物联网安全背景

随着医院“三位一体”全面发展，以智慧医院为目标沿着智慧医疗、智慧服务、智慧管理逐步建设发展，《国家卫生健康委办公厅关于印发医院智慧服务分级评估标准体系（试行）的通知》，提出建立0-5级医疗机构智慧服务分级评估体系，指导智慧医疗的落地和发展，而医疗物联网的远程诊疗、简化沟通、自动化运营等优势，对于智慧医院的建设具有重要作用。

智慧医院的建设，让联网医疗设备、移动客户端设备、远程护理系统、医疗研究数据、互联临床信息系统、安防监控系统等海量数据融合交互，除了传统办公PC及其相关外设以外，互联互通的医疗设备，以及配套的采集与传输的医疗数据、互联技术、软件系统，共同形成了医疗物联网（IoMT，Internet of Medical Things），物联网技术可以打破各科室的信息孤岛，让医院能够进行综合数据采集，利用大数据分析提升整个医疗机构的效能和运营管理精细化，从而提高整体的信息化水平和诊疗服务能力。

当下医疗物联网应用程度大体分为两个阶段，第一阶段是将医院原有的医疗设备进行IP化联网，通过网线、Wi-Fi等方式实现全院互联互通，提升整体协作治疗的效率；第二个阶段为基于Zigbee、RFID等无线物联网协议，孵化出全新的医疗设备类型与应用场景，进行更加广泛的数据采集与感知分析。但医疗物联网在大体提升医疗智慧化水平的同时，其分布广、类型多、厂商杂、难管理的特性带来了越来越多的安全风险，大部分医院建设医疗物联网时坚持业务先行的原则，科室自行采购上架医疗设备，导致面临操作系统老旧，分布区域广泛，长期无人关注安全问题；同时黑客越来越多地将目标对准我国的公共医疗机构，整体来看医疗物联网安全形势不容乐观。一旦由于物联网发生安全事故，将造成医院暂停服务，或造价高昂的医疗器械发生故障、报废，更有甚者可能导致病患敏感信息外泄露，对医院造成经济损失甚至法律风险。

在此现状下，医院需要以医疗物联网设备运行安全性为出发点，统筹规划，以一体化建设为导向，以信息技术为手段，建立一套医疗物联网安全防护体系，防止出现医疗物联网设备的私接和仿冒、异常行为、厂商远程运维等影响诊疗业务正常开展等问题，同时提升医院信息科人员对全院联网设备的安全管控能力，确保一旦出现时间能够快速发现、快速处置，尽可能降低对医院业务的影响。

物联网安全现状分析

（1）资产不可见

大部分大型医疗器械设备都是业务科室采购，信息科配合入网实施，很多设备采取私建网络方式导致信息科缺乏有效管控手段；医疗器械种类众多、分布广、医院内部人员流动性大、管理不当容易被替换，例如自助机（实际为Windows系统）面向众多人员，如果没有较好的管控手段，长时间闲置在无人监管或使用的情况下，可直接拔下网线接入非法电脑，直接绕过边界防护访问内网数据中心等隐患。

（2）设备安全风险不可知

设备漏洞、弱密码普遍；大部分医疗器械设备均为国外厂商生产，设备漏洞发现难修复、业务系统弱密码更改难等多问题。

（3）违规外联运维不可控

大部分医疗器械设备在中国本地原厂服务人员较少/到场服务费用高，大部分采用私接4G路由器方式进行运维，可能存在临床数据窃取等行为，不从医院本地网络转发导致无管控审计手段；可移动高值设备拿到无法监管的区域私接热点、私建无线光猫，设备操作主控机不受信息科室管理，存在大量后门/病毒/漏洞等，容易成为内网安全短板直接被利用攻击内网。

（4）网络安全难防护

业务系统数据互联互通趋势，大量智慧管理系统上线需要连接内网，导致原有封闭的设备网中的医疗器械设备转入医院内网，与普通终端混为一区，但又缺乏有效的终端安全加固手段，容易成为攻击重点对象，且容易快速横向感染。

物联网安全建设方案

采用分步建设的思路，围绕医院物联网安全的四大安全风险，分别设计了四大安全措施，即摸清家底、发现风险、有效管控、闭环处置，为相互递进完善的关系。

 

（1）摸清家底：通过物联网技术手段对医院高值医疗设备和IoMT设备进行发现和识别，梳理出CT机、DR机、PDA查房终端、可移动诊疗设备等具体设备类型，并识别出西门子、GE、飞利浦、迈瑞医疗等具体厂商品牌，在此基础上标注并在院内地图中着重显示出设备所属科室、位置、电子围栏等，并建立起医院的设备台账。

（2）发现风险：通过扫描等方式发现高值医疗设备和IoMT设备自身的安全隐患，包括但不限于设备漏洞、弱口令、配置风险等等，同时将高值医疗设备和IoMT设备与数据中心各业务系统服务器的网络交互行为进行监测，以确保设备为安全运行状态，一旦出现异常行为能够快速发现并告警。

（3）有效管控：通过准入技术、物联网电子围栏技术、设备闲置超时预警等技术，对所有接入设备进行身份合法性确认，只有医院采购设备才能审批入网，外部可疑设备或仿冒替换设备无法接入医院网络。

（4）闭环处置：通过统一的管理平台，能够监测高值医疗设备和IoMT设备运行安全状态，并在发现跨越合规区域、闲置超时或非正常时间运行预警等威胁或异常后能够远程进行快速联动处置。