医疗机构频遭网络攻击 美医院演练无电脑运作

admin

医疗机构频遭网络攻击 美医院演练无电脑运作


尖端医疗设备，示意图。 美国一家大型非营利性跨州医疗保健服务系统——杰弗逊医疗系统（Jefferson Health）执行副总裁兼首席数位和资讯长路易斯‧塔韦拉斯（Luis Taveras）近日表示，医院应该开始演练在没有电脑系统的情况下治疗病人，以应对将来网络攻击可能造成的破坏。
近年来美国医疗机构频频遭遇严重的网络攻击，面对这一严峻挑战，美国许多医院资安与管理专家强烈建议，医疗机构必须定期测试系统完全停机的「无电脑运作」应变计划，训练医护人员在数周没有电子病历、没有网络的极端环境下，仍能独立维持临床运作与照护病患。
塔韦拉斯表示，医院对技术过分依赖，这可能导致临床医生在计算机系统突然瘫痪时难以开展工作，杰斐逊医疗系统的最近一次计算机系统故障就造成了“恐慌”。

他提到，他的团队以前每月安装一批安全补丁，现在，由于攻击越来越频繁，必须每天修补电脑系统。
他近日在纽约市参加《新闻周刊》举办的「人工智能健康高峰会议」（AI Health Summit）时强调，「我们必须正视现实：网络犯罪分子会攻击我们，他们资金雄厚，非常狡猾，每天都在寻找方法攻击我们。」
今年2月，密西西比大学（University of Mississippi）医学中心遭到勒索软件攻击，导致其电子健康记录系统中断，被迫暂时关闭约36家诊所，择期手术（elective procedures）被迫取消，院方改以人工作业。
针对医院的网络攻击可能造成致命后果。
今年2月发表在《美国经济期刊》（American Economic Journal，AEJ）子刊《经济政策》（AEJ： Economic Policy）上的一项研究发现，在攻击开始时已入院的患者，其院内死亡率比其他患者高出34%至38%。

塔韦拉斯表示，杰弗逊医疗系统不仅要预防攻击，更要重视提升自身的韧性。
他表示，「我们长期以来在业务连续性计划方面做得非常出色，但在临床连续性计划方面做得不够好，这正是我们整个机构重点关注的领域。」
他强调，医院需要制定计划，建立「最小可行医院」（minimal viable hospital），确定维持运作所需的最低限度服务和系统，训练医生在没有常用科技的情况下继续治疗病人，为病人提供服务。
在这次高峰会召开前几周，杰弗逊医疗系统发生了一次持续约三个小时的停电，恰好凸显了问题的严重性。
塔韦拉斯回忆，「当时一片混乱，那些年轻的临床医生不知所措，乱作一团......」

这次经验促使该机构认真考虑如何将网络安全防范工作视为“救火演习”，未雨绸缪。
他问道，「我们是否应该至少每季度进行一次这样的演练：将系统关闭两到三个小时，让人们习惯在没有电脑系统的情况下操作？」
他强调，目标不仅是防止网络攻击，更要确保医院在防御失效后能够迅速恢复，「确保当这种情况发生时，我们不会停工6~8周。」
俄亥俄州大都会医疗系统（MetroHealth）首席临床转型、创新和策略长纳比尔‧谢哈德博士（Dr. Nabil Chehade）也描述了峰会召开前一周发生的类似故障。 此次故障并非由网络攻击引起，而是由于数据中心温度控制问题导致系统在白天意外关闭。
谢哈德说，「正如你所说，当时一片恐慌，我们真的关闭了门诊部」，一些医生开始离开，因为他们不知道该如何在失去以往所依赖的系统后继续行医。

2024年，俄罗斯勒索软件组织ALPHV BlackCat对美国大型医疗保健技术与支付服务公司Change Healthcare发起攻击，导致全美范围内的理赔、处方和保险资格审核业务被迫中断。
美国医院协会（American Hospital Association）表示，「全国所有医院都受到了直接或间接的影响」，在一项针对近1,000家医院的调查中，74%的受访医院表示患者照护受到影响，94%表示财务运作受到冲击，三分之一表示其超过一半的收入受到影响。