在零氪五周年之际，我们采访了零氪安全团队负责人，张坤（ID:破天），在结识“破天”后，才正式了解这个行业，在此之前从未意识到守护生命竟能够成为这个行业坚守的理由。
在谈起为何选择零氪、选择健康医疗行业的时候，张坤举了一个残酷的例子，购物信息丢失，损失可能是金钱、隐私和你的好心情，健康医疗信息丢失，威胁的是生命。在零氪，安全团队的责任就是抵抗这种威胁生命的风险，不让信息安全事件成为压倒患者的最后一棵稻草。
生命时报此前的一项网络调查显示，78%的人在看病时更倾向于选择老医生，并非单纯因为年龄原因。而是潜意识里我们会认为，医生工作经历越长，所接触的临床病例越多，诊断经验就越丰富，治疗效果当然就更好。专家号一号难求，这种看病日常也是在侧面折射出普通用户的看病心态。
然而面对一线医疗工作者紧缺的现状，能真正称得上专家、经验丰富的医师又有多少？即便是专家也无法保证100%的准确判断。更关键的在于，全球共有约7000-8000种罕见病，准确诊断罕见病的医生可能比罕见病人还罕见。以家族性胆固醇血症（FH）为例，动脉粥样硬化和胆固醇增高在心内科临床非常常见，但其中一部分人，或许不是普通意义的胆固醇升高，他们可能是被误诊或漏诊的FH。据公开资料显示，FH在中国的发病率约为0.31%，患者人数约为600万，但诊断率却不足1%，临床治疗手段严重不足，缺乏患者管理和随访，单病种数据平台支持临床研究更无从提起。
基于医疗大数据的AI助理
熟读万卷书，翻阅千万病例资料的医学专家能有多少，即便如此面对庞大的医疗数据，人为所能接触到的依然全球医疗数据中零星。医生需要一个好的助手，能够源源不断吸收、提供有价值病例的数据库。顶尖的医师不足以分配到各线城市医院，但这个虚拟的助手医师可以。
医疗大数据（或者说健康大数据），早已经不是什么新鲜概念。其并非单纯指医疗数据量庞大，而是强调一种对这些健康数据进行专业化处理和再利用的手段。通常，医疗数据可以源于患者就医、临床科研、生命制药以及可穿戴设备等几个方面；精准利用医疗大数据能够在用药分析、病因分析、移动医疗、基因组学以及疾病预防等多个领域发挥重大价值。
简单来说，传统的医生凭借过往经验来诊断，而医疗大数据则可以为医生提供海量的数据支持，就像是把无数医师的诊断病历资料全部搬到你面前供你参考，这是一个从“经验决策”到“数据辅助决策”的过程。
医疗大数据，就可以很好的承担前面提到的虚拟助手医师的角色。通过大数据支持，能够有效改善医疗水平参差不齐的现状，尤其是在应对疑难病症的诊断上。
目前，美国拥有完整的医疗健康大数据库，建成覆盖本土的12个区域电子病历数据中心、9个医疗知识中心、8个医学影像与生物信息数据中心。相较之下，国内医疗大数据起步较晚，同时在医疗领域也缺乏高素质水平的技术人才队伍。
直至近些年，人工智能、大数据等技术热点得到越来越多的关注，开始出现部分企业投身到医疗大数据领域，以第三方技术服务者的身份提供支持，一定程度上缓解了这方面的专业人才缺失，也让国内大数据医疗在不断摸索中前进着。
零氪算是这批先行者之一，成立于2014年，专注于医疗大数据及人工智能的研发应用，以数字化、网络化、智能化作为工具和引擎，为医疗机构、行业监管部门、各级政府以及医药产业、保险机构等提供大数据和人工智能整体解决方案。
肿瘤大数据研究就是零氪科技的第一个切入点，零氪与国内数百家家综合及专科三甲医院合作，深度分析几百万分肿瘤病例，处理医学影像数据量超千万份，协助3万多名临床医生诊断。而在2016年开始，零氪Hubble智能随访系统对40万肿瘤患者开展全流程管理，对于患者的康复质量及术后生存率有显著提高。
医疗大数据的发展基础是要做到信息共享。北大肿瘤医院信息部主任衡反修曾指出：
“在数据共享开放过程中，技术、标准、机制、体制突破仍存在较大的障碍，造成各部门在推动过程当中‘不会’做。核心是数据能否做到安全可控，让医院放心。”
信息安全共享，保障数据安全当成为技术发展的前提。除了要保证数据不外泄，更要保证信息不被入侵者篡改，不论哪一种风险都可能给患者带来风险，甚至是威胁生命。
张坤认为，如果核心业务是西天取经，业务主体是唐僧，那么安全保障体系就是三位徒弟，各司其职，各有千秋！
