据外媒 Securityaffairs 报道，德国漏洞分析和管理公司 Greenbone Networks 的专家发现，600 个未受保护的服务器暴露于互联网，这些服务器包含大量医疗放射图像。其中，有超过 7.37 亿个放射图像，涉及 2000 多万人，影响到 52 个国家的患者。其中，中国有 14 个未受保护的 PACS 服务器系统，泄露 279000 个数据记录。

据悉，PACS即医学影像归档和通信系统，应用于医院影像科室，主要任务是把日常产生的各种医学影像（包括核磁、CT、各种 X 光机等设备产生的图像）通过各种接口（模拟、DICOM、网络）以数字化的方式海量保存起来。当需要时，在一定授权下，可以快速调回，同时增加一些辅助诊断管理功能。被泄露的患者数据大多包括了以下个人和医疗细节：姓名、出生日期、检查日期、调查范围、成像程序的类型、主治医师、研究所/诊所和生成的图像数量。

暗网上泄露数据的价值可能超过 10 亿美元。美国卫生与人类服务部(HHS)4 月份发布的一份报告估计，暗网上医疗健康记录数据的平均价值为 250 美元，但有可能接近 1000 美元，因此网络犯罪分子对这类信息绝对感兴趣。

无疑，这类数据的泄露风险非常大。其中，最明显的是针对性攻击、敲诈勒索，甚至是通过医疗身份盗窃来实施医疗或健康保险欺诈。

同时，随着大数据、人工智能等技术应用于健康医疗行业，大量创新技术应用的同时，健康医疗相关的信息系统存在普遍的安全问题，大数据、网络信息安全已成为医疗现代化建设不可或缺的重要因素。卫生信息安全与新技术应用专业委员会主任委员宁义表示，在统计的2017-2018年度551起数据泄露事件中，六成出自医疗行业。医疗行业还面临黑产黄牛使用抢号、刷号软件挂号、骗取患者个人信息等威胁；此外还有内部威胁，如因利益驱使，内鬼员工盗取敏感数据，员工携带个人手机、电脑进入医疗内网，导致权限蔓延或失控等问题。

2017年6月1日《网络安全法》、2018年7月《国家健康医疗大数据标准、安全和服务管理办法（试行）》、《国家网络空间安全战略》等政策的颁布，国家也纷纷强调医疗卫生行业的网络安全的重要性。

为有效应对网络攻击，医疗机构应落实“五步走”：

第一步 网络安全等级保护定级和备案。

依照《网络安全等级保护定级指南》估测企业关键业务系统和数据应有的保护级别，以及应采取的保护措施。

第二步 自查和风险评估。

依照《网络安全法》和《网络安全等级保护（基本要求+扩展要求）》展开自查发现风险的影响范围和影响程度。

第三步 合理采取防护措施。

根据“等级保护定级备案”和风险评估的结果，采取合理的防护措施，将风险消减到可以接受的水平。

第四步 安全监控和运维。

通过有效的“技术手段”监控通信线路、主机、网络和应用软件运行状况、网络流量和用户行为等，并及时报警和处理。

第五步 持续改进。

不断优化和改进安全管理的流程和能力，应对日益严格的监管要求。