研究發(fā)現(xiàn)，的安全問題令醫(yī)療行業(yè)病人信息面臨隱患，而這只是眾多威脅的冰山一角。
根據(jù)醫(yī)療行業(yè)的追蹤記錄顯示，目前病人信息的保護(hù)工作仍然差到“令人不安”。兩份最新報(bào)告指出，這一狀況甚至在2009年更為嚴(yán)格的聯(lián)邦法案出臺(tái)后仍然沒能得到解決。如果整個(gè)行業(yè)找不到保護(hù)中病人信息的有效，事態(tài)很可能進(jìn)一步惡化。
前不久由衛(wèi)生信息信任聯(lián)盟(簡稱HITRUST)機(jī)構(gòu)發(fā)布的一篇報(bào)告顯示，醫(yī)院及醫(yī)療系統(tǒng)中的數(shù)據(jù)泄露事故在2009到2012年期間有所下降，但執(zhí)證醫(yī)師個(gè)人開設(shè)的診所在這方面則問題頻傳——其安全事故已經(jīng)占據(jù)全部459起泄露案件中的六成以上。
這些泄露事故涉及受害者人數(shù)全部超過五百位，但HITRUST還發(fā)現(xiàn)僅今年五月就發(fā)生過約五萬七千起涉及人數(shù)低于五百位的案件。
另據(jù)Ponemon研究所出具的調(diào)查，94%的醫(yī)療機(jī)構(gòu)曾在過去兩年中公布過至少一次數(shù)據(jù)泄露事故，45%的機(jī)構(gòu)甚至公布過五次以上事故。
兩份調(diào)查報(bào)告同時(shí)指出，造成泄露事件的最大原因并非黑客或者惡意軟件，而是設(shè)備丟失或被盜以及員工的人為失誤。HITRUST報(bào)告顯示，只有8%的安全問題是由黑客及/或惡意軟件所引發(fā)。
另外，幾乎所有業(yè)務(wù)部門都開始察覺到智能手機(jī)在工作環(huán)境中的大規(guī)模泛濫。員工將自己的手機(jī)設(shè)備帶入單位(也就是BYOD)已經(jīng)成為日常生活的一種習(xí)慣。Ponemon研究所宣布，81%的受訪者表示允許BYOD訪問數(shù)據(jù)，而54%的受訪者自己并不了解這些移動(dòng)設(shè)備是否安全。
上周HealthcareITNews報(bào)道稱在Spyglass咨詢集團(tuán)組織的調(diào)查當(dāng)中，“三分之二以上的受訪醫(yī)院發(fā)現(xiàn)護(hù)士們在工作中使用個(gè)人手機(jī)，并將其用于日常工作與臨床信息溝通……但I(xiàn)T部門顯然還沒有為這些設(shè)備提供必要的安全支持?！?/P>
華盛頓郵報(bào)的Sarah Kliff最近在官方博客上撰寫報(bào)道，指出醫(yī)生與病人之間互發(fā)電子郵件交換個(gè)人信息的情況變得越來越普遍。
Art Gross在HIPAA Now博客上指出，這意味著業(yè)界需要開始對智能手機(jī)抱以緊密關(guān)注。在一篇名為《你的智能手機(jī)將成為下一次數(shù)據(jù)泄露事故的罪魁禍?zhǔn)住返牟┪闹?，Gross總結(jié)了自己的觀點(diǎn)。他認(rèn)為醫(yī)護(hù)工作者目前還沒有意識(shí)到自己的行為已經(jīng)把病人信息帶入智能手機(jī)。
“智能手機(jī)已經(jīng)被大量用于訪問(電子病歷)、PACS(圖片歸檔及通訊系統(tǒng))以及各類表格及文檔，并運(yùn)行著數(shù)千種可能包含病人信息的應(yīng)用程序，”他寫道。
即使從業(yè)人員只利用智能手機(jī)收發(fā)郵件，風(fēng)險(xiǎn)也仍然無法避免?！霸诖蠖鄶?shù)醫(yī)療機(jī)構(gòu)當(dāng)中，郵件系統(tǒng)被作為工具使用，而且越來越多的郵件成為病人信息的載體，”他表示?！搬t(yī)療機(jī)構(gòu)經(jīng)常通過郵件交流病人的檢測結(jié)果、與患者溝通或者提供處方建議等?！?/P>
