索志远

(邯郸市第一医院 河北 邯郸 056000)

互联网医院的信息安全，一方面与医院开展各项医疗活动的顺利程度有直接性关联，另一方面更关乎广大患者切身利益，因此加大对互联网医院信息安全风险防范必要，特别是当前病毒入侵、黑客攻击等事件对医院信息安全造成严重威胁和影响。因此，本文探讨互联网医院信息安全风险与防范技术，具有一定现实研究意义。

1 互联网医院信息安全风险的防范意义

1.1 维护医院信息系统合法运行

当前，互联网信息技术发展越来越快，这一方面给医院经营活动带来了发展机遇，另一方面也为医院信息安全管理方面带来挑战。从整体上来看，应用信息系统开展医院经营活动，虽然能够提高医院信息管理效率和质量，但如果在使用中发生不法分子入侵、病毒传播等安全风险问题，必然会对医院信息安全造成不利影响[1]。基于此，必须采取措施强化互联网医院信息安全风险防范力度，减少安全风险，维护医院信息系统合法运行，保证医院正常经营活动。

1.2 避免患者权益遭受不法侵害

患者进入医院进行就医诊疗时，会产生大量的个人诊疗数据与相关信息，其中主要有患者就医检查所产生的报告、个人身体疾病信息、就医诊疗次数等，如果医院信息系统遭受攻击影响，必然会对患者就诊信息精准性、完整性带来不利的影响，严重情况下可能会耽误患者正常就诊。基于此，采取措施做好医院信息安全风险的防范工作，能够避免患者基本权益遭受侵害影响。

1.3 建立和谐稳定的医患关系

医院信息系统在运行中一旦遭遇安全风险，必然会对医院、患者利益带来直接性影响。一旦患者就医诊疗信息遭受破坏，患者可能无法在第一时间获取救助，必然会对医院与患者间和谐关系建立造成不利影响，同时也会威胁到医院正常经营活动与社会稳定。

2 互联网医院信息安全风险

2.1 数据风险

2.1.1 介质风险

这主要是因为当前医院现行使用的信息系统周期比较久，数量也非常多，且大多应用系统为不同厂家所研发，这就使医院使用的数据平台存在异构应用现状，医院运行产生的各项数据存储的服务器、产品也不同，可能产生的安全风险主要有存储介质发生故障。备份介质风险有硬盘故障、磁带损毁、自动备份失效等。

2.1.2 数据库风险

医院信息系统在运行使用期间所产生的数据主要存储位置就是数据库，其中可能产生的风险主要有数据库用户管理相对混乱、非法机器接入数据库中、因人员操作失误原因导致数据丢失、内外部非授权用户从非法途径攻击数据库、数据库本身存在缺陷和不足[2]。除此之外，因权限管理不够严谨，导致数据出现非法或失误操作情况经常发生，给互联网医院信息带来严重的安全风险。

2.2 网络风险

2.2.1 网络体系结构设计

医院信息网络体系并不是完全封闭的，会与社保、银行、上下级机构等进行连接。因此，在设计医院网络体系结构时，应将网络安全考虑其中，不仅仅要注重容量、性能、带宽等一些基础性的设计指标，同时还要注重内外网是否需要进行物理隔离、网段划分方式、路由安装形式、医院内部核心网络设计冗余设计等。但就当前医院网络体系结构设计现状来看，大多采取逐步升级或扩容，很少进行全面系统的设计规划。

2.2.2 配置管理

医院信息系统所用到的网络配置，如路由器、交换机等，如果存在信息误改、配置错误等情况，就可能会导致医院内部网络出现大范围的瘫痪。另外，该系统也可能存在密码管理、参数修改、配置备份等都不够严谨的问题，以上都是配置管理中常见安全风险。

2.2.3 病毒攻击

当前，互联网医院与网络系统保持连接状态，信息系统在运行期间会有一定概率遭受病毒入侵，严重情况下可能会导致医院信息系统崩溃，数据信息泄露，整个系统瘫痪。另外，病毒攻击还存在非常强的传染性特征，很容易对医院信息系统造成严重破坏。如果医院现行所用信息系统没有及时更新，或者使用的杀毒软件相对落后，就会给病毒攻击提供机会，引发系统安全风险。

