美國大力推進(jìn)電子病歷記錄項目,醫(yī)療系統(tǒng)的病歷檔案全部聯(lián)網(wǎng),這為黑客們向醫(yī)院下手提供了便利。大量的患者信息被竊取,個人利益嚴(yán)重受損。這也在提醒管理者:如何平衡醫(yī)學(xué)創(chuàng)新和監(jiān)管之間的關(guān)系,已經(jīng)成為一個不可忽視的課題

2月初,黑客“黑”進(jìn)好萊塢一家醫(yī)院的電腦系統(tǒng),將包括患者病歷和個人信息在內(nèi)的所有電子資料加密,以此索要上百萬美元贖金。這已經(jīng)不是黑客第一次找醫(yī)院下“黑”手了。近年來美國醫(yī)院遭黑客攻擊案件頻現(xiàn),引起廣泛關(guān)注。

醫(yī)院進(jìn)入緊急狀態(tài)

2月5日一早,好萊塢長老會醫(yī)學(xué)中心的工作人員發(fā)現(xiàn),儲存病患信息的電子數(shù)據(jù)資料庫怎么都打不開。一開始,他們以為是電腦故障,但很快發(fā)現(xiàn)不對勁兒。

到了中午,這家擁有434張床位、近百年歷史的醫(yī)院亂作一團,侵入服務(wù)器的黑客在屏幕上留言:拿出9000個比特幣,我就還你資料。

比特幣是一種全球通用虛擬貨幣,可以兌換成大多數(shù)國家的貨幣。媒體估算,這次黑客的要價,換算成美元,約合340萬至365萬美元。

院方立即報警,并邀請計算機專家協(xié)助破案、破解密鑰。但問題一時難以解決,醫(yī)院不得不宣布內(nèi)部進(jìn)入緊急狀態(tài)。

等候解鎖時間,由于惡意軟件攻擊,電腦無法聯(lián)網(wǎng),計算機斷層掃描和磁共振掃描等診斷無法開展,患者檢查結(jié)果和病歷無法查閱,甚至有媒體報道,部分危重患者不得不轉(zhuǎn)院治療。

整個醫(yī)院被生生拉回到幾十年前的狀態(tài):收治病人手續(xù)統(tǒng)統(tǒng)靠手寫,病歷醫(yī)囑靠手寫,檢查單和通知單全部只有紙質(zhì),信息共享只能靠打電話、發(fā)傳真甚至遞送手寫單。更讓人擔(dān)憂的是,由于數(shù)據(jù)庫內(nèi)含病人聯(lián)系方式、住址、信用卡號、醫(yī)保號碼等個人信息,一旦泄露出去,后果不堪設(shè)想。

日子一天天過去,洛杉磯警察局、聯(lián)邦調(diào)查局和多路專家那里沒有絲毫進(jìn)展。按照院方說法,這次攻擊系黑客隨機選擇,經(jīng)過一番討價還價,醫(yī)院最后向黑客支付40個比特幣(約合1.7萬美元),拿到密鑰。“我們要想重新恢復(fù)系統(tǒng)、恢復(fù)正常管理,最快、最高效的辦法就是支付贖金、取得密鑰,”醫(yī)學(xué)中心院長艾倫·斯特凡內(nèi)克發(fā)表聲明說,“我們這么做是為了恢復(fù)正常運轉(zhuǎn),這最符合(醫(yī)院)利益。”

為什么受傷的總是醫(yī)院

好萊塢長老會醫(yī)學(xué)中心是一種名為“勒索軟件”的惡意程序受害者。這種軟件惡名遠(yuǎn)揚,日益猖獗。專家介紹,這種惡意軟件常以電子郵件附件、網(wǎng)頁木馬病毒等形式在網(wǎng)絡(luò)上“廣撒網(wǎng)”,平時深藏不露,一旦有人點擊它藏身的電子郵件、社交媒體或其他網(wǎng)站鏈接,就會自動下載并運行,非正常加密用戶數(shù)據(jù),讓用戶無法正常使用,以此勒索錢財。支付形式目前以比特幣等虛擬貨幣為主。

算上好萊塢長老會醫(yī)學(xué)中心,今年頭兩個月至少有4家醫(yī)院受勒索軟件攻擊。在美國,以醫(yī)院為目標(biāo)的黑客攻擊案件近年來越來越多。2015年7月,加利福尼亞大學(xué)洛杉磯分校醫(yī)療系統(tǒng)遭遇網(wǎng)絡(luò)襲擊,旗下4家醫(yī)院約450萬人的私人信息可能存在安全隱患。雖然院方堅稱尚無證據(jù)表明黑客已“獲得某個個體的私人或醫(yī)療信息”,但醫(yī)院還是向可能受影響的個人免費提供為期一年的身份防盜服務(wù)和信用監(jiān)督保護。

《華盛頓郵報》分析衛(wèi)生與公眾服務(wù)部數(shù)據(jù)后發(fā)現(xiàn),僅2015年3月,美醫(yī)療系統(tǒng)就遭遇了1100多次黑客攻擊,逾1.2億人利益受損。

