公共云端醫(yī)院信息系統(tǒng)的安全策略研究

肖增敏，朱嫻

公共云端醫(yī)院信息系統(tǒng)的安全策略研究

肖增敏，朱嫻

隨著云計(jì)算時代的來臨，醫(yī)院信息系統(tǒng)也在向云端遷徙。但醫(yī)療行業(yè)對安全和可靠性有著極高的要求，加之相關(guān)法律條規(guī)的約束，云端醫(yī)院信息系統(tǒng)的安全就變得尤為重要。本文以微軟的Azure公共云為例，在充分分析云端醫(yī)院信息系統(tǒng)安全性的特點(diǎn)及面臨的挑戰(zhàn)的基礎(chǔ)上，闡述醫(yī)院與云服務(wù)提供商之間進(jìn)行安全合作的必要性，并有針對性地提出在部署云端醫(yī)院信息系統(tǒng)時應(yīng)采取的安全策略，從而為醫(yī)院信息系統(tǒng)向云端的遷徙提供安全方面的幫助。

醫(yī)院信息系統(tǒng)；云計(jì)算；安全

一、引言

近年來，隨著亞馬遜A W S云、微軟A zure云、阿里云等公共云的蓬勃發(fā)展，云計(jì)算時代的到來得到了廣泛的認(rèn)可。2015年國務(wù)院印發(fā)《關(guān)于促進(jìn)云計(jì)算創(chuàng)新發(fā)展培育信息產(chǎn)業(yè)新業(yè)態(tài)的意見》中提出要增強(qiáng)云計(jì)算服務(wù)能力，大力發(fā)展公共云計(jì)算服務(wù)，引導(dǎo)企業(yè)采用安全可靠的云計(jì)算解決方案。相比于傳統(tǒng)數(shù)據(jù)中心的部署方案，云計(jì)算在低成本、高可擴(kuò)展性、高可靠性、高通用性、虛擬化、按需計(jì)費(fèi)等方面有著明顯的優(yōu)勢，從而使得各行各業(yè)都在向云端進(jìn)行大遷徙。在過去近二十年的信息化浪潮影響下，基于本地?cái)?shù)據(jù)中心的傳統(tǒng)醫(yī)院信息系統(tǒng)得到了廣泛部署和使用，面對國家衛(wèi)生事業(yè)的發(fā)展，傳統(tǒng)數(shù)字化醫(yī)院建設(shè)模式、應(yīng)用模式和管理模式等已有許多地方不能適應(yīng)新形勢、新任務(wù)和新技術(shù)發(fā)展的要求，飽受低可靠性、低可擴(kuò)展性、高管理復(fù)雜度及高管理成本等方面的折磨。云計(jì)算以其獨(dú)有的特點(diǎn)很好地彌補(bǔ)了本地醫(yī)院信息系統(tǒng)的不足，為醫(yī)院帶來了工作效率、信息共享和數(shù)據(jù)收集與分析等多方面能力的提升。

與本地醫(yī)院信息系統(tǒng)相比，云端醫(yī)院信息系統(tǒng)放棄了對系統(tǒng)物理設(shè)施的直接控制，其數(shù)據(jù)及應(yīng)用程序都存放于云端，帶來優(yōu)勢的同時也在系統(tǒng)的安全性方面帶來了挑戰(zhàn)。特別對于醫(yī)療衛(wèi)生行業(yè)而言，醫(yī)院信息系統(tǒng)數(shù)據(jù)安全性（如患者的隱私數(shù)據(jù)）及應(yīng)用安全性（如系統(tǒng)高可使用性）尤其重要，這就需要云端醫(yī)院信息系統(tǒng)在部署時充分考慮云端在安全性方面的特點(diǎn)，從而有針對性地采取措施，在保障云端醫(yī)院信息系統(tǒng)優(yōu)勢的同時，滿足云端醫(yī)院信息系統(tǒng)在安全性方面的需求。