更可怕的是，就算郵件只被用于內(nèi)部通信而完全不涉及病人，“所有郵件也會(huì)被保存在中，再由此被復(fù)制到手機(jī)端，”Gross解釋道。
因此，一旦手機(jī)丟失或者被盜，病人數(shù)據(jù)自然就面臨著泄露的危險(xiǎn)。Ponemon研究所調(diào)查稱，由數(shù)據(jù)泄露引發(fā)的事故每年給醫(yī)療保健行業(yè)帶來近700億美元的綜合成本。
Gross指出，即使是規(guī)模極小的機(jī)構(gòu)也應(yīng)該限制在郵件中包含病人資料的行為，同時(shí)采用密碼保護(hù)及長時(shí)間無操作自動(dòng)退出等機(jī)制，并使用數(shù)據(jù)加密方案。
AppRiver公司高級(jí)安全分析師Troy Gill認(rèn)為，如今的技術(shù)已經(jīng)能夠解決大多數(shù)設(shè)備的安全問題。“密碼鎖與遠(yuǎn)程數(shù)據(jù)清除功能是重中之重，而二者通過ActiveSync、BES(Enterprise Server)以及第三方移動(dòng)設(shè)備管理方案來實(shí)現(xiàn)，”他表示。
Gill還分享了另一種有效的防范手段：“企業(yè)應(yīng)當(dāng)在處理來自設(shè)備的網(wǎng)絡(luò)訪問時(shí)強(qiáng)制要求使用(虛擬專用網(wǎng)絡(luò))連接?！?/P>
“再有，由于大多數(shù)剛剛出現(xiàn)的移動(dòng)惡意軟件都會(huì)隨普通應(yīng)用的安裝一同侵入，因此企業(yè)可以考慮限制業(yè)務(wù)設(shè)備上的應(yīng)用程序類型，”他建議道。
Accuvant實(shí)驗(yàn)室實(shí)踐經(jīng)理Chris Gray同樣對遠(yuǎn)程數(shù)據(jù)清除功能推崇有加?！斑@項(xiàng)功能不僅可以防止數(shù)據(jù)丟失，更給管理者提供了一種備選方案，能夠在出現(xiàn)設(shè)備丟失時(shí)避免嚴(yán)重事態(tài)甚至法律訴訟情況的發(fā)生?！?/P>
LogRhythm公司 Chris Petersen對于構(gòu)在安全漏洞及數(shù)據(jù)泄露方面的糟糕表現(xiàn)毫不驚訝?！霸S多小公司幾乎沒有一套像樣的全職IT團(tuán)隊(duì)，也就是說沒人在為安全問題操心，”他指出。“這些企業(yè)應(yīng)該從服務(wù)供應(yīng)商及經(jīng)銷商處尋求幫助，并根據(jù)建議使用價(jià)格合理且能夠切實(shí)降低安全風(fēng)險(xiǎn)的技術(shù)及方案。”
但在真正搞定安全漏洞之前，在工作中使用個(gè)人設(shè)備還是太過危險(xiǎn)。“對他們來說，強(qiáng)行禁止BYOD可能是最好的短期選擇，”他無奈地解釋道。
所有安全專家都認(rèn)為智能手機(jī)的丟失與被盜情況將繼續(xù)存在?！斑@種事情根本消滅不了，”Petersen告訴我們。“如果企業(yè)沒有提前準(zhǔn)備好必要的技術(shù)控制手段，那么個(gè)人信息的泄露將只是時(shí)間問題?！?/P>
Gray認(rèn)為移動(dòng)設(shè)備丟失不可避免，企業(yè)需要通過多層方案來解決這個(gè)問題，其中包括加密、遠(yuǎn)程數(shù)據(jù)清除并教育員工在設(shè)備丟失后第一時(shí)間向主管部門報(bào)告。
Gill對此表示贊同，并指出目前已經(jīng)到了緊要關(guān)頭?！熬退銖某杀窘嵌葋砜矗孪葴?zhǔn)備一套數(shù)據(jù)保護(hù)策略也是很劃算的。畢竟一旦設(shè)備丟失，造成的損失絕不只是幾臺(tái)手機(jī)那么簡單。”