。医疗行业将面临新的挑战。医疗物联网涵盖输液泵、核磁共振成像仪、x光机、心脏监护仪等医疗设备，都可能成为被攻击勒索的对象。
但是如果没有平安维护的医疗物联网设备，尽管医疗物联网可以提高医疗保健的效率。也会导致更大风险暴露。随着5G技术的飞速发展，物联网的来正在加速，而还没有设置网络平安维护的医疗设备宛如在网络攻击面前“裸奔”
一个例子就是2017年5月WannaCri勒索病毒攻击英国国家医疗服务体系NHS
TheNakeSecur报道了WannaCri如何影响英国国家医疗服务体系(NHS报道中论述勒索软件针对的运行在WindowXP工作站的MRI和CT扫描仪。虽然这次攻击的影响仅仅是勒索钱财以释放设备，2018年2月。但更大的担忧是恶意软件可能会影响设备的操作，干扰设备的移动方式，干扰扫描信号，甚至改变结果。
福布斯也报道了美国一家医院的拜耳Medrad设备被感染。拜耳的一位发言人证实，2017年。该公司已收到两份来自美国客户的演讲，演讲显示设备受到勒索软件的攻击，但没有透露具体是哪些产品受到影响。两个站点也在24小时候恢复了运作。进行勒索，黑客可以直接攻击医疗器械。除此之外，医疗器械还可能成为他爪牙，成为窃听的工具。因此医疗器械厂家更要注意本行业的相关用户数据的安全性。
FDA 召回了近50万个心脏起搏器，2017年8月。原因是担心无线窃听。就连美国前副总统迪克切尼(DickChenei也对他心脏起搏器进行了修改，以确保它不受攻击。
用于在疾病护理环境中从注射器中输送小剂量药物。据ICS-CERT2017年9月报道，史密斯医疗公司的Medfus4000无线注射器输液泵也是一个例子。这种输液泵在全球范围内使用。这些设备包括8个可以远程利用的漏洞。
据GartnerResearch称。25％的医疗保健攻击将来自物联网设备。SA NS演讲称，医院中大约17％的网络攻击来自医疗终端，演讲中77％的医院表示医疗设备的平安风险是最关心的问题。
广州市妇女儿童医疗中心在2017年就通过HIMSS住院和门诊EMRA M双7级评审。动脉网也就医疗器械的网络平安问题采访了广州市妇女儿童医疗中心数据中心副主任曹晓均。
可能是定制化的系统与软件，曹晓均也表示：医疗器械与终端设备不同。并部署在专有的网络环境中。不能依照普通终端的防护方式去执行自我维护，但是又因为系统版本老旧，布置不规范等环境的限制极易遭受攻击。
认为在终端平安上容易忽视的问题如下：曹晓均也指出目前在网络平安和终端平安方面单薄的问题。漏洞百出，1内网终端主机自从分发后就没有打过系统补丁。恶意代码入侵长驱直入；终端往往使用弱口令，2为了便于操作。病毒使用暴力破解得到密码后，直接使用管理员身份登陆系统，绕开一切防护手段，系统中为所欲为；滥用移动存储设备，为了便于作业与办公。导致恶意代码有很好的传达途径；
人员平安意识缺乏，因为平安意识宣贯不到位。为了图方便使用热点非法外联，导致内外网互通，引入了未知风险。包括：而网络平安上也存在一些容易忽视的问题。没有分区分域。当平安事件迸发后，基础网建设杂乱。网络中传达速度较快，没法办做到及时封堵；很多网络设备上线后从未更改过策略，网络平安设备的战略规范化。或者都是默认放通，起不到理想的防御作用，形同虚设；经常错失处置平安事件最佳的处置时间，3没有人去定期分析总结网络中的平安日志。导致事态发展到不受控制，工作一直处于主动防御状态。
给出了两点建议：关于如何防护。
只允许特定的顺序与接口工作，主机上通过限制软件最小权限的方式执行维护。其他操作一概阻止，这样做相当于给可信的软件做了一个保护罩，直接杜绝了恶意代码的生存与传播途径；
把仪器设备归类到同一网段下，网络环境允许的情况下。该网段前部署安全网关，从网络传达途径上进行清理恶意代码，做到区域的维护。
医疗器械网络平安需要医疗器械厂家和医疗机构以及相关安全部门共同合作搭起安全网
其次受够攻击最多的行业就是金融行业。对于医院来说，为什么医疗组织会受到攻击。因为医疗数据价值高而保护薄弱。因为HIPA A 法案，有关患者信息的泄露或者设备遭到攻击，医院将遭到更严重的惩办。
2018年发布的网络平安等级维护条例（征求意见稿）中把信息系统的平安等级分为了5级，国内也不例外。其中提出将“会造成特别严重损害”情况下，信息系统应采取的维护等级提高到第三级。
