王文華 張大鵬 孟方明 王衛(wèi)鵬

（山東省醫(yī)學(xué)影像學(xué)研究所信息中心 山東省濟(jì)南市 250022）

1 前言

隨著信息科學(xué)技術(shù)的飛速發(fā)展以及互聯(lián)網(wǎng)新技術(shù)的不斷進(jìn)步和蓬勃發(fā)展，各行各業(yè)已經(jīng)離不開網(wǎng)絡(luò)，在此背景下會產(chǎn)生大量的數(shù)據(jù)。尤其是在醫(yī)療行業(yè)中，醫(yī)院所使用信息系統(tǒng)的集成度不斷提高，HIS、PACS 系統(tǒng)數(shù)據(jù)庫會存儲大量病人數(shù)據(jù)。如何做到數(shù)據(jù)存儲的安全，成為醫(yī)療行業(yè)信息系統(tǒng)安全的一大重點工作。

2 數(shù)據(jù)安全的重要性

近年來，個人的隱私信息已成為人們越來越關(guān)心的方面，人們對它的重視程度也開始越來越高，這里所指的個人隱私信息是指通過計算機網(wǎng)絡(luò)以電子及其以另外方式記錄的能夠獨立或者結(jié)合其他個人隱私信息從而來識別特定私人身份信息或者是來反映特定的私人活動情況的各種隱私信息[1]，這里主要包括私人的姓名、當(dāng)事人的出生年月日、個人證件件號碼、個人指紋虹膜等生物信息、個人的地址信息、手機號、郵箱、通話記錄、銀行以及APP 的賬號和密碼、私人財產(chǎn)的信息、銀行的個人征信、醫(yī)院住院門診信息所推導(dǎo)出的健康狀況等等[2]。

目前來看，這個網(wǎng)絡(luò)世界似乎在表面上表現(xiàn)得非常平靜，但是實際上它其實并不平靜，平靜僅僅只是一個假象。在當(dāng)前信息安全威脅中，信息數(shù)據(jù)的泄露目前已經(jīng)成為全世界人類活動范圍內(nèi)算是最高發(fā)的安全事件，并且就目前來看它的事態(tài)一直保持在上升的趨勢[3]。

從2013年雅虎的用戶信息泄露到2019年4月第三方Facebook應(yīng)用程序數(shù)據(jù)泄露5.4 億條記錄。個人信息數(shù)據(jù)的泄露事件從未停止，我們應(yīng)當(dāng)怎樣保證數(shù)據(jù)信息的安全面臨著更為嚴(yán)峻的挑戰(zhàn)。依據(jù)深信服發(fā)布的數(shù)據(jù)顯示目前來看企業(yè)、機構(gòu)所失陷的主機在 2019年度一直在持續(xù)上升中，在 2019年12月達(dá)到了最高峰，統(tǒng)計的有56 萬臺主機和服務(wù)器被感染了[4]。

從當(dāng)前Risk Based Security 發(fā)布的信息數(shù)據(jù)泄露報告來看，僅僅在2019年上半年被黑客或者是企業(yè)內(nèi)部人員泄露出來的 41 億條數(shù)據(jù)中竟然有 32 億條的信息數(shù)據(jù)泄露于 8 起泄露事件有關(guān)，數(shù)據(jù)泄露竟然占到了總數(shù)的 78%。

在中央電視臺2009年度315 晚會中，節(jié)目曝光了私人隱私數(shù)據(jù)泄露產(chǎn)業(yè)鏈，個人信息安全事件又一次被推入眾人的視界，引起廣大人民的關(guān)注。自從來到了網(wǎng)絡(luò)時代后，數(shù)據(jù)信息的安全保護(hù)工作難度將大大提高。我們受所到來自網(wǎng)絡(luò)安全方面的威脅越來越嚴(yán)重，例如網(wǎng)絡(luò)上數(shù)據(jù)信息竊賊、來自于黑客的入侵、廣大的病毒發(fā)布者，更如甚者就是來自于公司內(nèi)部的惡意泄密者[5]。如何保證數(shù)據(jù)信息的安全，目前已經(jīng)成為各行各業(yè)尤其是醫(yī)療行業(yè)信息化系統(tǒng)的建設(shè)中最為首要的問題。

