少有行业像医疗保健行业一样，面临着如此复杂且高风险的数字环境，一次数据泄露就可能危及患者和医疗服务提供者的安全。虽然HIPAA合规性和患者隐私是大多数网络安全讨论的焦点，但许多其他关键威胁仍然被忽视——隐藏在工作流程、医疗设备和第三方合作伙伴关系中。这些漏洞可能会被悄无声息地利用，有时甚至长达数月，直到被发现。
下文，揭示了医疗保健领域最容易被忽视的网络安全挑战。他们解释了为何应对这些风险对于保障患者护理、维护合规性以及维护医疗保健系统的信任至关重要。
1.老化、互联的设备和软件
最大的弱点在于差异巨大的医疗设备和软件之间的互操作性，以及它们之间的堆栈和使用年限。该行业依赖的互联技术从尖端到已有20年历史，不一而足。这迫使先进的系统与安全性较低的系统进行通信，不可避免地将安全性降至最低，并使生态系统在其最薄弱的环节变得脆弱。——Gunter Ollmann，Cobalt
2.供应商的电子邮件系统
我们在内部安全方面投入巨资，但真正的风险往往来自供应商的收件箱。电子邮件仍然是最主要的攻击媒介，而防御薄弱的第三方合作伙伴则将我们所有人都置于风险之中。现在是时候让我们的生态系统达到更高的标准了——在身份验证、网络钓鱼防范和账户盗用防护方面提出一些尖锐的问题。——Eyal Benishti，IRONSCALES
3.第三方软件和设备
许多医院和医疗系统依赖数十种（有时甚至数百种）第三方工具：电子健康记录插件、诊断系统、计费平台以及物联网医疗设备。这些供应商通常需要访问敏感的患者数据或内部网络；然而，他们可能不像医疗机构本身那样遵守相同的安全和合规标准。——Jonathan Stewart，ZenSource
4.网络钓鱼攻击
一个被忽视的挑战是针对医疗保健机构的网络钓鱼攻击数量之巨。黑客瞄准宝贵的患者数据，利用过时的系统、庞大的供应链和有限的安全培训，诱骗员工点击链接或与企业电子邮件入侵攻击进行交互。这可能导致勒索软件的出现，而医疗保健机构更有可能支付勒索软件费用以维持关键服务的运行。——Mike Britton，Abnormal AI
5.过时的遗留系统
过时的遗留系统是一个被忽视的重大弱点。较长的折旧周期意味着关键的联网医疗设备和软件通常无法更新，迫使人们依赖易受攻击的旧策略。这一普遍存在的问题造成了巨大的网络攻击面。更好的控制、可视性和微分段对于限制访问和减轻损害至关重要，直到可以修复为止。——Erez Tadmor，Tufin
6.缺乏一线网络安全培训
一线员工通常缺乏足够的网络安全培训，这让他们容易受到社会工程学攻击。例如，一个能言善辩的病人可能会分散临床医生的注意力，导致医生在离开房间前忘记锁上工作站。这可能会泄露敏感数据，包括个人身份信息和其他患者的健康记录，从而对隐私和医疗系统安全构成严重风险。——Sunny Banerjee，第一公民银行
7.人工智能驱动系统中缺少数据沿袭
在当今人工智能驱动的医疗保健服务中，一个鲜为人知的重大缺口是数据沿袭。我们痴迷于加密和访问控制，却很少问：“数据从何而来？它是如何被篡改的？又是谁触碰了它？” 如果没有清晰的追踪，静默腐败和模型中毒就会悄无声息地潜入，随着时间的推移，诊断的准确性、人工智能的性能和患者的信任度都会逐渐下降。——Kiran Elengickal，Siemba
8.本地服务器
医疗保健领域一个被忽视的网络安全风险是对本地服务器的依赖。许多机构仍然将敏感的患者数据存储在本地，缺乏定期更新、备份或监控。这造成了严重的漏洞。基于云的平台拥有管理完善的开放API，可以提供集中式安全保障以及更安全、可扩展的集成。——Eric Giesecke，Planet DDS
9.手动证书管理
医疗保健网络安全中一个被忽视的挑战是手动证书管理。过期或配置错误的数字证书可能会导致EHR系统瘫痪、延误护理并危及患者安全。自动化证书生命周期管理对于维护安全、不间断的运营至关重要。——Jason Sabin，DigiCert Inc.
