12月9日，中国软件评测中心发布《移动互联网医疗安全风险控制技术白皮书》，该白皮书由中国软件评测中心牵头，北京医云数字健康科技研究院组织协调，北京医智科技、北京智游网安、北京知道于闯、长春吉大郑源等多家单位参与编写。
白皮书分析总结了2021年移动互联网应用的政策和管理要求，多维度分析了新技术应用于移动互联网医疗领域的风险。
中国软件评测中心指出，近年来，我国“互联网+医疗健康”发展迅速，线上线下融合发展，缓解了看病难问题。特别是新冠肺炎疫情防控期间，各地创新网上服务模式，在支持精准防控疫情、避免交叉感染和聚集、促进人员有序流动、恢复工作生产等方面发挥了重要作用。移动互联网等新技术加速向医疗健康领域延伸，线上线下一体化医疗服务已成趋势。医疗服务原有的生态环境也发生了变化，网络安全攻击手段也发生了演变。针对移动互联网应用的新型网络攻击手段不断涌现，对原有的网络安全防护体系提出了严峻挑战。移动互联网医疗应用的安全风险防控已经成为国家实现“互联网加医疗健康”战略目标的关键问题。
白皮书指出，移动互联网新技术、新服务模式在医疗领域的应用，改变了医疗服务原有的生态环境，对原有的网络安全防护体系提出了严峻挑战。近年来频繁发生的安全事件充分说明，医疗卫生移动应用面临着许多新的攻击方式和手段，造成了巨大的危害。在移动医疗领域，敏感数据泄露和技术滥用等安全风险正在增加。这些风险的成因主要体现在抗攻击能力弱、对数据安全重视不够、技术滥用现象普遍、安全意识和控制措施不足等方面。
白皮书主办方北京智游网安的一位安全专家告诉我们，在后疫情时代，“互联网医院”已经成为医疗行业广泛发展的新商业模式，将很多不需要现场诊疗的小病转移到线上，并开始在各医院推出互联网医疗服务。
然而，这种便捷的服务模式带来了新的安全问题:“患者在网上挂号时，需要填写大量的个人隐私信息，如性别、年龄、住址等。在这个环节，个人隐私可能会被泄露。此外，互联网医疗服务还可能需要收集包括个人病历、既往病史、过敏史等敏感数据。，在传输过程中可能暴露在互联网上，存在被篡改和泄露的风险。更何况医院在现场挂号时一般都要求现场结算。但是，互联网医疗服务也涉及支付安全风险。如果互联网医疗应用的交易存在安全漏洞，可能会给患者带来不可估量的财产损失。在应用层面，医疗行业可能与其他行业略有不同，但隐私窃取、数据泄露、假冒伪劣等攻击手段大体不变。当基于互联网的医疗服务被广泛推广时，所有以前在互联网上出现过的网络安全隐患都会在医疗行业出现。”
她表示，目前国家对于医疗行业的网络安全建设还没有给出明确的技术要求和管控措施。虽然医疗行业内部有加强安全建设的意识，但仍缺乏具体的参考。本白皮书旨在为行业内部安全建设提供现实依据和参考。
根据当前国家政策要求、十五医疗行业发展目标以及公安部、网信办等主管部门发布的相关要求，白皮书进行了详细梳理。在互联网医疗服务没有完全放开的情况下，将目前看到的一些安全风险与金融行业、互联网行业的移动安全进行对比总结。除了智游网安这样的安全厂商，参与机构更像是万达信息、易慧科技、医院机构。广泛收集互联网医院的实际案例，深入分析互联网医院软件开发者的应用场景和业务流程。
“事实上，白皮书的发布是希望能起到抛砖引玉的作用，让互联网医院的软件开发者和互联网医院的医疗主体对安全问题有足够的重视，大家共同努力构建一个移动互联网医疗的安全生态，让这个生态中的每个人都能获得足够的安全知识”，该专家表示。
安全419看到，针对移动互联网医疗新技术应用日益突出的安全隐患，白皮书也提供了多项建议。
一是加强安全风险控制顶层设计，推动“互联网+医疗健康”可持续发展，着力完善标准规范，充分发挥相关协会作用，开展生态建设，逐步形成移动互联网医疗应用安全风险防控技术体系和管理标准体系，推动安全标准实施，以持续安全监测手段促进行业整体安全水平提升。
二是构建安全风险防控体系，为行业安全提供基础保障。从管理体系和技术体系两个方面，搭建监理、建设、运维、运营、技术支持、用户等各方共同参与、联动的平台。
三是不断优化安全技术标准，满足国家和行业监管要求。企业作为市场开拓和技术创新的重要手段，作为参与者，可以更好地兼顾国家的要求和企业的需求，更有效地促进标准的推广和实施，对国家标准和行业标准起到很好的补充作用。
四是构建新的技术滥用防范机制，确保安全可控。随着云计算、大数据、人工智能等新兴技术在医疗健康领域的不断深入和融合，新技术的应用风险变得越来越复杂，技术滥用现象日益突出。为了保证新技术能够合理应用于医疗健康行业，需要对这些技术的使用提出相应的安全要求和监管要求，为移动互联网医疗服务提供基本的安全保障。
