安全是医院的生命线，信息化建设是推动医院前进的有力支撑，然而新技术与新威胁同步“兴起”，对抗各类威胁、保障这一生命线，成为医院信息化建设的重要任务。2018年1月26日~27日，由辽宁省医院协会主办、中国医科大学附属盛京医院承办的“汇溪湖2018医院信息化论坛：安全是信息化的生命”召开，400多位来自全国各地的参会代表齐聚汇溪湖，探讨安全，探索“对抗”的魅力。

　　毫不意外，汇溪湖2018医院信息化论坛的主题依旧是“安全”，且今年的主题更高调——安全是信息化的生命，今年讨论的话题更具体、深入——从IT基础设施安全设计与建设，到信息化促进医疗安全，从医疗大数据安全探讨，到物联网与后勤安全建设，涵盖了医院安全建设的几乎所有方面。会议主论坛邀请了多位跨界专家分享安全建设理念及实践，本文仅取精彩观点一二，同读者分享。

　　“对信息安全多重视都不为过。” 长期从事部队信息保密工作的保密安全专家赵曲认为，信息安全涉及了信息的保密性、可用性、完整性、可控性，综合而言，信息安全就是要保障信息的有效性。狭义来说，网络安全涉及硬件、软件、数据，从广义上来讲，网络安全还包括网络物理性安全，它是信息安全的子集。数据安全相对于信息安全这个概念来说，是一个更精准的概念。

　　赵曲回溯了信息安全的发展历程：认为可以划分为四代。

• 第一代：近场时代。这一时代以窃听器为主，离得很近才能听到“秘密”；

• 第二代，网络时代。窃密者通过计算机、网络等载体获取信息、致瘫系统；

• 第三代，移动互联时代。智能手机大量出现，所有活动开始围绕智能手机高发；

• 第四代，智能时代。这是进入智能时代以后信息安全必然会面临的阶段，人工智能、大数据、机器学习、物联网带来的安全威胁，如2017年5月12日爆发的勒索软件事件。

　　赵曲认为，四个时代顺势发展、螺旋上升，新手段产生以后，旧手段并没有被替代，而是被更新升级。

　　2017年是值得格外关注的一年，诞生了不少值得关注的事件：

　　来自招商银行总行的信息安全专家万雪林在演讲中提出，目前信息安全形势有三个突出特征：一是攻击常态化、攻击面扩大，“云大物移智”等新技术应用带来更多业务场景，大幅度增加了组织机构的受攻击面；二是云计算、Wi-Fi、移动互联网、远程办公等带来的“网络无边界”；三是近期攻击体出现的一个显著特征，即“军火”民用化、攻击组织化，这种形式下的攻击更加常态化、专业化、精细化。

　　医疗领域的信息化安全建设方兴未艾，云计算、大数据、专家系统、移动医疗、智能设备等带来的新挑战不容小视。

　　“在金融领域练就高超本领的黑客，纷纷转向医疗领域。”赵曲谈到，分类良好的医疗行业数据很容易被攻击，越来越多的物联网设备和云服务也正在变成与安全“针锋相对”的隐忧。“医疗机构很严重的安全风险是来自内部的，医疗行业极度缺失专业网络安全人员，医院的计算机化设备因未打补丁而容易感染恶意程序，大部分医疗组织和机构的安全保障和风险管理措施还比较落后。”

　　2014年，Garter提出自适应安全架构理念以应对安全新趋势，这一理念认为，安全是一个持续处理的循环过程，而不是“一锤子买卖”。自适应安全框架从预测、防御、检测、响应四个维度出发，强调安全防护是一个持续处理的、循环的过程，细粒度、多角度、持续化地对安全威胁进行实时动态分析，自动适应不断变化的网络和威胁环境，并不断优化自身安全防御机制。

　　万雪林介绍了招商银行数据中心的五大安全理念。

理念一：    攻击一定会发生，而且网络攻击会越来越常态化、专业化，每一次黑天鹅事件背后隐藏着灰犀牛；

理念二：    对手已经从黑客扩展到异常员工、第三方、黑客集团，甚至国家级；在招商银行的安全定位中，对抗定位主要在异常员工、第三方、黑客集团，个人黑客是日常工作中的主要对抗者。

