株洲新闻网

首页 > 正文

从Verizon数据泄露报告看医疗行业数据安全

www.xahq.cn2019-08-27

我想在4天前分享商业电信

美国电信巨头Verizon每年都会发布年度数据泄露报告(DBIR)。 Verizon不仅结合了多个合作伙伴的数据分析,还使用严格的数据驱动方法来分析安全漏洞和事件。经过10年的持续发布,DBIR报告已成为安全行业的重量级调查报告,值得安全从业人员仔细研究。

首先,医疗行业数据泄漏排名继续上升,在2017年排名第一

报告显示,医疗行业数据泄漏威胁的行业排名继续上升,从2014年的快速发展到行业的第六次,2016年的排名再次大幅上升,仅次于金融行业,会计为15%。到2017年,它是名单中最高的,远远高于第二名,占24%。这种类似火箭的上升速度非常明显,医学数据的价值和相对脆弱的防御的广泛认识是造成这种现象的两个主要因素。

值得注意的是,这一结果是在美国HIPAA(健康保险流通与责任)和HITECH(健康信息技术对于Ecnonmic和临床健康)法规的背景下产生的。

其次,医疗行业是唯一一个内部威胁远大于外部威胁的行业

从本报告中可以看出,医疗行业是所有行业中唯一一个内部威胁大于外部威胁的行业。其中,内部威胁占60%,外部威胁占43%,显示出极大的特殊性。作为参考,该行业70%的平均攻击类型是外部威胁,30%是内部威胁。医疗行业的这种特殊性可以认为是由以下几个方面引起的:1。医疗行业的数据单位价值特别高; 2.医疗行业的数据采集相对简单; 3.医疗行业数据特别容易实现。

我们比较了几个主要行业的数据泄露:医疗,金融,政府,信息服务,制造业,零售业,酒店餐饮业。如下图所示:

由于医疗行业缺乏独立数据,我们受到整个行业的威胁。从整个行业的角度来看,外部人员造成的泄漏中有62%来自有组织犯罪团伙;在内部威胁中,25.9%与企业系统管理员有关,22.3%与最终用户,医生或护士有11.5%,开发人员占5%。

第三,医疗行业是敲诈勒索病毒威胁的主要目标

勒索软件病毒是近年来网络攻击的主要手段之一。 2017年,它占所有恶意软件攻击的39%,排名第一。医疗行业受到勒索威胁的“打击最大”,侵入医疗行业的恶意软件高达85%,这是一种恶意软件攻击。其中,数据库服务器已成为勒索软件的主要目标。下图显示了勒索软件在整个行业的发展趋势。可以看出,勒索软件攻击的速度非常可怕,并已成为网络安全的主要威胁。

四,医疗行业入侵动机:追求财富是主要目标

追求财富是入侵医疗行业的主要动机,高达75%的入侵是为了获取财富。动机分配:财富为75%,有趣和好奇为13%,便利为5%,间谍为5%。有一种现象需要特别注意。 47%的内部数据泄漏仅仅是出于好奇,例如医生正在查看其他人的医疗记录。超过40%的好奇心最终将演变为财富。

5.医疗记录和药物已成为数据泄露的核心内容

与使用PI(个人信息)和PFI(个人财务信息)作为主要信息披露的其他行业不同,医疗行业数据泄露的核心内容是PHI(个人健康信息),即医疗记录和药物信息。数据泄漏构成一个百分比:79%的医疗记录和药物,37%的个人信息和4%的支付信息。与大多数其他只有大量数据有价值的行业不同,医疗行业中单个案例医疗数据的价值非常昂贵。

6.社会工程攻击

社交工程攻击占所有攻击的17%,电子邮件社交工程占96%。与此同时,78%的人将受到社会工程的反复攻击。

政府,医疗保健,教育,专业服务和金融是社会工程攻击的主要受害者。其中,59%的社会工程攻击是为了财富,38%是间谍活动,即社会工程是政府间谍和商业间谍活动的主要攻击形式。

七,发现攻击

执行攻击只需几分钟,发现攻击可能需要几个月的时间。当发现系统被入侵时,已经造成了损坏。其中,68%的数据泄露事件需要数月甚至更长时间才能被发现。

[总结]

医疗行业的数据泄漏事件和勒索软件事件几乎每月,每周和每天发生。数据安全的重要性是不言而喻的。但如何系统,系统地实施数据安全保护?这是医疗行业的每个信息安全从业者都在思考和探索的问题。本文是关于医疗行业数据安全挑战和对策的系列文章中的第一篇,介绍了医疗行业数据安全的现状,威胁来源,攻击目标和权威攻击手段。第三方Verizon数据泄露报告。在下一篇文章中,我们将分析医疗数据安全的客观状态。

(作者:美国科技刘亮遵守)

【作者介绍】

刘尊良,杭州美特科技股份有限公司创始人兼总经理,毕业于中国人民解放军信息工程大学,中国(中关村)网络与信息安全产业联盟主任,数据负责人中国信息协会信息安全委员会安全工作组。他在数据管理和信息安全方面拥有20年的经验,在通信,社会保障,医疗和金融行业积累了丰富的实践经验。凭借长远的战略眼光,准确把握技术发展趋势,不断创新,引领公司完成运维,服务,产品转型,取得了成功。目前,公司已完成国家布局,已成为中国重要的综合数据安全管理提供商。它有《Oracle数据库性能优化方法论和最佳实践》书籍并发表过许多学术文章。

