如何借助强大的 API 安全防护能力，推动医疗保健和生命科学行业的发展：通过监测能力而非漏洞来改变互操作性

报告白皮书 如何通过强大的API安全性推进医疗保健和生命科学领域的发展 通过可见性而非脆弱性来转型互操作性 执行摘要 从共享人口健康数据到远程患者监测，电子健康记录（EHR）系统促进的支付者和提供者之间的数据交换，以及医疗物联网（IoMT）的扩展，医疗保健的数字化正在迅速增加。 考虑到78的医疗保健组织在2022年9月至2023年9月期间经历了API安全事件 。此外，55的人报告在事件发生后出现了生产力 损失。 2023年，医疗数据泄露超过两倍与2022年相比，并且预计将增加。此类暴露伴随着合规违规和系统停 机风险，这可能导致患者护理挑战。 什么构成了这个由提供者和支付者、医疗信息技术（HCIT）以及生命科学组织组成的复杂生态系统的核心？是应用程序编程接口（API）。API在幕后发挥着关键作用，为应用提供动力，并促进跨多个不同系统之间的数据交换和聚合。根据美国国家卫生信息技术协调办公室（ONC）的说法： 十家医院中有九家使用API使应用能够允许患者访问电子健康记录数据，同时十家医院中有六家使用API允许患者通过应用提交数据 2022年，超过三分之二医院报告使用HealthLevelSevenHL7快速医疗互操作性资源FHIRAPI，以实现患者访问数据，比前一年增长12。 五分之四的医院使用API使应用程序能够将数据写入电子健康记录系统，五分之四使用API读取电子健康记录数据；50使用API使应用程序能够读取非电子健康记录数据 29 针对所有网络攻击的目标 2023年的APIs。 《阿卡迈互联网状况报告 （SOTI），2024年3月》 但是，随着医疗生态系统利用API为善创造更好的患者体验和访问、简化操作，以及在数字时代获得商业优势生态系统参与者可能无意中增加了他们的脆弱性。虽然API是必不可少的，但它们通常以一种不安全的方式实现。处理大量患者和财务数据的应用开发者和聚合者由于配置错误和安全性部署不良，可能会引入关键的盲点。 akamaicomakamaicom11 APIs在医疗保健领域 演变 2009年《经济和临床健康信息技术法案》（HITECH）为医疗保健中电子健康记录（EHR）使用和数据实践设立了基本标准。但直到最近，即在2022年，21世纪治愈法案条款赋予患者对其全部健康记录电子格式所有权和不受限制访问权时，医疗保健机构才进入了由FHIRAPI驱动互操作性标准新纪元。尽管这一演变部分是由法规推动， 存在多种临床和财务用途案例以支持技术（以及许多方面文化）转型（图1）。数据共享可以减少重复医疗服务，减少用药干扰，并提高提供者EHR（如摄入远程病人监测数据等）定制化和功能。 医疗领域中APIs 应用 开发者 APIs 数据和服务 用户 患者应用 医疗保健组织 开发者 FHIR 系统 记录 医生 应用 HIT 开发者 专有 系统参与 其他应用 第三方开发者 其他 图1：医疗保健中API使用 主要挑战？尽管API作为新标准认可度可能正在增长，但可能还存在将额外端点转换为新潜在风险点 不足。考虑到医疗生态系统中专有API数量庞大 ，这一挑战变得更加复杂。 美国医院协会和健康与人类服务部国家卫生信息协调 办公室（ONC）2023年共同研究发现关于所有非联邦急性护理医院中报告使用API与应用程序交换数据 百分比（图2）。这些医院绝大多数采用基于混合标准和非标准API方法或者仅限于非标准方法用于写入电子健康记录（EHRs）、读取EHR数据和读取非EHR数据。 鉴于缺乏两者存在人类并且受托人资本投入到医疗保健领域时，这一向标准化转型可能将最受到促进数字化法律以及具备充足资源、预料到未来合规需求组织启发。 这项工作基础是可信交换框架和通用协议（TEFCA ）。TEFCA承诺创建一个集中化国家互操作性框架 ，以减少对老旧和地区性交易所依赖，并将FHIRAPI作为标准进行建立。 