《等保2.0在医疗行业的落地分析》由会员分享，可在线阅读，更多相关《等保2.0在医疗行业的落地分析（30页珍藏版）》请在金锄头文库上搜索。
1、等保2.0在医疗行业的落地分析 O1医疗行业网络安全态势 O2等保2.0的延续和变化 O3医疗行业安全合规问题 O4安全防范建议 Contents 01 医疗行业网络安全态势 事件 2018年8月，在美国拉斯维加斯举办的黑帽 信息安全会议上，研究人员演示了远程干扰 植入式医疗设备的过程。远程禁用植入式胰 岛素泵，阻止其提供药物治疗；完全控制了 心脏起搏器系统，发送恶意软件，对连接到 该系统的所有起搏器发布对患者不利的指令。 研究人员利用植入式医疗设备上发现的安全漏洞， 攻击用于给患者心脏起搏器编程的系统 分析 恶意远程控制设备风险 医疗设备漏洞利用：黑客侵入或可遥控杀人 事件 2016年2月，
2、美国洛杉矶的好莱坞长老会医 院就发生比特币勒索事件。黑客控制医院网 络系统，使得全部电子病历数据无法使用， 以解锁密钥作为筹码向医院索取赎金，最终 医院向黑客支付了40比特币得以恢复。 攻击者利用Windows SMB服务漏洞，对计算机 中的文档、图片等实施高强度加密。 分析 比特币勒索 勒索、挖矿已经成为影响医疗业务连续性的主要威胁 事件 2018年7月，新加坡一保健集团健康数据遭 黑客攻击，150万人的个人信息被非法获取， 这其中包括新加坡总理李显龙，甚至连李显 龙本人的配药记录、门诊信息等也遭到外泄。 攻击者从新加坡新保集团的电脑侵入，植入恶意 软件后，有目标地攻击新保集团数据库中的具体
3、 个人资料，直接和不断地试图盗取和复制个人医 疗记录并顺利得逞。 分析 个人信息泄露风险 黑产盛行：数据泄露严重 ， ， 美国卫生部（HHS） -健康产业网络安全实践（HICP）：管理威胁和保护患者 医疗行业五大威胁：网络钓鱼、勒索软件、设备或 数据丢失、内部意外数据丢失以及对数字健康工具 的攻击问题 2019健康医疗行业网络 安全观测报告 健康医疗行业风险集中表现： 僵木蠕等问题严峻，勒索病毒威胁严重 数据泄露事件高发，应用服务存在隐患 网站篡改手法多变，隐式植入非法信息 安全现状 新技术驱动下.网络安全骤然失控 数据的重要性数据的重要性、系统构建的复杂系统构建的复杂、 网络开放网络开放、边
4、界模糊化边界模糊化 人工智能 大数据 O2O 区块链 物联网 互联网+ 云计算 政务云 工控系统 个人信息 泛金融 移动 网上购物 医疗云 原因分析 恐怖组织的威胁 组织更加广泛、 协调更加隐蔽、 行动更加突发、 效果更难预料。 经济犯罪的威胁 利益驱使高、 受害主体广、 攻击方式多、 社会危害大。 黑客组织的威胁 专业黑产团队 垄断黑色产业 80%以上的收 益。 极端个人的威胁 个人能力极强、 掌控资源很多、 反对国家权威、 奉行自由主义。 国家层面的威胁 国家组织专门 力量、目标针 对主权国家、 打击破坏能力 强大、战略威 慑力量极大。 原因分析 02 等保2.0的变化和延续 面对新的要求
5、、新的挑战，网络安全等级保护制度进入 2.0时代 中华人民共和国网络安全法 第21条 -第21条“国家实行网络安全等级保护制度， 网络运营者应当按照网络安全等级保护制度 要求，履行安全保护义务”； -第31条“对于国家关键信息基础设施，在 网络安全等级保护制度的基础上，实行重点 保护”。 等级保护2.0 进一步明确网络定级及评审、备案及审核、等级测评、安全建 设整改、自查等工作要求； 内涵丰富和措施完善 监督检查 系统定级系统备案建设整改等级测评 风险评估安全监测 通报预警态势感知 增加了风险评估等与网络安全密切相关的措施纳入等级保护制 度并加以实施。 定级流程更规范 定级原则： 明确等级、增