針對云端醫(yī)院信息系統(tǒng)安全問題，有些學(xué)者是針對私有云以及混合云的研究，更多的學(xué)者是從公共云安全角度進(jìn)行的研究。這些研究包括了數(shù)據(jù)信息及隱私安全、系統(tǒng)平臺建設(shè)、財(cái)務(wù)安全等方面。現(xiàn)有研究各自從不同角度探討了云端醫(yī)院信息系統(tǒng)安全問題，為數(shù)字化醫(yī)院進(jìn)一步的安全提升奠定了基礎(chǔ)。新的安全隱患來自于新技術(shù)的應(yīng)用，本文在前人研究的基礎(chǔ)上，站在公共云架構(gòu)的基礎(chǔ)上，從整體上識別安全隱患的來源并提出在系統(tǒng)建設(shè)和管理過程有針對性的防范和杜絕安全隱患的有效策略。

二、云端醫(yī)院信息系統(tǒng)部署的安全威脅及挑戰(zhàn)

在本地醫(yī)院信息系統(tǒng)的部署中，應(yīng)用程序直接運(yùn)行在基于本地物理機(jī)器的本地操作系統(tǒng)（或基于本地物理機(jī)器之上的虛擬機(jī)的本地操作系統(tǒng)）中，所有機(jī)器（或虛擬機(jī)）工作在本地局域網(wǎng)（或通過V P N等設(shè)施相連的多個本地局域網(wǎng)中），相應(yīng)的數(shù)據(jù)也存放于本地機(jī)器（或虛擬機(jī)）和本地存儲系統(tǒng)（數(shù)據(jù)庫、專門的存儲系統(tǒng)）中，醫(yī)院自己（或外包）的IT系統(tǒng)管理人員負(fù)責(zé)所有物理設(shè)施及軟件的部署、配置、優(yōu)化及維護(hù)。

而在云端醫(yī)院信息系統(tǒng)的部署中，服務(wù)器端的應(yīng)用軟件及數(shù)據(jù)都運(yùn)行在云端（比如微軟的A zure云），不同的云端服務(wù)器及存儲系統(tǒng)工作在云端不同的虛擬網(wǎng)絡(luò)中，所有對云端醫(yī)院信息系統(tǒng)的訪問都要以某種方式通過互聯(lián)網(wǎng)（除非使用專線連接服務(wù)，比如A zure中的E xp ressRoute服務(wù)）進(jìn)行。本地用戶（如醫(yī)生）使用本地的客戶端遠(yuǎn)程連接到云端的服務(wù)器上，醫(yī)院的IT系統(tǒng)管理人員一方面負(fù)責(zé)管理本地的客戶端機(jī)器及網(wǎng)絡(luò)，另一方面對云端醫(yī)院信息系統(tǒng)本身及使用的資源進(jìn)行管理和監(jiān)控。

由于云端醫(yī)院信息系統(tǒng)與本地醫(yī)院信息系統(tǒng)相比，在管理方式及使用方式上有很大的不同，其在安全性方面帶來了一些新的威脅和變化，引入了新的潛在攻擊者和攻擊接口。在云端醫(yī)院信息系統(tǒng)中，由于本地的客戶端機(jī)器及網(wǎng)絡(luò)的部署及使用方式和本地醫(yī)院信息系統(tǒng)基本相同，所以安全關(guān)注的焦點(diǎn)主要在于云端部署的應(yīng)用程序和數(shù)據(jù)。

三、潛在的攻擊者及攻擊方式

云端醫(yī)院信息系統(tǒng)中的云端應(yīng)用和數(shù)據(jù)面臨著大量的潛在攻擊者，見圖1所示。這些潛在攻擊者包括互聯(lián)網(wǎng)用戶、云主機(jī)管理員、其他云用戶、云物理設(shè)施管理員以及醫(yī)院管理員。

圖1 潛在攻擊者及攻擊方式

（一）互聯(lián)網(wǎng)用戶

除非使用專線連接，所有用戶及管理員對云端醫(yī)院信息系統(tǒng)的訪問都需要經(jīng)由互聯(lián)網(wǎng)，這就使得互聯(lián)網(wǎng)上的潛在攻擊者能夠攻擊在互聯(lián)網(wǎng)上傳輸?shù)臄?shù)據(jù)和云端醫(yī)院信息系統(tǒng)暴露給互聯(lián)網(wǎng)的接口。

