行业动态
您当前位置:首页 > 新闻动态 > 行业动态

行业报告:医疗数据泄露愈发严重 原因何在?

责任编辑:盈高科技    时间:2015-11-02    浏览次数:2861

Trustwave发布了一份2015年医疗行业的安全报告,通过对398名专业的医疗专业人员(部分是技术人员,包括CIO、 CISO、IT主管等,另一部分是普通的医护人员)的调查,发现有91%的调查对象认为针对医疗行业的网络攻击活动越来越多,然而用在保护病人敏感信息方 面的预算却还不到10%。

全球电子医疗保健记录系统中的数据在以每年5.5%的速度增长,其中的数据量可想而知是非常惊人的。从医院到内科医生、急诊门诊,再到健康保障组织,无不 涵盖着病人的敏感数据,所以刻不容缓的需要采取安全保障措施来保护它们。任何企业都会遇到安全威胁,但是当这种安全问题威胁到个人的生命安全,那问题就变 得非常严重了。在过去的两年间,有90%的医疗行业公司均遭到黑客攻击,泄露病人数据。为什么医疗行业会成为网络攻击的中心目标呢?大致原因有:
1、医疗记录迅速的转移到了网上,并且在病人、医疗机构之间可共享;
2、物联网设备和云服务的使用;
3、医疗健康保险数据的价值越来越高。


Trustwave在第三方专业调查公司的帮助下,对398位专业的全职医疗行业人员(其中198位是技术人员,200位是非技术人员)进行了调查。目的是衡量医疗保健机构所面临的挑战、员工们的安全意识和期望。

调查结果

1、大部分医疗组织和机构的安全保障和风险管理措施比较落后,所以黑客们才有机可乘窃取病人的敏感数据(从个人信息到信用卡账号,再到知识产权)。从过去几个月泄露的医疗数据看,黑客窃取的数据量巨大、窃取过程简单、花费时间较少,而且还不容易被察觉到。

2、医疗行业的医疗记录很容易被攻击的另外一个原因是其流动性比较大,数据分类好,黑客可以轻而易举的找到利益相关的数据。包括姓名、家庭住址、邮箱地址、生日,甚至还包括保单号码、检验结果、诊断结果等。如此一来,黑客便可以用这些数据伪造虚假身份和虚假保单进行就医、买药、买医疗设备等。

3、调查中还发现了一个很致命的安全隐患,就是大部分的医疗机构并没有把敏感数据和非敏感数据分开,这种机构占到89%。

4.、内部威胁其实是医疗机构一个很严重的安全风险,最近发生的几起医疗行业入侵事件都是由内部人员引起的。除了健康信息带来的利益驱动,处于个人的好奇也可能导致不正当的访问或者数据窃取。所以这些组织需要严格限制访问权限,确保数据只能被相关人员访问。

5、随着威胁的增加和攻击范围的扩大,医疗行业面临着越来越大的挑战。其中最大的问题是企业中安全部门员工严重缺失,迫切需要配备专业的网络安全人员,这种情况不是一个地区的问题,全球的医疗行业都面临这个问题。通过调查发现有35%的人称,公司安全方面的专业人员不足。在近几年频繁发生的数据泄露事件之后,越来越多的人认为他们需要聘用更多的安全人员,以保障用户数据安全。

6、随着电子医疗记录的普及,黑客们越来越多的关注在了医疗行业上,被发现的漏洞也越来越多,最常见的有:SQL注入漏洞,弱口令,远程访问漏洞,未修复的漏洞等。医疗机构还有一个很大的安全疏忽,就是他们不会定期检查基础设施是否含有漏洞。有87%的人称他们的机构基本上一年或者两年才对其基础设施检查一次。

7、所以,医疗行业中的安全评估是非常有必要的,它可以帮助企业预测系统、进程、政策中存在的安全风险,从而可以保障医疗行业数据的安全。然而并不是所有的医疗机构都会定期的对其基础设施进行评估。另外,医疗组织还必须要确定这些安全问题是来自外部供应商,还是内部问题。

8、医疗行业的安全主要分为两种,一种是来自内部的威胁,一种是外部威胁。内部威胁可以概括为以下两种:1,怀有恶意目的的员工会访问 并窃取用户的敏感信息 2,正常员工的一个人为错误可能会给攻击者留下攻击入口(员工不小心弄丢了电脑;不小心点了含有恶意程序的链接;安全人员不小心装错了系统)。外部威胁主 要就是黑客利用设备漏洞、系统漏洞、人性缺陷(社工)来攻击机构网站,从而窃取用户数据。


建议

医疗行业正经历一个非常严峻的安全时代:威胁越来越高级,安全技能却没能同步进化,安全方面的预算严重不足,医疗设备很难管理,传统系统亟待更新,被攻击的范围在逐渐扩大。

对于用户个人来说,我们需要做的是:

1、不要在多个网站上使用相同的密码
2、不要留下过多的个人信息
3、不要随意打开来源不明的链接和文件

对于医疗设备供应商来说,他们需要不断的检测物联网设备和应用程序的安全,如发现漏洞应及时通知相关买家,快速响应修复漏洞。

对于医疗机构(医院)来说,应该定期对员工进行培训,提高安全防范意识,训练安全应急技能。