醫療保健網路安全市場研究

完全不同的病毒

簡要概述醫療保健產業正在進行的遏制網路入侵浪潮的鬥爭。

Healthcare-informatics.com 除了商業世界中的顛覆性駭客攻擊（私人資訊可能被洩露、敏感的公司資料外洩）之外，網路安全措施現在也被用來消除外國實體使用政治武器進行駭客攻擊的影響。這是一個日益嚴重的全球性問題，需要實施先進的網路安全方法來應對駭客顛覆這些系統的日益複雜的能力。

「近年來，網路安全已成為醫療保健領域日益受到關注的問題，引人注目的網路攻擊和漏洞給保險公司、醫院和醫療設備製造商造成了乾擾。患者面臨的風險也很高，因為患者資料可能丟失或被篡改、醫院服務中斷或患者因針對特定設備的攻擊而受到傷害…” 1

政府乾預打擊網路犯罪

醫療保健行業的快速數字化使該行業特別容易受到網路攻擊，美國國會也沒有忽視這一事實。眾議院能源和商業委員會最近召開會議，討論衛生部門的網路安全問題。資訊共享和分析中心 (ISACS) 可能是為醫療保健提供者提供增強安全性和阻止潛在網路攻擊者的關鍵。

透過構成 ISAC 全國委員會 (NCI) 的 24 個組織的互動努力，正在做出巨大努力，以「最大限度地提高私營部門關鍵基礎設施之間以及與政府之間的資訊流」。我們邀請沒有 ISAC 的關鍵基礎設施部門和子部門聯繫 NCI，以了解如何參與 NCI 活動。2

當然，考慮到負責監管和提供醫療保健的眾多行業和政府機構，加強醫療保健領域公共和私營實體之間在網路安全方面的夥伴關係是一項艱鉅的任務。鼓勵國會提供稅收減免和其他激勵措施，以促使公司參與 ISAC 的持續努力。

參與度低阻礙網路安全實施

不幸的是，醫療機構參與率低一直是整個產業實施有效網路安全措施的持續努力中的長期問題。默克公司 IT 風險管理副總裁兼首席資訊安全官 Terry Rice 表示，“如果公司擔心資訊不會對其成員保密，他們可能會猶豫是否要在 ISAC 內共享資訊。”3

「我認為最令人震驚的統計數據實際上是這樣一個事實：組織高層的40% 人員（執行長和首席資訊長等高階主管，甚至董事會成員）個人並不覺得自己對網路安全或保護客戶數據負有責任。 Tanium 首席安全長 Dave Damato 表示 CNBC 的 Squawk Box，談論醫療保健行業的網路安全 13

醫療保健領域網路犯罪的高成本

根據 Poneman Institute 2016 年開展的一項研究項目，除了病患資訊外洩和其他資料竊取事件的明顯威脅之外，網路安全失敗的代價極其高昂，每年高達 $62 億美元。他們的研究揭示了「近 90% 的醫療保健組織…在過去兩年中遭遇過資料外洩」。 45% 的受訪者在此期間發生過五次以上的資料外洩事件，網路攻擊的平均成本總計為 $220 萬美元。電子健康記錄 (EHR) 中包含的數據經常被認為是醫療保健在黑客眼中如此有吸引力的目標的原因。4

儘管人們願意相信自己的健康資訊掌握在醫生辦公室或醫院手中，但事實往往並非如此。對於醫療保健產業來說，持續的健康記錄數位化是一項昂貴的提議。保護所有這些資訊是另一項巨大的開支，有時為了節省成本，或者只是由於整體工作的大規模性質，網路安全等式的這一部分被忽略了。

醫療保健領域網路竊盜的利潤豐厚

當然，健康記錄是黑市上的熱門商品，它們可以從尋求獲取個人資訊、帳單地址和信用卡號碼的各方那裡賺到高價。確實，駭客攻擊是一項非常有利可圖的事業。考慮這個例子。 「2016 年3 月，駭客從位於佛羅裡達州邁爾斯堡的21st Century Oncology 竊取了超過220 萬筆病患記錄。一個月後，有人從Premier Healthcare, LLC 竊取了一台筆記型電腦，其中包含205,748 條不安全的患者記錄。 5

勒索軟體的出現

勒索軟體對大多數人來說是一個新術語，人們對最近在全球範圍內發起的WannaCry 攻擊越來越熟悉，這些攻擊使關鍵基礎設施系統癱瘓，並導致那些因此類攻擊而焦慮和可能丟失數據的人蒙受巨額經濟贖金。醫療保健產業尤其容易受到勒索軟體的入侵。

「醫院是此類敲詐勒索的完美目標，因為它們提供重症監護並依賴病患記錄中的最新資訊。如果無法快速獲取藥物史、手術指示和其他信息，患者護理可能會被延遲或停止，這使得醫院更有可能支付贖金，而不是冒著可能導致死亡和訴訟的風險。 6

