使醫療保健中的 API 更加安全
- Noname Security - Taiwan
- 2022年6月9日
- 讀畢需時 5 分鐘
已更新：2022年6月22日
Written by Filip Verloy
歐洲、中東和非洲地區 Noname 安全技術佈道者
對醫療保健服務的需求繼續加速增長，過去兩年因大流行以及延遲手術和治療的連鎖反應而加劇，所有這些都對 NHS 提出了挑戰。醫療保健技術創新和全球醫療保健服務的數位化被視為克服其中許多挑戰的途徑。因此，英國政府正在投資於人工智能、機器學習以及更廣泛地圍繞數據驅動的醫療保健等領域的發展能力，以使其更容易獲得、負擔得起和可持續發展。
然而，隨著患者對此類服務的質量和安全性的期望越來越高，以及越來越複雜的法規要求更嚴格的治理，這並非易事。
保護敏感數據
雖然數位化服務和跨衛生系統共享數據是前進的方向，但個人身份信息 (PII) 非常敏感，在披露醫療記錄時，必須適當處理這些數據。如今，NHS 信託擁有眾多醫療系統，在醫院內共享信息，並與外部醫療保健提供者建立聯繫。將此與對個人健康和福利設備的需求相結合，公民可以將數據添加到自己的個人健康檔案中，您可以看到健康數據的增長是如何爆炸式增長的。
然而，監測健康狀況、睡眠模式、心率、呼吸以及其他健康狀況生命體徵的健康追踪器的增加導致消費者數據視圖分散。此外，獲取的數據可以以多種方式使用：私下；為臨床數據庫做出貢獻；或用於研究。這不僅在數據聚合中引入了額外的複雜性，而且在數據的訪問、存儲和保護方式上也帶來了額外的複雜性。
互操作性是關鍵，並已成為行業的口號，因為該行業在大量且不斷增長的參與者中協調對患者的護理。這就是應用程式編程接口 (API) 成為關鍵組件的地方，它允許系統相互通信，縮小信息利用方式的差距。其理念是所有系統都集成在一起，以合規的方式協同工作，並且任何敏感數據都是安全的，以防萬一發生洩露。
挑戰包括定制的 API 和孤立的技術
不幸的是，由於存在許多技術差距，情況並非總是如此。同樣，整個行業都缺乏數據標準和多種孤立的技術。這意味著必須創建自定義 API 以適應它為每個系統提供的服務的需求，這很耗時，因為隨著系統的升級和更換，API 管理很繁重。
因此，API 的數量和復雜性不斷增長。分析公司 Gartner 預測，API 將在 2022 年成為最常見的攻擊媒介。根據 451 Research 的《2022 API 安全趨勢報告》，受訪者所代表的組織中有 41% 在過去 12 個月內發生過 API 安全事件；63% 的人指出該事件涉及數據洩露或數據丟失。
好消息是，今天有幾個全球開放的醫療保健標準；健康七級 (HL7®)、快速醫療保健互操作性資源 (FHIR®) 和醫學數字成像和通信 (DICOM®)。FHIR 是一個以 API 為中心的標準，用於表示如何在不同系統之間交換醫療保健信息，而不管它是如何存儲在這些系統中的。HL7 是一套國際標準，用於在不同醫療保健提供者使用的軟件應用程式之間傳輸臨床和管理數據。DICOM 是醫學影像信息和相關數據的通信和管理標準。所有這些標準都有助於在嚴格的醫療保健和合規範圍內確保數據隱私和安全。
FHIR 的更新有助於促進與舊系統的互操作性
最新版本的 FHIR 建立在 HL7 以前的數據格式標準之上，但由於它使用基於 Web 的現代 API 技術套件，因此更易於實施。其目標之一是促進傳統醫療保健系統之間的互操作性，以便更輕鬆地在各種設備之間共享醫療保健信息。這允許第三方應用程式開發人員提供可以輕鬆集成到現有系統中的醫療應用程式。
這解決了整個行業的另一個重要挑戰，許多組織仍在使用舊有的API 技術。該行業必須從僅在本地安裝的本地環境轉向更多基於雲的模型，健康技術行業可以在其中啟用 API。公共雲提供商，例如 Google Cloud 和 Microsoft Azure，成功地使醫療保健組織能夠在雲服務中快速構建醫療保健解決方案，改變舊的工作方式，實現醫療保健應用程式和解決方案之間的簡單和標準化的數據交換。這使得醫療保健專業人員可以使用遺留系統中的數據。它支持高度可擴展的企業級開發環境，用於在雲中安全地構建臨床和分析解決方案。
也就是說，從本地到雲的過渡永遠不會涉及整個醫療保健行業。有許多嚴格的監管要求意味著 PII 數據必須保留在某些系統上，或者從成本角度來看，某些遺留系統無法從本地遷移。
API 安全已成為重中之重
這確實意味著 API 安全已成為保護重要醫療保健系統的關鍵優先事項。然而，這也是許多公司缺乏專業知識的領域。醫療保健中的 API 安全測試具有挑戰性，因為眾所周知，組織需要在封閉的盒子和嚴格監管的環境中工作。
這意味著一切都必須通過嚴格的控制進行徹底測試。需要就暴露哪些數據以及醫療保健提供者計劃如何處理這些數據提出問題。當然，提供商正在應對每個企業面臨的相同類型的技術挑戰，但由於數據的敏感性，所涉及的罰款，但最重要的是這可能對某人的健康產生的影響，影響要嚴重得多。
了解 API 的案例有助於測試
隨著健康數據需求的增長，提供商必須優先考慮 API 安全性和數據隱私，以防止威脅者輕鬆操縱 API。這就是發現勢在必行的地方，在 API 請求和響應中查找特定數據類型對於了解正在傳輸的數據類型、傳輸方式以及流程是否經過身份驗證和安全至關重要。提供者還需要了解是否正在執行適當的 API 測試，因為 API 的用例會通知測試。
醫療保健組織必須維護準確的 API 庫存並確保身份驗證到位。清單應該遠遠超出 API 的數量，並且應該開始包括 API 的安全特性，特別是哪些 API 包含敏感數據。安全團隊還應在具有受保護健康信息 (PHI) 的系統中進行測試。為了有效，此類測試應包括 AppSec 和 DevOps 團隊之間的協作，以盡可能順暢的方式將測試功能集成到開發人員工具中。同樣，組織應優先考慮快速修補系統以避免被駭客所利用。
醫療保健技術的新進步將推動更多數據點
英國政府已承諾到 2030 年新建 48 家醫院，並推動醫療技術的轉型和新的進步。可從一個地方實時訪問所有數據的互操作性是實現這些轉型目標的核心，為每個患者的每個決策提供更多事實。綜上所述，在 1980 年，醫療保健專業人員在每個決定中為每位患者提供大約 10 個事實，到 2020 年，這一數字上升到每個患者在每個決定中約有 1,000 個事實。API 對提供互操作性至關重要，這種互操作性將為這種數據驅動的決策提供動力，但更重要的是，API 安全性將是保持患者數據安全的關鍵。
Noname Security Active Testing 是一個針對 AppDev/DevOps 組的新模塊，可幫助將“Shift Left”測試深入到應用程序開發過程中。 通過將 API 測試轉移到應用程式開發過程中，它可以幫助 AppDev/DevOp 團隊將經過徹底測試的 API 發佈到生產中，並避免在開發結束時造成測試瓶頸。 這減少了前期風險和補救工作，從而使 AppDev/DevOps 小組能夠始終如一地維護他們的測試版本。
Comments