ENISA发布医疗云系统服务的安全报告

文| 刘耀华 信通院互联网法律研究中心研究员

2021年1月21日，欧盟网络安全委员会ENISA发布了关于医疗云系统服务的安全报告，该报告为医疗组织提供了网络安全指南，以进一步利用云服务进行数字化，目的是帮助医疗机构安全地采用云服务并为网络安全挑战做准备。

背景

医疗保健行业正在经历数字化过程，并不断采用新技术改善对患者的护理，提供致力于帮助患者在家护理的新服务，并达到卓越的运营水平。将新技术集成到已非常复杂的IT基础架构中，给数据保护和网络安全带来了新的挑战。此外，COVID-19持续大流行，进一步增加了不法分子对网络医疗保健的攻击。典型的例子如网络钓鱼攻击，其目的是收集医疗保健专业人员的客户协议，以及推出针对医院和其他医疗保健组织（HCO）的勒索软件。

同时，这种系统在一些国家由于所需成本甚高无法普遍使用，并且目前存在的新冠疫情蔓延的风险又对这种系统提出了需求，在这种情况和矛盾下，云解决方案为部署新服务（包括“虚拟”健康和远程医疗）提供了弹性和快速访问的能力。

本研究旨在为医疗保健行业提供云安全实践，并为医疗保健行业购买云服务时确定需要考虑的安全方面，包括相关的数据保护。这套常规实践旨在帮助医疗保健安全环境中的IT专业人员在选择和部署适当的技术和组织措施的同时，建立和维护云服务、云系统的安全性。本报告的范围还涵盖了对与医疗保健行业中云服务相关的安全和数据保护要求的威胁和风险的识别，同时，包括介绍具有信息性和面向实践的用例，并对相关威胁和云安全措施进行分析。

该研究得出的总体结论是，欧盟医疗行业中的云系统仍处于起步阶段。一些医疗机构不愿采用云服务，因为它们受到繁多和复杂的法律规定以及新技术的挑战。一些医疗机构使用PaaS，通过网络应用程序将医疗设备与互联网应用程序连接，可以远程监控患者，或者使用SaaS进行文档记录并安排医患咨询。一些国家正开始组建政府云系统（G-Cloud）来满足此类需求。此外，还有各种政府管理的服务，例如电子处方和电子健康记录，这些服务运行基于政府拥有的资源，如私有云系统、国有数据中心和云系统。

该研究围绕三个用例展开，这三个用例是运用云系统或将来运用云系统的典型用例，即电子健康记录、远程护理和医疗设备。报告中一一列出与确保云系统安全相关的17种安全和数据保护措施，并根据用例进行了评估。

具体内容

医疗保健行业是最容易受到网络攻击的行业之一。同时，医疗保健领域的数字化不断向前发展，数字化解决方案或电子记录不断取代纸质流程。这种转型将影响整个医疗保健交付链中的服务，即药物治疗、预约日程、患者记录、住院、门诊护理以及住院的远程监控或自我管理。

数字化提供了新的解决方案，可以改善患者护理，医疗保健机构也可以取得良好运营。用于医疗保健服务的云解决方案为提高运营效率、降低IT支出成本以及改善网络安全性和数据保护提供了绝佳机会。这是因为云服务提供商拥有人员、技术知识和财务手段等资源，可以不断改善网络安全性和数据保护。但这些因素有时也可能阻碍医疗保健机构在数据保护、网络安全方面的进步。

COVID-19大流行已经推动云技术在医疗保健领域（尤其是在远程医疗领域）的使用，特别是在患者进行远程咨询和用于分类的人工智能方面。云计算服务在医疗保健领域的进一步集成也引发了对安全性和数据保护的担忧。因此，此报告旨在帮助确保医疗保健的云安全性。