實際上，勒索軟體惡意軟體會鎖定電腦並使資料無法訪問，除非向犯罪者支付贖金。通常這種付款以比特幣的形式進行。在大多數情況下，支付贖金都會有期限，否則電腦資料將被銷毀。儘管大多數受害方不支付贖金，但支付的贖金足以使其成為一項利潤特別豐厚的犯罪活動。

醫療保健產業一直很容易受到勒索軟體攻擊，因為令人驚訝的是，許多醫院沒有採取足夠的措施來防止網路安全漏洞。相反，大多數醫院主要關注的是滿足 HIPAA 合規性和聯邦指南，以確保病患資訊的安全。最終，醫療保健領域的大多數員工根本沒有接受過足夠的培訓，無法在網路攻擊發生之前識別和阻止網路攻擊。即使有足夠的培訓和網路安全措施，要智勝那些始終領先一步的犯罪者仍然是一項持續的挑戰。

物聯網設備也面臨風險

更嚴重的是，網路攻擊不僅會影響計算機，還會影響與其連接的設備。醫療工具、心臟和血糖監測儀只是易受網路攻擊的設備的幾個例子。副總統迪克·切尼曾要求確保他的起搏器免受網路攻擊，以免惡意者遠端操縱他的設備功能。坦白說，對此類設備的干擾對於依賴它們生存的患者來說可能是致命的。

作為醫療駭客的一個例子，「在目前使用的一種名為 MedJack 的漏洞中，攻擊者將惡意軟體注入醫療設備，然後透過網路散佈出去。在此類攻擊中發現的醫療數據可用於稅務欺詐或身份盜竊，甚至可用於跟踪有效的藥物處方，使黑客能夠在線訂購藥物，然後在暗網上出售。 7

“據我所知，還沒有患者因起搏器被駭而死亡，但有患者因醫療設備故障、配置錯誤和軟體錯誤而死亡。這意味著以先發制人的駭客攻擊形式進行的安全研究，然後協調漏洞揭露和供應商修復，可以幫助拯救人類生命。” SINTEF 安全研究員 Marie Moe，在“繼續吧，黑客們。傷我的心」（有線）13

FCC 現在建議醫療設備的物聯網供應商在其生產的產品中內建安全措施；建議的關鍵字。實際上，為這些製造商制定強制性安全實踐和要求是一項耗時的工作。此外，分配用於在設備和資料庫之間中繼資料的網路也迫切需要網路安全實施和監控。

新總統，新秩序

關於川普政府將如何解決網路安全問題存在著許多猜測。 2017 年 5 月 11 日，總統簽署了一項行政命令，要求對國家打擊網路犯罪活動的整體能力進行審查。該命令將網路安全的主要責任交給聯邦機構，這些機構將進行風險評估並在 90 天內提交各自的報告。檢查關鍵基礎設施風險的額外報告將於總統命令發布六個月後提交。

「該命令要求對殭屍網路構成的威脅進行審查，殭屍網路以自動產生垃圾郵件流量的網站為目標。這 Mirai殭屍網絡 去年造成了嚴重的網路中斷。但 Access Now 表示，該命令還應涉及政府漏洞披露流程及其對資料外洩的回應。

風險評估

災難復原和緊急計劃

專門的安全行動團隊

業務夥伴/供應商審查

更好的員工培訓

分層防禦

改善技術衛生

網路安全合作夥伴關係

更好的軟體

法醫顧問

目前尚無全面的預防措施或措施可以消除網路攻擊的風險。相反，醫院、診所和私人診所只能希望共同努力，管理持續的風險，以保護私人資訊和患者的整體安全。同時，不斷的技術進步有望解決醫療設備和電腦網路的脆弱性。

這項旨在遏止網路犯罪對衛生部門及其他領域潛在災難性影響的努力遠遠超出了美國範圍。目前，全球正在努力遏制全球範圍內的網路攻擊浪潮，或至少最大限度地減少網路犯罪分子似乎永無止境地滲透醫療保健系統並儘可能造成嚴重破壞和勒索的影響。

網路攻擊的政治動機

由於北韓與文明世界幾乎所有其他國家之間都存在敵對的政治氣氛，這個流氓國家被認為是最近的 WannaCry 勒索軟體攻擊和其他惡意活動的可能犯罪者也就不足為奇了。的目的。

「網路安全研究人員發現了技術線索，他們稱這些線索可能將北韓與全球 WannaCry「勒索軟體」網路攻擊聯繫起來… 感染了 150 個國家的 30 萬多台機器。賽門鐵克和卡巴斯基實驗室表示…早期版本中的一些代碼 想哭軟體 也出現在拉撒路集團使用的程序中，許多公司的研究人員已確定該組織是朝鮮運營的黑客行動。 10

並非所有專家都認為 WannaCry 勒索軟體攻擊是出於經濟原因。英國網路顧問公司 Hacker House 的 Matthew Hickey 等一些人認為，肇事者只是希望「造成盡可能多的傷害」。在受此攻擊影響最嚴重的國家/地區，情況確實如此，包括印度、台灣、烏克蘭和俄羅斯。