10.数据孤岛和BMA
一个被忽视的弱点或挑战是数据孤岛和业务管理应用程序。BMA在安全准则方面往往不被重视，并且始终面临数据泄露的风险。BMA还往往面临不同层面的合规性违规风险。财务分析或运营分析的风险更高，因为它们涉及高度敏感和关键的数据。——Sanath Chilakala，NTT Data
11.过期的医疗器械
医疗保健领域一个重大的网络安全风险是过时的医疗设备。许多设备使用的是昂贵的旧版软件，每次更新都费力不讨好，很容易成为网络攻击者的攻击目标。由于加密技术有限，而且更换的可能性很小，这些设备仍然被接入敏感网络，危及患者和客户记录的完整性。——Sreekanth Narayan，LTIMindtree
12.影子IT和BYOD实践
医疗保健领域的影子IT和自带设备（BYOD）做法，例如工作人员为了方便使用个人设备或应用程序，将攻击面扩大到大多数系统监控范围之外。这些非正式的工作流程绕过了标准保护措施，导致患者数据和核心系统暴露在外，却无人察觉。——Mark Mahle，NetActuate, Inc.
13.临床试验期间数据共享不安全
医疗保健领域一个被忽视的网络安全风险是临床试验期间不安全的数据共享。由于利益相关者众多且监管分散，敏感的患者数据经常在缺乏统一治理的系统之间流动。该行业必须采用安全设计的互操作性框架，在保护信任的同时，也保障创新。——Rishi Kumar，MatchingFit
14.医疗物联网设备产生的不安全数据
医疗保健领域一个关键但讨论不足的漏洞是来自输液泵和智能监视器等医疗物联网设备的数据排放。这些设备持续传输遥测数据，通常不安全，从而形成了一个悄无声息却巨大的攻击面。直接在这些设备上部署基于边缘的零信任代理可以实时验证每个出站数据包。——Nicola Sfondrini，普华永道
15.具有硬编码凭证的旧设备
带有硬编码凭证或过时固件的旧式医疗设备是一个巨大的盲点。它们通常位于扁平网络中，IT团队无法察觉。在EHR数据泄露期间，受感染的输液泵或MRI接口可能会悄悄地提供持续访问权限，将患者护理工具变成攻击面。网络安全必须不断发展，将这些设备视为端点，而不是例外。——福特汽车公司Raghu Para
16.继续使用传真机
医疗网络安全的真正威胁是什么？传真机。医院仍然通过过时、不安全的系统发送患者数据，因为“这就是惯例”。我们最应该担心的不是黑客，而是自满。安全并非来自修补过去的漏洞，而是来自彻底的反思。——Oleg Sadikov，DeviQA
17.缺乏标准化的安全通信协议
不同公司之间共享安全通信存在风险。虽然医疗保健行业有HIPAA合规标准，但目前尚无通信标准。一些数据仍然以物理形式交换。当数据从一个系统转移到另一个系统且未加密时，就会出现漏洞。最佳解决方案是建立使用可变密钥和算法的通信标准。——WaiJe Coler，InfoTracer
18.移动设备的端点安全性薄弱
医疗网络安全领域一个重大但经常被忽视的挑战是，医护人员使用的移动设备缺乏强大的终端安全保障。这些设备通常会远程访问敏感的患者数据，但许多机构未能实施足够的安全措施，例如加密和远程擦除功能。这增加了数据泄露的风险。——Roman Vinogradov，Improvado
19.不安全的DevOps管道
一个经常被忽视的风险是医疗技术栈中不安全的DevOps流水线。快速的CI/CD部署周期（缺乏质量控制和网络审查）可能会绕过关键的安全门，将未经审查的代码引入患者数据环境。安全的DevSecOps集成不应是可有可无的；它是开发安全代码的重要方面，对于保护数据完整性和维护临床信任至关重要。——Dan Sorensen
20.缺乏全面的DSPM实践
医疗行业云应用的不规律趋势、传统设备分散的网络以及缺乏一致的网络安全培训，共同构成了恶意软件和勒索软件攻击的绝佳机会。通过整合全面的数据安全态势管理，团队可以在不牺牲患者隐私的情况下持续提升数字化能力。——Thyaga Vasudevan，Skyhigh Security
特别声明：智慧医疗网转载其他网站内容，出于传递更多信息而非盈利之目的，同时并不代表赞成其观点或证实其描述，内容仅供参考。版权归原作者所有，若有侵权，请联系我们删除。
凡来源注明智慧医疗网的内容为智慧医疗网原创，转载需获授权。