仅基于标准 基于标准和非标准化 仅非标准化 100 80 60 40 82 19 29 35 17 20 18 19 24 33 78 54 20 0 向电子健康记录系统（EHR）写阅入读电子健康记录数据阅读非EHR数据 注：百分比是根据有住院或门诊地点非联邦急性护理医院计算。 图2：所有非联邦急性护理医院中报告使用API与应用程序交换数据比例 （来源：2022年美国医院协会年度调查信息技术补充资料） 从2023年1月1日至2023年11月30日， 115705433 医疗记录泄露或遭到损害 超过2021年和2022年总和 。 《HIPAA杂志》 合规性问题 医疗和生命科学组织传统上专注于南北流量（指挥与控制以及数据外泄）。然而，APIs通过东西向流量公开核心业务功能，这在攻击成功情况下引入了横向移动可能性。即使合作伙伴遵守《健康保险可携带性和问责制法案》和《系统和组织控制2》等法 规，合作伙伴之间连接和网络流量仍然会创造暴露点。这意味着单个系统合规性是不够。医疗保健组织需要能够分析网络（东西向）和合作伙伴（南北向）流量，以获得全面可见性。 在已接受API流量背景下，允许列表中流量可以绕过Web应用和API保护（WAAP）或API网关控制 ，这可能导致配置不当恶意API未经审查就暴露在互联网上。内部东西向API流量也规避了这些控制。API安全通过从任何WAAP或网关收集API活动数据并将其发送到集中式数据湖进行综合监控来解决这些挑战。它就像交通摄像头一样，记录所有API活动并执行行为分析以增强安全措施。 4 akamaicomakamaicom4 医疗行业已脆弱格局 约翰里吉，美国医院协会国家网络安全顾问指出 ：2023年是一个创纪录一年针对医疗保健组织 网络攻击黑客攻击和勒索软件在医疗保健领 域，这些是主要且不断增长网络安全威胁已导致239和278增长分别在大规模数据泄露事件（过去四年中）占比较大。2023年，黑客攻击导致了77大规模数据泄露（根据卫生与公众服务部定义，超过500份患者记录）事件。 事实上，根据Akamai数据，2023年，针对医疗行业每日网络应用和API攻击显著增加。图3。数据包括支付方、供应商、制药和生命科学组织以及HCI T公司更广泛生态系统。 每日医疗保健和生命科学领域网络应用及API攻击 2023年1月1日2023年12月31日 12个月 攻击次数 9个月（三个月份） 6M 3M 0M 2023年1月1日2023年2月1日2023年3月1日2023年4月1日2023年5月1日2023年6月1日2023年7月1日2023年8月1日2023年9月1日2023年10月1日2023年11月1日2023年12月1日2024年1月1日 图3：针对医疗保健行业网络应用和API攻击显示出持续活动量和每天攻击数量不断增加（来源：Akamai） akamaicom5 网络犯罪分子针对医疗数据 APIs通常会因其提供数据访问权限而被攻击，其中个人健康信息是在暗网上最宝贵数据集之一。这些记录价格可高达每条1000美元，而社会保险号平均价格仅为1美元。 转变网络医疗（补丁行动时着眼于确保数字健康工具符合严格网络安全指南。该立法最严格法规涉及要求在2023年9月之后向食品药品监督管理局申请上市批准制造商遵守网络安全要求。但是，老旧和过时系统仍然容易受到安全漏洞攻击。并且更难保护它们并获得对其可见性。 对于医疗机构，数据泄露平均成本是任何行业中最 高。并持续上升。医疗保健行业连续第13年成为平均成本最高行业11亿美元这个数字考虑了检测隔离、通知、事后响应以及业务损失成本。但在这一由API驱动生态系统中，没有回头路可走，因为它因物联网医疗（IoMT）扩张而日益复杂。 Ponemon研究所报告发现，45医疗IT领导者认为涉及物联网医疗物联网设备攻击对病人护理产生了不利影响。由此导致不良影响包括死亡率 （53）增加以及医疗程序并发症（28）增加（图4）。 