從美國醫(yī)療數(shù)據(jù)泄露案談信息安全的保護*

文◎李明魯

從美國醫(yī)療數(shù)據(jù)泄露案談信息安全的保護*

文◎李明魯**

據(jù)美國個人信息失竊資源中心（IdentityTheftResourceCenter）發(fā)布的調(diào)查研究顯示，2015年美國醫(yī)保公司數(shù)據(jù)泄露占美國所有行業(yè)的35.5%，僅次于商業(yè)部門。［1］醫(yī)療行業(yè)的信息系統(tǒng)與政府部門和金融行業(yè)相比，安全防護能力較弱，容易成為黑客攻擊的目標。黑客往往利用信息系統(tǒng)存在的漏洞，竊取患者的醫(yī)療信息，還會對與互聯(lián)網(wǎng)連接的醫(yī)療設備進行破壞性攻擊。一旦醫(yī)療信息被非法獲取，不法分子很可能利用這些信息進行違法犯罪活動，例如假冒患者身份領取管制藥物、通過信用卡信息進行金融詐騙等。

一、大數(shù)據(jù)背景下公民信息的安全風險

人們每天用微信記錄心情，用微博分享視頻，用高德地圖定位地點坐標……我們的日常生活已經(jīng)與數(shù)據(jù)密不可分，數(shù)據(jù)無處不在。大數(shù)據(jù)時代已悄然來臨，大數(shù)據(jù)之“大”體現(xiàn)在數(shù)據(jù)的數(shù)量大、種類多以及蘊含的價值大。大數(shù)據(jù)是一塊寶藏，蘊含著豐富的潛能正等待人們?nèi)ネ诰蚺c開發(fā)，在社會的進步和發(fā)展中起到的作用是不言而喻的。數(shù)據(jù)可以被用來預測和偵查犯罪，例如美國洛杉磯警察局對已發(fā)生的犯罪案件進行數(shù)據(jù)分析，推測出犯罪的高發(fā)地區(qū)，從而加大對該地區(qū)的巡邏密度，以減少犯罪的發(fā)生。但是社會行業(yè)的信息化發(fā)展在為公民、企業(yè)和政府部門帶來便利的同時，也伴隨產(chǎn)生了一系列數(shù)據(jù)信息的安全隱患。金融、教育、醫(yī)療等組織機構為了向公眾提供更優(yōu)質(zhì)的服務，同時也是加強自身管理的需要，會向用戶收集涉及個人隱私的數(shù)據(jù)信息。數(shù)據(jù)被收集后形成數(shù)據(jù)庫，在接下來的數(shù)據(jù)存儲、處理和使用過程中，數(shù)據(jù)存在被非法訪問或竊取的風險，個人隱私泄露的事件頻繁發(fā)生。

事實上，在大數(shù)據(jù)時代，我們的個人信息幾乎全部都被存儲和收錄在網(wǎng)絡中，利用這些數(shù)據(jù)信息，商家可以實施精準營銷，通過消費者的消費足跡判斷其消費需求，從而有針對性地推送一些商品。在大數(shù)據(jù)起步的初期，各行各業(yè)只看到了數(shù)據(jù)帶來的機遇和便利，而對數(shù)據(jù)信息帶來的隱私風險卻缺乏足夠的關注。公民個人信息安全面臨的最為嚴峻的挑戰(zhàn)便是數(shù)據(jù)泄露。在美國醫(yī)療數(shù)據(jù)泄露案中，黑客發(fā)現(xiàn)了醫(yī)療信息系統(tǒng)的安全漏洞，入侵網(wǎng)絡服務器，竊取了上千萬份電子醫(yī)療記錄和用戶的基本信息資料。公民隱私信息的泄露將造成無法預計的損失，不僅個人的生活受到影響，嚴重者還會危及生命健康，而且還會進一步影響社會治安。數(shù)據(jù)泄露往往會引發(fā)電信詐騙等違法犯罪案件。2016年8月的山東省學生徐玉玉電信詐騙案，就是由于考生的信息被泄露，騙子才能取得被害人的信任，騙得錢款，最后釀成被害人因被騙而猝死的悲劇。

