2月，联合健康旗下Change Healthcare遭受勒索软件攻击，医疗行业网络安全问题引美国各界重视。近日，美国参议员Ron Wyden和Mark Warner建议修订关于网络安全的法案，以避免未来可能扰乱医疗保健行业发展的网络事件。

该法案名为《卫生基础设施安全和问责法案》（Health Infrastructure Security and Accountability Act），将为供应商、联网机构等强制性规定网络安全最低标准。 

黑客攻击逐年增加

Change Healthcare于2月遭受网络攻击，后调查发现，公司没有在服务器上启用多因素身份验证（MFA），才给了黑客可乘之机，以一组被盗的凭证远程访问了联合健康的支付处理系统。MFA通过引入额外认证因素，要求用户登录时提供密码、手机动态验证码、指纹等多重验证信息，保护账户安全。

联合健康也为此向黑客组织支付了2200万美元赎金。9月，联合健康首席信息安全官表示，遭受如此“灾难”后，该公司被迫“重启”系统，目前仍受到攻击的余波影响。

HIPAA杂志从2009年10月开始统计医疗保健数据泄露问题，当时美国卫生与公众服务部（HHS）民权办公室（OCR）首次开始在其网站上发布医疗保健数据泄露的摘要。

数据显示，在过去14年里，数据泄露事件的发生数量呈现上升趋势。2023年，医疗保健组织遭受的网络攻击没有减弱，并创造了两项新记录——最多的数据泄露报告，最多的泄露记录。据悉，2023年该组织向OCR报告了725起数据泄露事件，在这些泄露事件中，超过1.33亿条记录属于机密级别。

值得注意的是，黑客攻击事件逐年提升。在美国，2018年1月1日-2023年9月30日，与黑客攻击相关的数据入侵事件增加了239%，同期的勒索软件攻击事件增加了278%。2019年，黑客行为占所有报告入侵事件的49%。到了2023年，79.7%的数据泄露因黑客而起。

出台强制安全要求

加强对医疗保健数据的保护是网络安全法案的关键之一。该法案将要求HHS“每年主动审计至少20个受监管企业/机构的数据安全实践情况”，尤其关注公认极其重要的卫生系统。

据悉，该法案还旨在缩小因经济水平差异导致的网络安全防护差距。美国农村和城市“安全网”医院（即为低收入、无保险、弱势群体等服务的医院）将获得8亿美元的前期投资款项，以确保采用加强版网络安全系统。

除了法案中提出的新审计职责外，法案取消了HHS对受罚机构的法定罚款上限，其对网络安全监管松懈的医疗企业可进行更多罚款。此外，该法案还将强制要求医疗企业有关负责人对网络安全故障承担更多责任，并要求他们提供己方机构遵守新的网络安全最低标准的证据。

HHS副部长Andrea Palm强调，“对所有持有敏感数据的组织制定明确的问责措施和强制性网络安全要求至关重要，期待就这项立法展开合作。”

剖析医疗系统弱点

医疗设备是黑客的主要攻击目标。Statista报告显示，到2029年，全球医院总数预计将达到166548家，每张病床上连接的医疗设备的平均数量约为10~15台。这一数据表明，到2029年，全球将有167万台联网医疗设备。致命的是，其中许多设备没有采用安全设计方法。

目前，医疗机构已经提高电子健康记录（EHR）的安全性，但黑客逐渐将攻击目标转向医疗设备。相关研究发现，最受黑客“青睐”的医疗设备包括：胰岛素泵、输送药物的输注泵、心脏起搏器、核磁共振设备等。其中，护士呼叫系统是网络风险最高的医疗设备，存在不少未打补丁的漏洞。

医疗保健提供者关注并加强其医院基础设施的互联医疗设备安全，才能有效降低网络风险。

此外，有专家建议医疗机构通过利用生成式人工智能（gen AI）来加密医疗设备网络，加强其网络安全状态。例如，使用gen AI来确保医疗设备遵守HIPAA（健康保险可携性和问责法案）和其他监管标准；在使用gen AI进行处理前，通过匿名化电子受保护健康信息（ePHI），并结合标记化技术，避免患者信息的外部传播，以确保HIPAA的遵从性；使用通用人工智能分析大量数据，检测和应对医疗设备潜在威胁，并及时向医疗保健提供者发出警报。

在人工智能辅助发现漏洞之后，机构应建立高效的、人工智能驱动的补丁管理系统，根据漏洞重要程度依次打补丁以及时更新医疗设备。此外，网络工程师应为医疗保健人员创建人工智能驱动的网络安全培训。

此内容为《医药经济报》融媒体平台原创。未经《医药经济报》授权，不得以任何方式加以使用， 包括转载、摘编、复制或建立镜像。如需获得授权请事前主动联系：020-37886610或020-37886753；yyjjb@21cn.com。