在醫院中(zhōng)除了數據中(zhōng)心的服務器資(zī)源，還有醫護人員(yuán)、行政人員(yuán)使用的電(diàn)腦都需要納入安全計算環境的管轄範圍。大(dà)家可以看看自己用的電(diàn)腦是否設置了密碼，并且密碼的要求是否符合強口令（長度大(dà)于 8 位，包含大(dà)小(xiǎo)寫字母、數字、符号，并且不包含鍵盤上連續字符或者英文單詞），并且 3 個月更換一(yī)次密碼。在 AAA 認證體(tǐ)系（ AAA 是認證（ Authentication ）、授權（ Authorization ）和計費(fèi)（ Accounting ） ）中(zhōng)，******關就是認證，在認證的過程中(zhōng)可能會出現如無認證、弱口令、認證可以被繞過、明文密碼傳輸等等問題，

不僅僅是在醫療行業，基本所有行業的内網環境都包含了上述問題，在護網行動中(zhōng)，打入了内網環境後，大(dà)量使用重複的弱口令，成爲被攻陷的重要問題之一(yī)，有很多護網的案例是拿下(xià)了堡壘機的弱口令，而堡壘機上直接記錄了各類服務器的高權限賬号密碼，通過一(yī)點突破全網。我(wǒ)們大(dà)家可以看看自己的環境下(xià)， PC 和服務器端是否存在無認證、弱口令的情況，除了 RDP 、 SSH 等常見管理服務，還有 Radmin 、 VNC 、 SMB 、 FTP 、 TELNET 、 Oracle 、 MySQL 、 SqlServer ， 根據我(wǒ)一(yī)直以來的工(gōng)作經驗，很多開(kāi)源軟件的早期版本對于 API 接口就根本沒有認證機制，所以還有很多的開(kāi)源服務如 Redis 、 Docker 、 Elastic Search 等，有認證的情況下(xià)是否使用了開(kāi)源軟件的默認賬戶口令，這個也需要我(wǒ)們及時修改，黑客可以通過一(yī)點突破，層層收集信息，***終突破核心防線。

AAA 體(tǐ)系中(zhōng)的第二步授權，其實是可以緩解******步問題的一(yī)個手段，理論上要求我(wǒ)們的 PC 端、服務器端不同的軟件需要通過不同的用戶安裝、使用，并且不同的用戶隻能給予***小(xiǎo)安裝、使用軟件的權限，而我(wǒ)們可以檢查下(xià)自己的環境，應該是有很多直接使用 administrator 、 root 等用戶，并且這些賬号存在着複用的情況，在使用過程中(zhōng)很難分(fēn)清楚現實生(shēng)活中(zhōng)的哪個自然人使用了這個賬戶進行了相關操作，如果出現了問題給後續溯源提升了難度，我(wǒ)們這時就需要通過 IP 、 上層的堡壘機日志(zhì)等進行關聯溯源。

限制登錄失敗次數是防止******破解的手段之一(yī)，******破解會通過一(yī)個密碼本對需要爆破的服務密碼進行不斷的嘗試，直到試到正确的那個密碼或者密碼本試完爲止，正常人登錄一(yī)般都會記得自己的密碼，當然在定期更換複雜(zá)密碼的要求下(xià)，正常人也會記不住密碼，這個問題我(wǒ)們後面再說。在限制了登錄失敗次數，比如我(wǒ)們設置了 5 次，那通過某個 IP 登錄失敗 5 次後這個 IP 就會被鎖定，當然可以設置别的 IP 還可以登錄這個服務。會話(huà)結束功能就類似于 W indows 自動鎖屏，作爲一(yī)個信息工(gōng)作者，在我(wǒ)們離(lí)開(kāi)電(diàn)腦時就應該考慮鎖屏的操作，并且重新登錄要輸入賬号密碼，一(yī)個不會超時的會話(huà)雖然方便了我(wǒ)們自己，同樣也給惡意者帶來了方便，想想經過你辦公桌的每個人都可以在登錄着的 HIS 服務器或者核心交換機上敲一(yī)個 reboot ，***後造成的結果可想而知(zhī)，雖然這個事故不是你直接操作的，但也要負主要責任。