（二）云主機(jī)管理員

這里的云主機(jī)管理員指的是云服務(wù)提供商負(fù)責(zé)管理虛擬機(jī)主操作系統(tǒng)或虛擬機(jī)管理器（H y p ervisor）的人員。由于云端醫(yī)院信息系統(tǒng)所工作的虛擬機(jī)運(yùn)行在主操作系統(tǒng)和虛擬機(jī)管理器之中，同時由于實(shí)現(xiàn)的需要，主操作系統(tǒng)和虛擬機(jī)管理器往往具有比云端醫(yī)院信息系統(tǒng)所工作的虛擬機(jī)更高級的權(quán)限，這就使得云主機(jī)管理員能夠接觸云端醫(yī)院信息系統(tǒng)中的數(shù)據(jù)及邏輯，并對其產(chǎn)生影響。一方面，云服務(wù)提供商的云主機(jī)管理員可能出于能力的不足或疏忽，產(chǎn)生誤操作，另一方面，云服務(wù)提供商的云主機(jī)管理員可能出于報(bào)復(fù)或利益的目的（或其賬戶權(quán)限被黑客攻破），故意進(jìn)行破壞或盜取數(shù)據(jù)。

（三）其他云用戶

在云端，用戶租賃的是云服務(wù)提供商的虛擬基礎(chǔ)設(shè)施（I-aaS）。不同云用戶使用的虛擬基礎(chǔ)設(shè)施往往共享底層的物理或邏輯資源。這就使得同一云端的其他用戶可能經(jīng)由這些共享的資源攻擊云端醫(yī)院信息系統(tǒng)。典型的攻擊方式包括拒絕服務(wù)攻擊、數(shù)據(jù)泄露及篡改。

（四）云物理設(shè)施管理員

與本地醫(yī)院信息系統(tǒng)相比，云端醫(yī)院信息系統(tǒng)失去了對系統(tǒng)使用的物理設(shè)施（包括物理機(jī)器、網(wǎng)絡(luò)設(shè)備、存儲設(shè)備等）的控制。所使用的物理設(shè)施受云服務(wù)提供商的控制。考慮到云端醫(yī)院信息系統(tǒng)的高安全性需求，系統(tǒng)必須考慮到這些物理設(shè)施被惡意用戶接觸到所產(chǎn)生的威脅。比如，更換的物理硬盤中殘存的數(shù)據(jù)在丟棄前如果未被及時清理，就可能泄露系統(tǒng)中患者的隱私信息。

（五）醫(yī)院管理員

云端醫(yī)院信息系統(tǒng)的管理員不但對系統(tǒng)本身的邏輯和數(shù)據(jù)具有管理的權(quán)限，而且對云端系統(tǒng)所使用的資源有極高的處置權(quán)。惡意的管理員可能處于報(bào)復(fù)或利益的目的進(jìn)行破壞（刪除虛擬機(jī)器）或盜取篡改數(shù)據(jù)，能力不足的管理員可能產(chǎn)生誤操作。由于醫(yī)院管理員具有云端資源的極高權(quán)限，其權(quán)限也會成為其他黑客的攻擊目標(biāo)。在其他行業(yè)，已經(jīng)有多起云管理員權(quán)限被盜取所導(dǎo)致的勒索或攻擊案例。

四、對云服務(wù)提供商的信任與防備

與本地醫(yī)院信息系統(tǒng)相比，云端醫(yī)院信息系統(tǒng)將基礎(chǔ)的物理設(shè)施及底層平臺軟件置于云服務(wù)提供商的控制之下，醫(yī)院失去了對底層系統(tǒng)的控制權(quán)。這就使得一方面醫(yī)院要對云服務(wù)提供商充分信任，與云服務(wù)提供商一起保證云端醫(yī)院信息系統(tǒng)的安全；另一方面，醫(yī)院要對云服務(wù)提供商可能導(dǎo)致的安全問題有所防備，做好深層安全防御機(jī)制，力圖在出現(xiàn)問題時將危害降到最低。