本报告的总体目标是为目标受众提供一系列指导，确保其采购云服务、提供医疗服务时的网络安全性和个人数据处理的安全性，以及对相应职责进行清楚理解。本报告旨在概述与医疗保健领域云服务相关的欧盟立法概况，以及医疗行业云系统客户面临的与个人数据处理安全性相关的主要网络安全问题和数据保护挑战。

本报告研究范围是支持更广泛的建立电子健康生态系统的云服务，例如，医疗保健服务及设施、医疗设备仪器、医疗服务或托管护理。不限于特定的云体系结构，也不限于部署或服务模型。该研究通过分析三个代表性用例——电子健康记录、远程护理和医疗设备，着重分析相关威胁、措施和责任。

针对医疗保健服务的云安全性准则主要针对云客户，例如医疗保健机构或医疗设备制造商，故本研究以欧盟和欧洲自由贸易协会（EFTA）成员国为中心。

本研究旨在确保医疗服务的云安全性，目标受众是对在医疗领域使用云技术感兴趣的任何人。主要受众是关注医疗保健领域的云客户，例如：IT健康专业人员（CISO，CIO，IT采购专家和负责购买云服务的IT团队）；担任管理职位并寻求有关是否购买云服务的建议的医疗保健专业人员。该报告对医疗设备制造商以及政策制定者和云服务提供商的IT专业人员可能有用。

云医疗管理服务

（一）政策文件

立法在定义网络安全要求以及采用网络安全和数据保护相关措施方面起着重要作用。就医疗保健和云计算而言，成员国或欧洲级别的政策前景仍处于发展的早期阶段。很少有成员国拥有专门针对医疗保健行业云系统相关的指南，实践中如果有云安全指南，将适用于所有核心部门，但所有成员国都认为医疗保健是至关重要的部门。

根据资料研究和专家访谈得出的一般结论表明，成员国针对医疗保健活动制定了专门的法规（不一定涵盖网络安全），并且在某些情况下，他们采用了云计算的网络安全指南，但没有关于医疗保健云系统特定法规的案例。这对医疗保健行业评估至关重要，因此该行业应当需要遵守整体网络安全法规和指南。

同时，在采购云服务时，明确要求遵守哪个成员国或欧洲的法规非常关键。某些医疗保健服务（例如电子医疗记录）有单独的法律，其中规定了安全性和数据保护要求。但在某种程度上，一般做法是重叠和一致的。

下图描述了有关云安全和医疗保健的立法情况。从法律要求的角度，我们评估了四个与主题相关的维度：隐私、网络安全、云安全和医疗保健。

1、网络信息安全指令（NISD）

于2018年5月生效的网络信息安全指令（NISD 2016/1148 / EU）具有两个主要目标：实施最低安全要求以及为基本服务运营商和数字服务提供商双方建立网络安全体系。在大多数成员国中，医疗保健提供者（即医院）被确定为基本服务运营商。同时，云服务提供商被认为是数字服务提供商。因此，这两种类型的组织在签订云服务时都必须考虑该指令和相关国家的法律。

该指令超越了安全要求的实施范围，因为它赋予监管机构权力，可以审核基本服务运营商，以确保组织中的网络安全级别是可接受的，并且要符合该指令的规定。同时，该指令提供了范围广泛的服务，这些服务涵盖了指定的重要部门。在医疗保健生态系统中，这可以转换为所有产品的网络安全要求，因此在采购过程中应将此规定包括在内。

对于数字服务提供商而言，由于指令具有一定程度的灵活性，因此应由成员国决定网络安全措施的细则。对于提供给基本医疗保健服务运营商的云服务而言，双方需要在达成合同协议之前就如何满足法律要求达成协议。

2、通用数据保护条例（GDPR）

GDPR于2018年5月25日生效。该条例规定了处理和自由转移个人数据的规则，并适用于公共和私营部门的所有领域；但是，与健康有关的数据进行了一定的保留，目的是保护数据主体的权利及其个人健康数据的机密性，同时保留数据处理对研究和公共卫生目的的益处。