在醫院中(zhōng)常見的遠程管理手段有 RDP 、 SSH 、 TELNET 、 FTP 、 Oracle 等，其中(zhōng) TELNET 、 FTP 在流量劫持時可以直接獲得賬戶口令信息，可以通過 SSH 、 SFTP 等方法替換，确保在賬号密碼認證和數據流傳輸過程中(zhōng)都是加密的。其實 Oracle 的流量也非加密，在我(wǒ)咨詢了我(wǒ) OCM 的朋友和百度後，發現其實 Oracle 流量也可以配置加密，但是我(wǒ)們很少會這樣做，并且很少會有人關心這個問題，還消耗客戶端和服務端額外(wài)的性能。這時候我(wǒ)們就要想到什麽時候我(wǒ)們的流量會被截取走，常見的就是内網 ARP 欺騙，一(yī)台攻擊主機在客戶端請求網關 MAC 地址的時候，将自己的 MAC 地址告訴客戶端，說自己這個 MAC 地址就是網關的 MAC ， 這樣二層的流量會先通過這台攻擊主機轉發給真實的網關，所有明文的流量過了這台攻擊主機後就可以被它輕松的獲取敏感信息，我(wǒ)的防護方法是通過桌管軟件，将每個網段主機的網關 ARP 解析靜态的寫到客戶端上，确保 ARP 解析時默認都先通過本地記錄解析，從而不會被外(wài)部動态解析影響。另一(yī)種情況會被獲取的是網内的流量設備，很多安全設備、 APM 監控設備、深度流量分(fēn)析設備都需要抓取核心網絡的流量，當這些流量被鏡像給設備後它們會将它記錄下(xià)來，而正式或者測試設備出現問題返廠時，我(wǒ)們就要叮囑工(gōng)程師要清空本地數據，以免數據洩露，在我(wǒ)的工(gōng)作中(zhōng)就聽(tīng)到過通過安全設備洩露大(dà)量公民信息的案例。

前面我(wǒ)們說到要定期修改複雜(zá)密碼，但是經常修改會導緻管理員(yuán)記憶困難，這個時候我(wǒ)覺得雙因子認證也是幫助大(dà)家不用記複雜(zá)密碼的好方法。雙因素認證分(fēn)爲所知(zhī)和所有兩種，雙因素的證據又(yòu)分(fēn)爲秘密信息、個人物(wù)品、生(shēng)理特征三種類型，像口令、密碼就是信息，物(wù)理 key 就是個人物(wù)品，指紋、虹膜、面部就是生(shēng)理特征，我(wǒ)們隻要結合兩種類型的證據，那就符合要求，可以通過物(wù)理 KEY+ 動态密碼的方式實現認證，此時就不用記住原始的靜态密碼，大(dà)家可以想象一(yī)下(xià)現在在登錄微信、支付寶、 QQ 等互聯網軟件的時候基本很少使用密碼，而智能******也将密碼和人臉識别關聯，方便大(dà)家認證操作，同時又(yòu)符合安全要求。在醫院工(gōng)作的過程中(zhōng)，我(wǒ)發現很多業務系統的賬号密碼不是同一(yī)套體(tǐ)系，系統在認證時也沒有做到雙因子的要求，我(wǒ)之前寫過一(yī)篇論文，叫《基于 4A 系統的醫院零信任網絡安全模型》，也是我(wǒ)希望能通過安全技術提升醫護行政人員(yuán)使用系統時的便利性、規範對醫院所有系統賬戶體(tǐ)系管理、加強醫院業務系統使用時的權限管理能力。

五級電(diàn)子病曆評審中(zhōng)提到了系統備份、容災的标準，對醫院信息系統的穩定性、可靠性、可用性有了明确的要求，醫院信息系統的宕機、數據丢失會造成無法挽回的影響；2021 年《數據安全法》和《個人信息保護法》出台，我(wǒ)國在信息化高速發展的當下(xià)，更加重視了網絡安全，證明了網絡安全與信息化是一(yī)體(tǐ)之兩翼、驅動之雙輪。

