复旦大学附属中山医院：医疗数字化转型下的安全运营实践

2020年，德国一家医院的勒索软件攻击使其无法正常工作，导致一名急诊病人在运送途中死亡。全球首例勒索软件攻击造成的间接死亡事件引起了全球的关注，并为医院敲响了网络安全警钟。大型医院网络攻击导致数据泄露，医院倒闭的消息频频传出，医院网络安全防护为何如此脆弱？其原因是，大多数医院的网络安全保护效果受到三大制约：1、24小时突发风险vs少数人员新业务和新技术的无限出现，促进应用系统的快速开发和迭代，随之而来的是新的安全隐患。由于医院人员短缺，新的风险点无法24小时检测到。复杂架构、流程与短应急多云环境的普遍采用迫使医院支付极高的学习成本，以了解不同云提供商的管理方式、安全策略和处置流程。一旦发生安全事故，复杂的程序流程和困难的协作将使医院错过手术的“黄金时代”，造成不可逆转的影响。医院现有工作人员的安全能力跟不上外部攻击技术、更新迭代工具，大量外部安全专家的方法难度高昂，传统的安全建设模式很难实现“效益和成本”。面对日益严重的网络安全攻击，医院应该做些什么？复旦大学中山医院（以下简称中山医院）为克服上述三大难题，医院在完成安全团队组建、安全设备部署、信息安全等级防护评估等基本安全工作后，迅速积累了高水平的风险管理、持续监控、防范威胁的安全能力。我们认为，要建立全生命周期的安全运营体系，用连续的“动态运营”取代间歇性的“静态防御”。在这一理念下，中山医院引进了深圳安全托管服务（MSS），弥补了高端安全专家团队的缺乏和7*24小时自动监控、威胁实时监控分析等能力，构建了人机联合智能的医疗安全运营平台。通过良好的运营机制，将安防设备与线上线下安防人员相结合，24小时监控“资产、漏洞、威胁、事件”四大核心风险要素，满足数字化转型下医疗安防建设的需要。

1.实现应用系统全生命周期安全管理的人机共智医疗安全运营平台以应用系统全生命周期为主线，针对“运行前、运行运行中、离线后”三大阶段的安全需求，实施各项安全运营保障措施，协同事务、人员管理、HIS、LIS、成功保障了CTMS多个业务系统的平稳运行。在应用系统启动和运行之前，安全管理员进行持续有效的安全评估，遵循安全管理系统，积极执行代码审核、渗透测试、漏洞扫描等。应用系统一旦投入运行，系统就会被整合到医疗安全运营平台的持续运行中。由值得信赖的在线专家提供24/7持续的威胁监测和主动响应，帮助医院安全运营人员进行事件处理和策略优化，并主动动态地应对系统版本更改或外部攻击手段升级带来的风险。确保应用系统在运行过程中的安全性和稳定性。当应用系统消失时，医院安全运维人员将按照医疗安全运维平台的标准化流程，进行下行方案设计、资源回收、配置删除，避免“影子资产”的发生。

多云环境下的过程保障和数据量化面对多云环境带来的安全问题，医院需要依靠具有综合管理功能的安全运营系统。医疗安全运营平台将以安防设备、线下安防团队、云服务提供商、在线安防专业人员为流程节点，发布指令，让每个节点通过平台高效快速运行，实现100%安全事故的发生，外部网络中的高风险可利用漏洞可以在很短的时间内有效地进行闭环处理。由于涉及多方协作，指令的及时性和准确性尤为重要，我们相信安全管理服务在这方面发挥着重要作用。AI安全运营平台与高级云专家合作，提供7*24小时自动监控响应，所有威胁在1小时内检测到，30分钟内报警医院安全管理人员。当面临复杂的安全挑战时，如APT的高级威胁或勒索软件，医院不再需要依赖工程师的个人能力。MSS服务2000多个用户积累的处置库、USECASE库和调查库，不仅可以将医院的分析和判断时间缩短三分之一，而且大大提高了处置的准确性。

此外，通过医疗安全运营平台，安全风险和事故可以通过定量指标得到清晰的恢复。每周、每月、季度、年度的数据化图形化安全摘要，不仅可以帮助信息安全部门高效地开展日常安全工作，还为医院未来的安全建设决策提供数据支持。高效的处理机制“人机智慧”医疗安全运营平台的建设，实现成本降低和效率，实现线上与线下的结合，引进了一个自信的在线安全专家团队，以可控的成本提供安全托管服务，无需增加医院原有的人员和设备投入。通过线上线下联动，实现高效处理，在一定程度上缓解了医疗行业安保人员不足和建设成本投资过高这两大安全问题。

全生命周期的应用系统管理、过程化闭环处理、高级安全能力不断引进。在深信安全托管服务的大力支持下，中山医院“人机共智”医疗安全运营平台不仅顺利完成了正常化安全工作，还顺利完成了几个重大节假日、事件的网络安全保障。线上线下实时联动，7*24小时不间断保证模式，真正“运营”网络安全。复旦大学附属中山医院是国内综合排名第五的大型三级甲级医院，部门充实，综合实力强。如今，中山医院正在通过规划引导、基础支撑、创新等方式探索“三驾马车”，推动全医院数字化建设，打造“互联网+医疗”新业态、新模式。