2.2.4 黑客入侵

简单来讲，黑客入侵就是通过互联网医院信息系统漏洞窃取数据信息。医院数据库中所存储的数据信息有患者身份、诊疗以及隐私等，对保证医院正常经营活动具有非常重要意义，一旦黑客入侵医院信息系统，从中窃取患者的信息，不但会对医院声誉产生影响，同时也会对医院正常医疗活动造成破坏。

2.3 医患双方隐私风险

随着互联网时代的到来，医院内网外网数据共享需求也随之加大，医患双方信息获取方式更简单、容易，但同时也增加了信息泄露这一安全风险，具体如下。

2.3.1 注册信息

互联网医院要求不论是医护人员还是患者，都要用实名信息完成认证和注册，实名信息中包括患者姓名、身份证号码、手机号码、人脸信息、住址等，还包括医护信息、资质证明、从业资料等，上述信息都会传到互联网，这就埋下了一定的隐私泄露风险[3]。

2.3.2 医疗记录

患者进入医院就诊后所产生的诊断记录信息、检查报告、诊断处方等，都可能会被保险、药品等一些企业滥用。

2.3.3 可穿戴设备

一方面能够采集与用户健康方面有关联性的数据信息，另一方面也可能会在用户知情或不知情时收集其活动、位置等一些隐私性的信息，其中还包括用户的音频、视频等资料，这些资料中都具有一定的潜在价值，是不法分子、网络黑客攻击的重要目标。

2.3.4 第三方不法分子窃取

因互联网医院将其内网和外网打通连接，使得数据篡改、盗用等一些网络攻击事件扩大化发展，从而也就导致医院信息系统中的用户信息易被第三方不法分子所窃取。电子医保卡、移动支付方式的不断普及，为人们在支付上带来便捷优势，但同时也为患者资金财产埋下一定的安全风险。

3 互联网医院信息安全风险的防范技术

3.1 病毒防范技术

3.1.1 隔离法

在当前互联网时代背景下，计算机网络信息具有共享特征，这也为病毒创造了传播条件。为有效避免信息在共享、传递期间感染病毒，医院信息安全管理人员可通过采取隔离法，通过切断病毒传播途径的方式来起到防范病毒扩大化发展。但隔离法成功应用的关键在于切断网络，应谨慎选择使用，尽可能在发现病毒入侵后第一时间应用该技术。

3.1.2 分割法

关于分割法在病毒防范中的应用，主要是基于用户类别，将其划分成无法进行互相访问的子集系统中，这种情况信息只可在固定范围内进行传输和共享，能够有效避免病毒在子系统中传送和感染。

3.1.3 应用先进防病毒软件

当前已有大部分医院安装防病毒的软件或程序，如果信息系统执行程序处于开启状态，通过防病毒软件或程序即可对系统后台运行程序进行实时监测，如果在此过程中发生病毒入侵事件，信息安全管理人员能够在第一时间采取措施处理病毒入侵事件，确保医院信息系统保持安全稳定状态下运行[4]。除此之外，因互联网医院信息系统还具有病毒传播性、易感染性特征，所以在实际操作中，还要定期对系统是否有漏洞问题进行检查，以此规避冲击波、蠕虫等病毒对互联网医院信息安全造成的损害影响。

3.1.4 更新防病毒软件

从本质上来讲，防病毒软件在使用过程中不具备主动特征，因此这就要求医院信息安全管理人员不断更新防病毒软件，更好地发挥其在病毒跟踪防范方面的应用成效。

3.2 防火墙技术

在互联网医院内部和外部网络间设置防火墙设备，通过该技术能够对进出医院信息数据进行过滤，阻断进出网络的访问行为，该方式能对当前禁止的业务进行封锁处理，对防火墙活动、信息内容进行记录，安全管理者通过对防火墙数据流进行检测和限制，起到对入侵互联网医院信息系统的黑客攻击行为起到规避和预警作用，以此保障互联网医院信息系统的安全运行。图1为防火墙技术应用图。