2 、數據保密性

信息安全 CIA 三要素，保密性、完整性、可用性，這裏提到了數據的保密性，其實不管在哪個行業，數據的保密性都很難做，我(wǒ)們可以看到大(dà)量的公民數據在互聯網安全事件中(zhōng)洩露，我(wǒ)國之前的《網絡安全法》對數據安全沒有具體(tǐ)的要求，而 2021 年的《數據安全法》和《個人信息保護法》才對數據安全有了明确的要求，并且這兩部法律給企業帶來了不小(xiǎo)改造的壓力。

數據安全的保密性要求貫穿了數據的産生(shēng)、傳輸、處理、存儲、銷毀等過程，首先我(wǒ)們要對數據進行保密，就要知(zhī)道哪些數據應該保密，此時要做的就是數據的分(fēn)類分(fēn)級，在分(fēn)級分(fēn)類過程中(zhōng)涉及到對敏感數據的發現，敏感數據除了結構化的還有非結構化的，除了關系型的還有非關系型的，基本很難做到全覆蓋，比如在護網期間就發現有很多日志(zhì)、配置文件中(zhōng)帶着敏感的賬号密碼等信息，而這些信息的配置可能是套裝化軟件不能修改的。在發現了敏感數據後我(wǒ)們就要對敏感數據進行加密、******、去(qù)标識化操作，在五級電(diàn)子病曆的要求中(zhōng)也有一(yī)條數據加密的要求，數據加密其實有兩種做法，一(yī)種是在存儲層（通過存儲設備進行加密），另一(yī)種在系統層（通過對操作系統的配置文件，或者對數據庫的數據進行加密），******種方法的難度較小(xiǎo)，而第二種方法的難度較大(dà)，需要考慮數據被加密的方法和被使用過程中(zhōng)的解密，對于數據量小(xiǎo)可以考慮非對稱加密，而數據量大(dà)的隻能使用對稱加密，這也就是 SSL 的機制，通過非對稱加密秘鑰，然後通過秘鑰對稱加密數據流，在确保業務正常的情況下(xià)，實現安全的需求。針對******、去(qù)标識化操作可以通過好幾處實現，可以通過後端實現，也可以通過前端實現，通過後端實現時當數據從應用層往前端傳輸時就是去(qù)******、去(qù)标識化的數據，甚至是在數據庫中(zhōng)就是******、去(qù)标識化的，而在前端實現，我(wǒ)們可以在客戶端本地開(kāi)啓代理，直接可以獲得明文的數據，從安全性來考慮肯定是後端實現更安全。

我(wǒ)們在做數據加密、******、去(qù)标識化時要考慮的重要一(yī)點就是業務是否支持，有些數據雖然是敏感數據，但是以密文呈現時是無法進行正常業務的辦理和交互的，如果要實現正常業務辦理和交互，可能需要改變流程、規範，并且付出巨大(dà)的代價，在醫院以業務爲中(zhōng)心的情況下(xià)，個人覺得短期内很難很難實現，我(wǒ)個人在落地一(yī)個數據安全的産品時就提出了這樣一(yī)個問題，該産品邏輯串聯在數據庫客戶端和數據庫服務器之間實現數據庫字段的加密、******、去(qù)标識化操作，而我(wǒ)們的 HIS 業務每天都有大(dà)量的問題要處理，在處理過程中(zhōng)需要通過這些敏感的數據進行确認、判斷、修改，不可能專門安排一(yī)個人每天在對字段做解密、加密的操作，還需要配合專門的流程來規範這個操作，在一(yī)個業務系統沒有穩定、技術人員(yuán)缺乏的情況下(xià)，這樣的功能很難落地，就算落地了也隻是很小(xiǎo)的範圍，如何滿足二者需要靠廣大(dà)讀者來幫忙想想辦法了。

3 、 數據備份恢複

我(wǒ)問了很多醫院，大(dà)家可能都建立了容災環境，但是很少有醫院做容災測試，對于五級電(diàn)子病曆的要求是每年至少一(yī)次的容災演練（還需要結合業務場景），每季度至少一(yī)次的數據全量恢複測試，一(yī)個沒有測試過的容災系統真的很難讓人相信在出問題的時候可以撐得住真實業務，也許容災的切換過程沒有問題，但是容災的硬件資(zī)源、硬件配置、軟件調整等是否能讓用戶在較短的時間内進行邊便捷的切換操，五級電(diàn)子病曆對于數據丢失的要求比較松， 2 小(xiǎo)時以内即可，但是醫院對于數據丢失是難以容忍的，對于信息化較長時間都無法正常使用也是無法容忍的，我(wǒ)們要盡可能做到 RPO 、 RTO ***小(xiǎo)化。