GDPR将健康数据视为个人数据的“特殊类别”，这些数据被认为具有敏感性质，并对其处理施加了更高的保护标准。处理健康数据的机构（数据控制者）（除其他事项外）具有以下义务：

Ÿ 实施适当的技术和组织措施，以确保处理系统、服务和个人数据的安全；

Ÿ 进行数据保护影响评估；

Ÿ 在个人意识到的72h以内，报告可能会损害其权利和自由的数据泄露。

GDPR还将欧盟数据保护法要求的适用范围扩展到了数据处理者。这意味着，代表数据控制者的云服务提供者，作为数据处理者，有和数据控制者不尽相同的义务。

3、非管理性指南

在采用GDPR之前，欧洲数据保护主管（EDPS）在2012年发布了有关使用云计算的意见，并提供了指导，指出了数据保护的安全措施，也共享了有关数据处理者和数据控制者之间责任的考虑因素。这也可以用作医疗保健行业云安全要求的基础。

2015年，JASEHN（the Joint Action to Support the eHealth Network）发布了一份报告，内容涉及在医疗保健领域使用云计算，主要侧重于健康数据的二次使用，此外还解释了基于服务模型（IaaS，PaaS，SaaS等） HCO和CSP之间的责任转移。

2018年，欧洲数据保护委员会（EDPB）和欧洲数据保护主管（EDPS）发布了专门针对医疗保健的意见，即根据《患者跨境医疗保健权利指令》编制的《针对电子健康数字服务基础的数据保护》。此外，意见包括要求信息交换更加安全（即加密）、数据存储安全性要求以及作为数据处理者的电子计算机（EC）必须阐明处理的规则。

（二）医疗管理中的云服务

在医疗保健领域，存在针对不同医疗保健服务的云解决方案，并且其数量正在不断增加。这些解决方案可能采用不同的云服务类型（例如SaaS，PaaS等）或云配置模型。以下描述主要集中于现有云服务所支持的功能和服务的类型，而不是配置模型和相关架构。

表格2：已确定的用于医疗保健系统的云解决方案（非详尽概述）

云医疗管理方面的网络安全因素

（一）医疗管理云系统的安全挑战

1、缺乏对云解决方案的信任：总体而言，医疗保健领域的利益相关者（患者，医生，医护人员和医疗组织管理）表示对云解决方案的信任明显不足。但由于患者和医生之间已有信任关系，患者对医疗数据存储在云服务提供商设备上，对于数据保护和网络安全的担忧通常会减少。就医务人员而言，他们往往不太了解网络安全和数据保护。因此，提高对安全相关主题的认识并培训新的身份验证或标识技术是一个挑战。此外，人力资源并不一定需要了解安全性和技术，但是，他们应该在专业知识方面了解云提供商的产品。如果没有培训和教育，则更容易发生人为错误和社会工程攻击。

2、缺乏安全和技术专业知识：将整个IT基础架构或单个服务从站点迁移到云，需要人力资源，他们需要了解云技术以及相关的安全和数据保护方面的知识。这些知识要求可能不会由负责现场基础结构的同一IT人员所了解，并最终导致工作终止。在这种情况下，从云系统迁移回现场基础架构可能更具挑战性。此外，医疗保健行业对云安全专家的需求大于现有人数，从而阻碍了云计算的发展。

3、网络安全投资不是优先事项：医疗保健组织的管理支持或公共融资受到限制，导致财政支持减少，从而无法进一步促进数字化并提高医疗保健行业的网络安全性和数据保护的成熟度。

4、证明云服务提供商的合规：在某些情况下，云客户难以确定哪个云服务提供商符合其法律要求，这有时会限制其选择与哪家协作。云客户可能或仅在拥有大量财务资源的情况下才能评估云系统的合理性。但是，许多云服务提供商通过其合规性网站公开提供此功能，并且通常由独立的第三方提供支持，甚至有时还可以通过政府认证或保证计划进行备份。另一方面，当涉及医疗保健相关数据时，监管要求非常复杂，以至于云服务提供商甚至不在其业务模型中包括医疗保健行业客户。