俄羅斯領導人弗拉基米爾·普丁等一些人指責美國國家安全局在 WannaCry 勒索軟體攻擊中發揮了作用。 WannaCry 技術被認為是「基於一個洩漏的工具，該工具利用了 Windows 中的安全漏洞，該漏洞似乎源自 NSA。普丁在北京表示：“我們充分意識到，如果將這些精靈從瓶子裡放出來，特別是那些由特工部門創造的精靈，可能會傷害它們自己的作者和創造者。” 據俄羅斯國家通訊社塔斯社報道」。 11

“下一任總統將繼承世界上最複雜、最持久的網絡間諜文化，他需要讓自己身邊都是專家，這些專家可以加快圍繞我們目標關鍵基礎設施孤島配置下一代防禦的有效層。” James Scott，關鍵基礎設施技術研究所資深研究員 14

衛生部門打擊網路入侵的趨勢

顯然，各行各業的網路安全漏洞威脅不會減弱。在醫療保健領域，需要持續不斷地改進技術和整體警覺性，以避免未來發生災難性事件。某些保護趨勢正在出現，這可能被視為醫療保健領域網路犯罪威懾的未來。

其中最重要的是越來越多地遷移到基於雲端的資訊安全工具。此舉「將使工具能夠更動態地更新，以解決零日類型的惡意軟體。向雲端的遷移最終將使所有醫療保健提供者（無論大小）都可以更經濟地使用這些工具。 12

此外，醫療保健產業將被迫鼓勵增加跨醫療網路和設施之間的資訊共享和協作。由於衛生機構本質上往往相當孤立，因此這種共同的網路安全努力將很難發起。據預測，這種資訊共享將超越醫療保健領域，涵蓋許多商業部門和機構，並努力最大限度地降低所有相關人員的風險。

最終，消除該領域網路安全漏洞、勒索軟體和新出現的威脅的努力將取決於對醫療保健及其他領域所有員工層級的教育和認識。當每個人都受過良好教育並了解網路風險的警告信號以及他們可以採取哪些措施來參與遏制網路入侵浪潮的整體努力時，醫療保健行業和全球文明資訊共享的所有保護者將繼續在限制網路犯罪對在所有部門的破壞性影響方面取得有意義的進展。

我們可以協助您的網路安全工作

SIS 國際研究中心數十年來一直在多個層面上與醫療保健產業互動，從獨立的家庭診所到多層和整體的健康網路。我們對醫療保健產業企業和機構所面臨的挑戰有著無與倫比的獨特理解。我們提供利害關係人的研究和情報[/fusion_text][fusion_text]

我們的解決方案包括：

如今，針對我們最受尊敬的醫療機構及其服務的患者的網路犯罪日益增多，威脅變得更加複雜，我們以最嚴肅的態度考慮我們的角色。作為一家以了解醫療保健行業的重要性和多方面性質而自豪的公司，我們將繼續為與健康相關的實踐、設施和組織提供與我們的客戶相同的高品質和全面的研究能力。 。透過這種方式，我們希望盡自己的一份力量，幫助醫學界了解和應對醫療保健行業中真實而嚴重的網路攻擊威脅。

本研究的編寫使用了以下資源：

• http://www.raps.org/Regulatory-Focus/News/2017/04/04/27267/Cybersecurity-House-Committee-Looks-to-Build-on-Public-Private-Partnerships/#sthash.x4Xvdf6q.dpuf

• https://www.nationalisacs.org/

• http://www.raps.org/Regulatory-Focus/News/2017/04/04/27267/Cybersecurity-House-Committee-Looks-to-Build-on-Public-Private-Partnerships/#sthash.x4Xvdf6q.dpuf

• https://learningnetwork.cisco.com/blogs/talking-tech-with-cisco/2017/03/21/cybersecurity-and-healthcare-a-forecast-for-2017

• https://learningnetwork.cisco.com/blogs/talking-tech-with-cisco/2017/03/21/cybersecurity-and-healthcare-a-forecast-for-2017

• https://www.wired.com/2016/03/ransomware-why-hospitals-are-the-perfect-targets/

• https://www.wired.com/2017/03/medical-devices-next-security-nightmare/

• https://techcrunch.com/2017/05/11/trump-signs-long-delayed-executive-order-on-cybersecurity/

• http://www.healthcareitnews.com/news/top-10-cybersecurity-must-haves-2017

• http://www.dingit.tv/highlight/1441974?utm_source=Embedded&utm_medium=Embedded&utm_campaign=Embedded

• www.healthcareitnews.com/blog/3-trends-shaping-future-cybersecurity

• https://www.forbes.com/sites/danmunro/2016/12/18/top-ten-healthcare-quotes-for-2016/#5f47fb6b127f

• http://www.goodreads.com/quotes/tag/cyber-security