大數(shù)據(jù)中蘊含著巨大價值，在利益的驅(qū)動下，數(shù)據(jù)很容易成為不法之徒的攻擊目標，數(shù)據(jù)安全面臨著前所未有的危機。美國的“棱鏡門”事件令世界一片嘩然，斯諾登披露了美國國家安全局對客戶通信和文件資料進行秘密監(jiān)聽的陰謀，并且美國政府通過電信公司掌握了數(shù)百萬用戶的私密電話記錄。在美國政府的監(jiān)視計劃下，公民個人的數(shù)據(jù)信息一覽無余，我們在網(wǎng)絡上進行的一切搜索和所有網(wǎng)絡社交資料都會成為被監(jiān)視的對象。美國大規(guī)模監(jiān)控計劃的丑聞曝光之后，越來越多的網(wǎng)民開始重視自己的隱私是否被泄露，政府和相關行業(yè)也在重新審視數(shù)據(jù)的安全問題。

二、美國安瑟姆公司醫(yī)療數(shù)據(jù)泄露案［2］

美國前總統(tǒng)奧巴馬在任職期間大力推行醫(yī)療改革，讓沒有醫(yī)療保險的美國公民都能獲得醫(yī)療保障。美國政府劃撥了數(shù)百億的預算用于扶植醫(yī)療保障行業(yè)，推行電子醫(yī)療記錄以便所有醫(yī)療機構的信息共享。但在醫(yī)療行業(yè)信息化的快速發(fā)展過程中，醫(yī)療信息安全的建設沒有跟上，相應的風險管理和安全保障措施還相對落后。正是因為醫(yī)療信息安全沒有受到政府應有的重視，并且在維護醫(yī)療信息安全方面的預算也不足，美國醫(yī)療數(shù)據(jù)泄露事件才頻頻發(fā)生。

安瑟姆（Anthem）公司是美國第二大醫(yī)療保險公司，約九分之一的美國人都是該醫(yī)保公司的用戶。安瑟姆公司此次數(shù)據(jù)泄露事件是美國近年來發(fā)生的最嚴重的醫(yī)療數(shù)據(jù)泄露事件之一。2015年2月，美國安瑟姆醫(yī)療保險公司的信息系統(tǒng)遭遇黑客攻擊，共7880萬條醫(yī)療數(shù)據(jù)遭泄露，受害者包括現(xiàn)在和之前的保險公司員工和用戶，數(shù)據(jù)內(nèi)容包括用戶姓名、出生日期、家庭住址、電子郵箱、工作單位以及收入情況等。安瑟姆公司發(fā)現(xiàn)系統(tǒng)被黑客攻破之后快速封鎖了安全漏洞，并將數(shù)據(jù)泄露情況通知了美國聯(lián)邦調(diào)查局，另外協(xié)同曼迪特（Mandiant）和克勞德（CrowdStrike）兩家公司進行緊急調(diào)查。安瑟姆公司首席執(zhí)行官發(fā)表聲明，指出這次數(shù)據(jù)泄露是受到了外部的網(wǎng)絡攻擊，目的是竊取醫(yī)療數(shù)據(jù)。黑客在2015年1月30日實施了惡意網(wǎng)絡攻擊活動，通過一封釣魚郵件入侵并控制了安瑟姆公司一個具有管理者權限的賬戶的電腦系統(tǒng)。黑客通過遠程控制等技術操作，進一步滲透進安瑟姆公司的網(wǎng)絡平臺，控制和利用至少50名安瑟姆公司的員工賬戶和90臺電腦系統(tǒng)，最終入侵并掌握了安瑟姆公司存儲的用戶個人信息的數(shù)據(jù)庫。

