医院网络安全如何保障？华为基于物联网打造正向建+反向查的“金刚罩”

随着物联网技术的日趋成熟和医院信息化建设的不断完善，建立具有安全态势感知的医疗物联网防护体系已成为智慧医院建设的标配。在医院物联网建设过程中，也面临着相应的风险和挑战，如何保障医院的网络安全从而保障医疗质量安全以及医院的安全运营，是医院物联网建设中必须全局考虑的首要因素。

近年来，医疗系统遭遇网络勒索攻击的事件时有发生，数据泄露也屡见不鲜。尤其是新冠肺炎疫情发生之后，医疗行业面临更为严峻的网络安全态势，针对医疗机构的网络攻击愈演愈烈，危害巨大，主要有以下两方面：

一方面是勒索攻击。医疗数据的高价值、医院网络的低防御使得医疗行业成为黑客最喜欢勒索攻击的目标。而医院受到勒索攻击之后，为了挽救患者的生命安全，往往会选择缴纳赎金，这让黑客对医院的勒索变本加厉。简而言之，医疗领域的物联网如果没有得到妥善保护，可能会直接危及患者的生命安全。

另一方面是数据泄露。医院患者数据价值巨大，如若被泄露到互联网上，病人的隐私将遭到严重侵犯。更严重的是，在疫情爆发之后，针对医院网络的攻击已经上升到国家安全层面。比如通过医院网络获取涉及国家安全的机密信息。

为什么物联网会成为医院网络安全的突破口？主要原因有如下几点：

面对这些威胁和风险，我们既不能因噎废食，避而不用，也不能放任黑客攻击肆掠。华为基于医院物联网的架构，融合自身网络安全实践，形成了完整的医院物联网“全域安全”体系。

从架构上来说，医院物联网由端、边、网、云四层组成，每一层都有不同的功能，同时也具备各自的安全防护能力。

“端”是物联网终端层，包括：医疗设备、智能监护设备、可穿戴医疗辅助设备等。为了实现医疗设备自动识别与接入，终端则需要提供设备的电子身份。

“边”是指边缘网关和感知接入层，向下联接医疗设备进行智能交互，向上联接通信网络，因此需要对回传数据提供IPsecVPN、MQTTover TLS等安全通信功能，保障数据的隐私性和完整性。

“网”是回传网络层，要保障物联数据高效、可靠、安全地传输，一方面在回传网络和平台层边界需部署安全的防火墙，实现对物联协议的异常识别、畸形报文防护等；另一方面网络层还需要支持物联协议和全量数据的安全加密。

最后是“云”平台层，也叫联接使能平台，负责管理整张物联网，实现一网到底的管理、运维和安全管控。其中安全管理主要是实现对全网安全威胁和异常网络流量的分析与监测，对威胁及时进行干预或者阻断隔离，从而保障整张物联网的安全环境。

要实现医院物联网的“全域安全”，不能靠盲目地堆砌安全设备，需要有明确的建设框架。华为的建设思路是“正向建+反向查”相结合。

正向建是指规划建设确定性的信任链传递机制，消除风险点。具体措施是：基于数字身份和信任评估框架，构建持续的信任评估机制，加强设备、人员入网身份安全验证，实现网络联接的确定性，避免不符合预期的流量，确保通信安全。

反向查则是持续监测业务变化和行为异常，及时遏制风险损失。首先是全域监测：查漏洞、查病毒、查缺陷、查攻击；其次是智能防御：基于AI的威胁关联检测，云地联邦学习，大幅提升威胁检出率，实现全面防御未知威胁；最后是一体安全：基础设施叠加一体安全，网络异常行为识别，云网端协同防护，提升网络韧性。最终构建成一个医院物联网三层安全模型，包括设备安全、联接安全、业务安全。

华为从这几个维度入手，进行了对应的实践。

设备安全是网络安全的基石，物联网终端设备往往算力有限，自身安全防护能力弱，容易被仿冒接入。因此，华为对智能终端实施强安全要求，基于终端白名单+证书的认证机制，对入网终端进行两次安全认证；对传感器、嵌入式哑终端等运算能力较弱的设备，基于网络的终端指纹检测技术结合业务管理员审核来实现准入管控。

联接安全则是物联网安全的保障，确保流量路径和流量行为的确定性。因此，医院物联网需要做到数据端到端加密安全传输，避免被窃听或被篡改；而安全建设的最终目标是业务安全，即实现业务的行为可预期、结果可验证，为医院业务构筑安全“白”环境。例如，实时医疗数据用于临床，需要精确溯源，从源头获取到数据是哪个设备、哪个患者，哪个时间的相关信息，实现临床业务数据可追溯；又如，华为方案会按需划分业务子网，实现业务隔离，满足最小授权访问的安全原则；数据行为还可以同步到安全云服务，进行AI威胁分析，对于潜在的安全风险和已发生的安全攻击，可以快速感知、快速识别、快速阻断。

基于医院物联网建设需求及对网络安全的高标准要求，华为联合物联网领域的合作伙伴，共同推出了基于华为AirEngineWi-Fi 6的医院物联网联合解决方案，方案具备安全、开放、融合、易管理的特点。

目前联合方案已在广东省第二人民医院、武汉亚洲心脏病医院等众多医疗机构成功应用。广东省第二人民医院选择与华为合作，建成Wi-Fi 6+物联融合感知网，实现医疗废弃物管理、智慧病房建设、平安医院建设、资产定位管理等业务智慧化；在网络建设中充分考虑物联网数据安全，融入医疗安全等保2.0要求。在武汉亚洲心脏病医院，全院覆盖华为AirEngineAP1400多个，物联网终端2000多个，在数据传递和共享的过程当中关注数据安全，同时实现有线、无线、IoT共用一张网，减少了故障点，简化了网络运维管理的工作量，极大降低了管理运维及建网成本。

华为数通产品线的愿景是打造无处不在的智能IP联接，将海量的数据和不竭的算力联接起来，释放出数据的红利和价值，加速千行百业的数字化转型和产业升级。

本文作者——华为数据通信行业首席规划师 管理

☜左右滑动下方图片☞

了解更多【华为中国政企业务】最新动态

你的每一次“在看”，我都看得见！

关注公众号：拾黑（shiheibook）了解更多

[广告]赞助链接：

四季很好，只要有你，文娱排行榜：https://www.yaopaiming.com/
让资讯触达的更精准有趣：https://www.0xu.cn/