6、强保护、常态监督 定级流程： 1. 确定定级对象 2. 初步确定等级 3. 专家评审 4. 主管部门审批 5. 公安机关审查 关键信息基础设施，定级 原则上不低于三级的规定 建立完善等级保护 政策体系、标准体系、 测评体系、技术体系、 服务体系、关键技术 研究体系、教育训练 体系等。 等级保护体系升级 构建起安全监测、通报 预警、快速处置、态势感 知、安全防范、精确打击 等为一体的国家关键信息 基础设施安全保卫体系 重点对象 重要数据 国家关键信息基础设施，主要包括涉及国家安 全、国计民生的网络基础设施、重要信息系统、 网站、大数据中心，以及重要的云计算平台、 物联网、工控系统、公众服务平台等
7、。 鉴别数据、重要业务数据、重要审计数 据、重要配置数据、重要视频数据和重 要个人信息等 基础信息网络、工业控制网络、云计算平台、 物联网、使用移动互联技术的网络和大数据等 信息系统等级保护对象 等级保护对象扩展 技术要求变化 安全物理环境 安全通信网络 安全区域边界 安全管理中心 安全计算环境 安全层面控制点 安全物理环境 物理位置的选择、物理访问控制、防盗 窃和防破坏、防雷击、防火、防水和防 潮、防静电、温湿度控制、电力供应、 电磁防 护 安全通信网络网络架构、通信传输、可信验证 安全区域边界 边界防护、访问控制、入侵防范、恶意代 码和垃圾邮件防范、安全审计、可信验证 安全计算环境 身份鉴
8、别、访问控制、安全审计、入侵 防范、恶意代码防范、可信验证、数据 完整性、数据保密性、数据备份和恢 复、剩 余信息保护、个人信息保护 安全管理中心 系统管理、审计管理、安全管理、集中 管 控 管理要求变化 安全层面控制点 安全管理制度 安全策略、管理制度、制定和发布、 安全管理制度安全管理机构 评审和修订 安全管理机构 岗位设置、人员配备、授权和审批、 沟通和合作、审核和检查安全管 安全建设管理 安全管理人员 人员录用、人员离岗、安全意识教育 理人员 和培训、外部人员访问管理 安全建设管理 定级和备案、安全方案设计、产品采 购和使用、自行软件开发、外包软件 开发、工程实施、测试验收、系统交 付
9、、等级测评、服务供应商选择 安全运维管理 安全运维管理 环境管理、资产管理、介质管理、设 备维护管理、漏洞和风险管理、网络 和系统安全管理、恶意代码防范管理、 配置管理、密码管理、变更管理、备 份与恢复管理、安全事件处置、应急 预案管理、外包运维管理 等级保护“五个级别” 不变 等级保护“五个重要 环节”不变 等级保护“主体职责” 不变 三个不变 第一级：用户自主保护级 第二级：系统保护审计级 第三级：安全标记保护级 第四级：结构化保护级 第五级：访问验证保护级 定级 备案 建设整改 等级测评 监督检查 运营使用单位对定级对象的等级保护职责 上级主管单位对所属单位的安全管理职责 第三方测评机构
10、对定级对象的安全评估职责 网安对定级对象的备案受理及监督检查职责 等级保护与关键信息基础设施保护 等级保护制度是关键 信息基础设施保护的 基础，关键信息基础 设施是等级保护制度 的保护重点 网络运营者应当在 第三级（含）以上 网络中确定关键信 息基础设施 关键信息基础设施按照网络 安全等级保护制度要求，开 展定级备案、等级测评、安 全建设整改、安全检查等工 作 03 医疗行业安全合规问题 访问控制入侵防范 入侵防范恶意代码 防范 弱口令 网络设备、安全设备、操作系统、数 据库等存在空口令或弱口令帐户 系统补丁漏打 互联网直接能够访问到的网络设备、 安全设备、操作系统、数据库等，存 在重大安全漏
