导言

图片归档和通信系统已经成为现代医疗成像的支柱,使放射学家、临床医生和保健设施能够以前所未有的速度和准确性存储、检索和分享XQ射线、CT扫描、MRI和超声波等数字图像。 随着医疗保健组织越来越多地将工作流程数字化,采用基于云的PACS,攻击表面也按比例扩大。 医疗图像的敏感性 — — 往往与个人可识别信息(PII)和受保护的卫生信息(PHI)相关 — — 使PACS成为网络罪犯的高价值目标。 没有强有力的安全措施,违反规定可能导致监管处罚、经济损失和病人信任的侵蚀。 本文审视了PACS目前面临的最大安全挑战,并提供了可操作的缓解策略,以保障图像数据和系统的完整性。

安全安全共同挑战

1. 数据违反

未经授权获取PACS仍然是最普遍的威胁。 攻击者可能利用薄弱的认证、未标出的脆弱性或配置不当的界面来过滤大量医疗图像和相关元数据。 由于DICOM(医学中的数码成像和通信)文档中往往包含嵌入式的病人人口统计和临床数据,单一的破损可以暴露数千个记录。 美国卫生和人类服务部认为,涉及成像系统的医疗数据漏洞激增,许多事件可追溯到身份或无安全网络连接受损。 其后果超出了HIPAA罚款;被盗医疗图像可用于身份盗窃、保险欺诈甚至有针对性的勒索。

2. 兰斯姆器械袭击

兰索姆软件仍然是对医疗信息技术系统最具有破坏性的威胁之一,而PACS也不例外。 当赎金软件加密图像档案或PACS数据库时,放射学家无法访问先前的研究,诊断工作流程的延误级联,病人的护理直接受到影响。 高发事件 — — 如2022年美国一个主要卫生系统的袭击使成像部门瘫痪了几周 — — 使资金和临床费用下降。攻击者往往通过电玩电子邮件或无保障远程访问协议进入。一旦进入,他们就会从工作站到PACS服务器,挟持数据。 由于许多成像部门依赖24/7的正常时间,支付赎金的压力很大。

3. 内幕威胁

并非所有安全风险都来自组织之外。 内幕威胁 — — 无论是来自不满的雇员、不小心的工作人员或拥有过多特权的承包商 — — 都同样具有破坏性。 放射学家无意中点击恶意链接、共享登录证书的技术员或管理员配置错误,都可能暴露整个系统。内幕破坏还包括故意窃取数据以获取个人利益。 由于合法用户已经拥有访问权,检测往往被推迟。 实施颗粒式审计线索和行为分析对于降低这一风险至关重要。

4. 遗产制度和一体化中的脆弱程度

许多保健设施都使用10年前首次部署的PACS, 运行在过时的操作系统或过时的DICOM模式上,这些遗留的系统往往缺乏现代加密协议的支持(例如TLS 1.2或1.3),并且可能无法与已知的弱点相适应。此外,PACS很少孤立存在;它们与电子健康记录、放射信息系统和供应商中立档案(VNAs)相结合。每个集成点都提出了潜在的弱点,特别是在API没有适当认证的情况下。攻击者可以利用这些桥梁从不安全的系统向PACS环境推波。

5. 云安全关切

随着更多的组织为了可扩展性和节省成本而将PACS迁移到云中,出现了新的挑战。 错位的云存储桶、访问控制不足和无保障传输链路可能导致无意中的数据暴露。 虽然云供应商通常提供强大的基础设施安全,但分担责任模式意味着医疗保健提供者仍必须管理用户权限、加密密钥和网络分割。 单一的配置 — — 例如,允许公众阅读访问DICOM档案 — — 会导致灾难性的违约。 此外,依赖第三方供应商需要彻底的尽职调查,以确保它们的安全做法符合HIPAA和其他条例。

PACS安全减缓战略

1. 实施强有力的出入控制

基于作用的接入控制(RBAC)是PACS安全的基石. 定义放射学家,技术员和管理员等角色,并给每个工作功能必要的最小权限. 将RBAC与所有远程和特权访问的多要素认证(MFA)结合起来. 外交部大大减少了基于证书的攻击风险,因为即使是已损坏的密码也不能在没有第二个因素的情况下允许进入. 对于高度敏感的研究或操作,考虑采用零-信任原则:无论用户的位置或设备如何,持续核查每个访问请求.

