“電子病歷、影像數據、臨床診療、疫苗研究……醫療數據是醫院最寶貴的財富之一。因此面對安全與便利之間的矛盾，我們醫院在信息化建設方面的原則是，絕不會在安全尺度上進行妥協。”深圳市人民醫院王院長這樣表示。
圖片來源于網絡
作為深圳第一家“三級甲等”醫院，深圳市人民醫院深知醫療數據的重要價值，以及對于社會民生的特殊意義。因此，在信息化和網絡安全的建設之路上，深圳市人民醫院始終堅持更高要求、更嚴標準，向安全事件“零事故”的目標而努力。經過近幾年的探索和實踐，深圳市人民醫院在數據安全，尤其是終端安全準入方面，開辟出了一條值得業界借鑒的道路。
8000多個終端 意味著8000多個薄弱點
“在規模和綜合實力方面，深圳市人民醫院是全市領先的三甲醫院，而在信息化建設方面，醫院更是給予了極高的重視程度和投入力度，并積累了大量的寶貴數據，這也讓我們更容易成為攻擊者的目標。”王院長表示。
據介紹，深圳市人民醫院始建于1946年，前身是寶安縣人民醫院，1979年隨著深圳經濟特區的成立，更名為深圳市人民醫院。現已發展成為一個功能齊全、設備先進、人才結構合理、技術力量雄厚，集醫療、科研、教學、住院醫師規培、保健為一體的深圳市最大的現代化綜合性醫院。
隨著《網絡安全法》、《數據安全法》相繼出臺，網絡安全是全國上下高度關注的問題。但在實際工作中，網絡安全工作存在很大難度，集中體現在以下幾個方面：
首先是很多人的網絡安全意識薄弱，對數據泄露風險知之甚少。
“以醫院為例，一些醫護人員、專家、科研人員，他們業務熟練，專業能力很強，但網絡安全意識不強，對網絡安全攻防技術更是知之甚少。實際工作中可能將電腦等設備無意外聯，使寶貴的醫療數據暴露在外網，很容易讓攻擊者得手。” 醫院協會信息分會會長、深圳市人民醫院信息技術部李科長對醫院數據面臨的風險深有感觸。
Verizon曾發布的一篇網絡安全報告顯示，在全世界范圍內，醫療行業是內部威脅高于外部威脅的唯一一個行業，內部從業人員對醫療數據的泄漏達到了驚人的程度。要避免這種情況，除了必須要加強員工的安全意識之外，還需要通過技術手段提高身份認證的安全性，并做到安全追溯、責任到人。
其次是終端數量多，類型復雜，地域分散，防不勝防。
據介紹，深圳市人民醫院有四個院區，地理位置相對分散，各類終端多達8000多個，包括電腦、打印機、移動終端、自助機、大屏幕等。這些設備都和重要業務及敏感數據相關。在攻擊者眼中，8000多個終端就如同8000多個攻擊入口。僅靠技術很難防住所有薄弱環節。
再者是接入環境復雜，準入手段單一。
除了數量多之外，深圳市人民醫院的終端接入方式多種多樣，包括上萬個有線網口、HUB或NAT設備接入以及無線WIFI接入等多種形式，接入形式不統一，缺少標準的準入認證流程不光給網絡管理造成了巨大的困擾，缺少認證的網絡接入也給網絡安全防護造成巨大的挑戰。大量的信息接入點缺少端口級的準入防護方案，僅使用簡單的IP-MAC綁定策略，外部終端直接修改網卡MAC即可接入有線網絡，或直接接入無線網絡，使得醫院內網在攻擊者眼中近乎不設防。
最后是黑客手段越來越高明，新型攻擊形式層出不窮。
根據奇安信威脅情報中心《2020年全球高級持續威脅(APT)年度報告》顯示，2020年，醫療衛生行業首次超過政府、金融、國防、能源、電信等領域，成為全球APT活動關注的首要目標，全球23.7%的APT活動事件與醫療衛生行業相關。由于APT的目的性非常強，攻擊目標明確，持續時間長，不達目的不罷休，對醫院威脅很大。
從病毒查殺到“一站式”準入安全 深圳市人民醫院的安全進階
面對層出不窮的安全風險，深圳市人民醫院意識到，終端安全不僅僅局限于惡意代碼防范、病毒查殺、漏洞修補等方面。首先，要保障醫院安全建設滿足合規標準要求，這是安全底線。其次，還需要針對終端建立起從接入感知、資產發現、認證授權、安全檢查、隔離修復、訪問控制到入網追溯的“一站式”準入安全管理措施，實現從事前接入發現、事中接入管理、事后接入審計的整體安全防護方案，并且需支持多種設備類型進行統一準入管理。
更具體來說，包括五個方面：
第一是資產發現與識別。 醫院不斷有新設備接入，以及端點的改造變化，導致設備資產情況不清晰，無法做到統一接入安全管理，經常會發生資產信息不全、資產丟失等情況，更無法建立完善的設備規范化接入管理機制。
第二是身份認證與授權。由于網絡邊界越來越模糊，開放性越來越強，深圳市人民醫院意識到， 如果不對接入醫院的用戶和設備進行身份與權限的甄別，不受任何檢查和限制的話，醫院開放式網絡將為惡意訪問和入侵提供非常便利的條件，采用簡單的攻擊技術便可造成巨大的破壞，同時容易增加核心數據泄露風險。