收集报告投诉

美国电信巨头Verizon每年都会发布年度数据泄露报告(DBIR)。 Verizon不仅结合了多个合作伙伴的数据分析,还使用严格的数据驱动方法来分析安全漏洞和事件。经过10年的持续发布,DBIR报告已成为安全行业的重量级调查报告,值得安全从业人员仔细研究。

首先,医疗行业数据泄漏排名继续上升,在2017年排名第一

报告显示,医疗行业数据泄漏威胁的行业排名继续上升,从2014年的快速发展到行业的第六次,2016年的排名再次大幅上升,仅次于金融行业,会计为15%。到2017年,它是名单中最高的,远远高于第二名,占24%。这种类似火箭的上升速度非常明显,医学数据的价值和相对脆弱的防御的广泛认识是造成这种现象的两个主要因素。

值得注意的是,这一结果是在美国HIPAA(健康保险流通与责任)和HITECH(健康信息技术对于Ecnonmic和临床健康)法规的背景下产生的。

其次,医疗行业是唯一一个内部威胁远大于外部威胁的行业

从本报告中可以看出,医疗行业是所有行业中唯一一个内部威胁大于外部威胁的行业。其中,内部威胁占60%,外部威胁占43%,显示出极大的特殊性。作为参考,该行业70%的平均攻击类型是外部威胁,30%是内部威胁。医疗行业的这种特殊性可以认为是由以下几个方面引起的:1。医疗行业的数据单位价值特别高; 2.医疗行业的数据采集相对简单; 3.医疗行业数据特别容易实现。

我们比较了几个主要行业的数据泄露:医疗,金融,政府,信息服务,制造业,零售业,酒店餐饮业。如下图所示:

由于医疗行业缺乏独立数据,我们受到整个行业的威胁。从整个行业的角度来看,外部人员造成的泄漏中有62%来自有组织犯罪团伙;在内部威胁中,25.9%与企业系统管理员有关,22.3%与最终用户,医生或护士有11.5%,开发人员占5%。

第三,医疗行业是敲诈勒索病毒威胁的主要目标

勒索软件病毒是近年来网络攻击的主要手段之一。 2017年,它占所有恶意软件攻击的39%,排名第一。医疗行业受到勒索威胁的“打击最大”,侵入医疗行业的恶意软件高达85%,这是一种恶意软件攻击。其中,数据库服务器已成为勒索软件的主要目标。下图显示了勒索软件在整个行业的发展趋势。可以看出,勒索软件攻击的速度非常可怕,并已成为网络安全的主要威胁。

四,医疗行业入侵动机:追求财富是主要目标

追求财富是入侵医疗行业的主要动机,高达75%的入侵是为了获取财富。动机分配:财富为75%,有趣和好奇为13%,便利为5%,间谍为5%。有一种现象需要特别注意。 47%的内部数据泄漏仅仅是出于好奇,例如医生正在查看其他人的医疗记录。超过40%的好奇心最终将演变为财富。

5.医疗记录和药物已成为数据泄露的核心内容

与使用PI(个人信息)和PFI(个人财务信息)作为主要信息披露的其他行业不同,医疗行业数据泄露的核心内容是PHI(个人健康信息),即医疗记录和药物信息。数据泄漏构成一个百分比:79%的医疗记录和药物,37%的个人信息和4%的支付信息。与大多数其他只有大量数据有价值的行业不同,医疗行业中单个案例医疗数据的价值非常昂贵。

6.社会工程攻击

社交工程攻击占所有攻击的17%,电子邮件社交工程占96%。与此同时,78%的人将受到社会工程的反复攻击。

政府,医疗保健,教育,专业服务和金融是社会工程攻击的主要受害者。其中,59%的社会工程攻击是为了财富,38%是间谍活动,即社会工程是政府间谍和商业间谍活动的主要攻击形式。

七,发现攻击

执行攻击只需几分钟,发现攻击可能需要几个月的时间。当发现系统被入侵时,已经造成了损坏。其中,68%的数据泄露事件需要数月甚至更长时间才能被发现。

[总结]

医疗行业的数据泄漏事件和勒索软件事件几乎每月,每周和每天发生。数据安全的重要性是不言而喻的。但如何系统,系统地实施数据安全保护?这是医疗行业的每个信息安全从业者都在思考和探索的问题。本文是关于医疗行业数据安全挑战和对策的系列文章中的第一篇,介绍了医疗行业数据安全的现状,威胁来源,攻击目标和权威攻击手段。第三方Verizon数据泄露报告。在下一篇文章中,我们将分析医疗数据安全的客观状态。

(作者:美国科技刘亮遵守)

【作者介绍】

刘尊良,杭州美特科技股份有限公司创始人兼总经理,毕业于中国人民解放军信息工程大学,中国(中关村)网络与信息安全产业联盟主任,数据负责人中国信息协会信息安全委员会安全工作组。他在数据管理和信息安全方面拥有20年的经验,在通信,社会保障,医疗和金融行业积累了丰富的实践经验。凭借长远的战略眼光,准确把握技术发展趋势,不断创新,引领公司完成运维,服务,产品转型,取得了成功。目前,公司已完成国家布局,已成为中国重要的综合数据安全管理提供商。它有《Oracle数据库性能优化方法论和最佳实践》书籍并发表过许多学术文章。

热门浏览
热门排行榜
热门标签
日期归档