2023年4月14日,由《中國衛生信息管理雜志》、中國衛生信息與健康醫療大數據學會聯合舉辦的2023(17th) CHITEC在合肥市隆重召開。作為《中國衛生信息管理雜志》的副理事長單位,深信服參與了本屆大會并于“醫療健康行業網絡安全防御實戰”專題論壇分享了“基于三位一體的區域醫療行業網絡安全監管體系建設實踐”主題演講。
在數字健康建設進程中,深信服希望通過IT基礎建設來提高衛生健康行業的應用效能和創新,更大程度地發揮數字化為業務帶來的能量和價值,也讓用戶本身有更多時間投入到業務創新中,從而更好地釋放數字健康的價值。同時,圍繞用戶不同階段的IT建設需求以及復雜的內外部環境,深信服始終為用戶守住安全底線,不斷優化升級自身的安全能力、安全服務、安全方案,為用戶持續守護業務安全,護航衛生健康建設。
預警+響應+服務:構建網絡安全“三位一體”監管平臺
深信服醫療事業部醫衛行業總監夏慶亞在分享中表示,衛健委作為區域衛生健康的主管單位,是行政區域內衛生健康行業網絡信息與數據安全第一責任人。《關于印發“十四五”全民健康信息化規劃的通知》、《關于印發醫療衛生機構網絡安全管理辦法的通知》等政策文件,明確要求監管單位需要對區域衛生健康網絡安全做好監管工作,充分利用人工智能、大數據分析等技術,強化安全監測、態勢感知、通報預警和應急處置等重點工作,建立網絡安全事件通報工作機制,及時通報網絡安全事件。
為協助衛健委加強對區域衛生健康網絡安全聯合監管建設,深信服提出“三位一體”的監管理念:通過“監管預警”+“應急響應”+“服務賦能”的三個維度來構建衛生健康行業“網絡安全一體化監管平臺”。借助安全態勢感知系統實現平臺級的威脅檢測和風險預警;通過7*24小時安全托管服務(MSS)+線下合作伙伴,為監管單位提供分鐘級應急響應處置機制;通過人員安全能力培養、技術交流、安全聯合檢查以及攻防演練等方式協助監管單位對醫療機構的安全建設賦能。
讓安全監管“眼見心明、手中有策”
通過與多個省市衛健委客戶溝通交流,深信服結合衛生監管單位“讓區域網絡安全監管工作有目標、有方向”的愿景,重點打造了“一屏觀全市、兩級共監管、三時期賦能”的監管策略,并得到廣泛認可。
一屏觀全市:通過搭建安全感知平臺和安全監管平臺,全面摸清管轄區域內醫療衛生系統重要網絡及數據的安全防護現狀,實現一屏觀全市,才能讓監管單位心中有數。安全事件未發生時往往感知度很低,但日常的安全防護工作和成果仍需持續進行統計和分析。如果單個醫療機構出現問題,監管單位可通過情報中心向區域內所有醫療機構提前預警通知,讓網絡安全風險防患于未然,同時也能將安全工作效果進行周期性復盤匯總。
兩級共監管:衛健委的監管平臺相當于醫院門口的“攝像頭”,能夠實時監測風險,協助醫院防護。同時也可以震懾與監督不法行為,減少安全攻擊。醫療衛生機構本身更要做好自己的“防盜門和防護墻”,通過“加固門”和“筑高墻”,保障好本單位的安全監測和整改工作。通過劃分好“監”和“管”邊界,最終實現雙重監測保障,減少醫院網絡安全事故的發生。
三種時期賦能:深信服通過三種不同安全狀態時期的安全服務,協助監管單位提升整體安全防護和處理能力。
1.日常時期:組織全市機構網絡安全培訓,加強人員網絡安全意識;搭建安全人才培養平臺,拓寬人才培養渠道;協助組織醫療信息化主題活動,營造醫療信息化氛圍。
2. 重點時期:協助衛健委對全市醫療機構進行聯合安全檢測,組織“勒索、挖礦、弱密碼”等專項行動;提供重保服務,針對重點時期組織重保值守;協助衛健委對下屬機構出現的安全風險進行分析、提供建議與閉環處置。
3. 特殊時期:組織攻防演練,開展如上級或網安部門組織的實戰演練防守工作培訓等,幫助全市醫療機構提高防護水平;結合衛生行業情況協助安全整體規劃。
當下,隨著醫療衛生高質量發展要求不斷提高,針對區域醫療衛生整體網絡安全建設基線提升更加勢在必行。深信服愿意在醫療衛生行業與主管單位、醫療衛生機構、合作伙伴攜手共進,通過數字孿生、數據可視化、大數據分析等先進技術,以“防治結合”為基礎、以態勢感知監管預警平臺為中心、以線上線下一體化托管服務為手段,共建全民健康安全監管新范式。目前深信服已經在廣東、浙江、江蘇、山東等省份服務多個市級衛健委監管單位,為系統部署、模式落地積累了豐富的經驗。