第三是合規檢查與評估。醫院有大量的工作終端，如果有“亞健康”終端接入內部網絡，如：重要補丁沒有安裝、風險端口、非法外聯等，隨時都可能成為“定時炸彈”。以2017年肆虐全網的“永恒之藍”事件為前車之鑒，一旦攻擊者利用高危端口和漏洞等實現大規模傳播，就會給醫院帶來不可估量的損失。所以，醫院必須對終端進行合規檢查和安全性評估才能接入網絡。
第四是設備異常監測。 醫院終端接入比較分散、數量又非常巨大，出現仿冒和劫持無法避免，需要進行監測和時候追蹤。
第五是入網追溯審計。 只有知己知彼，才能百戰不殆。管理員還需要了解什么人、什么時間、是什么設備、從哪里接入了醫院網絡，都有哪些安全風險項、網絡接入情況等，需要全程追溯和審計。
與天擎實現一體化 部署和運維成本顯著下降
2019年12月開始，深圳市人民醫院和多家網絡安全廠商進行了接觸，經過對產品性能、場景應用、可實施性等多方面綜合比較之后，最終選擇了和奇安信合作，為其提供終端安全準入(NAC)整體解決方案。
“在網絡攻防對抗中，終端歷來是攻防雙方的必爭之地。”李科長表示，一方面是終端防御難，由于終端數量龐大、操作系統各異、用戶安全意識薄弱等問題，容易成為突破口;另一方面，終端又是所有網絡攻擊的“著陸點”，核心重要數據的承載設施，一旦終端失陷，或者直接數據泄密被竊，或者成為攻擊者橫向移動的跳板，危害極大。
圖802.1x認證
為此，奇安信終端安全準入系統(NAC)，滿足了醫院多個方面的需求。
采用端口級準入技術，完全滿足政策合規要求，為醫院提供可靠安全保障。
醫院屬于關系國計民生的衛生行業，也是國家網絡空間安全的組成部分，應符合國家關于網絡與關鍵信息基礎設施、云計算、大數據、等保 2.0等相關的安全政策標準、法令法規和指導文件的要求，在合規的基礎上考慮整體安全保障方案設計，尤其要符合國家《網絡安全法》的要求。
“目前醫院采用了最嚴格的802.1x端口模式認證，保證每一個接入到網絡中的終端均需要進行認證，其嚴格程度在業內是少見的。” 李科長表示。
據奇安信工程師介紹，這是 IEEE制定關于用戶接入網絡的認證標準，它作為最為嚴格的端口級準入技術，未經身份認證與合規驗證的終端接入交換機端口，除eapol報文外無法傳輸任何網絡流量。同時認證通過后也受授權策略控制，僅可以訪問指定的目標地址。
可以說，奇安信NAC方案不僅保障了用戶網絡或設備接入內部網絡的安全可信，保護IT基礎設施的穩定運行和數據安全，同時也滿足國家或行業的安全技術規范要求。
其次是一體化管理，解決了傳統散兵模式的部署難題，降低運維成本。
在過去，安全準入和終端安全軟件往往是相互獨立的，這給管理和部署帶來了一些難題。而奇安信NAC可以基于天擎集中統一管理，可在天擎“一體化”平臺對引擎設備進行集中策略下發、設備批量升級、設備統一監測、區域分權管理等方式，適應超大規模用戶的部署，多種靈活的手段滿足大型網絡架構下的業務管理需求，解決了傳統方式的獨立管理、散兵模式的部署難題。
同時，這種一體化管理顯著減輕了用戶運維人員的工作量。另一方面，由于NAC和天擎終端安全進行一體化的聯動，使得終端只需打開一個進程，避免多進程對計算資源的消耗。
第三是旁路部署可不改變既有架構，實施成本更低。
奇安信NAC方案的最顯著優勢就是部署更靈活。NAC可采用旁路部署方式，對網絡環境依賴較小，不改變用戶網絡架構，支持集中和分布式部署方式。而且，該產品支持多種準入技術混合部署模式，可實現核心區域的準入控制、終端層的準入控制、接入層邊界的準入控制，滿足不同場景下的應用部署需求。
最后是支持多種認證方式，滿足用戶入網多樣性需求
天擎強制合規組件支持多憑證認證方式，支持用戶名密碼、主機MID、MAC、快速認證應用準入等多種憑證認證方式，支持多條件綁定認證入網，滿足用戶入網多樣性需求建立多層入網防護體系，兼容與AD、LDAP等聯動認證。同時，它確保實名制統一認證管理，使終端接入管理變得安全、透明、可控，滿足信息安全管理要求。
強管控顯著降低風險 安全事件實現“零事故”
“我們使用最嚴格的安全準入制度，初期給醫院的醫生、科研人員及相關員工帶來的操作不便等問題，是顯而易見的。” 李科長回憶到，“剛開始部分科室，例如急診科，反饋比較多，但磨合一段時間之后，大家意識到安全的必要性和重要性，很快適應了新的安全準入管理體系。”
“安全不能抱有僥幸心理，嚴格合規是我們的紅線，不能貪圖便利就放棄安全”。王院長反復強調了安全意識的重要性。據介紹，隨著時間的推進，以及安全準入項目的實施，這些安全意識和理念，逐漸滲透到深圳市人民醫院每個員工的頭腦意識之中，整個安全的要求，不再是負擔，而是日常的習慣。
安全準入項目上線到現在，深圳市人民醫院真正實現了安全事件“零事故”，相比之前每年有數起的情況，有了立竿見影的顯著效果。不僅如此，在每年組織的實戰攻防演習中，深圳市人民醫院均實現了核心目標“零失陷”的佳績。