黑客之所以能侵入醫(yī)療信息系統(tǒng)，經(jīng)調(diào)查是因為安瑟姆公司沒有設置嚴密的訪問控制，這是歷史上最嚴重的安全失誤。如果該公司一開始對其數(shù)據(jù)庫設置了訪問限制，那么黑客根本不可能僅憑一個登錄口令就能獲得管理員的身份權限，進而訪問整個數(shù)據(jù)庫。另外一個安全失誤是沒有采取數(shù)據(jù)加密。在缺少訪問控制的情況下，如果對數(shù)據(jù)庫進行了數(shù)據(jù)加密，那么黑客即便取得了管理者權限，也無法識別和利用數(shù)據(jù)信息。所以數(shù)據(jù)加密和訪問控制這兩大安全技術措施的欠缺是安瑟姆公司被黑客竊取數(shù)據(jù)的主要原因。

事件發(fā)生后，安瑟姆公司通過郵件、媒體和網(wǎng)站告知受影響的個人用戶和公眾，向每位信息遭泄露的用戶發(fā)送泄露情況的通知，承諾免費提供身份保護和信用監(jiān)控服務，并且積極與受影響的個人簽訂了為期兩年的信用保護協(xié)議。但是包括康涅狄格州在內(nèi)的美國9個州都對該公司的通知延遲表示不滿?？的腋裰菘倷z察長向安瑟姆公司致信，表明由于向用戶發(fā)送的數(shù)據(jù)泄露通知太晚，這種不合理的做法對已經(jīng)受害的用戶造成了又一次困擾。

事實上，安瑟姆公司并不是第一次遭遇黑客攻擊。早在2010年，該公司就曾因61.2萬人的數(shù)據(jù)被盜被處以170萬美元的罰款。據(jù)加利福尼亞州保險部對外發(fā)布的調(diào)查聲明顯示，安瑟姆公司為此次數(shù)據(jù)泄露事件已經(jīng)付出了沉重的代價，其中包括1億1500萬美元改進安全設備的費用、3100萬美元向受影響機構和個人通知的費用、250萬美元聘請專家顧問的費用，以及為受影響用戶提供的1億1200萬美元信用保護的費用。為了防范數(shù)據(jù)泄露，加強對患者的隱私保護，安瑟姆公司目前在所有遠程訪問系統(tǒng)中都實施了雙要素認證措施，采取了特權賬戶管理和行為審計方案，還對所有特權賬戶密碼進行了重置，暫停和關閉了所有未采取雙要素認證的遠程訪問行為和賬號，并且創(chuàng)建了新的網(wǎng)絡管理員。在未來，安瑟姆公司宣稱還將構建關鍵數(shù)據(jù)庫的安全監(jiān)控和審計技術。

三、安瑟姆案的啟示：公民信息安全的保護機制

任何情況下“預防”都比“治療”更有效也更重要，對數(shù)據(jù)安全的保護工作也是一樣，重視數(shù)據(jù)安全的預防，防患于未然，公民的個人信息安全才能得到切實保障。在大數(shù)據(jù)時代背景下，信息化發(fā)展已呈不可逆轉(zhuǎn)之勢，為了讓大數(shù)據(jù)更好地服務于大眾，服務于社會，應當從技術層面和制度層面進行綜合完善。數(shù)據(jù)安全在技術層面應該從以下三個方面進行改進，包括數(shù)據(jù)安全評估、數(shù)據(jù)脫敏以及數(shù)據(jù)加密和訪問控制措施；在制度層面應對數(shù)據(jù)分級保護、加強及時告知制度。

