在醫(yī)院中除了數(shù)據(jù)中心的服務器資源，還有醫(yī)護人員、行政人員使用的電腦都需要納入安全計算環(huán)境的管轄范圍。大家可以看看自己用的電腦是否設置了密碼，并且密碼的要求是否符合強口令（長度大于 8 位，包含大小寫字母、數(shù)字、符號，并且不包含鍵盤上連續(xù)字符或者英文單詞），并且 3 個月更換一次密碼。在 AAA 認證體系（ AAA 是認證（ Authentication ）、授權（ Authorization ）和計費（ Accounting ） ）中，第一關就是認證，在認證的過程中可能會出現(xiàn)如無認證、弱口令、認證可以被繞過、明文密碼傳輸?shù)鹊葐栴}，

不僅僅是在醫(yī)療行業(yè)，基本所有行業(yè)的內(nèi)網(wǎng)環(huán)境都包含了上述問題，在護網(wǎng)行動中，打入了內(nèi)網(wǎng)環(huán)境后，大量使用重復的弱口令，成為被攻陷的重要問題之一，有很多護網(wǎng)的案例是拿下了堡壘機的弱口令，而堡壘機上直接記錄了各類服務器的高權限賬號密碼，通過一點突破全網(wǎng)。我們大家可以看看自己的環(huán)境下， PC 和服務器端是否存在無認證、弱口令的情況，除了 RDP 、 SSH 等常見管理服務，還有 Radmin 、 VNC 、 SMB 、 FTP 、 TELNET 、 Oracle 、 MySQL 、 SqlServer ， 根據(jù)我一直以來的工作經(jīng)驗，很多開源軟件的早期版本對于 API 接口就根本沒有認證機制，所以還有很多的開源服務如 Redis 、 Docker 、 Elastic Search 等，有認證的情況下是否使用了開源軟件的默認賬戶口令，這個也需要我們及時修改，黑客可以通過一點突破，層層收集信息，最終突破核心防線。

AAA 體系中的第二步授權，其實是可以緩解第一步問題的一個手段，理論上要求我們的 PC 端、服務器端不同的軟件需要通過不同的用戶安裝、使用，并且不同的用戶只能給予最小安裝、使用軟件的權限，而我們可以檢查下自己的環(huán)境，應該是有很多直接使用 administrator 、 root 等用戶，并且這些賬號存在著復用的情況，在使用過程中很難分清楚現(xiàn)實生活中的哪個自然人使用了這個賬戶進行了相關操作，如果出現(xiàn)了問題給后續(xù)溯源提升了難度，我們這時就需要通過 IP 、 上層的堡壘機日志等進行關聯(lián)溯源。

限制登錄失敗次數(shù)是防止暴力破解的手段之一，暴力破解會通過一個密碼本對需要爆破的服務密碼進行不斷的嘗試，直到試到正確的那個密碼或者密碼本試完為止，正常人登錄一般都會記得自己的密碼，當然在定期更換復雜密碼的要求下，正常人也會記不住密碼，這個問題我們后面再說。在限制了登錄失敗次數(shù)，比如我們設置了 5 次，那通過某個 IP 登錄失敗 5 次后這個 IP 就會被鎖定，當然可以設置別的 IP 還可以登錄這個服務。會話結束功能就類似于 W indows 自動鎖屏，作為一個信息工作者，在我們離開電腦時就應該考慮鎖屏的操作，并且重新登錄要輸入賬號密碼，一個不會超時的會話雖然方便了我們自己，同樣也給惡意者帶來了方便，想想經(jīng)過你辦公桌的每個人都可以在登錄著的 HIS 服務器或者核心交換機上敲一個 reboot ，最后造成的結果可想而知，雖然這個事故不是你直接操作的，但也要負主要責任。

