2023-02-16-奇安信-网络安全行政执法案例集-医疗行业_21页_741kb

医疗卫生行业网络安全问题总结

根据奇安信行业安全研究中心报告，2022年12月发布的《医疗卫生行业网络安全行政执法案例集》，分析了2020年4月至2022年6月间政企机构的1000余起网络安全事故案例。以下是关键总结：

• 总体情况：网络安全事故多源于政企机构在建设、运维和管理上的疏失，如安全责任意识淡薄、等保落实不到位或内部人员问题，导致信息泄露、系统篡改等事件频发。这些事故影响公众利益、机构利益，并促使机构通过执法倒逼整改。

• 医疗卫生行业特点：行业系统老旧，网络安全意识薄弱，个人信息保护问题突出。典型案例涉及数据非法盗卖、系统入侵、内鬼事件等，造成严重后果。2020-2022年案例显示，非法获取数据、网页篡改和系统瘫痪事件占比较高，凸显行业高风险。

• 典型案例：

  • 2022年某机构公众号漏洞导致10万余条个人信息被黑客盗卖，涉案者被刑拘。
  • 2021年北京三甲医院挂号系统遭入侵，获利5000元，相关技术人员被逮捕。
  • 2021年医院前员工非法贩卖54亿条医疗数据，构成犯罪。
  • 2021年医院遭网络攻击致系统瘫痪，被责令改正并警告。
  • 2020年医院员工泄露确诊人员隐私，被行政处罚。
  • 2020年医院网站安装非法赌博程序，被警告罚款。

• 法律依据：事件涉及《中华人民共和国网络安全法》《刑法》和《治安管理处罚法》，强调机构需履行等级保护义务，防止数据泄露和非法访问。

• 教训：医疗卫生机构应加强安全管理，落实网络安全责任制，防范内部和外部威胁，提升实战化运营能力，以减少事故并通过执法案例实现自我改进。