企業(yè)網(wǎng)站設(shè)計醫(yī)院網(wǎng)站安全風(fēng)險來源
日期 : 2021-02-26 23:22:00
醫(yī)院網(wǎng)站安全風(fēng)險來源。在我國，約80%的醫(yī)院的信息管理部門，不具備醫(yī)院門戶網(wǎng)站的開發(fā)能力，需要把醫(yī)院門戶網(wǎng)站外包給第三方網(wǎng)站開發(fā)公司進(jìn)行開發(fā)部署，由于軟件外包公司以交付項目為目標(biāo)，在網(wǎng)站開發(fā)的時候，大量引用開源框架、開源代碼，且外包公司人力資源流動性極強(qiáng)，開發(fā)人員的能力也參差不齊，所以在軟件研發(fā)過程中，并未深度和廣度上考慮過網(wǎng)站安全，甚至未進(jìn)行安全性測試，從而在代碼級層面留下了隱患；而醫(yī)院信息部門在驗(yàn)收過程中，重點(diǎn)在業(yè)務(wù)功能的實(shí)現(xiàn)，并未進(jìn)行網(wǎng)站的安全性測試，所以在網(wǎng)站的整個生命周期過程中，代碼安全存在很大隱患。
醫(yī)院網(wǎng)站一般會有就醫(yī)服務(wù)模塊、新聞模塊、科室導(dǎo)航模塊、下載中心模塊、自動辦公模塊、各個模塊之間的數(shù)據(jù)庫基本獨(dú)立，而整個網(wǎng)站系統(tǒng)，又部署在Windows或Linux服務(wù)器上，利用了如Apache、MySQL、Ngix等架構(gòu)和數(shù)據(jù)庫。無論是操作系統(tǒng)、架構(gòu)或是數(shù)據(jù)庫，它們本身也是軟件系統(tǒng)，是軟件系統(tǒng)就會存在BUG或漏洞，然而醫(yī)院信息部工程師不一定能及時對這些漏洞進(jìn)行補(bǔ)丁升級，所以給攻擊者留下了可乘之機(jī)。醫(yī)院網(wǎng)站一般面向廣大群眾和醫(yī)護(hù)人員，在網(wǎng)站登錄驗(yàn)證機(jī)制上比較粗暴簡單，基本不采用雙因子驗(yàn)證，如短信密碼驗(yàn)證、電子口令驗(yàn)證等，且對用戶名和密碼的安全性判斷也較弱，如默認(rèn)6位純數(shù)字等，這給黑客流量了大量撞庫的機(jī)會。
醫(yī)院網(wǎng)站一般是放在云服務(wù)器或IDC機(jī)房，但長時間以來，醫(yī)院體制內(nèi)對信息部門不重視，導(dǎo)致信息部成為弱勢群體，在網(wǎng)絡(luò)安全建設(shè)中話語權(quán)較弱，所以在管理上力度也不足，如常年不更新網(wǎng)站，未執(zhí)行不定期登錄網(wǎng)站確認(rèn)等，信息部管理人員自身安全意識薄弱，網(wǎng)絡(luò)安全防范技術(shù)落后等現(xiàn)狀。
醫(yī)院網(wǎng)站一般會有就醫(yī)服務(wù)模塊、新聞模塊、科室導(dǎo)航模塊、下載中心模塊、自動辦公模塊、各個模塊之間的數(shù)據(jù)庫基本獨(dú)立，而整個網(wǎng)站系統(tǒng)，又部署在Windows或Linux服務(wù)器上，利用了如Apache、MySQL、Ngix等架構(gòu)和數(shù)據(jù)庫。無論是操作系統(tǒng)、架構(gòu)或是數(shù)據(jù)庫，它們本身也是軟件系統(tǒng)，是軟件系統(tǒng)就會存在BUG或漏洞，然而醫(yī)院信息部工程師不一定能及時對這些漏洞進(jìn)行補(bǔ)丁升級，所以給攻擊者留下了可乘之機(jī)。醫(yī)院網(wǎng)站一般面向廣大群眾和醫(yī)護(hù)人員，在網(wǎng)站登錄驗(yàn)證機(jī)制上比較粗暴簡單，基本不采用雙因子驗(yàn)證，如短信密碼驗(yàn)證、電子口令驗(yàn)證等，且對用戶名和密碼的安全性判斷也較弱，如默認(rèn)6位純數(shù)字等，這給黑客流量了大量撞庫的機(jī)會。
醫(yī)院網(wǎng)站一般是放在云服務(wù)器或IDC機(jī)房，但長時間以來，醫(yī)院體制內(nèi)對信息部門不重視，導(dǎo)致信息部成為弱勢群體，在網(wǎng)絡(luò)安全建設(shè)中話語權(quán)較弱，所以在管理上力度也不足，如常年不更新網(wǎng)站，未執(zhí)行不定期登錄網(wǎng)站確認(rèn)等，信息部管理人員自身安全意識薄弱，網(wǎng)絡(luò)安全防范技術(shù)落后等現(xiàn)狀。
相關(guān)文章
精彩導(dǎo)讀
熱門資訊