在醫(yī)院中常見的遠程管理手段有 RDP 、 SSH 、 TELNET 、 FTP 、 Oracle 等，其中 TELNET 、 FTP 在流量劫持時可以直接獲得賬戶口令信息，可以通過 SSH 、 SFTP 等方法替換，確保在賬號密碼認證和數(shù)據(jù)流傳輸過程中都是加密的。其實 Oracle 的流量也非加密，在我咨詢了我 OCM 的朋友和百度后，發(fā)現(xiàn)其實 Oracle 流量也可以配置加密，但是我們很少會這樣做，并且很少會有人關心這個問題，還消耗客戶端和服務端額外的性能。這時候我們就要想到什么時候我們的流量會被截取走，常見的就是內(nèi)網(wǎng) ARP 欺騙，一臺攻擊主機在客戶端請求網(wǎng)關 MAC 地址的時候，將自己的 MAC 地址告訴客戶端，說自己這個 MAC 地址就是網(wǎng)關的 MAC ， 這樣二層的流量會先通過這臺攻擊主機轉(zhuǎn)發(fā)給真實的網(wǎng)關，所有明文的流量過了這臺攻擊主機后就可以被它輕松的獲取敏感信息，我的防護方法是通過桌管軟件，將每個網(wǎng)段主機的網(wǎng)關 ARP 解析靜態(tài)的寫到客戶端上，確保 ARP 解析時默認都先通過本地記錄解析，從而不會被外部動態(tài)解析影響。另一種情況會被獲取的是網(wǎng)內(nèi)的流量設備，很多安全設備、 APM 監(jiān)控設備、深度流量分析設備都需要抓取核心網(wǎng)絡的流量，當這些流量被鏡像給設備后它們會將它記錄下來，而正式或者測試設備出現(xiàn)問題返廠時，我們就要叮囑工程師要清空本地數(shù)據(jù)，以免數(shù)據(jù)泄露，在我的工作中就聽到過通過安全設備泄露大量公民信息的案例。

前面我們說到要定期修改復雜密碼，但是經(jīng)常修改會導致管理員記憶困難，這個時候我覺得雙因子認證也是幫助大家不用記復雜密碼的好方法。雙因素認證分為所知和所有兩種，雙因素的證據(jù)又分為秘密信息、個人物品、生理特征三種類型，像口令、密碼就是信息，物理 key 就是個人物品，指紋、虹膜、面部就是生理特征，我們只要結合兩種類型的證據(jù)，那就符合要求，可以通過物理 KEY+ 動態(tài)密碼的方式實現(xiàn)認證，此時就不用記住原始的靜態(tài)密碼，大家可以想象一下現(xiàn)在在登錄微信、支付寶、 QQ 等互聯(lián)網(wǎng)軟件的時候基本很少使用密碼，而智能手機也將密碼和人臉識別關聯(lián)，方便大家認證操作，同時又符合安全要求。在醫(yī)院工作的過程中，我發(fā)現(xiàn)很多業(yè)務系統(tǒng)的賬號密碼不是同一套體系，系統(tǒng)在認證時也沒有做到雙因子的要求，我之前寫過一篇論文，叫《基于 4A 系統(tǒng)的醫(yī)院零信任網(wǎng)絡安全模型》，也是我希望能通過安全技術提升醫(yī)護行政人員使用系統(tǒng)時的便利性、規(guī)范對醫(yī)院所有系統(tǒng)賬戶體系管理、加強醫(yī)院業(yè)務系統(tǒng)使用時的權限管理能力。

五級電子病歷評審中提到了系統(tǒng)備份、容災的標準，對醫(yī)院信息系統(tǒng)的穩(wěn)定性、可靠性、可用性有了明確的要求，醫(yī)院信息系統(tǒng)的宕機、數(shù)據(jù)丟失會造成無法挽回的影響；2021 年《數(shù)據(jù)安全法》和《個人信息保護法》出臺，我國在信息化高速發(fā)展的當下，更加重視了網(wǎng)絡安全，證明了網(wǎng)絡安全與信息化是一體之兩翼、驅(qū)動之雙輪。

2 、數(shù)據(jù)保密性

信息安全 CIA 三要素，保密性、完整性、可用性，這里提到了數(shù)據(jù)的保密性，其實不管在哪個行業(yè)，數(shù)據(jù)的保密性都很難做，我們可以看到大量的公民數(shù)據(jù)在互聯(lián)網(wǎng)安全事件中泄露，我國之前的《網(wǎng)絡安全法》對數(shù)據(jù)安全沒有具體的要求，而 2021 年的《數(shù)據(jù)安全法》和《個人信息保護法》才對數(shù)據(jù)安全有了明確的要求，并且這兩部法律給企業(yè)帶來了不小改造的壓力。