公共云服務(wù)提供商（比如微軟、亞馬遜、阿里、谷歌）往往具備強(qiáng)大的技術(shù)和經(jīng)濟(jì)實(shí)力，他們在安全管理、防御及響應(yīng)方面具有無可比擬的專業(yè)優(yōu)勢，這就使得他們所提供的公共云計(jì)算環(huán)境比本地?cái)?shù)據(jù)中心或企業(yè)自己的私有云計(jì)算環(huán)境更加的安全可靠。也正是因?yàn)檫@樣的原因，才使得公共云端醫(yī)院信息系統(tǒng)具有強(qiáng)大的吸引力。云服務(wù)提供商控制著云端醫(yī)院信息系統(tǒng)的底層部分（如物理設(shè)施、操作系統(tǒng)等），醫(yī)院控制著云端醫(yī)院信息系統(tǒng)的高層部分（如應(yīng)用邏輯、數(shù)據(jù)、用戶認(rèn)證授權(quán)等）。在保證云端醫(yī)院信息系統(tǒng)的安全性方面，云服務(wù)提供商與醫(yī)院應(yīng)該互相合作，各盡其職。醫(yī)院應(yīng)在對云服務(wù)提供商的安全能力做充分的盡職調(diào)查的基礎(chǔ)上，定期地對云服務(wù)提供商的安全服務(wù)進(jìn)行審查，從而建立對云服務(wù)提供商充分信任。

所謂百密一疏，公共云服務(wù)提供商也可能因?yàn)槿藶榛蚣夹g(shù)的失誤給他們的用戶帶來安全威脅。特別是考慮到醫(yī)院信息系統(tǒng)在安全性方面的高要求，這就要求云端醫(yī)院信息系統(tǒng)在構(gòu)建時要充分考慮底層云計(jì)算環(huán)境的安全遭到破壞的情況，在系統(tǒng)與底層環(huán)境的接口處建立逐層的防御機(jī)制，將系統(tǒng)的重要數(shù)據(jù)置于受用戶控制的安全機(jī)制保護(hù)之中，在默認(rèn)配置下達(dá)到最大的安全性。同時，重復(fù)利用云技術(shù)環(huán)境提供的分布式多站點(diǎn)冗余恢復(fù)機(jī)制，建立安全事故的快速響應(yīng)制度及響應(yīng)團(tuán)隊(duì)，從而在發(fā)生安全問題時，將損失降到最低。

五、云端醫(yī)院信息系統(tǒng)的安全策略

針對云端醫(yī)院信息系統(tǒng)面臨的安全威脅，醫(yī)院需要從多個角度采取不同的安全策略，以保證系統(tǒng)的高安全性和高可用性。云端醫(yī)院信息系統(tǒng)與本地醫(yī)院信息系統(tǒng)一樣，大體可以分為三個部分：前端用戶界面（G U I方式或者W E B方式）、后端系統(tǒng)邏輯、后臺數(shù)據(jù)存儲。不同的部分在安全方面的策略有所不同，以微軟A zure云為例（見圖2），具體的安全策略可以從網(wǎng)絡(luò)部署、數(shù)據(jù)存儲、身份認(rèn)證授權(quán)等角度來闡述。

圖2 微軟云安全策略

（一）網(wǎng)絡(luò)安全

網(wǎng)絡(luò)安全是傳統(tǒng)安全策略的核心，同樣，云端的網(wǎng)絡(luò)安全也至關(guān)重要。云端醫(yī)院信息系統(tǒng)應(yīng)采取的網(wǎng)絡(luò)安全策略包括：

1.子網(wǎng)隔離策略：不同的系統(tǒng)功能按類別分別部署到不同的子網(wǎng)（SU B N E T）中，子網(wǎng)之間通過防火墻（N S G）和白名單來限制進(jìn)出子網(wǎng)的流量，保證只有業(yè)務(wù)邏輯需要的流量才能進(jìn)出子網(wǎng)；

2.流量加密策略：所有虛擬機(jī)器及云服務(wù)之間的通信都進(jìn)行加密（如SSL加密），醫(yī)院本地終端和云端醫(yī)院信息系統(tǒng)之間的訪問必須經(jīng)由V P N管道，并同時使用HTT P S安全通信協(xié)議；

3.D M Z隔離策略：在云端虛擬網(wǎng)絡(luò)的對外接口部分構(gòu)建D M Z隔離區(qū)域，在其中部署網(wǎng)關(guān)、I DS等網(wǎng)絡(luò)安全設(shè)備，以防御外部網(wǎng)絡(luò)攻擊；

