网络安全检测|网络安全服务|网络安全扫描-香港墨客投资移动版

　　对于目前备受关注的互联网医院的信息安全建设，国内知名数据安全厂商安华金和医疗行业负责人认为，互联网专线和VPN能够解决一部分的外网接入的安全问题，但从业务访问的角度来讲，业务数据系统对外提供，包括远程医疗、医保查询、预约挂号等都需要直接访问业务数据，对于数据本身的访问安全以及对于内网访问安全也需要加强。

　　例如，在数据库安全方面可以采用数据库审计、数据库防火墙、数据库加密、数据库脱敏等手段进行安全加固。整体而言，可以从主动防御体系的思路做安全建设，这涉及四道防线：

　　第一道防线：检查预警。通过数据库漏扫产品对数据库威胁进行检查分析，给出安全建议。

　　第二道防线：主动防御。通过数据库安全运维产品的身份识别、运维审批、流程管理，防止非法人员操作；防止外部攻击破坏；与此同时做好内部防护，防止内部超级权限。

　　第三道防线：底线防守。

　　阈值管控：规避批量恶意访问，针对大批量医疗泄密进行告警控管，防止医疗数据批量查询；

　　数据库加密产品：防止防止医患数据泄露 “脱库”；

　　数据库脱敏产品：医疗数据去隐私化，防止泄漏真实数据给第三方。

　　第四道防线：事后追查。利用数据库审计产品来区分是外部威胁还是内鬼作案，可以对安全事件进行责任追溯。

　　对于互联网医院APP的安全问题，绿盟科技则认为应该从应用服务端、网络通信和用户三个层面来整体看待。

　　对于服务端而言，基于移动应用端的APP安全与传统的WEB安全并无本质区别，现有的WAF类防护产品依然适用，能够防护来自APP端的攻击，网络通信端的安全则主要考虑数据的保密与完整性。因此，医院可以通过SSL或HTTPS来解决。

　　而移动端的安全，对医院这样的企业级用户而言，几乎不可能通过传统意义上的安全产品来解决安全漏洞问题。因为无法要求每个移动端用户自己按照要求安装指定的安全软件，那会带来极大的用户体验下降。因此，目前更多的医疗机构在上线APP应用前，会进行系统性的安全评估和安全的黑白盒测试。基于测试和评估结果，安全厂商能够指导开发者对不安全的漏洞进行及时修复，以此来彻底解决APP的安全问题。

　　曹主任的观点与绿盟科技类似，他认为，在远程移动的访问上，采用SSL VPN（国密）实现远程访问的却是较好的方案。在互联网医院与偏远地区医疗机构、基层医疗卫生机构、全科医生与专科医生的数据资源共享和业务协同上，可以考虑采用安全一体机部署在基础医疗机构本地，实现VPN安全组网和数据加密传输。

　　VPN和防火墙，医院青睐的两大香饽饽

　　在腾讯最近发布的医疗行业安全指数报告中提到，目前医疗行业的网络安全设备首选防火墙和VPN设备。

　　造成这个结果的原因，绿盟科技负责人认为主要有两个：一是这两类产品的使用范围更多，凡是有网络边界的地方几乎都要用到防火墙进行逻辑隔离。而VPN则是目前最为低成本和稳定的专用网络解决方案，凡是涉及到有需要远程接入访问内网的场景，都需要借助VPN实现，这造成了巨大的需求基数。

　　另外一方面，医疗用户普遍对网络安全的认识还不够深刻。特别在广大的基层医疗机构，因为网络规模较小、信息数据量也不大，认为边界防护有防火墙，通信数据保障有VPN即可确保整体网络安全。

　　但其实无论医疗机构的大小，涉及到病患隐私信息数据、临床信息数据等敏感数据的重要程度都是不言而喻。对这类数据的保护除了防火墙和VPN之外，还需要考虑边界的纵深防护，诸如入侵防护、病毒过滤、针对WEB应用的WAF产品，针对数据库保护的数据库防火墙和安全审计等环节，等需要考虑建设。

　　对于目前医院VPN的使用现状，安华金和负责人在与某三级医院信息科主任沟通之后，也给出了自己的观点：VPN一方面用于远程维护，另外一个主要的用途是区域联网。但目前区域联网更倾向于专线，只有条件不够，医院才选择走VPN。比如不少医院与市卫健委、省卫健委的连接方式就采用专线，而条件达不到的医院，则只能使用VPN实现连接。

　　此外，在实际使用中，医院不仅要考虑互联网访问的接入安全，还需考虑数据平台的安全。如果用户的VPN账户被盗取或者边界被入侵，那么核心的数据将直接暴露在攻击者面前。因此在对访问进行准入控制的同时，也需要通过数据安全手段对核心数据进行专业的防护。