數(shù)據(jù)安全的保密性要求貫穿了數(shù)據(jù)的產(chǎn)生、傳輸、處理、存儲、銷毀等過程，首先我們要對數(shù)據(jù)進行保密，就要知道哪些數(shù)據(jù)應該保密，此時要做的就是數(shù)據(jù)的分類分級，在分級分類過程中涉及到對敏感數(shù)據(jù)的發(fā)現(xiàn)，敏感數(shù)據(jù)除了結構化的還有非結構化的，除了關系型的還有非關系型的，基本很難做到全覆蓋，比如在護網(wǎng)期間就發(fā)現(xiàn)有很多日志、配置文件中帶著敏感的賬號密碼等信息，而這些信息的配置可能是套裝化軟件不能修改的。在發(fā)現(xiàn)了敏感數(shù)據(jù)后我們就要對敏感數(shù)據(jù)進行加密、脫敏、去標識化操作，在五級電子病歷的要求中也有一條數(shù)據(jù)加密的要求，數(shù)據(jù)加密其實有兩種做法，一種是在存儲層（通過存儲設備進行加密），另一種在系統(tǒng)層（通過對操作系統(tǒng)的配置文件，或者對數(shù)據(jù)庫的數(shù)據(jù)進行加密），第一種方法的難度較小，而第二種方法的難度較大，需要考慮數(shù)據(jù)被加密的方法和被使用過程中的解密，對于數(shù)據(jù)量小可以考慮非對稱加密，而數(shù)據(jù)量大的只能使用對稱加密，這也就是 SSL 的機制，通過非對稱加密秘鑰，然后通過秘鑰對稱加密數(shù)據(jù)流，在確保業(yè)務正常的情況下，實現(xiàn)安全的需求。針對脫敏、去標識化操作可以通過好幾處實現(xiàn)，可以通過后端實現(xiàn)，也可以通過前端實現(xiàn)，通過后端實現(xiàn)時當數(shù)據(jù)從應用層往前端傳輸時就是去脫敏、去標識化的數(shù)據(jù)，甚至是在數(shù)據(jù)庫中就是脫敏、去標識化的，而在前端實現(xiàn)，我們可以在客戶端本地開啟代理，直接可以獲得明文的數(shù)據(jù)，從安全性來考慮肯定是后端實現(xiàn)更安全。

我們在做數(shù)據(jù)加密、脫敏、去標識化時要考慮的重要一點就是業(yè)務是否支持，有些數(shù)據(jù)雖然是敏感數(shù)據(jù)，但是以密文呈現(xiàn)時是無法進行正常業(yè)務的辦理和交互的，如果要實現(xiàn)正常業(yè)務辦理和交互，可能需要改變流程、規(guī)范，并且付出巨大的代價，在醫(yī)院以業(yè)務為中心的情況下，個人覺得短期內(nèi)很難很難實現(xiàn)，我個人在落地一個數(shù)據(jù)安全的產(chǎn)品時就提出了這樣一個問題，該產(chǎn)品邏輯串聯(lián)在數(shù)據(jù)庫客戶端和數(shù)據(jù)庫服務器之間實現(xiàn)數(shù)據(jù)庫字段的加密、脫敏、去標識化操作，而我們的 HIS 業(yè)務每天都有大量的問題要處理，在處理過程中需要通過這些敏感的數(shù)據(jù)進行確認、判斷、修改，不可能專門安排一個人每天在對字段做解密、加密的操作，還需要配合專門的流程來規(guī)范這個操作，在一個業(yè)務系統(tǒng)沒有穩(wěn)定、技術人員缺乏的情況下，這樣的功能很難落地，就算落地了也只是很小的范圍，如何滿足二者需要靠廣大讀者來幫忙想想辦法了。

3 、 數(shù)據(jù)備份恢復

我問了很多醫(yī)院，大家可能都建立了容災環(huán)境，但是很少有醫(yī)院做容災測試，對于五級電子病歷的要求是每年至少一次的容災演練（還需要結合業(yè)務場景），每季度至少一次的數(shù)據(jù)全量恢復測試，一個沒有測試過的容災系統(tǒng)真的很難讓人相信在出問題的時候可以撐得住真實業(yè)務，也許容災的切換過程沒有問題，但是容災的硬件資源、硬件配置、軟件調(diào)整等是否能讓用戶在較短的時間內(nèi)進行邊便捷的切換操，五級電子病歷對于數(shù)據(jù)丟失的要求比較松， 2 小時以內(nèi)即可，但是醫(yī)院對于數(shù)據(jù)丟失是難以容忍的，對于信息化較長時間都無法正常使用也是無法容忍的，我們要盡可能做到 RPO 、 RTO 最小化。