谁运营、谁负责”如果医院发生网络平安事故将有谁负责呢？依据2011年卫生部发布的卫生行业信息平安等级维护工作的指导意见》其中明确了网络平安负责的责任主体是谁主管、谁负责。
医疗器械生产厂商同样有负有保证医疗器械网络平安的责任。2017医疗器械网络平安注册技术审查指导原则》就明确写道：
这就使得注册申请人自身难以控制和保证医疗器械产品的网络平安。因此，医疗器械产品在使用过程中常与非注册申请人预期的设备或系统相连接。医疗器械的网络平安需要注册申请人、用户和信息技术服务商的共同努力和通力合作才干得以保证。但是这并不意味着注册申请人可以免除医疗器械网络平安的相关责任，注册申请人应当保证医疗器械产品自身的网络平安，并明确与其预期相连设备或系统的接口要求，从而保证医疗器械产品的平安性和有效性。
曹晓均副主任告诉动脉网：应对网络平安的时候，而关于国内医院和医疗器械厂家应对网络平安攻击的模式。有经验的第三方公司依照医院的具体环境和情况制定平安方案，院内审批后协同执行平安建设。
大部分医院并未达到现行最高规范
发现对于医疗平安维护的规范，动脉网记者查阅了相关资料。2018年卫健委发布的全国医院信息化建设规范与规范（试行）中有着规范和全面要求。
卫健委对于不同等级的医院提出了不同的规范要求。从数据中心平安（防火墙、平安审计设备、系统加固设备、数据加固设备、入侵防范设备、身份认证系统、访问控制系统、平安管理系统、终端平安（身份认证设备、介质平安设备、客户端管理系统、终端平安管理系统）网络平安（结构平安设备、通信加密设备、网络优化设备、网络平安管理）容灾备份（基础设备灾备、备用网络灾备、数据备份与恢复、应用容灾）四个方面提供了规范和要求。
依据腾讯智慧安全、中国医院协会信息管理专业委员会（CHIMA 联合研究发布《医疗行业平安指数演讲》中指出，但是根据现实情况来说。卫健委指导下，全国医院信息平安建设水平不时提升。演讲》显示，国内38%医院指数值处于良好水平，22%医院处于优秀水平，显示出在卫健委指导下，全国医院信息平安建设水平正在不时提升
医疗行业以及部分医疗器械厂家信息平安建设意识单薄，但是也有一些问题暴露。核心数据缺乏有效的平安防护。问题主要表示为：网络空间资产端口开放较多，隐患大，如开放远程登录服务的比例高达50%外网电脑的平安风险较多，可能会给不法访问者以可乘之机；线上服务平台及第三方医疗服务平台脆弱性会提升医疗数据泄露的风险；医疗行业已经成为勒索病毒攻击的主要目标，医疗业务连续性受到挑战。
曹晓均也分享了广州市妇女儿童医疗中心的网络平安方面的建设经验。广州市妇女儿童医疗中心作为全国第四家通过HIMSS7级认证的医院。
对数据中心的平安防护从防火墙、平安审计、系统加固、数据加固等八个大方面进行提出详细的要求，表示：卫健委发布的全国医院信息化建设规范与规范（试行）中。国内并不是所有的三甲医院都能完全满足所有的推荐要求，特别是入侵防护和身份认证方面，很多医院并未做到非常完善。院在建立云上医院的起初，就非常重视数据中心的平安防护，因为云上的数据中心更容易出现平安漏洞，导致平安事故。因此，院依照卫健委对三甲医院的要求，对云上数据中心提出平安建设的要求，并通过多期建设逐步完善，已经初步达到全国医院信息化建设规范与规范（试行）八个方面平安规范。
广州市妇女儿童医疗中心做到高于卫健委标准：医院在对容灾备份的建设中，容灾备份上。特别重视高可用性对医院业务连续性的保证，从网络层、主机层、存储层等多个层次设计双活冗余架构，能实现整套信息系统平台无单点故障。
建立同城的异地容灾中心，同时。异地容灾中心实现准实时的数据同步，极端情况下，能实现RTO≦15分钟，RPO≈0也高于卫健委的规范和要求。曹晓均说道。
初创公司利用AI区块链等技术进入赛道
医疗器械的网络平安问题不是能够凭借一个主体就能保证，正如前文所言。第三方公司的介入能够协助医院更好地应对网络攻击，目前也有一些守业公司进入这个赛道。
从事医疗健康行业网络平安的守业公司超越120家，国外。动脉网此前进行过盘点，动脉网发现其中致力于医疗设备的初创公司有9家，分别用AI区块链等不同的技术协助医院应对网络攻击。
前美国首席信息平安官GregTouhil为医疗组织如何应对网络平安提供了一些建议，HIMSS19大会上。动脉网摘编了其中局部为大家提供参考：
但这是非常错误的采取零信任策略。认为我所做的很多事情都被认为是信任。