5、云系统与遗留系统集成的难题：将云解决方案与现有的医疗保健组织基础架构进行集成，或者将内部和跨边界的多个设备连接在一起，将带来巨大的挑战，甚至导致无法使用云服务。此外，在大多数情况下，旧系统是医疗IT基础架构的一部分。这些系统不受供应商更新的支持，这使得与新技术的集成和互操作性变得复杂。因此，这使这些系统容易受到网络安全攻击。

（二）云系统的数据保护问题

1、通过设计技术保护隐私：医疗保健提供商需要了解云服务提供商在开发和配置服务时是否遵循了隐私保护设计的方法（包括政策和措施）。GDPR引入了一项法律要求，即隐私保护设计，并且在默认情况下，数据控制者和数据处理者都对隐私进行了规定。提到的一些技术是最小化加工处理个人数据、尽可能匿名化个人数据、个人数据功能及处理的透明化，这可以使数据主体能够监控数据加工，使得数据控制者创造并提升安全性能。这些方法和策略可以通过使用特定的技术和策略来实现，例如身份验证、特性信用证、安全私人通信、匿名化和假名化、数据披露控制、隐私保护计算等。

2、数据管理：作为授权方的医疗机构（在获得同意后）收集、构建和管理患者数据。在某些情况下，信息会自动传输到云端（即从医疗设备）或由委托方（即执业医生）输入。根据云服务类型，输入信息可能由其他参与者创建，从而使信息的准确性成为一个重要问题。即使由第三方执行，也应有确保数据准确性的控制措施。机构需要建立自己的数据治理模型或框架，以了解哪种数据最敏感，然后应用所需的控制级别。另一个要考虑的问题是互操作性，特别是对于医疗保健行业。在该行业中，云计算因其灵活的服务范围有许多好处。

3、数据删除：在保留时间结束后，能够删除数据非常重要，因为保留时间已到，并且要按照数据主体的要求，不能出现不合理的迟延。数据主体可以使用在GDPR中可预见的理由之一来证实其请求。例如，当数据不再是最初目的所必须的或数据主体撤回同意时。云服务提供商已部分解决了识别信息块（数据标记）的存储区域的问题。但是，有效删除数据仍然是一项技术挑战。

4、数据可移植性：这一挑战与供应商锁定密切相关，而供应商锁定是有关云计算的最常见风险。从一个提供者到另一提供者的大数据，不会因他们的要求而造成损失。医疗保健行业已经制定了某些标准（例如HL7）以确保互操作性，从而确保可移植性。

5、加密：最重要且同时最难实施的措施之一是加密。确保保密性和完整性非常重要，但是必须将其应用于数据传输和存储的所有不同渠道。加密措施需要在客户端和服务器级别以及连接它们的通道中实现。然后，责任既在云客户中，又在云服务提供商中。从技术和法律角度来看，这具有巨大的意义。同时，很少有客户将全部控制权交给提供商，与其共享加密密钥。

分析

COVID-19持续大流行进一步凸显了某些医疗服务的重要性，这些服务可能会因迁移到云系统而受益匪浅。云服务可以为医疗保健机构带来网络安全、经济和效率优势。此外，远程医疗、电子病历和医疗设备等服务的可用性、可扩展性和可靠性方面正在作出进一步改进和完善。但是，医疗保健行业中采用云服务的水平仍然很低，并且通常仅限于管理流程。造成这种情况的因素很多，包括对云服务的信任度不足、缺乏专业知识、合规性要求，尤其是与数据保护有关的合规性要求等等。下一步，相关机构可按照ENISA的报告中提出的要求和相关的范例改进云服务相关措施，促进云服务在医疗领域的使用。

声明：本文来自CAICT互联网法律研究中心，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。