11、洞未及时修补更新 高危端口开放 网络设备、安全设备、操作系统等存 在多余系统服务/默认共享/高危端口 防恶意代码软件缺失 操作系统未安装防恶意代码软件，未 进行统一管理 计算环境安全措施缺失 入侵防范 数据保密数据保密 性性 校验机制缺失 由于校验机制缺失导致的应用系统存 在如SQL 注入、跨站脚本、上传漏洞 等漏洞 明文传输重要数据 用户鉴别信息、个人敏感信息数据、 重要业务数据等以明文方式在不可控 网络中传输 应用安全漏洞 应用系统所使用的环境、框架、组件 等存在可被利用的高风险漏洞 明文存储重要数据 用户鉴别信息、个人敏感信息数据、 重要业务数据等以明文方式存储，且 无其他有效保护措施
12、计算环境安全措施缺失 入侵防范 数据备份 恢复 数据备份 恢复 个人信息个人信息 保护保护 数据备份措施缺失 未提供任何数据备份措施，一旦遭受 数据破坏，无法进行数据恢复 违规采集存储个人信息 在未授权情况下，或超范围采集、存 储用户个人隐私信息 存在单点故障 未采用热冗余技术提高系统的可用性， 核心处理节点存在单点故障 违规访问使用个人信息 未授权情况下将用户信息提交给第三 方处理，未脱敏的情况下用于其他业 务用途，未严格控制个人信息查询以 及导出权限 计算环境安全措施缺失 网络架构网络架构 网络架构通信传输 设备业务处理能力不足 核心网络设备性能无法满足高峰期需 求，存在设备宕机导致业务中
13、断隐患 网络单链路 网络链路为单链路，核心网络节点、 核心网络设备或关键计算设备无冗余 设计 未划分不同网络区域 未按照不同网络的功能、重要程度进 行网络区域划分 无通信完整性保护 数据在网络层传输无完整性保护措施， 网络通信安全措施缺失 边界防护入侵防范 恶意代码 和垃圾邮 件防范 安全审计 无线网络接入未限制 内部核心网络与无线网络互联，且之 间无任何管控措施 无恶意代码检测措施 主机和网络层均无任何恶意代码检测 和清除措施的，无法对来自互联网的 恶意代码攻击、病毒等进行检测和拦 截 未检测网络攻击行为 关键网络节点（如互联网边界处、核 心服务器区与其他内部网络区域边界 处）未采取任何防护
14、措施，无法检测、 阻止或限制互联网或从内部发起的攻击 行为 无安全审计措施 在网络边界、重要网络节点无任何安 全审计措施，无法对重要的用户行为 和重要安全事件进行日志审计 区域边界安全措施缺失 系统管理审计管理 集中管控 运行监控措施缺失 无任何系统监测措施，发生故障时难 以及时对故障进行定位和处理 安全事件发现处置措施缺失 未部署相关安全设备，识别并告警网络中发 生的安全事件(网络攻击事件、恶意代码传 播事件等) 日志存储不满足要求 相关设备日志留存时长不满足网络安 全法相关要求 安全管理中心安全措施缺失 04 安全防范建议 以技术填补管理的缺失 用制度为技术增加多重保障 挖掘自 身需求 原
15、动力 形成协 同一致 持久力 借助国 家管理 外驱力 依靠专 业服务 支撑力 安全防范对策的思考 “ 三 分 技 术 ，七分管理” 定级备案梳理 合理开展重要业务系统、新业务系统的定 级备案工作 安全技术防护 在等保建设中采用新技术新手段，加强安 全技术防护、安全态势感知等能力建设， 重点防范特种木马或新型网络攻击 日常运维加强 加强日常安全运维，引入安全设备、技术 手段，提升安全管理和运维效率 主动防御加强 加强风险分析和动防御能力，完善医院网 络安全建设短板，从而降低安全风险，提 高信息系统健壮性 安全服务采用 适当选择安全厂商提供的安全服务，弥补 运营单位专业安全技术人员缺失的问题， 降低因网络安全事件而导致业务应用中断 和管理成本增加的风险 等保合规角度的思考 感谢聆听! THANKS FOR YOUR TIME！