图1 防火墙技术的应用

3.3 身份认证技术

简单来讲，身份认证就是用户向互联网医院信息系统所出示的身份证明，将该技术应用于互联网医院信息系统中，需要先对用户身份进行检查，检查满足要求后才能允许用户访问。

3.4 访问限制技术

访问限制技术具体指的是通过限制访问信息系统的主体对访问客体的权限，以此保证互联网医院信息系统在合法合规的范围内运行和使用。在实际应用中，访问限制技术通常与防火墙技术、VPN技术等联合起来使用，最大化发挥其在安全风险防范中的应用成效[5]。除此之外，为进一步强化互联网医院信息系统安全风险防范机制，医院应将访问限制作为安全风险防范中的一项重要管理内容，在此基础上提高医院信息系统中数据的安全保密性能。

3.5 数据加密技术

与上述防火墙技术进行比较，数据加密技术在互联网医院信息系统中的应用更具灵活性特征，且适用于开放型的网络系统中。从本质上来讲，数据加密技术就是基于符号的数据对其采取移位、置换进行变换的算法，但这种变换算法在使用中会受符号串在其中的约束影响，且解密和加密算法是在密钥的控制下所进行的。通常情况下，数据加密技术主要在动态信息防护中所使用。针对互联网医院信息系统的动态数据攻击类型主要有两种：一种为主动攻击，该技术虽然不能有效避免，但能够检测到主动攻击，然后对此采取相应的安全防范措施；另一种为被动攻击，虽然无法被及时检测到，但通过数据加密技术能够对被动攻击进行有效规避和防范。

3.6 入侵监测技术

随着互联网时代的快速发展，当前已有大部分医院将信息系统引进自身运行管理中，在原有基础上进一步提高医院诊疗服务工作效率和质量，但同时也导致医院网络运行环境更复杂。如果仅仅依靠防火墙技术对信息系统进行安全风险管理，很难满足当前医院对信息安全风险防范所提出的要求，基于这样的背景下，将入侵检测技术应用于互联网医院信息管理中，能够弥补防火墙技术存在的不足之处，实现实时信息安全风险检测，并针对安全风险制定风险防范措施。

3.7 互联网医院信息梯度保护模式

互联网医院信息安全风险防范，其最大目的在于减少安全风险，降低影响，提高用户满意度，对此将安全技术模型与管理机制结合起来，针对医院信息安全管理目标、安全风险监管和处置制定信息保护模式，结合不同场景、不同数据采取针对性的安全防护，将数据与应用两者分开来进行管理，将数据信息分为一般和敏感两种，对于敏感性信息采取加密方式进行传输，统一进行权限、应用管理，明确各岗位、角色在信息系统中的应用权限，使信息处理更为透明[6]。除此之外，还可通过构建互联网医院信息系统监管平台，采取可视化监管模式进行数据流向监管，保证用户所具有的知情权、选择权，保障用户基本权益，通过实时监测互联网医院信息系统运行状态，能够在第一时间处理其中存在的安全风险。

3.8 多维度安全风险防范服务

从本质上来讲，互联网医院信息系统安全风险防范属于动态化的管理过程，需要保持持续状态对系统安全可能带来的威胁、漏洞等做好跟踪和响应。基于此，医院要定期对信息系统进行安全等级测试，从制度、管理、物理等多个角度加强安全风险评估力度，并针对医院网络、数据库、系统等采取安全风险防控对策。与此同时，还要针对信息系统建立运维管理子系统，该系统主要用于安全巡检、风险预警、漏洞处理、风险监测等方面的服务，针对安全风险制订应急防控预案，并及时针对风险做出响应。

4 结语

综上所述，信息安全是互联网医院发展中需要重点探讨的话题，随着信息技术被广泛应用于医院运营活动中，其产生的信息安全风险问题也不断增多，这就需要医院采取措施，做好信息安全风险的防范工作，将当前比较先进的防范技术引进来，这对医院未来发展具有重要意义。