第一，數(shù)據(jù)安全評估。美國醫(yī)療數(shù)據(jù)大規(guī)模泄露，黑客能夠侵入醫(yī)療信息系統(tǒng)，其主要原因是醫(yī)療數(shù)據(jù)庫存在安全漏洞。據(jù)統(tǒng)計，美國醫(yī)療機構普遍不重視對數(shù)據(jù)安全的定期檢查與評估，87%的醫(yī)療機構基本上一年或者兩年才對其醫(yī)療信息系統(tǒng)檢查一次。醫(yī)療設施一旦被攻擊和控制，后果不堪設想。著名黑客巴納比·杰克就發(fā)現(xiàn)了麥德尼克（Medtronic）公司生產(chǎn)的胰島素注射機存在的安全漏洞，而通過遠程控制這臺機器便可以操縱和改變胰島素的注射劑量。網(wǎng)絡數(shù)據(jù)安全的威脅正與日俱增，方式也在推陳出新，但企業(yè)的安全防護水平卻沒有相應提高，落后的防護措施已經(jīng)不足以和復雜高端的安全風險相抗衡。定期對醫(yī)療信息系統(tǒng)的基礎設施進行安全評估和漏洞檢查，可以事先預測在現(xiàn)有環(huán)境下數(shù)據(jù)庫所存在的安全風險，不給黑客以可乘之機。

第二，數(shù)據(jù)脫敏。大數(shù)據(jù)時代的特點之一在于信息共享，但在對用戶數(shù)據(jù)的使用和共享過程中，可能會發(fā)生數(shù)據(jù)的無意泄露，隱私信息的保護問題也隨之產(chǎn)生。比如醫(yī)療機構為了評估診斷結果向調(diào)查員分享病人的數(shù)據(jù)，企業(yè)允許系統(tǒng)管理員拷貝生產(chǎn)數(shù)據(jù)用來進行系統(tǒng)的測試與開發(fā)。但這些數(shù)據(jù)一經(jīng)流入非生產(chǎn)環(huán)境，則很容易成為被竊取或泄露的目標。一方面要實現(xiàn)數(shù)據(jù)共享的高效運轉(zhuǎn)，同時要確保敏感數(shù)據(jù)信息不被泄露，有必要對數(shù)據(jù)進行脫敏處理。對于個人或企業(yè)的敏感數(shù)據(jù)，如身份證號碼、手機號碼、銀行卡卡號等信息，采取匿名化處理、數(shù)據(jù)擾動、差分隱私等技術方法進行數(shù)據(jù)變形，在盡可能保留數(shù)據(jù)分析價值的前提下，同時實現(xiàn)對用戶敏感數(shù)據(jù)的最大化保護，從而控制數(shù)據(jù)信息泄露的風險。如果在數(shù)據(jù)傳輸之前進行數(shù)據(jù)脫敏處理，那么即便攻擊者非法獲取了數(shù)據(jù)資料，也難以推測出敏感信息的具體內(nèi)容。

第三，數(shù)據(jù)加密和訪問控制。數(shù)據(jù)加密技術是專門對抗數(shù)據(jù)泄露、防止攻擊者竊取、篡改數(shù)據(jù)信息，用來保護敏感數(shù)據(jù)的一種可靠方法。數(shù)據(jù)經(jīng)過密碼技術進行加密，會以密文的形式存在，這樣數(shù)據(jù)即使流入外部也無法進行識別和使用，以此達到信息隱蔽的效果。但是數(shù)據(jù)加密僅能對抗外部人員的入侵，對企業(yè)內(nèi)部人員的泄密卻無能為力。為了防范“內(nèi)鬼”將數(shù)據(jù)流入外界，通過訪問控制技術對內(nèi)部人員分別設置不同的訪問權限，并將訪問記錄納入安全審計范圍，根據(jù)審計日志可以快速精準地找到泄露人員。如果把數(shù)據(jù)比作寶藏，那么數(shù)據(jù)加密技術就好比把寶藏鎖進保險箱里，而訪問控制就像給堆放保險箱的倉庫安裝了一扇防盜門。訪問控制技術作為非法侵入數(shù)據(jù)庫系統(tǒng)的第一道防線，能夠識別并攔截批量下載用戶數(shù)據(jù)信息等相關竊取數(shù)據(jù)的行為。美國安瑟姆公司沒有做好訪問控制這一防護措施，讓黑客入侵了醫(yī)療信息系統(tǒng)，用戶的醫(yī)療數(shù)據(jù)流入外部，同時第二道防線數(shù)據(jù)加密也不牢固，才最終導致用戶的敏感信息被不法之徒輕易地獲取和利用。

