企業(yè)網(wǎng)站設(shè)計醫(yī)院網(wǎng)站安全風險來源
日期 : 2021-02-26 23:22:00
醫(yī)院網(wǎng)站安全風險來源。在我國，約80%的醫(yī)院的信息管理部門，不具備醫(yī)院門戶網(wǎng)站的開發(fā)能力，需要把醫(yī)院門戶網(wǎng)站外包給第三方網(wǎng)站開發(fā)公司進行開發(fā)部署，由于軟件外包公司以交付項目為目標，在網(wǎng)站開發(fā)的時候，大量引用開源框架、開源代碼，且外包公司人力資源流動性極強，開發(fā)人員的能力也參差不齊，所以在軟件研發(fā)過程中，并未深度和廣度上考慮過網(wǎng)站安全，甚至未進行安全性測試，從而在代碼級層面留下了隱患；而醫(yī)院信息部門在驗收過程中，重點在業(yè)務(wù)功能的實現(xiàn)，并未進行網(wǎng)站的安全性測試，所以在網(wǎng)站的整個生命周期過程中，代碼安全存在很大隱患。
醫(yī)院網(wǎng)站一般會有就醫(yī)服務(wù)模塊、新聞模塊、科室導航模塊、下載中心模塊、自動辦公模塊、各個模塊之間的數(shù)據(jù)庫基本獨立，而整個網(wǎng)站系統(tǒng)，又部署在Windows或Linux服務(wù)器上，利用了如Apache、MySQL、Ngix等架構(gòu)和數(shù)據(jù)庫。無論是操作系統(tǒng)、架構(gòu)或是數(shù)據(jù)庫，它們本身也是軟件系統(tǒng)，是軟件系統(tǒng)就會存在BUG或漏洞，然而醫(yī)院信息部工程師不一定能及時對這些漏洞進行補丁升級，所以給攻擊者留下了可乘之機。醫(yī)院網(wǎng)站一般面向廣大群眾和醫(yī)護人員，在網(wǎng)站登錄驗證機制上比較粗暴簡單，基本不采用雙因子驗證，如短信密碼驗證、電子口令驗證等，且對用戶名和密碼的安全性判斷也較弱，如默認6位純數(shù)字等，這給黑客流量了大量撞庫的機會。
醫(yī)院網(wǎng)站一般是放在云服務(wù)器或IDC機房，但長時間以來，醫(yī)院體制內(nèi)對信息部門不重視，導致信息部成為弱勢群體，在網(wǎng)絡(luò)安全建設(shè)中話語權(quán)較弱，所以在管理上力度也不足，如常年不更新網(wǎng)站，未執(zhí)行不定期登錄網(wǎng)站確認等，信息部管理人員自身安全意識薄弱，網(wǎng)絡(luò)安全防范技術(shù)落后等現(xiàn)狀。
醫(yī)院網(wǎng)站一般會有就醫(yī)服務(wù)模塊、新聞模塊、科室導航模塊、下載中心模塊、自動辦公模塊、各個模塊之間的數(shù)據(jù)庫基本獨立，而整個網(wǎng)站系統(tǒng)，又部署在Windows或Linux服務(wù)器上，利用了如Apache、MySQL、Ngix等架構(gòu)和數(shù)據(jù)庫。無論是操作系統(tǒng)、架構(gòu)或是數(shù)據(jù)庫，它們本身也是軟件系統(tǒng)，是軟件系統(tǒng)就會存在BUG或漏洞，然而醫(yī)院信息部工程師不一定能及時對這些漏洞進行補丁升級，所以給攻擊者留下了可乘之機。醫(yī)院網(wǎng)站一般面向廣大群眾和醫(yī)護人員，在網(wǎng)站登錄驗證機制上比較粗暴簡單，基本不采用雙因子驗證，如短信密碼驗證、電子口令驗證等，且對用戶名和密碼的安全性判斷也較弱，如默認6位純數(shù)字等，這給黑客流量了大量撞庫的機會。
醫(yī)院網(wǎng)站一般是放在云服務(wù)器或IDC機房，但長時間以來，醫(yī)院體制內(nèi)對信息部門不重視，導致信息部成為弱勢群體，在網(wǎng)絡(luò)安全建設(shè)中話語權(quán)較弱，所以在管理上力度也不足，如常年不更新網(wǎng)站，未執(zhí)行不定期登錄網(wǎng)站確認等，信息部管理人員自身安全意識薄弱，網(wǎng)絡(luò)安全防范技術(shù)落后等現(xiàn)狀。
相關(guān)文章
精彩導讀
熱門資訊
