数据安全风口下，如何捍卫“医疗行业”数据安全？
《数据安全法》落地实施推动了各行业开展数据安全建设的步伐，特别是在医疗行业，“互联网+”新模式下的智慧医疗产业蓬勃发展，各种新业务、新应用不断出现，随之而来的网络安全事件也频繁发生。医疗健康数据的采集、处理、分析、存储及使用提升了医疗工作效率，但因医疗数据极具价值且高度敏感，也埋下了数据安全隐患。医疗数据事关患者生命安全、个人信息安全、社会公共利益和国家安全，健全相关法律法规，加强医疗数据安全防护势在必行。
医疗数据背后的巨大“财富”
医疗行业数据泄露事件、勒索病毒事件几乎每时每刻都在发生。我们通过Verizon 发布的“年度数据泄露报告(DBIR)”分析得出，“财富追求”是医疗行业数据安全问题发生的主要动机，具体动机分布如下：75%为了“获得财富”、13%是“乐趣和好奇心”、5%是“为了便利”、5%是间谍。有一个现象需要特别注意，有47%的内部数据泄露仅仅是因为好奇心（比如医生看病人的病案），而这个好奇最终有超过40%的可能性会演化为“获得财富”。
不同于其他行业以PI(个人信息)和PFI(个人财务信息)为主体的信息泄露，医疗行业的数据泄露核心内容在PHI(个人健康信息)，即病案和药物信息等。数据泄露构成占比：病案和药物占79%、个人信息占37%、支付信息占4%。不同于其他大部分行业“只有海量数据才具有价值”，医疗行业的单体病案数据价值就非常昂贵。在利益的驱动下，保险、银行、药店、药厂、保健等机构不断瞄准医疗数据以获得最大收益，致使大量医疗数据流通于黑市进行交易并快速变现。
医疗行业数据安全风险
医疗行业数据窃取相对容易。一方面，多数开放或半开放的网络环境是医疗行业的典型特征，开放的网络环境使入侵者可以轻易地进入医院网络进行物理攻击。此外，多数医疗行业信息安全的技术手段比较薄弱，难以防护突发安全情况是行业通病。目前，医疗数据窃取的风险主要存在于以下方面：
1. 数据泄露：医疗行业中的处方、医疗科研成果等数据极为敏感，稍有不慎就会造成泄露；
2. 勒索病毒和木马：医疗行业经常遭受勒索病毒困扰；
3. 黄牛以抢号、刷号为由骗取患者个人信息；
4. 内部信息泄露：医疗卫生行业信息科人员向药商提供用药信息。
如何捍卫医疗数据安全阵地
网御星云针对医疗行业信息、个人信息可能存在的数据安全风险，整合全领域数据安全资源，从数据全生命周期入手，结合不同场景，对医疗数据的采集、使用、传输、存储、共享和销毁等全生命周期进行综合安全把控。
数据安全防护体系建设需要不断感知医疗行业安全形势，通过建立完备的安全技术体系来保障数据安全。首先，数据安全技术可以通过数据采集与分析、数据安全交换、数据防泄露、数据脱敏层、数据库监控与加固层，结合外部支持手段保障数据整体安全运行，从而组成完善的数据安全技术体系；其次，管理是数据安全体系的指引和基础，通过建立医疗行业数据安全管理制度，创造面向数据的安全管理体系系统框架，形成完整的数据安全管理体系；最后，依托安全运行团队、安全运行流程、安全操作规程、安全运行支撑平台和安全工具等，建立数据安全运营体系，持续保障数据安全。
网御星云医疗数据安全治理体系架构图
《数据安全法》的出台，对医疗行业数据的合规与安全提出了更高要求。提高医疗数据安全防护意识，依法建立健全数据安全管理制度，采用专业的数据安全解决方案对医疗数据形成全生命周期安全保障已成为行业共识。网御星云以医疗数据安全三大体系建设思路，为新形势下医疗数据安全问题提供全方位解决方案，助力医疗机构数据安全防护水平不断提升，护航医疗机构的数字化转型之路。