4.流量路由策略：定義流量路由策略，保證只有前端可以接受來自外部的流量，同時所有部分都不能主動發(fā)起對外部的鏈接。后臺的存儲只能有由端邏輯訪問。

（二）數(shù)據(jù)安全

數(shù)據(jù)是系統(tǒng)的核心資產(chǎn)，云端數(shù)據(jù)的安全策略應(yīng)包括：

1.靜態(tài)加密存儲：所有靜態(tài)存儲的數(shù)據(jù)應(yīng)加密。加密的密鑰應(yīng)保存在密鑰倉庫中，并保證除特定的安全管理員外無人可以提取出密鑰，包括云服務(wù)提供商的員工。要定義規(guī)范的密鑰更新流程，在不影響醫(yī)院信息系統(tǒng)使用的前提下自動定期更新密鑰；

2.靜態(tài)完整性保護(hù)：對系統(tǒng)中的關(guān)鍵數(shù)據(jù)應(yīng)進(jìn)行簽名的機(jī)制進(jìn)行完整性保護(hù)，以防御對其的惡意修改；

3.最短明文期的數(shù)據(jù)使用策略：對加密的關(guān)鍵數(shù)據(jù)的解密應(yīng)僅在真實(shí)使用的時候進(jìn)行，并在使用后立即銷毀明文數(shù)據(jù)。

（三）身份安全

隨著云計(jì)算時代的來臨，傳統(tǒng)以網(wǎng)絡(luò)安全為核心的安全策略已經(jīng)過時，而以身份認(rèn)證授權(quán)為核心的新安全策略開始被廣泛采用。以身份認(rèn)證為基礎(chǔ)，基于角色進(jìn)行訪問控制，結(jié)合身份審計(jì)，構(gòu)建了一套全面的云身份安全機(jī)制。

1.身份認(rèn)證：安全可靠的身份認(rèn)證是云身份安全機(jī)制的基石。如果對用戶身份的認(rèn)證存在漏洞，那么以身份為基礎(chǔ)的安全堡壘就會變得脆弱不堪。實(shí)際上，已經(jīng)發(fā)生的多起云安全攻擊就是以盜取身份為切入點(diǎn)的。著名的C odeS p aces倒閉事件就是其云代碼托管系統(tǒng)的A W S云管理賬戶被攻破導(dǎo)致的。傳統(tǒng)以密碼為核心的身份認(rèn)證已經(jīng)變得越來越脆弱，逐漸被新的認(rèn)證機(jī)制所取代。一方面，云端醫(yī)院信息系統(tǒng)應(yīng)采用新的多重身份驗(yàn)證機(jī)制，結(jié)合離線認(rèn)證、設(shè)備認(rèn)證、生物認(rèn)證等手段，對管理員等高權(quán)限用戶進(jìn)行保護(hù)，增強(qiáng)其安全性；另一方面，云端醫(yī)院信息系統(tǒng)也要采用聯(lián)盟認(rèn)證、單點(diǎn)登錄（SS O）等機(jī)制，在保障用戶身份安全的同時保證用戶具有良好的使用體驗(yàn)。

2.訪問控制：基于用戶的角色，對用戶的權(quán)限進(jìn)行細(xì)分，從而只賦予用戶需要的權(quán)限，是基于角色的訪問控制策略的基本思想。部署在A zure上的云端醫(yī)院信息系統(tǒng)可以采用其提供的基于角色的訪問控制機(jī)制，結(jié)合A zure A D，對使用云端醫(yī)院信息系統(tǒng)的不同用戶定義不同的角色和權(quán)限集，從而避免過度的權(quán)限分配，減少系統(tǒng)內(nèi)用戶攻擊系統(tǒng)的可能，降低其權(quán)限被盜取后對系統(tǒng)的破壞。

3.身份審計(jì)：對系統(tǒng)用戶（尤其是高權(quán)限用戶，如醫(yī)院管理員）的行為進(jìn)行監(jiān)控和記錄，結(jié)合人工智能等自動化審計(jì)和檢測機(jī)制，可以有效地探測潛在或正在進(jìn)行的攻擊行為，并對發(fā)生的攻擊進(jìn)行追查。云端醫(yī)院信息系統(tǒng)可以充分利用A zure提供的審核和檢測機(jī)制，通過安全中心面板等功能有效地審計(jì)系統(tǒng)用戶的行為，保障系統(tǒng)的安全性。

