拥有50T病历、500T影像的盛京医院如何保护数据

2018年，南漳县人民医院便遭受了黑客攻击。当时，医院“三佳医疗信息系统”遭勒索病毒入侵破坏，主、备服务器同时被侵入感染，无法启用备用服务器，这也让电脑系统中的药价等数据及病例凭空消失了。

黑客在植入的“升级版勒索病毒”中注明，要求医院支付比特币才肯恢复系统正常运行。医院后向公安部门报警、联系相关厂家和系统工程师修复漏洞，这才算度过危机。

然而，就在事件发生后一天，湖南一医院再度发生一起黑客攻击事件。黑客攻击了湖南省儿童医院的系统，并再次向其中注入勒索病毒，该行为最终导致医院系统大面积瘫痪，医院治疗进程无法正常运转。

黑客通过外网攻击，植入勒索病毒，对医院HIS服务器文件进行了加密，最终导致医院系统不可用。

后经调查，发现两次攻击黑客使用的勒索病毒是globeimposter家族的变种，其主要以国内公共机构服务器作为攻击对象，加密后的文件重命名为.GOTHAM、.Techno、.DOC、.CHAK、.FREEMAN等扩展名，并通过邮件来告知受害者付款方式。

医院数据的安全工作，是一个繁琐且费时费力的活。正如上述，医院信息化越健全，软硬资源越多，数据库也就越多越大，巡检任务重、时间间隔长导致难以及时发现异常。

此外，运维工作总是后知后觉，事态感知医院数据安全处在后知后觉的状态。唯有出了问题，才能被发现并启动故障排查，总是在“救火”和“救火”的路上。

以上问题，是医院缺少具体专业化数据安全、信息安全的专业运维人员所致，这也体现出传统行业在安全方面的日常运维能力偏弱。

院内外包人员多，存在共用相同数据库账号，可访问、删除、导出任何数据，缺少安全管理。

这主要体现在运维人员大部分使用绿色版数据库运维工具，存在安全漏洞及操作后门，缺少专门的操作行为记录，事件发生后难以快速定位实际使用者和负责人，这些给数据库自管理造成极大风险。

问题最突出的表现，是基于双活容灾（即灾备系统中使主生产端数据库和备机端数据库同时在线运行，处于可读可查询的状态的技术）的存储无法解决逻辑错误，这也导致Oracle RAC无法实现异域容灾。

此外，容灾技术常规使用的逻辑复制难以解决大字段问题，再加上业务系统故障可视化程度较低，加剧了安全隐患的存在。

这些安全隐患作为医院数据安全的大“Bug”，成为了攻击者的突破口。可实际上，众多医院面临着彻底克服转型难、整顿难、保护难的三大难题。

这时候，第三方安全厂商的介入就显得必不可少。

首先，允许该安全平台访问数据库的SQL操作，全部解析还原，匹配策略规则。一旦发现漏洞，就用虚拟补丁的方式完成修复。

采用虚拟补丁的好处是，不需要为数据库修复漏洞，不影响数据库系统稳定性，不需要停止数据库服务以及不需要进行回归测试。

上述特点，极大程度降低了医院数据安全保障的成本，避免安全防护期间一些不必要的问题出现。

容灾问题上，全宇觉得这是给医院数据上的一道“锁”。尽管目前为止容灾安全的保障措施并未被激发过，但对于盛京这样的大医院来说，攻击者是有利可图的，因此也要做好防护。

灾备平台可以用Oracle的小型机做到日志同步，这可以有效防止存储级逻辑错误。

比如存储层面的双活或镜像，数据块发生了逻辑错误，坏的数据无法被检测到，导致所有的数据无效。通过数据库日志同步方式，保障应用级别的数据一致性，抵御底层错误地传播。

面对大字段问题，该灾备平台通过采用物理复制的灾备技术手段，尽可能避免这种情况出现，而对于医院来说，灾备预演的重要性远比部署安全产品来的重要。

全宇称，一开始，我们并不理解灾备演练这项功能的存在意义，但是，随着进行过几次演练后我们发现，当真实的攻击事件发生后，数据库资料的快速备份、恢复和溯源尤为重要。但是，如果它们有问题呢？如果人工操作有误呢？

因此，灾备预演为盛京医院搭建了一个检测、培训和模拟灾情的平台，这对于非专业机构在关键时刻做出有效的安全防护措施有着至关重要的作用。

也就是说，容灾安全平台是医院数据安全的最后一道防线。

目前，数据脱敏的体系，包括战略、机制、技术支撑三个领域，从上到下的指导，从下到上的推进，形成多层次、多维度、多视角的全方位体系架构，确保数据脱敏工作有序的执行：

找准数据脱敏体系的目标，数据脱敏目标包括数据脱敏目的（国家、监管部门、企业），数据脱敏后使用场景，满足哪些业务要求。满足法律法规、政策标准规范，数据安全管控分类分级，数据使用部门职责划分等，保证体系安全，协调数据提供方和数据使用方，提高体系运转。

针对医院数据安全防护的特征，将静态数据脱敏主要运用到开发/测试类，提取/上报类，建立关系型数据库。将动态数据脱敏用于数据共享交换和运维管理。

数据共享交换分两种，一种是通过文本或表格数据去交换，另一种是Kafka、数据请求API（XML/JSON）。运维管理的身份鉴别有，根据数据库用户名、运维客户端、主机名、MAC地址、IP地址、访问时间以及数字证书、U-key等多维身份验证。运维访问敏感数据实时脱敏，对数据库中返回的数据配置放行、屏蔽、加密、隐藏以及返回记录数等多种脱敏策略。

为了降低敏感度，保证信息安全，还要根据不同行业，不同的场景，结合脱敏技术的应用，力求达到用户数据使用的要求，进行规范化的操作。

刑法修正案（九）（2015年11月1日施行）、中华人民共和国网络安全法（2017年6月1日施行）中都提网络服务提供者需依法履行法律、行政法规规定的信息网络安全管理义务。其中，明确提及对泄漏患者隐私或者未经患者同意公开其病历资料，造成患者损害的，应承担法律责任。