企業(yè)網(wǎng)站設計醫院網(wǎng)站安全風(fēng)險來(lái)源
日期 : 2021-02-26 23:22:00
醫院網(wǎng)站安全風(fēng)險來(lái)源。在我國，約80%的醫院的信息管理部門(mén)，不具備醫院門(mén)戶(hù)網(wǎng)站的開(kāi)發(fā)能力，需要把醫院門(mén)戶(hù)網(wǎng)站外包給第三方網(wǎng)站開(kāi)發(fā)公司進(jìn)行開(kāi)發(fā)部署，由于軟件外包公司以交付項目為目標，在網(wǎng)站開(kāi)發(fā)的時(shí)候，大量引用開(kāi)源框架、開(kāi)源代碼，且外包公司人力資源流動(dòng)性極強，開(kāi)發(fā)人員的能力也參差不齊，所以在軟件研發(fā)過(guò)程中，并未深度和廣度上考慮過(guò)網(wǎng)站安全，甚至未進(jìn)行安全性測試，從而在代碼級層面留下了隱患；而醫院信息部門(mén)在驗收過(guò)程中，重點(diǎn)在業(yè)務(wù)功能的實(shí)現，并未進(jìn)行網(wǎng)站的安全性測試，所以在網(wǎng)站的整個(gè)生命周期過(guò)程中，代碼安全存在很大隱患。
醫院網(wǎng)站一般會(huì )有就醫服務(wù)模塊、新聞模塊、科室導航模塊、下載中心模塊、自動(dòng)辦公模塊、各個(gè)模塊之間的數據庫基本獨立，而整個(gè)網(wǎng)站系統，又部署在Windows或Linux服務(wù)器上，利用了如Apache、MySQL、Ngix等架構和數據庫。無(wú)論是操作系統、架構或是數據庫，它們本身也是軟件系統，是軟件系統就會(huì )存在BUG或漏洞，然而醫院信息部工程師不一定能及時(shí)對這些漏洞進(jìn)行補丁升級，所以給攻擊者留下了可乘之機。醫院網(wǎng)站一般面向廣大群眾和醫護人員，在網(wǎng)站登錄驗證機制上比較粗暴簡(jiǎn)單，基本不采用雙因子驗證，如短信密碼驗證、電子口令驗證等，且對用戶(hù)名和密碼的安全性判斷也較弱，如默認6位純數字等，這給黑客流量了大量撞庫的機會(huì )。
醫院網(wǎng)站一般是放在云服務(wù)器或IDC機房，但長(cháng)時(shí)間以來(lái)，醫院體制內對信息部門(mén)不重視，導致信息部成為弱勢群體，在網(wǎng)絡(luò )安全建設中話(huà)語(yǔ)權較弱，所以在管理上力度也不足，如常年不更新網(wǎng)站，未執行不定期登錄網(wǎng)站確認等，信息部管理人員自身安全意識薄弱，網(wǎng)絡(luò )安全防范技術(shù)落后等現狀。
醫院網(wǎng)站一般會(huì )有就醫服務(wù)模塊、新聞模塊、科室導航模塊、下載中心模塊、自動(dòng)辦公模塊、各個(gè)模塊之間的數據庫基本獨立，而整個(gè)網(wǎng)站系統，又部署在Windows或Linux服務(wù)器上，利用了如Apache、MySQL、Ngix等架構和數據庫。無(wú)論是操作系統、架構或是數據庫，它們本身也是軟件系統，是軟件系統就會(huì )存在BUG或漏洞，然而醫院信息部工程師不一定能及時(shí)對這些漏洞進(jìn)行補丁升級，所以給攻擊者留下了可乘之機。醫院網(wǎng)站一般面向廣大群眾和醫護人員，在網(wǎng)站登錄驗證機制上比較粗暴簡(jiǎn)單，基本不采用雙因子驗證，如短信密碼驗證、電子口令驗證等，且對用戶(hù)名和密碼的安全性判斷也較弱，如默認6位純數字等，這給黑客流量了大量撞庫的機會(huì )。
醫院網(wǎng)站一般是放在云服務(wù)器或IDC機房，但長(cháng)時(shí)間以來(lái)，醫院體制內對信息部門(mén)不重視，導致信息部成為弱勢群體，在網(wǎng)絡(luò )安全建設中話(huà)語(yǔ)權較弱，所以在管理上力度也不足，如常年不更新網(wǎng)站，未執行不定期登錄網(wǎng)站確認等，信息部管理人員自身安全意識薄弱，網(wǎng)絡(luò )安全防范技術(shù)落后等現狀。
相關(guān)文章
精彩導讀
熱門(mén)資訊