理念三：    攻击渠道覆盖所有暴露的攻击面，包括各种终端、渠道、设备、系统、应用、服务、第三方、员工等；

理念四：    漏洞一定是存在的，并且可能覆盖所有攻击面，所以“御敌国门之外”很难实现；

理念五：    网络攻防说到底是信息和人的对抗，数据行为分析是主战场，另外，欺骗对欺骗也是一种特殊手段。

　　基于自适应安全架构，招商银行从过去单纯强调防御，转变为从防御维度、检测维度、响应维度、预测维度四个维度出发，综合强调各大能力，且各有侧重：防御能力以降低最小攻击范围为核心，检测能力以降低攻击发现时间为核心，响应能力以降低攻击持续时间和强度为核心，预测能力以情报覆盖使用度为核心。基于四大能力，招商银行建设了策略标准、签名特征、威胁情报、漏洞检测、安全验证、安全技能六大自适应安全架构支撑体系。万雪林重点介绍了威胁情报体系建设：一方面通过情报共享能够使企业从“单打独斗”升级为“集体作战”，另一方面，情报可以与防御、检测、响应彼此配合，提升综合能力，此外，情报中心汇集了多方情报，可以有效提升全路径响应能力。

　　“无论思路多清晰、技术多前沿，没有安全都是空谈。”正如赵曲在演讲中所说，就信息化建设而言，安全应该是一切便民应用合理化、合规化、合法化的基础。

　　辽宁省医院协会会长、中国医科大学附属盛京医院院长郭启勇对安全的重视贯穿在他所有的管理理念与决策中。在“基于信息化的安全医院建设”的演讲中，郭启勇从管理角度提出：“很多安全威胁可以通过信息化来做好预防，做好质控。”

　　安全是医院管理的重中之重，郭启勇重视信息化建设，但前提和目的均围绕“安全”。他认为，要从四个角度做好医院安全建设，一是医疗安全，二是信息安全，三是后勤保障安全，四是无法有效纳入监控、容易给患者安全带来隐患的威胁。

　　围绕这四个角度，郭启勇如数家珍地畅谈盛京医院进行的信息化建设现状，详细介绍了如围手术期管理、用血闭环管理、网络安全架构、人员保障机制、BIM系统建设等，对于第四类，即“潜在安全威胁”类，医院的“随手拍”这一小应用起到了大作用（见下图），任何人在任何情况下，发现有需要改进的问题，可以通过“随手拍”上传照片，并将改进意见推送到相应职能部门，“这也是医院全员保障安全的有效措施。”郭启勇认为，“安全对于医院来说，远远超过任何事，刚刚过去的2017年，我们医院文化建设的主题词是‘安全’，这件事会越来越重要。”

　　 “无危则安，无缺则全”，这就是安全。安全管理的背后隐藏着医院的管理思路。多维度IT技术的保障、法律意识的加强、全员的共同参与，这是郭启勇“对抗”安全威胁的管理理念。

　　沈阳市大数据管理局副局长姚羽认为，传统IT系统安全面临四个挑战：一是网络的互联、开放性带来的用户行为难识别，二是资源的分布、虚拟化带来业务风险复杂化，三是终端的移动和多元化带来的终端来源不可控，四是数据的集中和巨量化带来信息泄露途径多。 

　　新挑战对传统安全体系的改进提出了需求，传统信息安全防护体系已经无法满足信息安全防护，需要以互联网的技术和思路，以技术升级带来治理转型，协同传统防护发挥更大的作用。姚羽从智慧社会与网络安全的角度提出，IT系统是智慧社会的重要基础设施，IT系统安全关系到国家安全，大数据、人工智能是保障IT系统网络安全的手段。

　　“依据本地数据研究安全策略就像是在一片森林中研究一片叶子，价值是有限的。”姚羽认为，通过多维度大数据驱动安全研究，才可以研究、监控整片“森林”。

　　新的安全体系建设需要站在IT系统全局的高度建立安全工作推动机制，需要有一个安全的“大脑”全面感知、统一协调各个层面的安全产品应对已知和未知的威胁，因此，姚羽倾向于通过大数据实现IT系统网络安全的保障，建议以安全大数据中心为支撑，以购买服务方式为实施路径，以网络安全态势感知和安全大数据可视化为手段，建立完整的IT系统网络安全保障技术体系。

　　借用部队保密专家赵曲的一句话来结束本文：有多少繁花满枝，就有多少秋叶零落。有多少安全便利，就有多少安全隐忧。不论是哪个行业，信息安全在保全信息、避免泄露上的本质是一样的，信息安全建设也始终面临着对抗外来风险的压力，随着数据时代、智能时代的到来，这一压力会越来越大，然而这或许也是一种魅力——对抗与威胁共生，才能推动安全建设向前实质推进。