Proofpoint：2023年医疗机构因遭受网络攻击支出的平均总成本近500万美元

近日，网络安全公司Proofpoint与IT安全研究组织Ponemon Institute共同发布了一份《2023 年医疗保健行业网络不安全研究》报告。报告发现，88%的受访组织在过去一年内平均经历了40次攻击。医疗机构因遭受网络攻击支出的平均总成本为499万美元，比前一年增加了13%。

在遭受四种最常见攻击类型（云入侵、勒索软件、供应链和商业电子邮件入侵 BEC）中——平均有66%的组织曾经因网络安全事件对正常的医疗服务造成了干扰。甚至57%的医疗机构称，由于手术和测试的延误，导致部分患者的预后不佳，50%的患者并发症增加，23%的患者死亡率增加。这些数字表明，医疗机构在减轻网络攻击对患者安全风险方面进展甚微。

该报告调查了653名医疗保健IT和安全从业人员，发现供应链攻击是最有可能影响患者护理的威胁类型。近三分之二（64%）的受访组织在过去两年中遭受了供应链攻击。其中，77% 的患者护理因此中断（高于 70 年的 2022%）。到目前为止，BEC是最有可能因程序延迟而导致不良结果的攻击类型（71%），其次是勒索软件（59%）。BEC也最有可能导致医疗程序并发症增加（56%）和住院时间延长（55%）。

“连续第二年，我们发现四种类型的分析攻击对患者的安全和福祉显示出直接的负面影响，”Ponemon Institute主席兼创始人Larry Ponemon表示。调查结果还表明，与2022年相比，更多的IT和安全专业人员认为他们的组织容易受到每种类型的攻击。这些袭击也给资源带来了比去年更大的压力——总体成本平均增加13%，确保对患者护理的影响得到纠正所需的时间平均增加58%。”

此外，报告还发现：

● 勒索软件仍然是医疗保健组织面临的威胁，尽管对它的担忧正在下降：54%的受访者表示，他们的组织遭受了勒索软件攻击，高于2022年的41%。然而，勒索软件在威胁担忧中垫底，只有48%的受访者表示这种威胁最让他们担忧，而去年这一比例为60%。支付赎金的受访组织数量也有所下降，从2022年的51%下降到今年的40%。然而，最高赎金支付的平均总成本飙升29%，达到995450美元。此外，68%的人表示勒索软件攻击导致患者护理中断，大多数人（59%）表示程序和测试延迟导致结果不佳。

● 所有接受调查的组织在过去两年内至少发生过一次涉及敏感和机密医疗数据的数据丢失或泄露事件：43%的受访者表示数据丢失或泄漏事件影响了患者护理；其中，46%的患者死亡率增加，38%的患者因医疗程序并发症增加。组织平均经历了19起此类事件，恶意内部人员是最有可能的原因。

● 对供应链攻击的担忧有所下降，尽管这些攻击严重扰乱了患者护理：只有63%的受访者对其组织易受供应链攻击表示担忧，而去年这一比例为71%。与此同时，64%的受访者表示，他们组织的供应链平均遭到四次攻击，77%的供应链攻击患者的护理中断，比去年的70%有所增加。

● 医疗保健组织最容易受到云入侵的威胁，也最关心云入侵：75%的调查参与者认为他们的组织最容易受到云入侵的影响，与去年的63%持平。然而，更多的人担心云带来的威胁。事实上，云入侵从去年的第五位上升到今年最令人担忧的威胁。

● BEC/欺骗问题显著增加。关注BEC/欺骗的受访者比例从去年的46%跃升至62%。超过一半（54%）的组织平均经历了此类事件。人们越来越关注的问题可能反映了这样的发现，即BEC/欺骗攻击比其他攻击更有可能由于手术延迟（71%）、手术并发症增加（56%）和住院时间延长（55%）而导致不良结果。

● 对BEC/欺骗和供应链攻击的准备不足会使患者面临风险。尽管关注BEC/欺骗网络钓鱼的组织数量有所增加，但只有45%的组织采取措施预防和应对此类攻击。同样，尽管供应链攻击对患者护理造成的影响很普遍，但只有45%的组织记录了应对措施。

● 内部专业知识的缺乏和人员配备的不足对网络安全态势构成了比以往更大的挑战。受访者认为，缺乏内部专业知识和人员配备不足是保持组织网络安全态势无法完全生效的最大挑战，今年有更多的组织感受到了这一挑战：58%的组织认为缺乏专业知识是一个挑战，而2022年为53%，50%的组织认为人员配备不足，而去年为46%。

“虽然医疗保健行业仍然非常容易受到网络安全攻击，但很高兴看到，行业高管正在对网络事件如何对患者护理产生不利影响建立正确的认知。”Proofpoint医疗保健客户咨询委员会主席Ryan Witt表示。

“调查显示，医疗保健组织已经意识到他们面临的网络风险。现在，他们必须与行业同行合作，接受政府的支持，以建立更强大的网络安全态势，从而提供尽可能好的医疗服务。”