尽管对病人非常有益，物联网医疗设备如磁共振成像 （MRI）设备、胰岛素泵和可穿戴设备等已经提高了网络安全风险。由于医疗生态系统复杂性、易受攻击 旧技术和IT及网络安全人员配置问题，医疗机构在确保其周边安全方面已经面临挑战。此外，在这种环境中及时打补丁可能是一项艰巨任务。由于多个系统或应用程序来自不同厂商更新，打补丁实施和跟踪极其具有挑战性。 未修补IoMT设备是所有行业中最为脆弱资产之一 ，它们可能引入诸如勒索软件等更加危险威胁。随着IoMT指数级增长以及API使用这些漏洞也在增长，它们可能被滥用或可能成为攻击者在其目标中建立立足点途径。联合报告Cynerio和Pon emon研究所揭示：超过一半美国调查医院和医疗系统因物联网医疗设备安全漏洞而遭受网络攻击。 网络攻击对病人护理影响 56 更长长度医院住院时间 53 增加 死亡率 47 患者数量增加转移或转接 至于其他设施 37 程序延误 并且测试结果在不良结果中 28 增加 并发症 医疗程序 尽管国会引入了《保护与》 图4：由于IoMT漏洞对病人护理产生不良影响示例（来源：Ponemon研究所） API漏洞利用正在增加并不断发展。 API攻击数量激增导致近期推出了开放网络应用安全项目（OWASP）API安全前10（图5）。除了攻击频率激增之外，攻击也 日益复杂化。攻击者正在进化他们技术，并寻找创新方法来利用不断扩大攻击面。 行业API风险OWASPAPI安全十大威胁简化版 行业API风险OWASPAPI安全Top10，简化版 数据泄露 破碎物体物业级别授权 不恰当存货 管理 僵尸API 服务拒绝 不受限制资源 消费 不受限制访问 敏感商业流动 网络妥协 横向移动 损坏功能级别身份验证 服务器端请求伪造 API或损坏管理 授权可能允许恶意行为者访问、窃取或操纵数据 资源管理不当及 商业流量可以允许恶意行为者用于自动对API进行DoS请求 不正确身份验证或伪造请求可能允许恶意行为者 绕过防火墙或假设用户凭据 图5：医疗和生命科学行业API风险包括数据泄露、服务拒绝攻击和网络破坏（来源：OWASP基金会） 采取破碎对象级别授权（BOLA），这最新OWASPAPI安全前10名中排名第一API漏洞。在这种情况下，黑客利用API逻辑中漏洞，例如认证或授权控制中差距。由于攻击类似于合法流量，因此很难检测。 攻击者扫描易受BOLA攻击API端点，如果攻击成功，他们可以访问其他用户信息，如存储个人可识别信息（图6）甚至发起拒绝服务（DoS）攻击。 获取accountaliceUUID BOLA攻击 艾丽丝账户 艾丽丝 获取accountaliceUUID 伊娃 获取accounteveUUID 伊芙账户 图6：普通请求与BOLA攻击对比 随着针对API攻击从基于交易（如结构化查询语言注入）攻击转向利用API业务逻辑攻击 ，传统安全工具，包括Web应用程序 防火墙（WAFs），表现不足（图7）。尽管WAFs对于阻止基于交易攻击至关重要，但针对基于业务逻辑攻击需要不同解决方案。 API可见性和控制深度 API攻击正在演变 攻击滥用 图7：API攻击持续演变 akamaicom10 关键API安全风险 APIs容易受到各种安全风险威胁，可能导致数据泄露、未授权访问以及其他形式滥用。关键API安全风险包括影子API和僵尸API、易受攻击API、API滥用、敏感信息共享以及凭据填充攻击。 影子API和僵尸API在大多数医疗机构中，没有人或团队负责管理所有API。这种缺乏监管导致了重大安全漏洞。在整个组织中发现和编目API对于治理和保障它们安全至关重要。弥合开发者和安全团队之间 差距，并检测其环境中影子API至关重要。持续发现使您能够了解新发现API或现有API变更，从而除影子API。 易受攻击API。一旦发现API，医疗组织必须评估其风险态势并确定漏洞，尤其携带敏感数据 那些。这一