一個掌握數(shù)據(jù)企業(yè)的核心資產(chǎn)就是數(shù)據(jù)，假如數(shù)據(jù)遭到黑客的泄露，那會對這個企業(yè)，乃至用戶的造成莫大的損失，只有做好數(shù)據(jù)的保護(hù)工作，才能避免在遭受到攻擊的時候發(fā)生數(shù)據(jù)泄露。在醫(yī)院的信息系統(tǒng)中存在著大量的病人個人信息，同時也有珍貴的影像資料以及患者的治療信息，因此醫(yī)院的信息安全、數(shù)據(jù)安全成為保護(hù)的當(dāng)務(wù)之急[6]。

3 如何做到數(shù)據(jù)的安全

3.1 工作站安全

工作站要安裝殺毒軟件，嚴(yán)禁連接外網(wǎng)，杜絕優(yōu)盤等移動介質(zhì)的使用，隨著木馬病毒的不斷升級演變,移動存儲介質(zhì)（優(yōu)盤、移動硬盤等）已經(jīng)成為木馬病毒最為主要的傳播方式[7]。工作站連接著內(nèi)外服務(wù)器，一旦通過移動介質(zhì)感染木馬，整個網(wǎng)絡(luò)都可能別感染。

3.2 數(shù)據(jù)傳輸過程

數(shù)據(jù)傳輸過程中采用加密傳輸方法，目前常用的加密算法主要有對稱加密(DES 3DES AES)以及非對稱加密(RSA)[8]，采用加密技術(shù)將數(shù)據(jù)進(jìn)行傳輸可以很好地防止數(shù)據(jù)信息在傳輸過程中被竊聽。

3.3 數(shù)據(jù)存儲安全

目前絕大部分的數(shù)據(jù)存儲在數(shù)據(jù)庫中，數(shù)據(jù)在存儲過程中采用加密的方式進(jìn)行存儲，可以有效地防止數(shù)據(jù)泄露以后被還原，同時在數(shù)據(jù)的展示過程中采用脫敏的方式進(jìn)行展示。

3.4 入侵防范技術(shù)

采用入侵防范技術(shù)，在醫(yī)療信息系統(tǒng)網(wǎng)絡(luò)的網(wǎng)絡(luò)關(guān)鍵節(jié)點處部署入侵檢測設(shè)備和技術(shù)[9]，可以做到檢測并同時防止或者限制從內(nèi)外部網(wǎng)絡(luò)發(fā)起的攻擊。同時應(yīng)該做到當(dāng)檢測到有網(wǎng)絡(luò)攻擊行為時，應(yīng)當(dāng)記錄下攻擊源IP、攻擊的類型、攻擊的目標(biāo)、攻擊所發(fā)生時間，從而能做到在發(fā)生重大網(wǎng)絡(luò)入侵行為時自動提供報警。入侵檢測技術(shù)將會根據(jù)病毒所采取的入侵方式對計算機系統(tǒng)進(jìn)行有效的保護(hù)，阻擋計算機惡意病毒的入侵，保證防火墻實施工作，，提高信息系統(tǒng)的安全性。入侵檢測技術(shù)在病毒的入侵過程中進(jìn)行安全性的掃描，對病毒的入侵采取措施進(jìn)行阻擋，可以有效提高網(wǎng)絡(luò)的安全性，阻擋黑客的入侵，保證數(shù)據(jù)的安全。

3.5 防火墻技術(shù)

采用防火墻技術(shù)，防火墻可以做到跨越邊界的訪問和數(shù)據(jù)流通過防火墻時候根據(jù)配置規(guī)則做到限制[10]。同時可以做到訪問控制，在防火墻配置的時候應(yīng)當(dāng)刪除配置中多余或者說基本無效的訪問控制規(guī)則，從而做到并保證系統(tǒng)中訪問控制規(guī)則數(shù)量的最小化。