對于備份，我(wǒ)盡量做到 321 原則， 3 份數據、 2 種不同介質、 1 份存于異地，結合******點和第二點，我(wǒ)将數據存放(fàng)于起碼 2 種不同物(wù)理設備上，存儲 3 份，再結合第三點将一(yī)份數據存儲于異地，兩份數據存于本地。我(wǒ)們醫院有兩個院區，兩院區直線公裏數其實小(xiǎo)于 40 ㎞ ， 而等保的異地要求是直線大(dà)于 100 ㎞ ， 對于沒有分(fēn)院的小(xiǎo)夥伴們，其實我(wǒ)建議可以将另一(yī)份數據存到異地雲上，***起碼在本地真的數據沒辦法恢複時還有一(yī)根救命稻草，雖然恢複的時間可能會長一(yī)點。我(wǒ)會将兩院區的數據做相互的異地備份，盡可能提高數據備份的頻(pín)率，減少數據的丢失，核心業務系統采用實時備份或者容災的方式，在使用較高頻(pín)率備份的情況下(xià)，我(wǒ)們對于備份、容災的硬件就有一(yī)定的要求，較差的 HDD 盤是無法支撐起大(dà)數據量、高并發的備份任務，可能出現任務排隊，那就會得不償失；在備份上我(wǒ)們就出現過一(yī)個問題，之前工(gōng)程師在配置 RMAN 備份保留的腳本操作是先删除原來的備份，在進行下(xià)一(yī)次備份，如果前一(yī)次備份删除了，後一(yī)次備份沒有成功，那就沒有了全量數據，這樣的備份是沒有意義的，大(dà)家可以檢查下(xià)自己的環境是否存在這樣的問題。

在備份的類型上，分(fēn)爲物(wù)理備份和邏輯備份， 21 年我(wǒ)就聽(tīng)到了别的醫院出現了 Oracle 的邏輯壞塊，出現壞塊後數據庫無法正常啓動，而容災系統通過 Oracle Data Guard 實現， DG 屬于物(wù)理塊同步，面對邏輯錯誤不會校驗，而直接将這個邏輯錯誤同步給了容災庫，導緻容災庫也無法正常拉起，并且當時也沒有配置長時間的閃回空間，導緻***後花了很大(dà)的代價才恢複了一(yī)部分(fēn)丢失的數據，并且業務中(zhōng)斷了很久，可以通過 OGG 解決這個問題，并且 OGG 可以支持跨數據庫、操作系統類型之間的數據複制，但是配置難度比 DG 大(dà)了很多；另外(wài)的辦法是通過 CDP 實現 IO 級别的備份，當出現邏輯錯誤數據庫無法正常使用的時候，通過 CDP 的 IO 回退到正常的時間點，當然中(zhōng)間丢失的數據需要人工(gōng)去(qù)彌補，這樣通過數據庫外(wài)部的方式解決數據備份的問題。

4、個人信息保護

這兩點在《個人信息保護法》中(zhōng)也有明确提到，該法律中(zhōng)多次提到了收集個人信息要有“詢問 - 确認”的過程，并且在用戶不同意提供個人信息的情況下(xià)，不能拒******用戶提供服務，隻收集必需的個人信息，要告知(zhī)用戶收集每種類型個人信息的目的，告知(zhī)用戶如何處理、傳遞、使用個人信息。在疫情當下(xià)，全國的醫院都緊鑼密鼓的推廣互聯網醫院，意味着有一(yī)個面向患者的醫院互聯網系統，患者可以直接面向這個互聯網系統，那對系統的提交信息、問詢交互有了更直接的了解，我(wǒ)們在做互聯網系統的時候要結合《網絡安全法》、《數據安全法》和《個人信息保護法》三駕馬車(chē)來嚴格要求開(kāi)發時的安全需求，自從三部法律上台後有多少互聯網 APP 因不符合要求被責令整改、罰款、下(xià)架等，我(wǒ)們也該引以爲戒。