導讀
在當前無法完全控制外部設備的行業形勢下，“加強醫院自身安全壁壘”是最好的辦法。
2022年3月，國家藥監局器審中心發布《醫療器械網絡安全注冊審查指導原則（2022年修訂版）》，頓時受到了醫院信息部門的熱切關注。業內人士紛紛感嘆：多年來一直困擾醫院信息中心的醫療設備網絡安全管理問題，終于有了明確的政策依據！為何醫療設備的網絡安全問題讓醫院信息人備感困惑？《指導原則》修訂版出臺后，將對這一局面產生何種影響？醫院信息部門又該如何找準“發力點”，逐一突破固有難題，為醫療設備進行有效的網絡安全加固？
醫療設備網絡安全管理的“三不一難”
“之前針對醫療設備的網絡安全監管是非常缺失的。”首都醫科大學宣武醫院信息中心主任梁志剛認為，醫療設備的網絡安全問題之所以難管，是因為其中存在兩組“不對等的關系”。
從院內來看，醫療設備與信息化分屬兩條不同的行政管理條線。醫療設備歸屬設備、醫工部門管理，管理側重點在于醫療設備的應用與質量控制，在網絡安全方面存在“監管真空”，但醫院信息部門往往對此缺乏話語權。
從院外來看，醫院面對大型進口醫療設備供應商時處于弱勢地位。供應商不配合、不接受院方的網絡安全監管，往往會以“質保作廢”等方式拒絕院方在醫療設備服務器、工作站加設安全措施，而院方不敢冒險、只能妥協。因此，從采購、使用、運維到數據傳輸，很多醫療設備都處于“黑箱”狀態，網絡安全形勢不容樂觀。
首都醫科大學宣武醫院信息中心主任梁志剛
河北醫科大學第一醫院首席信息官劉新平曾先后擔任醫院醫療設備部門與信息部門負責人，從醫療設備管理者和信息管理者的雙重身份出發，她對醫療設備網絡安全監管的特殊性有更深刻的體會，目前醫療設備整體面臨的網絡安全風險包括：
（1）漏洞利用風險：一般醫療設備的使用年限都在6-8年甚至更長，醫院現有設備的操作系統較為老舊，普遍存在安全漏洞，同時因醫護人員缺乏安全意識使用簡單密碼，導致極易被攻擊入侵。
（2）資產管理問題：醫療設備終端數量眾多且類型繁雜，設備科室增加和更換設備較為頻繁，大部分醫院缺乏統一的資產管理辦法，無論設備部門還是信息部門都不清楚接入業務網絡的醫療設備有多少、在線的有多少，更不知道有多少醫療設備是不安全的。
（3）數據泄露風險：醫療設備存儲部分患者數據或與數據庫直連，大部分CT、核磁設備供應商為國外廠商，遠程運維過程的數據安全性無法保證。
河北醫科大學第一醫院首席信息官劉新平
深信服醫療事業部網絡安全運營總監王成雨將醫療設備網絡安全問題總結為“三不一難”：科室自購醫療設備入網不可見、醫療設備自身安全漏洞不可知、廠商遠程運維常態化不可控、醫療設備和IT資產相混雜難防護。醫療機構需要解決的問題包括：如何有效識別和管理眾多的醫療設備？如何發現醫療設備老舊系統中的現存漏洞？如何“看清”遠程運維人員在運維過程中都干了什么？
“其中，摸清家底是管好醫療設備網絡安全的第一步，但摸清家底往往又是很難的。”王成雨介紹，深信服與中國信通院共同發布的《2021醫療物聯網安全研究報告》指出：醫療機構缺乏全面的資產臺賬，導致安全風險黑盒化。“根據我們的用戶調研，醫院信息部門或設備部門對內網存在的醫療設備信息與狀態是不了解的，遇到問題難以定位，更難以快速解決。當醫院對自身情況都不能知根知底的話，安全也就無從談起。”
深信服醫療事業部網絡安全運營總監王成雨
《指導原則》幫助信息部門“提要求”，老舊設備仍需重點關注
《醫療器械網絡安全注冊審查指導原則（2022年修訂版）》（以下簡稱《指導原則》）的發布，為醫院的醫療設備網絡安全管理提供了政策依據，其從醫療器械電子接口、網絡安全能力、網絡安全驗證與確認、網絡安全可追溯分析、網絡安全事件應急響應、網絡安全更新、數據安全尤其是境外數據訪問等方面，提出了具體要求。
“《指導原則》的出臺非常及時，讓醫院在醫療設備采購、部署、運維時有章可依、有制可循。”梁志剛認為，《指導原則》從設備準入、漏洞評估、遠程訪問、數據安全等多個維度，給出了標準化的醫療設備網絡安全風險處置辦法，醫療機構需要進一步細化其中的關鍵點，將其從國家規范轉變為可落地的院級管理制度。同時，《指導原則》幫助醫院信息部門“提要求”，規定了設備到院時應達到的網絡安全基本要求。這有助于改變以前醫院信息部門對設備部門、醫院對醫療設備廠商的不對等關系。
不過，等待依照《指導原則》注冊的醫療設備進入市場還需要一定時間。劉新平認為，當前最應關注的是院內老舊醫療設備的網絡安全問題。“老舊設備的識別、清點、統一管理，以及操作系統的漏洞修復等，仍然是醫院信息部門需要重點著力的。”王成雨持同樣觀點：“《指導原則》從出臺到落地還需要一定周期，但安全威脅近在咫尺、迫在眉睫。在現有條件下做好現有醫療設備的網絡安全加固，是非常必要的。”他建議醫療機構應發揮主觀能動性，在政策完全落地之前先行一步，結合醫院現狀提前啟動安全防護建設，積極行動起來。