對于備份，我盡量做到 321 原則， 3 份數(shù)據(jù)、 2 種不同介質(zhì)、 1 份存于異地，結合第一點和第二點，我將數(shù)據(jù)存放于起碼 2 種不同物理設備上，存儲 3 份，再結合第三點將一份數(shù)據(jù)存儲于異地，兩份數(shù)據(jù)存于本地。我們醫(yī)院有兩個院區(qū)，兩院區(qū)直線公里數(shù)其實小于 40 ㎞ ， 而等保的異地要求是直線大于 100 ㎞ ， 對于沒有分院的小伙伴們，其實我建議可以將另一份數(shù)據(jù)存到異地云上，最起碼在本地真的數(shù)據(jù)沒辦法恢復時還有一根救命稻草，雖然恢復的時間可能會長一點。我會將兩院區(qū)的數(shù)據(jù)做相互的異地備份，盡可能提高數(shù)據(jù)備份的頻率，減少數(shù)據(jù)的丟失，核心業(yè)務系統(tǒng)采用實時備份或者容災的方式，在使用較高頻率備份的情況下，我們對于備份、容災的硬件就有一定的要求，較差的 HDD 盤是無法支撐起大數(shù)據(jù)量、高并發(fā)的備份任務，可能出現(xiàn)任務排隊，那就會得不償失；在備份上我們就出現(xiàn)過一個問題，之前工程師在配置 RMAN 備份保留的腳本操作是先刪除原來的備份，在進行下一次備份，如果前一次備份刪除了，后一次備份沒有成功，那就沒有了全量數(shù)據(jù)，這樣的備份是沒有意義的，大家可以檢查下自己的環(huán)境是否存在這樣的問題。

在備份的類型上，分為物理備份和邏輯備份， 21 年我就聽到了別的醫(yī)院出現(xiàn)了 Oracle 的邏輯壞塊，出現(xiàn)壞塊后數(shù)據(jù)庫無法正常啟動，而容災系統(tǒng)通過 Oracle Data Guard 實現(xiàn)， DG 屬于物理塊同步，面對邏輯錯誤不會校驗，而直接將這個邏輯錯誤同步給了容災庫，導致容災庫也無法正常拉起，并且當時也沒有配置長時間的閃回空間，導致最后花了很大的代價才恢復了一部分丟失的數(shù)據(jù)，并且業(yè)務中斷了很久，可以通過 OGG 解決這個問題，并且 OGG 可以支持跨數(shù)據(jù)庫、操作系統(tǒng)類型之間的數(shù)據(jù)復制，但是配置難度比 DG 大了很多；另外的辦法是通過 CDP 實現(xiàn) IO 級別的備份，當出現(xiàn)邏輯錯誤數(shù)據(jù)庫無法正常使用的時候，通過 CDP 的 IO 回退到正常的時間點，當然中間丟失的數(shù)據(jù)需要人工去彌補，這樣通過數(shù)據(jù)庫外部的方式解決數(shù)據(jù)備份的問題。

4、個人信息保護

這兩點在《個人信息保護法》中也有明確提到，該法律中多次提到了收集個人信息要有“詢問 - 確認”的過程，并且在用戶不同意提供個人信息的情況下，不能拒絕對用戶提供服務，只收集必需的個人信息，要告知用戶收集每種類型個人信息的目的，告知用戶如何處理、傳遞、使用個人信息。在疫情當下，全國的醫(yī)院都緊鑼密鼓的推廣互聯(lián)網(wǎng)醫(yī)院，意味著有一個面向患者的醫(yī)院互聯(lián)網(wǎng)系統(tǒng)，患者可以直接面向這個互聯(lián)網(wǎng)系統(tǒng)，那對系統(tǒng)的提交信息、問詢交互有了更直接的了解，我們在做互聯(lián)網(wǎng)系統(tǒng)的時候要結合《網(wǎng)絡安全法》、《數(shù)據(jù)安全法》和《個人信息保護法》三駕馬車來嚴格要求開發(fā)時的安全需求，自從三部法律上臺后有多少互聯(lián)網(wǎng) APP 因不符合要求被責令整改、罰款、下架等，我們也該引以為戒。