3.6 內(nèi)外網(wǎng)隔離

醫(yī)院的網(wǎng)絡(luò)必須嚴(yán)格采用內(nèi)外網(wǎng)隔離制度進(jìn)行。從信息的安全管理角度看，內(nèi)網(wǎng)和外網(wǎng)相互隔離，對內(nèi)網(wǎng)總體來說是安全的，這樣做的好處是既不會受到來自外部黑客進(jìn)攻，也不會造成數(shù)據(jù)泄密；但用戶使用互聯(lián)網(wǎng)需要內(nèi)外網(wǎng)無縫連接，因此使用內(nèi)外網(wǎng)是沒有辦法的辦法，其適用范圍要最小化[11]。

3.7 VPN加密

醫(yī)院所用的遠(yuǎn)程會診等鏈接內(nèi)部服務(wù)器的網(wǎng)站要采用VPN(虛擬專用網(wǎng))登陸的方式。在醫(yī)院的網(wǎng)絡(luò)中心搭建VPN 服務(wù)器的方式來實現(xiàn)VPN 的功能。VPN 指的是應(yīng)用在現(xiàn)實網(wǎng)絡(luò)（或物理網(wǎng)絡(luò)）基礎(chǔ)上的一種功能性網(wǎng)絡(luò)[12]。VPN 可以利用較低成本的公用網(wǎng)絡(luò)用用作自己醫(yī)院的骨干網(wǎng)，同時VPN 又可以克服公共網(wǎng)絡(luò)缺乏安全保密的弱點，在當(dāng)前VPN 私密網(wǎng)絡(luò)中，位于公共網(wǎng)絡(luò)兩端的網(wǎng)絡(luò)在公共網(wǎng)絡(luò)進(jìn)行信息的傳輸時，它的信息都必須經(jīng)過安全處理才可以傳輸，從而保證數(shù)據(jù)信息的完整性、真實性以及私有性。

3.8 網(wǎng)絡(luò)維護(hù)與監(jiān)控

良好的網(wǎng)絡(luò)狀態(tài)需要工作人員的不斷維護(hù)，按照一月一次的頻率對殺毒軟件服務(wù)器進(jìn)行殺毒軟件病毒庫的更新，同時分享殺毒軟件的日志，查看是否有攻擊行為并且對攻擊行為進(jìn)行分析，在防火墻中增加策略，屏蔽來自攻擊地址的IP，將這些IP 地址加入到配置黑名單中。按照一個季度一次通過漏洞掃描攻擊對系統(tǒng)內(nèi)的服務(wù)器、網(wǎng)絡(luò)設(shè)備、信息系統(tǒng)進(jìn)行掃描，對出現(xiàn)的漏洞及時封堵。只有做好安全防護(hù)工作，才能將信息泄漏問題扼殺在搖籃之中[13]，另外要做到每半年一次的網(wǎng)絡(luò)安全基線檢查。

3.9 完善制度安全

醫(yī)院應(yīng)當(dāng)建立完善的網(wǎng)絡(luò)安全維護(hù)制度，同時應(yīng)當(dāng)完善網(wǎng)絡(luò)安全管理制度[14]，一整套完整的規(guī)章制度有利于形成完整的網(wǎng)絡(luò)安全監(jiān)察規(guī)范，往往數(shù)據(jù)安全的泄漏來自于工作人員的粗心大意，同時醫(yī)院應(yīng)當(dāng)建立完善的網(wǎng)絡(luò)安全應(yīng)急預(yù)案，堅持每半年一次的網(wǎng)絡(luò)安全應(yīng)急演練與網(wǎng)絡(luò)安全的攻防演練，才能做到有備無患。從制度上落實數(shù)據(jù)安全。

4 結(jié)束語

在信息系統(tǒng)飛速發(fā)展之下，保護(hù)數(shù)據(jù)安全現(xiàn)在已成成為每一個應(yīng)盡的責(zé)任。任何人任何單位都應(yīng)當(dāng)采取多種措施和手段，多管齊下[15]，來保證數(shù)據(jù)的安全，當(dāng)然保護(hù)數(shù)據(jù)安全也不是一朝一夕就可以實現(xiàn)的，這肯定是一個漫長而又艱辛的過程，同時保護(hù)數(shù)據(jù)安全也是一個系統(tǒng)性的過程。需要任何人的共同參與才能形成數(shù)據(jù)安全的環(huán)境。