“網絡安全七到八成是管理問題，只有一到兩成是技術問題。這一點也同樣適用于醫療設備的網絡安全。”梁志剛認為“多部門聯合”是醫療設備管理的重要基礎。宣武醫院信息部門和設備部門緊密合作、形成共識，如：將醫療設備網絡安全納入醫院網絡安全體系，大型醫療設備進入醫院網絡時，不允許開放遠程診斷模塊；加強人員內部管理，不允許U口與網絡端口的無序應用；規范數據管理流程，臨床提出數據需求并經審批、論證后由信息部門幫助導出，不允許私自導出數據等。劉新平建議醫院要建立跨部門、跨職能的醫療設備管理流程，在準入、使用、運維、監控等階段進行全方位管理，確保無死角、無缺位；相關人員簽訂《醫療設備業務網準入安全責任書》，確保安全保障責任落實到人。
在技術方面，劉新平建議醫院可規劃建設統一的物聯網網關和監控平臺，對醫療設備進行統一管理、集中監控，及時發現、處置安全風險，最終構建起醫院醫療設備的網絡安全控制體系。同時她也提出：醫療機構普遍欠缺醫療設備的網絡安全專業知識，難以準確把控風險、找準建設思路，這就需要安全廠商“走在前面”，幫助醫療機構洞察趨勢；同時，安全廠商的產品研發也要兼顧落地性和安全性。
比如，傳統的醫療設備網絡安全管控方案大多采用在設備終端集成SDK包進行改造的方式，不但涉及底層代碼的開發與整合、需要設備廠商的協助配合，還屬于侵入式方案，可能影響設備運行的安全性。“在某些場景中，這種方案是我們不敢落地也不能落地的。”劉新平談道。
找準“發力點”，醫療設備的安全加固追求“高效落地”
針對醫療設備網絡安全現狀與醫療機構的實際需求，王成雨談道：“深信服在設計醫療設備安全加固方案時遵從兩個原則：一是不能特別復雜，二是要能高效執行。”
王成雨認為，當前的工作重點是在醫療設備廠商、醫院設備管理部門、醫院信息管理部門之間尋求一個三者都可接受的方案，特別是在國外廠商依然強勢、短期內難以完全扭轉局面的情況下，加強風險監測、第一時間發現問題并加以阻斷是方案落地的關鍵；而且要能實際解決醫療設備細分場景的具體需求，而非“大而重”的醫療物聯網網絡安全解決方案。
為此，深信服推出“醫療設備安全加固解決方案”，核心思路是“四步一體”，也即：
第一步是“摸清家底”，基于主動/被動智能檢測，全面、準確地發現與識別資產。深信服投入大量研發力量建立“醫療器械指紋信息庫”，準確識別設備類型、廠商、IP/MAC地址、設備唯一標識碼等信息，幫助醫療機構應對種類繁多冗雜的資產管理工作，目前已完成45家醫療設備廠商的適配，其中既包括主流國際知名品牌，也包括細分領域的本土品牌等。
第二步與第三步是“發現風險”與“有效管控”，圍繞醫療設備突出的安全漏洞、弱密碼、數據外發等安全隱患，通過可信設備入網管控、內網外聯流量監控、設備訪問權限收斂等手段加以管控。與常規的SDK改造、劃區隔離管控不同，深信服采取的方式是在醫療設備核心側旁掛醫療設備物聯網安全探針，可以在不改變網絡、不用對接設備廠商、不做軟件集成的“最小動作”前提下，快速落地并實現風險監測與管控。
第四步是“閉環處置”，通過醫療設備物聯網安全平臺對全院資產進行安全統管、科室設備入網審批、遠程運維一鍵放通，并對安全事件進行全網聯動的閉環處置，全程實現醫療設備的網絡安全可視化。“
安全建設是一個綜合處理、不斷調優的過程。”王成雨認為，在當前無法完全控制外部設備安全合法的行業形勢下，“加強醫院自身安全壁壘”是最好的辦法。目前，深信服已基于該方案在全國15個省市幫助醫院用戶全面掌握全院設備資產臺賬，并開展醫療設備安全加固工作。“
一個客觀存在的問題是：醫院信息部門人力有限，網絡安全技術支撐能力也是有限的，無法面面俱到。”梁志剛認為，在醫療設備安全加固方面，醫院需要安全廠商在整體規劃設計、長期服務與應急保障方面提供更多的支持與幫助。劉新平希望安全廠商能為醫院提供醫療設備網絡安全風險規避方面的培訓，并提供運維管理的工具、方法和標準作業流程。“
除提供產品、方案外，深信服還可為醫院提供醫療設備網絡安全咨詢服務，可以結合醫院實際情況給出相應建議，包括如何加強管理流程、設置應急預案等。”王成雨表示，深信服已注意到醫院用戶的這一需求，并將通過咨詢、培訓等多樣式服務，幫助醫院信息部門找準“發力點”，將醫療設備網絡安全統一納入醫院網絡安全規劃，以簡便、高效的方式加固醫院網絡安全體系中的醫療設備“短板”。