第四，數(shù)據(jù)分級保護制度。大數(shù)據(jù)時代下的數(shù)據(jù)浩繁龐雜，如果不對其劃分安全保護等級，對所有需要和不需要高標準保護的數(shù)據(jù)均采用相同的保護力度，在資源有限的前提下不利于對重要數(shù)據(jù)進行充分保護。事實上，價值越高的數(shù)據(jù)面臨的被竊取或泄露的風險也就越高，因此需要依靠更高級別的防護措施來確保數(shù)據(jù)安全。為了提高數(shù)據(jù)管理的效率，加強對關鍵領域和重點行業(yè)數(shù)據(jù)的安全保障，有必要根據(jù)機關層級、所屬類別、對數(shù)據(jù)信息權利人可能產(chǎn)生的影響等多種因素對數(shù)據(jù)信息進行安全保護等級分類。數(shù)據(jù)從宏觀角度可以分為政府開放共享的數(shù)據(jù)、商業(yè)數(shù)據(jù)和個人數(shù)據(jù)，再進一步細分，商業(yè)數(shù)據(jù)又可以分為商業(yè)秘密和普通商業(yè)數(shù)據(jù)信息，而個人數(shù)據(jù)則分為個人隱私信息和公開信息兩類。其中對商業(yè)秘密和個人隱私信息，企業(yè)在進行數(shù)據(jù)收集、存儲、處理和使用的過程中，必須提供嚴格的安全保障。數(shù)據(jù)的保護和數(shù)據(jù)的利用本身是一對矛盾體，強調(diào)保護數(shù)據(jù)信息權利人的權利則意味著數(shù)據(jù)的利用和共享會受到限制，數(shù)據(jù)分類保護運用科學合理的分析，讓信息安全得到應有的保障，同時數(shù)據(jù)也能得到最大程度的利用，緩和這兩者之間的沖突。

第五，及時告知制度。在發(fā)生數(shù)據(jù)泄露事件后，出于對用戶知情權的保護，為了讓用戶對個人信息提高安全警惕，防止數(shù)據(jù)泄露的危害進一步擴大，被泄露的企業(yè)和單位應當及時告知用戶其信息泄露的相關情況，具體包括所泄露的數(shù)據(jù)種類、泄露的可能原因以及下一步計劃采取的措施。如果企業(yè)向用戶隱瞞了信息被泄露的事實，已經(jīng)竊取或者以其他非法手段獲取了用戶個人信息的行為人將肆無忌憚地實施接下來的詐騙等一系列違法犯罪行為，而不知自己的信息被泄露的受害人極易受騙上當，以致財產(chǎn)或者人身遭到損害。如果企業(yè)及時通知了用戶其數(shù)據(jù)被泄露的消息，用戶可以通過修改賬戶密碼等補救措施將危害降到最低，而且對于陌生電話的騙術也會更加謹慎。但是許多企業(yè)在數(shù)據(jù)泄露事件中選擇了封鎖消息，不及時告知甚至隱瞞真相，包括美國安瑟姆公司也因沒有將醫(yī)療數(shù)據(jù)泄露的消息及時告知用戶而受到9個州的指責。因為以電子郵件或電話逐個告知受影響的用戶會產(chǎn)生巨大的成本費用，而且一旦將數(shù)據(jù)泄露的問題公之于眾，勢必會對企業(yè)的聲譽造成不利的影響?；谏虡I(yè)性企業(yè)趨利避害的本性，數(shù)據(jù)信息權利人的權益將被置于險境，所以及時通知制度既是為了在發(fā)生數(shù)據(jù)泄露事件后對數(shù)據(jù)安全的補救，也能夠迫使企業(yè)提高自身的信息保護能力，預防用戶個人信息泄露的發(fā)生。

