三个皮匠微信公众号每天给您带来最全最新各类数据研究报告

国家高度重视“互联网+医疗健康”工作，近年来出台了一系列政策推动其发展。移动互联网医疗的出现，提升了患者就诊方便性和就医及时性。移动互联网医疗通过移动终端或互联网提供医疗健康服务，由于移动终端应用安全保障机制和系统纵深防御不足，导致其面临新的安全风险挑战。 

本白皮书通过分析移动互联网医疗安全风险现状及成因，结合实际应用，提出建立针对移动互联网医疗应用的安全风险监控技术模型和管理机制。倡议成立安全风控联盟，形成政府监管、行业自律、机构自治的三重安全防线。 

移动互联网医疗四类安全风险日渐严峻 

随着 5G的持续推进和移动智能终端设备的深化应用，越来越多的生活服务类数据通过移动应用涌入移动互联网。工信部发布的中国互联网市场移动应用相关报告中指出，截至2018 年，我国移动市场共检测到移动应用 449万款，净增数量 42万款。 

作为与公民密切相关的互联网医疗服务发展尤其迅速，各大医院都推出了各自的移动医疗 App，许多第三方机构更是把握市场方向，建立医院、医生和患者三者撮合的第三方移动医疗 App 平台，为公众提供寻医问诊、预约挂号、购买医药产品及查询专业信息等服务，当前市场上已有 2 万多款移动医疗 App 提供医疗相关服务。 

在新型冠状病毒肺炎疫情影响下及近年来国家对“互联网+ 医疗健康”的鼓励支持下，可以预见移动互联网医疗业务呈蓬勃发展之势。同时，移动互联网医疗应用安全风险也呈现着增加趋势。主要表现在以下四个方面： 

系统安全风险日益增加 

由于移动互联网医疗数据中包含患者姓名、年龄、居住地址、电话、银行账户、诊断、检验报告、用药记录、病史等个人敏感信息，蕴含重要财富价值，移动互联网医疗系统成为不法份子所觑视的重要目标，黑客可通过后台系统漏洞进行攻击从而获得大量的医疗健康数据。 

医疗健康行业联网系统高危漏洞需要警惕。根据国家互联网应急中心发布的《2019 年我国互联网网络安全态势综述》报告显示，医疗健康行业存在高危漏洞的联网系统数量最多，安全风险较高。

据《2019 医疗健康行业网络安全观测报告》统计数据显示，在被调查的医疗健康行业 15339 家单位中，网络资产评估具有脆弱性的有9523家，应用服务端口暴露在公共互联网的有6446家，网站存在安全隐患的有 4546家。 

互联网医疗网站被篡改现象依然突出。移动互联网医疗应用通常通过互联网网站提供医疗服务或进行系统管理。根据中国互联网信息中心发布的《第44次中国互联网网络发展状况统计报告》统计数据，2019 年上半年国家计算机网络应急技术处理协调中心监测发现并协调处置我国境内被篡改的网站近 4万个。根据《2019 医疗健康行业网络安全观测报告》统计数据，有4546 家单位网站存在安全隐患,其中 261 家单位的网站发现被恶意篡改。 

App 漏洞和第三方 SDK 漏洞成为移动医疗领域的主要安全隐患。根据《2019医疗健康行业移动 App安全观测报告》统计，88.83%的医疗健康行业 App 存在高危漏洞。攻击者可利用漏洞对 App 进行仿冒、植入恶意程序、非法窃取个人敏感信息等。 

医疗健康行业的机构为了给公众提供更多的便民服务，在App中集成了第三方 SDK。据爱加密2019年发布的《全国移动应用 SDK市场占有率分析报告》显示，有 25.58%的医疗健康行业 App 引入了第三方 SDK，高于全行业平均水平，平均每款 App 引入了 2.5个 SDK，同时也指出超过 60%的 SDK含有多种漏洞。 

应用渠道安全风险不可忽视 

移动互联网医疗应用渠道主要分为两类：一类是PC端互联网门户网站，另一类是移动客户端软件下载渠道。 

钓鱼网站威胁移动互联网医疗安全。2018 年 8 月 21 日，奥古斯塔大学医疗中心遭遇了网络钓鱼攻击，导致约41.7 万份记录遭泄露。遭泄露的数据包含患者个人信息以及他们的医疗健康记录、财务记录和社会安全号码。新冠疫情的爆发引发了网络钓鱼和恶意软件攻击的新潮流，不良行为者希望以此流行病为诱饵进行攻击。根据 Checkpoint 的研究，全球超过 4000个与冠状病毒相关的域名中，3%是恶意域名，5%是非常可疑域名。 

移动客户端软件仿冒带来敏感信息泄露问题。由于下载渠道的多样性，以及渠道对移动客户端软件的管理、技术检测等手段的不足，使得具有钓鱼目的、欺诈行为的移动客户端软件仿冒成为不法者的工具。患者和医生使用仿冒或被篡改的移动客户端软件后，其个人医疗信息和金融信息将被不法之徒获取，给患者和医生带来安全和财产风险。随着移动医疗应用的加速普及，该威胁愈发突出。 

违法违规收集使用个人信息问题日益凸显 

在中央网信办、工信部、公安部、市场监管总局四部委 2019年开展的 App 违法违规收集使用个人信息专项治理行动中发现移动医疗 App 存在违规收集个人隐私信息行为，如读取用户联系人数据、读取用户日历信息、读取用户短信内容、允许应用发送短信/彩信导致意外收费、允许应用程序录制音频等超范围收集用户信息的情况，部分存在无用户协议和隐私政策。据爱加密发布的2019 年《全国移动 App 安全性研究报告》，70%以上的 App 存在违规收集个人隐私信息的行为。 

数据泄露事件频发，影响程度加剧 

由于很多移动互联网医疗运营机构在安全保障和健康医疗据生命周期管理措施不足，运行在互联网上的移动互联网医疗系统成为黑客攻击的主要目标。根据国外医疗健康分析公司发布的医疗行业数据安全报告显示，2019 年较上一年针对医疗行业黑客攻击事件猛增了 48%，受影响的患者数量较上一年增长了两倍，影响范围和程度均加剧。 （关注公众号“三个皮匠”，获取最新行业报告资讯）

点击下载全文