2. 定期软件更新和补丁管理

未批发软件是攻击者最常见的入口之一。 建立严格的补丁管理周期, 覆盖 PACS 服务器、 查看工作站、 DICOM 模式以及任何集成系统。 订阅供应商安全公告并优先排序关键补丁。 如果无法升级遗留组件, 请使用网络分割来隔离它们, 并通过入侵预防系统( IPS) 应用虚拟补丁。 在非生产环境中测试补丁有助于避免工作流程中断 。

3. 数据加密

加密所有休息和中转中的 PHI 。 对于休息数据, 使用 AES ⁇ 256 或更高, 并使用与加密数据分开存储的妥善管理的加密密钥。 在过境时, 对所有 DICM 通信、 web ⁇ PACS 接口和 EHR 集成执行 TLS 1.2 或 1. 3 。 许多遗留协议( 如 DICOM over plain TCP/ IP) 都未提供加密; 代之以安全替代品, 如 DICOM 与 TLS 或隧道传输通过 VPN 。 加密确保即使数据被截获或被物理窃取, 也仍然无法读取 。

4. 网络分割和防火墙

将 PACS 网络从其他医院IT系统,特别是客机网络和行政工作站中分割出来. 将 PACS 服务器和图像档案放入专用的VLAN 中,并有严格的防火墙规则,只允许必要的流量(例如来自RIS和授权的工作站). 使用入侵检测和预防系统(IDS/IPS)来监测异常活动. Micro segment 可以进一步隔离高 Q值资产,如果攻击者损害到一个终点,则限制横向移动. 对于云层部署,使用虚拟的私有云和网络访问控制列表(ACLs).

5. 雇员培训和认识

人为错误仍然是安全事件的主要原因。 对所有PACS用户进行定期、特定角色的培训:放射学家、正确病人数据处理技术员和管理人员。模拟钓鱼运动以加强学习。培训还应涵盖可移动媒体、密码卫生和报告可疑活动的适当程序等危险。 受过教育的员工队伍是抵御社会工程袭击的第一线防线。

6. 定期安全审计和持续监测

定期进行脆弱性评估和渗透测试,重点是PACS生态系统。使用自动化工具来识别错误配置、过时软件和加密薄弱。实施安全信息和事件管理系统(SIEM)来收集和连接PACS、防火墙、认证服务器和终点的日志。设置异常模式的警报,如技术员在一天内访问数千项研究,或外部IP查询DICOM端口。快速检测可以在损坏升级前迅速作出反应。

7. 事故应对规划

即使有最佳防御,也可能发生突破。 制定并测试专门针对PACS干扰的事件应对计划。 该计划应包括立即遏制步骤(例如隔离受影响的系统)、数据备份恢复程序、与利害关系方和监管者的通信协议以及法医学分析指南。 保持图像档案的离线、加密备份和定期测试恢复程序。 仔细排练的反应会减少故障时间,并确保业务连续性——当每分钟的图像延迟都会影响病人的结果时,这种反应至关重要。

结论

安全图卷归档和通信系统并不是一次性任务,而是需要临床和信息技术团队保持警惕、投资和协作的持续承诺。从数据破坏和赎金软件到内幕错误和遗留弱点等各种威胁都是真实和不断演变的。通过采取防御性-in-深入的方法,结合强有力的接入控制、加密、网络分割、定期补合、员工培训和持续监测,保健组织可以大大减少其风险状况。将PACS外包给云端提供者并不免除责任;相互遵守诸如HIPAA、NIST的[ 网络安全框架 和健康IT安全指南等标准,这是至关重要的。在一个医疗成像驱动诊断和治疗的时代,保护数据与保护病人福祉是同义的。

进一步指导,参见HIPAA安全规则,2023年数据违反报告的成本,以及DICOM安全和隐私准则。