為何黑客對醫(yī)院青睞有加?專家認(rèn)為,醫(yī)院掌握的特有資源令不法分子垂涎三尺,而醫(yī)院相對落后的信息安全系統(tǒng)又給了這些人可乘之機。

按照《基督教科學(xué)箴言報》的說法,醫(yī)療系統(tǒng)在黑客眼中簡直就是個大金庫,內(nèi)有個人姓名、住址、聯(lián)系方式、社會保險號碼、銀行賬號信息、索賠數(shù)據(jù)和臨床資料等海量信息。這些信息不只能拿到黑市上賣個好價錢、供人盜用身份,還能讓人非法獲取處方藥、甚至騙取保險。一旦有人因此被竊取身份,小到尋醫(yī)問藥、大到醫(yī)療保險、信用記錄都可能受影響,風(fēng)險著實不容忽視。

美國知名網(wǎng)絡(luò)安全研究機構(gòu)波內(nèi)蒙研究所數(shù)據(jù)顯示,2014年醫(yī)療身份失竊影響了大約230萬人的生活,比前一年上升21%,因此給受害者造成人均1.35萬美元的損失。

長期報道網(wǎng)絡(luò)安全的記者賈伊庫馬爾·維賈揚認(rèn)為,由于美國大力推進(jìn)電子病歷記錄項目,眼下全國醫(yī)療系統(tǒng)的病歷檔案統(tǒng)統(tǒng)聯(lián)網(wǎng),這為黑客們向醫(yī)院下手提供了便利。而醫(yī)院和保險公司的信息安全技術(shù)更新?lián)Q代比較慢,安全意識又普遍較弱——服務(wù)器管理不設(shè)權(quán)限,設(shè)備不更改初始密碼或設(shè)置過于簡單,無線網(wǎng)絡(luò)密碼幾乎人人能猜到……這樣的例子比比皆是,黑客們才得以頻頻得手、日漸猖狂。

還有更多安全隱患

雖然迄今尚無報告顯示黑客對醫(yī)院的攻擊造成病患傷亡,但不少業(yè)內(nèi)人士呼吁,醫(yī)院亟需加強數(shù)據(jù)安全工作,尤其在醫(yī)療設(shè)備上更要下功夫防范風(fēng)險。

約翰斯·霍普金斯大學(xué)計算機學(xué)教授、網(wǎng)絡(luò)安全專家阿維·魯賓1月參加一個關(guān)于醫(yī)學(xué)網(wǎng)絡(luò)安全的大會時說,早在上世紀(jì)90年代,他參觀東海岸醫(yī)院時就發(fā)現(xiàn)不少醫(yī)院計算機實驗室密碼保護過于簡單,安全程序被隨意更改,軟件控制的藥物調(diào)劑機器人缺少必要的保護程序。

“一旦(調(diào)劑藥物的)軟件出故障怎么辦?要是有人攻擊這個系統(tǒng)、導(dǎo)致藥全都配錯了怎么辦?”魯賓憂心忡忡地說。

眼下,美國不少醫(yī)療設(shè)備生產(chǎn)商開始和監(jiān)管者一起,加強安全措施,防范網(wǎng)絡(luò)襲擊——

2013年,食品和藥物管理局向醫(yī)療保健設(shè)備生產(chǎn)廠家發(fā)布網(wǎng)絡(luò)安全備忘錄,建議對方評估設(shè)備及相關(guān)網(wǎng)絡(luò)安全；2014年,食品和藥物管理局發(fā)布指導(dǎo)準(zhǔn)則,要求醫(yī)學(xué)設(shè)備上市前必須接受網(wǎng)絡(luò)安全測試；2015年,食品和藥物管理局聯(lián)手國土安全部向醫(yī)院發(fā)布警告,指出一種植入式藥泵設(shè)計存在嚴(yán)重缺陷,能給黑客可乘之機；2016年1月,食品和藥物管理局起草文件,要求設(shè)備生產(chǎn)商展開安全自檢,同時允許第三方研究人員標(biāo)注安全風(fēng)險。

醫(yī)學(xué)設(shè)備技術(shù)安全顧問斯科特·埃芬斯認(rèn)為,如何平衡醫(yī)學(xué)創(chuàng)新和監(jiān)管之間的關(guān)系至關(guān)重要,但這一切不應(yīng)以人的生命為代價。

埃芬斯說,雖然目前尚未發(fā)現(xiàn)有人蓄意針對醫(yī)學(xué)設(shè)備發(fā)動網(wǎng)絡(luò)攻擊,但風(fēng)險猶存。靠內(nèi)部自省與外部監(jiān)管不斷完善是個漫長的過程,醫(yī)院眼下至少還能做些補充防范措施,例如將安全風(fēng)險最大的設(shè)備與外部網(wǎng)絡(luò)斷開,要求技術(shù)人員刪除預(yù)設(shè)的安全憑證信息,加強無線網(wǎng)絡(luò)安全,淘汰安全隱患較大的設(shè)備等。