六、總結(jié)與展望

本文從潛在攻擊者及云服務(wù)提供商兩個角度論述了云端醫(yī)院管理信息系統(tǒng)的安全問題，并從網(wǎng)絡(luò)安全、數(shù)據(jù)安全以及身份安全三個角度提出了相應(yīng)的安全策略，為云端醫(yī)院信息系統(tǒng)的安全部署提供了借鑒。伴隨著云時代的到來，對云端醫(yī)院信息系統(tǒng)的安全保護(hù)將是一項(xiàng)長期復(fù)雜而又關(guān)鍵的任務(wù)。未來隨著對云安全性的日益重視，越來越多的新安全策略將會隨著人工智能等尖端技術(shù)在云端的使用而涌現(xiàn)。

[1] 高英，周怡.漫步云端，暢享云服務(wù)[J].上海信息化，2015，(02)：56-59.

[2] 馬錫坤，王大勇，韓雄,等.基于云計(jì)算的數(shù)字化醫(yī)院建設(shè)模式的研究[J].中國醫(yī)學(xué)裝備，2014，11(11)：27-30.

[3] 羅志宏.計(jì)算機(jī)云計(jì)算技術(shù)在醫(yī)院信息化中的應(yīng)用[J].中國新通信，2017，(10)：149.

[4] 曾毅.醫(yī)院信息化系統(tǒng)安全與防御措施研究[J].網(wǎng)絡(luò)空間安全，2016，(07)：91-92,95.

[5] 周鈺，王文明，劉云，等.私有云存儲在醫(yī)院的建設(shè)與應(yīng)用[J].醫(yī)療衛(wèi)生裝備，2017，(04)：68-70.

[6] 肖激雷，董建成.醫(yī)院私有云數(shù)據(jù)中心應(yīng)用探討[J].醫(yī)學(xué)信息學(xué)雜志，2016，(12)：30-33.

[7] 張卓奇，郭衛(wèi)斌.混合云存儲環(huán)境下的數(shù)據(jù)訪問隱私保護(hù)方案[J].計(jì)算機(jī)工程與設(shè)計(jì)，2014，35(7)：2317-2320,2355.

[8] 陳彬彬.基于云計(jì)算的醫(yī)院信息系統(tǒng)數(shù)據(jù)安全技術(shù)的應(yīng)用探討[J].數(shù)字技術(shù)與應(yīng)用，2016，(09)：199,201.

[9] 黃鑫，沈翔柏．基于云存儲的PACS醫(yī)學(xué)影像安全傳輸系統(tǒng)[J].航天醫(yī)學(xué)與醫(yī)學(xué)工程，2015,28(5):366-369.

[10] 鄧小爭.基于云計(jì)算的醫(yī)院數(shù)據(jù)安全保護(hù)關(guān)鍵技術(shù)探討[J].計(jì)算機(jī)光盤軟件與應(yīng)用，2014，(09):145-146.

[11] 馬錫坤，史兆榮，王與榮，等.基于云計(jì)算的醫(yī)院信息基礎(chǔ)平臺建設(shè)[J].醫(yī)學(xué)研究生學(xué)報(bào)，2013,26(7):738-740.

[12] 姚琴，王華瓊，方亞洲，等.基于云計(jì)算平臺的個人健康管理系統(tǒng)[J].中國數(shù)字醫(yī)學(xué)，2012,7(1):55-58.

[13] 郭旭升，王磊.云計(jì)算對醫(yī)院信息安全及系統(tǒng)成本的影響研究[J].中國數(shù)字醫(yī)學(xué)，2012，(09):68-71.

[14] 趙麗娥，陳氤，譚警宇.基于云計(jì)算的醫(yī)院財(cái)務(wù)管理及其安全探究[J].無線互聯(lián)科技，2015，(14):131-132.

[15] 孫明俊.公共云服務(wù)市場的信用體系建設(shè)[J].電信網(wǎng)技術(shù)，2014，(04):8-9.

F062.5

B

1008-4428（2017）10-146-03

本文系南京中醫(yī)藥大學(xué)校級重點(diǎn)學(xué)科工商管理建設(shè)課題，課題名稱為“面向多用戶的移動醫(yī)療信息服務(wù)平臺建設(shè)研究”。

肖增敏，女，天津靜海人，南京中醫(yī)藥大學(xué)，講師，研究方向：醫(yī)院管理，信息系統(tǒng)；

朱嫻，南京中醫(yī)藥大學(xué)。