行业动态关注医疗设备网络安全：基于治理主动管控风险

对于医疗卫生机构而言，应遵循各种法规和标准要求，做好安全防护工作。但是人们发现，仅仅做到这个层次的防护水平，还是不够的。医疗设备自身技术手段具有特异性和多样性，各种设备功能和安全防护能力也存在差异。为此，医疗卫生机构须在遵循通用的安全标准基础之上，进一步根据其特定的风险场景，有针对性地选择和采取安全防护手段和措施。

1越来越多的“在线设备”联网使用

医疗卫生机构的医疗设备数字化进程，正在发生重大转变：74%的医疗卫生机构报告，他们一半以上的医疗设备必须在线联网使用。1

基于网络的医疗设备应用将会进一步的发展。设备网络化，在提高诊疗水平方面取得了明显的成效。但是如果不采取安全稳健的安全防护措施，将会面临各种意想不到的风险和挑战。随着医疗卫生机构内部联网设备数量越来越多，医疗卫生机构也必须认识到医疗设备网络安全工作越来越重要，要求在接受新的立法、法规和指南来制定和实施强大而有效的网络安全计划时，还要更全面地去管控风险，而不仅仅做到“合规”。

2国家加强了对医疗设备网络安全的监管

医疗数据安全保护工作相比医疗设备网络化应用开展得要早，但是，面对快速普及的数字化应用和由此产生的安全风险而言，法规和制度建设是相对滞后的。

2.1健康保险流通与责任法案(HIPAA)-1996年

2.2经济刺激和临床健康信息技术(HITECH)法案-2009年

2.3综合拨款法案，第3305条：“确保医疗设备的网络安全”-2023年

2022年，国会通过了对《联邦食品、药品和化妆品法案(FederalFood,Drug,andCosmetic(FD&C)Act)》的修改，以加强FDA医疗设备审批过程中对网络安全的要求。2

2.4HHS405(d)项目-2015年

HHS405(d)是卫生与公众服务部(HHS)与联邦政府之间的一个合作项目。该项目是为了落实2015年美国《网络安全法》的要求，通过部门之间的合作，为医疗服务和公共卫生机构的网络安全工作提供更有价值的技术指导和参考信息。然而，这个项目缺乏执行和处罚机制，因而难以推动医疗卫生机构层面各项工作的落实。

3医疗卫生机构中的设备安全风险日益严峻

3.12021年，勒索病毒软件攻击给美国的医疗卫生机构造成了78亿美元的损失。

医疗服务领域的网络安全环境在不断变化，所带来的新挑战超出了立法和监管规章的升级速度。为此，应该看到医疗服务数据泄露主要原因为信息技术能力不足所致。黑客攻击和信息技术问题占报告事件的很大一部分。2023年8月，向民权办公室(OCR)报告的事件中，有83.8%被确定为黑客或信息技术事件。3

3.2技术支持方面存在差距

3.3网络安全监管框架之外的风险挑战

4如何建设更强大的治理体系

虽然法律法规在制定网络安全标准方面发挥着关键作用，但它们往往是被动的，迟缓的，不可能是积极主动的。对于利润微薄的医疗卫生机构来说，仅仅依靠处罚和罚款是难以持续做好网络安全工作的。医疗卫生机构必须在法律要求基础上，主动地去应对网络安全的挑战。

4.1建设更强壮的安全框架

做好医疗设备网络安全工作，一种有效的方法是严格采用行业的安全标准，例如，美国国家标准与技术研究院(NIST——NationalInstituteofStandardsandTechnology)开发的网络安全框架。NIST的框架包括五大支柱：

1.识别：培养组织有效管理网络安全风险的识别能力。

2.保护：实施安全保障措施，确保能提供关键的医疗服务。

3.检测：开展检测活动以及时识别网络安全事件。

4.响应：制定应急响应预案，以便在检测或遇到网络安全事件时采取行动。

5.恢复：制定恢复工作预案，及时恢复因网络安全事件而受损的功能或服务。

2023年，NIST又引入了一个新的支柱——“治理”，它强调组织的内部治理体系建设，以指导组织有效地执行框架中规定的行动。

乍一看，对于已经建立的框架来说，这似乎是多余的。然而，治理具有一致性、协调性，让网络安全流程上各个环节主动发挥作用的动力，这样可以提升机构整体防护水平。对于面临巨大财务和运营压力的医疗卫生机构来说，基于网络安全治理体系建设的方法，是有效应对意外风险的唯一途径。

4.2从多方位视角去认识网络安全风险

●设备是否能够连接到网络，当前是否已连接

●意外的设备故障会危及患者生命吗

●设备故障将如何影响提供医疗服务的能力

●设备是否能显示任何异常网络行为

●设备可以存储ePHI数据吗

●设备是否存在已知的软件漏洞

●设备制造商是否提供软件升级补丁支持

4.3持续性改进和实现闭环管理

*TRIMEDX是美国一家行业领先的独立临床资产管理公司，提供全面的临床工程服务、临床资产信息和医疗设备网络安全服务，帮助医疗卫生机构将其临床资产转化为战略工具，推动减少运营费用，优化临床资产资本支出，最大限度地利用患者护理资源，并提供更好的安全和保护。TRIMEDX的解决方案来自医疗卫生机构，并为其提供服务，它拥有92%的活跃医疗设备模型的数据。

参考文献：

1.TRIMEDX内部数据。

2.美国食品和药物管理局。(2023年10月4日)网络安全。

3.桤木，S.(2023年9月20日)。2023年8月医疗服务数据泄露报告。HIPAA期刊。

4.IBM安全性。(2023年7月24日)。2023年数据泄露成本报告。

5.Bischoff，P.(2022年10月5日)。2020年，针对美国医疗卫生机构的勒索病毒软件攻击造成208亿美元的损失。比较技术。

6.美联社新闻(2021年10月1日)。Suit将婴儿的死亡归咎于阿拉巴马州医院的网络攻击。美联社新闻。

7.美国国家标准与技术研究院。(2023年8月23日)。NIST起草了对其广泛使用的网络安全框架的重大更新。NIST的。