医疗行业数据安全的主要风险和应对分析（五）

2云医疗的数据安全对策

（1）如何在不受信任和管控的基础设施中存储敏感数据？答案只有两个：加密或者不存储敏感数据。原则上要求存储在云环境中的任何数据都需要进行加密存储和加密传输，任何需要进行开放式流转处理的数据都需要进行脱敏存储和传输。

（2）如何让无法控制的、拥有超级权限账户的云运营商运维人员（上帝之手）隔离业务数据？

存储级加密解决了在云环境中存储敏感数据的风险，但是依然无法隔离上帝之手接触和窥视业务数据。需要提供一种机制，禁止超级权限的 DBA 访问业务数据，从而保证云上数据安全性。

五、数据流动的风险和对策

1数据畅流是数据价值的核心体现数据作为和资金、原油、资产相似的生产资料，只有不断被使用才会产生价值，只有不断地流动才会让更多的人使用，只有让数据流动到可以产生更大价值的地方才能发挥数据的价值。医疗数据作为生活中最具价值的基础数据之一，具有不可避免的数据流动趋势。不断流动的数据带来巨大价值的同时，也给数据安全带来了巨大的挑战。机构和企业对于流动中的数据控制力会越来越弱，不断流动的数据必然会流出数据的安全边界，传统基于静态目标保护的网络安全和数据安全保护措施在此场景下会不断弱化，甚至完全失效。解决好数据流动的安全问题是实现数据价值最大化的巨大挑战和先决条件。

2数据流动涉及的主要风险

（1）敏感数据认知。不知道数据在哪里就不知道如何保护，不知道数据的分级分类就无法施加适当的保护。事实上我们每个用户都希望可以做到敏感数据分级分类，但是数据分级分类的巨大困难和成本总是让人望而却步。在缺乏敏感数据认知的数据安全措施下，具有其天生的脆弱性。

（2）数据流动到非授权目标，本质上属于一种误操作，在生活中经常发生，比如机密邮件发错了对象、文件发错了微信群等。

（3）身份盗用、假冒和验证绕过。身份是访问数据的凭证，身份被盗用意味着数据财富面临巨大风险。其中数据库中存在的广泛共享的账户和缺省账户是身份盗用的天然温床。身份盗用手段包括密码猜测和破解、身份伪造、撞库等。

（4）从非安全区直接访问敏感数据。大多数情况下，数据流动软件在网络边界具有较高的安全脆弱性。这种安全脆弱性很容易给数据流动带来伤害。

（5）数据流动到弱安全区域或者失控区域，这是数据流动安全的本质所在，是数据流动的自然目标和业务属性。

（6）运维端流动，是传统数据安全的主要构成部分，也是流动安全的巨大风险之一。

（7）终端业务包含敏感信息，和运维端流动一样，是传统的数据安全的一部分。

（8）数据的再次流动。当数据流动到非受控制区域的时候，很容易产生多次流动。而这个数据流动可能并非是数据流动者所期望的。

（9）数据泄露追踪。当数据泄露事件发生之后，数据提供方需要确定数据是哪个环节出去的，以实现事件追责。

3数据流动安全风险的基本对策数据流动安全的措施必须建立在两个基本假设之上：数据总是会趋向于流动到弱安全区域、流动的数据最终会失去控制。从这两个基本假设出发，提出解决流动数据安全的基本思路：

（1）源端控制：流动的数据总是被脱敏的，无需关注安全；

（2）数据内置的安全性：和源断控制一致的，通过加密等手段实现内置安全性；

（3）建立审计检查机制：数据提供方可对数据利用方进行数据使用审计。