互联网+医疗大势所趋
2015.9.16，北京协和医院APP正式上线，产品一上线便荣登APPStore医疗排行榜 NO.3，运营不足半年，成为患者挂号预约的主流平台，占医院总挂号量的 50% 以上。
2016.3.25，首个省级云医院平台广东云医院发布，广东六百余家医院齐聚现场，数百家媒体关注并跟踪报道，现场即有数十家医院申请入驻。
这些案例表明互联网医疗在国内向业务的纵深方向来发展。
互联网+医疗的机遇和挑战
IDC曾在 《未来图景》 报告中做出如下预测：2015年有一半的医疗机构在过去的12个月内会遭受1到5次网络攻击，其中三分之一攻击成功；到2018年，65%的与医疗机构之间的“消费交易”将会是通过移动设备进行；到2018年，有70%的医疗机构会投资于移动App、可穿戴设备、远程健康监测和虚拟医疗；到2020年，
有80%的医疗数据会在其生命周期的某一时点，穿“云”而过。
繁荣发展的背后是问题的凸显：
根据美国卫生与公民服务部（HHS）的统计：近3年来，美国医疗信息泄露所影响的人数呈现出“爆发式”增长；X-Force研究机构将2015年称之为“医疗信息安全爆发之年”。
大洋彼岸的我们此刻正处在“互联网+医疗 ”概念爆发的阶段，一时间无数医疗健康类APP、网页等产品蜂拥上线，形势更加严峻。每个人存在医院的数据就会面临很大的风险和挑战。患者的诊疗数据都是存放在医院的，而医院的内部系统是物理隔绝的，没有上云，医院内部是信息科为患者保卫和储存这些敏感数据的。
在互联网医疗行业，安全与技术保护都是属于初级阶段，安全事故频发。
一份健康数据的价值远比一张单纯的信用卡信息要值钱得多！黑客们可以利用医疗记录信息进行不同类型的犯罪活动，如：把信息高价卖给某种药物/器械/设备的研发部门、生产部门销售部门，还可能冒充病人获取管制药物，凭借银行卡信息进行金融欺诈等。
医疗信息规模大、价值高、结构多样、增长快速。互联网+医疗信息价值关乎生命，与网络世界的连接为医疗行业带来了一系列的安全威胁，主要有数据泄露、黄牛刷号、移动端安全三个方面，医疗信息安全“保卫战”迫在眉睫。
互联网+医疗安全保卫战
阿里云安全产品应用场景解析
在智慧医疗场景下，哪些安全问题应该被重点考虑呢？安全问题可总结成三个方面：数据泄露、黄牛刷号、移动端安全。如下，是基于阿里云产品形成的智慧医疗的标准安全方案和高级安全方案。
智慧医疗应用标准架构及安全方案，对于大多数医院，采用标准安全方案就可有效抵御黑客入侵、防范数据泄露，满足基本的安全需求。对于一些非知名医院，采用标准安全方案就可以满足一些基本需求。
整套智慧医疗方案和医院有正常的业务交互，可以看到通讯有两端，一是连接手机端或者桌面终端，一是医院端，因为应用要和医院的HIS系统做数据的交互和传输，要从医院拿到号源的信息。与医院的通讯采用VPN加密的方式，可以保证数据在传输过程中不被篡改、不被窃取，这是保证通信链路的安全。
APP在对外提供服务时，服务端需要有Web应用防火墙的防护，过滤常见的一些应用层攻击如SQL注入，XSS等。另外在阿里云ECS服务器层面，会有安骑士保护服务器整体安全。最后，在系统上线之前或者周期性地对系统做一些安全性测试，类似先知计划或者渗透测试的服务，保证整个系统在上线之前符合基本的安全标准。
智慧医疗应用架构及高级安全方案，可有效抵御黑客入侵、防范数据泄露，同时实现数据传输与访问加密、日志审计、防黄牛刷号、APP加固等功能，全面满足等级保护三级的技术要求。
对于大型的三甲医院来说，随着业务的发展可能会接入越来越多的功能，还会涉及到等保合规的要求，就会需要更多的安全技术手段。医院端和客户端对数据传输都要有加密，可以使用阿里云证书服务；APP本身要做一些安全的加固去保证APK不会那么容易被反编译；等级保护经常会强调的是安全审计，要对所有的云上的业务、服务器操作有一个比较完整的一个审计记录，可以利用堡垒机实现操作行为审计；同时还有反欺诈服务，可以帮助医院识别和防御黄牛恶意抢号。高级安全方案能够全面满足等级保护三级的技术要求。
阿里云把整个安全需求分成几个场景，归纳了所有的安全产品和对应的解决方案。端安全有专业的移动安全方案，业务安全有反欺诈等，云安全会分别从数据安全、系统应用安全、网络安全、运维安全几个层面考虑。不管使用云盾还是使用第三方的安全生态合作伙伴的产品，都能够在云上打造出一个非常安全的系统。
恒生芸泰应用场景实战
阿里云+恒生+芸泰网络的组合实现金融级安全护航。然后从移动端到服务端再到安全管理，全方位的做一个安全方面的梳理和防护。
在移动端首先梳理下APP上线的安全流程，把安全作为一项重要需求加到产品的架构中。然后再开发测试过程中引入一些安全编码的技术，同时在APP最后打包时，由阿里云的专家做安全扫描、安全加固，最后在发布后的安全漏洞感知上都是阿里云专家团队来做的。
在移动端有三大安全保障机制：双向证书认证、安全扫描/加固、仿冒应用监测。
服务端采用阿里云阶梯式多层攻击保护体系保驾护航。
- 网络安全层：过滤与业务无关的流量，建立白名单机制。
- DDOS攻击防护：不同攻击类型不同防护手段，阿里云盾智能防护为主，建立阶梯式缓解体系，抵御上万僵尸主机的攻击。
- Web应用防入侵：重视程序代码自身安全，阿里云盾WAF是重要保障，同时定期安全测试必不可少。
- 主机系统安全：及时修复系统的漏洞，查杀服务器中的木马，防暴力尝试破解密码，异常登录事件提醒。
本文根据阿里云安全专家易鑫（行逸）、恒生芸泰联合创始人黄正威在5月17日举办的2016云栖大会·武汉峰会上的演讲整理而成。
系列文章：