而在医疗大数据的这批先行者当中，零氪科技可以说是为数不多的在信息安全上做足了功夫。零氪科技在提到医疗大数据行业发展时曾多次强调：
数据安全是这一切的基础。在数据的应用过程中更要严格遵守数据物理隔绝、访问权限控制、应用数据分层管理、患者知情授权等规范化路径。
FreeBuf 在对零氪安全团队进行采访的时间点，恰逢零氪科技以90多分的成绩和“优”的评级顺利通过网络安全等级保护制度2.0测评（以下简称等保2.0），据了解等保2.0要顺利通过并获得“优”评级可谓是难上加难，不仅要求企业得分不得少于90分，且231项测评内容不得有中高危风险方可获得“优”评级（分四级优良中差）。
医疗安全现状及企业内部安全建设
医疗数据的价值不言而喻，但这也让其成为了黑客的主要目标之一。根据美国卫生与人类服务部（HHS）一份报告估计，医疗数据在暗网上的平均售价高达250美元，最高可接近1000美元，远远高于信用卡在暗网的价值。
需要注意的是，黑客窃取医疗数据并非仅仅出于商业利益。2018年中，新加坡150万人医疗信息被盗，其中黑客重复访问了新加坡总理李显龙的个人资料和开药记录，显然这不是一次普通目的的网络攻击行动。
医疗机构频繁成为黑客攻击的目标，这在近几年愈发明显，一定程度上也是因为医疗行业安全建设整体水平偏低。整体来看，安全风险主要包含以下几类：
1.医院信息系统互联互通，面临来自外部的威胁；
2.医院拥有的患者信息、诊疗信息更加具有商业价值，渐渐得到灰色产业链的觊觎；
3.安全事件造成的损失以及医院信息系统恢复的成本激增；
4.缺乏安全技术人员以及安全管理制度；
5.面对外部网络威胁的恐慌，导致了医院信息化发展的裹足不前；
6.医改对医院信息共享、远程医疗协助的政策导向，延伸出的信息安全风险点；
7.安全意识的淡薄以及管理制度的不完善，面临着来自内部的人为失误或蓄意破坏、信息窃取。
8.僵木蠕等问题严峻,勒索病毒威胁严重；数据泄露事件高发，应用服务存在隐患；网站篡改手法多变,隐式植入非法信息。
频繁发生的安全事件，终于敲响了各行业的安全警钟，也得到了各行各业对安全的重视。医疗机构开始重视安全基础建设，接纳现有的安全服务、安全产品，也向安全市场发起了行业的安全挑战。尤其是在《网络安全法》、网络安全等级保护制度2.0等法律法规的发布，进一步督促各机构提升网络安全水平。
医疗机构安全建设存在一定的复杂性，信息系统的封闭性、应用间交互性、数据的多样性、导致健康医疗机构IT资产混乱；
其次，应用架构庞大、数据庞杂，相关人员无法系统的了解应用的架构、数据的类型、数据的级别和相对应的策略，系统间交互没有较好的权限控制和管理。
另一方面，人员安全意识较低、缺少安全队伍，缺少行业规范，国家法律法规也相对薄弱，导致安全能力和系统应用的能力不匹配。
然而，由于医疗机构数据有着自身行业的特性，量级大且涉及信息维度较多，国内并没有较为完善、符合行业特性和我国国情的规范、法律，业内仅有的参考标准是美国在1996年颁布的HIPAA法案。在此基础上，结合与多家医院合作的经验， 摸索出了一条符合国内医疗系统现状的安全体系。
记得跟张坤约这次采访，几乎是一拍即合。他坦言，国内网络安全发展进程才刚刚开始，在医疗领域更加的落后。而零氪这几年探索，在企业安全建设以及数据保护等重点方向积累了不少实践经验，与其自己保留，不如分享出来给大家做参考。踩过的坑尽量避免，做得好的地方可以借鉴，也希望能够和更多伙伴一起交流，这样才能让医疗大数据尽可能发挥更大正面价值。
说到企业安全建设，零氪安全团队对自研文件管理平台、自研风控平台、自研API鉴权管控平台等各类型管控措施、EDR、VDI、WAF、企业反病毒等基础防护能力如数家珍，据张坤介绍，零氪公司采取从上至下的安全建设模式，从团队组建、安全框架、技术及合规等方面逐一实施：
安全团队
精兵悍将的原则，在精不在多，多位来自金融等行业具有十年+的安全从业经验的人员打造了零氪的安全团队。
安全框架
由安全策略方针、安全组织架构、安全技术体系、安全合规体系、数据安全体系、人员安全管理、外部安全管理等方面构成。
技术方向
了解健康医疗行业的特性，建设一套符合医疗行业特性的安全技术体系，并了解最新安全技术和安全风险，为技术体系的进化提供能量。