医疗保健行业以及医疗器械厂家应该比他更加强调这些功能；金融和政府等其他行业正在使用多因素身份验证来协助个人更好地维护其信息。
用于管理计算机系统与互联网的连接，4TCP/IP一个薄弱的平安基础：传输控制协议/互联网协议。20世纪70年代后期也是最先进的Touhil说。但它并不是一个强大的平安基础；
但Touhil表示最好的工具来自金融部门。医疗保健从业者应该找到金融部门的解决方案并将其带到医疗保健领域；5利用自动化来检测和阻止欺诈：有许多工具可用于欺诈检测。
建议组织访问日志，小心飞入云中：Touhil还说道了涉及与云计算相关的平安性。与云提供商合作时。保管渗透测试权并保管引入独立第三方审核员的权利；
很多组织投资于此类技术。但是请记住，人工智能可能是一个黑客垂涎的入口：由于人工智能大热。使用人工智能会使您的组织成为网络犯罪分子的目标；
曹晓均也给国内医院一些网络平安建设的建议：同样。明确各平安管理员、机房管理员、网络管理员、应用管理员、主机管理员等平安管理相关岗位及职责，建立医院信息平安管理组织机构。建立健全信息平安管理责任制，使得信息平安各项职责落实到人；
对各项平安控制措施实施后的有效性进行丈量，对医院信息平安管理体系进行定期地内审和管理评审。并实施相应的纠正和预防措施，以保证信息平安管理体系继续的充分性、适宜性、有效性。对医院信息系统中所存在平安风险进行有计划的评估和管理；
对医院信息系统及信息确定平安等级，医院业务信息系统分等级保护。依照国家等级维护有关要求。并根据不同的平安等级实施分等级保护；
建立信息资产管理台帐，规范医院信息资产（包括硬件、软件、服务等）管理流程。明确资产所有者、使用者与维护者，对所有信息资产进行标志，实现对信息资产购买、使用、变卦、报废整个周期的平安管理；
确保机房物理平安。布置机房专用空调、UPS等环境保证设施，保证机房物理与环境安全。实施包括门禁、视频监控、报警等平安防范措施。对机房设施运转情况进行定期巡检和维护。严格对机房人员和设备的出入管理，进出需登记，外来人员需由相关管理人员陪同方能访问机房；与信息系统外包方签署的服务协议中，6加强对信息系统外包业务与外包方的管理。对信息系统平安加以要求。通过审批、访问控制、监控、签署失密协议等措施，加强外部方访问业务信息系统的管理，防止外部方危害信息系统平安；并进行恶意代码库的统一更新，医院网络中统一布置网络防恶意代码软件。防范恶意代码、木马等恶意代码对业务信息系统的影响。通过强化恶意代码防范的管理措施，如加强介质管理，严禁擅自装置软件，加强人员平安意识教育，定期进行恶意代码检测等，提高业务信息系统对恶意代码的防范能力；
并对备份介质进行平安地保存，对重要的信息和信息系统进行备份。以及对备份数据定期进行备份测试验证，保证各种备份信息的失密性、完整性和可用性，确保所有重要信息系统和重要数据在故障、灾难后及其它特定要求下进行可靠的恢复；
加强对网络的平安控制，采用技术和管理两方面的控制措施。不时提高网络的平安性和稳定性。医院办公网络与互联网进行逻辑隔离。通过实施网络访问控制等技术防范措施，对接入进行严格审批，加强使用平安管理，加强对网络使用的平安培训和教育，确保网络信息的平安；
通过功能和技术配置，依照“仅知”原则。对重要信息系统、数据等实施访问控制。进一步推广数字证书的使用，以及平安的授权管理制度，并落实授权责任人。对系统特殊权限和系统实用工具的使用进行严格的审批和监管；
同步考虑信息平安需求和目标。应保证系统设计、开发过程的平安，11进一步重视软件开发平安。医院各业务信息系统立项和审批过程中。重点加强对软件代码平安性的管理。属于外包软件开发的应与服务提供商签署失密协议。系统开发完成后，应要求通过第三方平安机构对软件平安性的测评；
合理使用密码技术和密码设备，符合国家密码管理相关规定的条件下。严格密钥生成、分发、保管等方面的平安管理，保证密码技术使用的平安性；
建立对各类信息平安事件的预防、预警、响应、处置、恢复机制，重视对IT服务连续性的管理。编写针对业务外网等重要系统的应急预案，并定期进行测试和演练，信息系统发生故障或事故时，能迅速、有序地进行应急处置，最大限度地降低因信息系统突发事件或意外灾害给医院业务信息系统所带来的影响；
做为医疗器械的上游层，医疗器械厂家更要从源头做好网络安全，建立健全客户数据保密系列制度，严格杜绝客户相关资料的外泄，第一时间树立起最强大的网络安全防火墙。