数据安全成为AI关注重点

网信办安全中心邹潇湘在大会上进行了数据安全相关的主题演讲，她表示：“在器审中心的指导下，根据CMDE《医疗器械网络安全注册技术审查指导原则》、FFDA《医疗设备网络安全管理上市前指导原则》等文件，依托网信办安全中心技术支持，我国已完成三项重要的医疗器械网络安全测评工作。”这些工作包括：

1． 制定20个网络安全标准测试用例；

2． 对8家国内外主流厂商的15款产品开展安全测评；

3． 出具15份安全测评报告。

在医疗器械网络安全的测评工作中，网信办安全中心发现：医疗器械存在较多安全隐患且无法得到及时修复；厂商在设计时没有考虑相应的安全性问题；而安全性提高需要得到医院等医疗机构的配合。

前期测评中的大部分医疗器械制造商均未考虑健康数据传输过程中的保密性问题，在测试中，网信办安全中心捕获大量的明文健康数据。

捕获状况截图

对于这一状况，邹潇湘表示：“医疗机构在对健康数据进行归档、备份等数据传输操作时，尤其是通过公共互联网传输敏感数据时，应该对敏感数据进行加密处理，否则可能造成医疗健康数据信息泄露。”

智慧医疗云是另一个安全问题的重灾区，这一平台在将封闭孤立的医疗机构推向开放互联的同时，也承担着更为严峻的安全考验。

统计显示，仅在2018年，全球便发生了十余起10万以上数据泄漏事件：俄克拉荷马州立大学健康中心遭黑客入侵，近28万名患者医疗账单信息泄洞；LfeBridge Health公司遭恶意软件攻击，约50万名患者一年多的私人信息泄源；新加坡政府健康数据库遭黑客攻击，150万患者数据泄漏；UnityPoint Health遭钓鱼攻击140万患者记录泄漏；美国实古斯塔大学医疗中心遭到网络钓鱼攻击， 41.7万份记录泄露……

诸多事件的发生足以显示网络安全的重要性，医联体各医院网络安全防护能力有高有底，只要有一个医疗机构被突破，整个体系存在数据泄漏的可能。因此，邹潇湘将医联体的网络安全比作木桶，“一点突破，满盘皆输”。

目前全国共有657家智慧医疗云平台，其中北京的云平台数量超过200家，广东、浙江约100家，上海近70家，山东近50家，这四个城市是信息化产业生根的主要城市。

网信办安全中心其中对79家进行抽检，结果显示，57家平台存在高危漏洞，13家平台存在中危漏洞，89％的医疗机构存在较为严重的安全风险。

黑客利用这些漏洞可以渗透攻击PACS、HIS、病例管理等系统，严重影响平台的正常运行；删改患者会诊信息，耽误患者治疗；远程控制患者治疗的试剂剂量，严重可造成患者死亡；窃取患者治疗信息、基因等数据，泄露公民隐私。

因此，对于网络安全中的诸多问题，邹潇湘提出了以下建议。

一、关于标准规范和检测认证

1、研究面向人工智能医疗器械的网络安全相关标准和可操作的测评规他及万法，研究相关标准规范，构建网络安全测试技术体系。

2． 对于医疗领域采用的重要系统与关键设备，应该实施例行的入网安全检测与认证，必要时进行全面的网络安全审看，以全面掌握其安全性状况。

3、通过安全检测与认证，建立统一的医疗行业网络安全成胁情报库和国家獺润信息共享平台CNVD。

二、关于安全检查和风险评估

1、上线前的风险评估：对于有联网（外）或入网（内）需求的医疗器械，须具备必要的网络安全风险防控能力。建议由行业主管部门统一组织或授权，针对安全防护措施对其进行上线前的风险评估。

2、运行中的安全检查：对已联网（外）或入网（内）的医疗器械，建议由行业主管部门统一组织或授权，对其开展不定期的远程遇检或现场检查，以全面掌握国家医疗器械的整体安全性状况。

评估要素

三、关于态势感知和预警

1、加强网络安全主动发现能力建设：通过在网络空间开展联网设备、组件及系统的探测发现，有助于我们提前发现幕露在互联网上的医疗器械及其组件。

2、加强网络安全监测预警能力建设：通过在互联网关键节点对医疗通信流量的监测分析，有助于及时发现医疗器械网络空间当前状态，并对下一步的发展态势快速预测。

“‘有些重发展轻安全、重建设轻防护；有的认为关起门来搞更安全，不愿立足开放环境搞安全；有的认为网络安全是中央的事、专业部门的事，同自己无关’这些看法都是不正确的。”邹潇湘总结到。

“要落实医疗器械网络防护责任，行业、企业作为运营者承担主体防护责任，主管部门履行好监管责任。针对‘云、管、端’暴露的问题，从医疗器械及其配套软件、智慧云平台系统安全和应用安全的角度出发设计，建立医疗器械安全防护技术体系，全面提升健康数据保护能力和安全威胁防御能力。”