安全合规
已取得网络安全等级保护三级认证资质、ISO9001、ISO27001、ISO20000-1等，并定期进行外部审计。在此基础上持续关注国内外法律法规和安全规范例如网络安全法、网络安全等级保护制度2.0、云安全、app安全、个人隐私保护规定等。
数据安全管理体系建设
作为一家以医疗大数据为核心的企业，数据安全则是重中之重。医疗数据在传输、访问以及存储等各个方面都可能存在安全隐患，HIPAA对此也做了非常严格的要求。据了解，零氪建立了完整的安全培训体系，包含新员工安全培训、全员安全意识培训、技术人员安全技能培训和专项安全培训，而学习HIPAA法案，这是每一个新员工必学、必考、必过课程。
提升员工的整体的安全意识，这是零氪科技在构建信息系统和管理流程的第一步。在参考HIPAA的基础上，建立一套完善的数据安全生命周期管理体系，保护数据采集安全、数据传输安全、数据存储安全、数据处理安全、数据访问安全、数据备份和恢复管理、协作共享安全。
任何安全建设都需要长期的优化过程以适应多变的实践环境，随着网络安全法、GDPR、等保2.0等国内外相关法律的逐渐推进，零氪内部会首先对可行性、适用性进行调研，拿等保2.0来说，零氪科技内部进行多次测评项的调研，梳理测评内容和企业现状，率先进行内容的改善和建设。
通过对比等保1.0和等保2.0的差异化，对等保2.0提出的边界防护、可信验证、访问控制、身份鉴别、入侵防范、数据分级分类、数据脱敏、数据备份恢复、个人信息保护、数据保密性以及安全审计、安全管理、安全策略和集中管控、审计管理等安全通用要求进行学习、调研和优化建设，并对等保2.0提出的云计算平台、大数据平台、工控系统、物联网系统的安全扩展要求进行学习，经过公司各部门同事一起努力，最终零氪成为国内首批获得“优”评级并获得九十多分的高分的企业
零氪科技的实践除了赋能自身业务的健康开展，也得到了行业内的认可。2018年底，联合清华大学等多家高校及医疗机构推进了《信息安全技术 健康医疗信息安全指南》的制定，对个人健康医疗信息在常见应用场景中的保护，提出了可参考可实现的安全措施。
而在人工智能、5G、云计算等技术的飞速发展，对于未来趋势的关注是任何一个安全负责人都在考虑的问题。张坤透露，AI安全等已经在内部进行调研、测试；与此同时，在保证合规、可行的前提下也会尝试使用UEBA、零信任等架构来提升对抗细粒度和准确性，同时会探索大数据、AI为安全能力赋能的实现，来提升自身安全能力。
结语
零氪科技技术总监杨浩说：“我们打造了零氪的安全技术体系，探索了行业最佳实践，在此基础上，我们总结出了一套行之有效的适合医疗行业的安全体系。这样的安全能力和保障体系，不仅用在企业内部，也会对行业赋能。 为医院、制药工业企业及健康医疗行业输出我们的安全能力，为需要高水平的信息安全保障体系的合作伙伴奉献我们的能力和价值，也是我们心中的使命和责任。”
正是在这种观点影响下，现在零氪安全团队愿意与业界分享关于零氪医疗大数据领域信息安全的见解、经验和成绩，希望能够为这个领域的发展贡献一些绵薄之力。“零氪的使命是激活数据智能，让人人皆可享有精准的医疗服务。我们所负责的信息安全工作，就是关乎到生命的。对此，我们心怀敬畏，不敢不努力，没法不竭尽全力。 ”
张坤坦言，进入零氪所在的医疗领域，他经历了很多：从金融到医疗，信息安全行业十年的磨炼，除了技术能力和专业见识，更重要的是使命感越来越强烈地驱动他前行。希望衡量安全工作价值的不只是漏洞修复率、攻击识别和抵抗率，安全事件数量、监管通报、甚至黑市相关信息价格的浮动。
信息安全永远没有100%的事情，所以他永远都会探索可以做更好、做更多的前进方向。Care Data ，Care Life是零氪肩负的使命和追求的目标 ，对安全团队而言职责和使命就是用More Care Security，去保障从care data到care life的实践之路，安全无虞。
*本文作者：shidongqi，转载请注明来自FreeBuf.COM
来源：freebuf.com 2019-11-25 12:30:55 by: shidongqi
请登录后发表评论
注册