四、小結

大數(shù)據(jù)的潛在價值不可估量，搜索引擎可以通過搜索記錄挖掘數(shù)據(jù)的二次利用價值，網(wǎng)上交易平臺可以根據(jù)消費者的瀏覽歷史和購買記錄有針對性地推薦商品。大數(shù)據(jù)是一種產(chǎn)業(yè)，同時也是人們生活中不可缺失的一部分。人們的衣食住行和社交活動都與數(shù)據(jù)緊密相連。大數(shù)據(jù)在方便人們的生產(chǎn)和生活的同時，也帶來了許多信息安全方面的困擾。幾乎人人都收到過詐騙電話和保險推銷短信，人們的電話號碼、姓名和家庭住址等個人信息被泄露，甚至成為交易的對象。在大數(shù)據(jù)時代，個人的信息以電子數(shù)據(jù)的形式存儲在云端，云端存儲可以使數(shù)據(jù)的訪問不受地理位置的約束，也減輕了本地服務器存儲的硬盤負擔，但是云端存儲的數(shù)據(jù)可控性很弱，數(shù)據(jù)泄露也是最大的安全隱患。

數(shù)據(jù)的利用與保護如同硬幣的正反兩面，利用數(shù)據(jù)意味著數(shù)據(jù)的安全將受到威脅，而對數(shù)據(jù)安全的保護又會限制數(shù)據(jù)的充分利用。在保障數(shù)據(jù)安全的前提下使用和發(fā)展數(shù)據(jù)，才是保證數(shù)據(jù)產(chǎn)業(yè)可持續(xù)發(fā)展的方法。數(shù)據(jù)安全的保護工作應該與數(shù)據(jù)的開發(fā)利用同步進行，所以在軟件設計和開發(fā)之初就應該把數(shù)據(jù)安全的保護理念嵌入其中，使數(shù)據(jù)安全從被動的補救轉(zhuǎn)變?yōu)橹鲃拥木S護。強調(diào)數(shù)據(jù)安全的預防，在技術方面可以采取數(shù)據(jù)安全評估、數(shù)據(jù)脫敏以及數(shù)據(jù)加密和訪問控制等措施，注重個人隱私保護技術的研發(fā)。另外，數(shù)據(jù)泄露事件一旦發(fā)生后，及時告知制度可以盡可能地保障受影響用戶的權益，將損害降到最低。數(shù)據(jù)安全是網(wǎng)絡安全的核心，而數(shù)據(jù)資產(chǎn)是企業(yè)資產(chǎn)的核心，在大數(shù)據(jù)時代，對數(shù)據(jù)的管理成為企業(yè)的核心競爭力。數(shù)據(jù)分類保護制度可以提高數(shù)據(jù)管理的效率，更有效地應對大數(shù)據(jù)帶來的挑戰(zhàn)。

整體而言，我國的數(shù)據(jù)安全保護依然較為薄弱，相關的保護工作尚處在起步和探索階段，保護水平尚未跟上數(shù)據(jù)產(chǎn)業(yè)發(fā)展的速度。個人信息在“互聯(lián)網(wǎng)+”的背景下會遭遇各種不可控的風險，但是為了個人隱私的絕對安全而全面否定大數(shù)據(jù)的價值，同樣不可取。筆者認為信息安全不是僅憑一家之力就能實現(xiàn)的，由于技術門檻高、投入成本大，需要組織相關部門共同努力，形成全面完善的數(shù)據(jù)安全解決方案，構筑牢固的數(shù)據(jù)安全防火墻。

注釋：

［1］參見美國個人信息失竊資源中心報告，網(wǎng)址：http: //www.idtheftcenter.org/Data-Breaches/2015databreaches. html，訪問日期：2017年2月18日。

［2］參見物聯(lián)網(wǎng)安全《美國保監(jiān)部門重啟調(diào)查：確定Anthem網(wǎng)絡攻擊是國家支持黑客所為》，網(wǎng)址：http://www. wulianaq.com/articles/804，訪問日期：2017年2月18日。

*本文系2015年北京市社會科學基金青年項目“大數(shù)據(jù)環(huán)境下個人信息的刑法保護研究”（項目編號：15FXC052）的階段性成果；中國政法大學校級人文社會科學研究項目資助。

**中國政法大學［100088］