相對于傳統的醫療機構，網際網路醫院線上上問診、處方流轉、醫患互動等方面具有更加靈活、便捷的特點。然而随着數字經濟發展的進一步深入，網際網路醫院在給人們帶來便利的同時，漸漸出現海量醫療資料頻繁外洩的事件。醫療行業網絡安全形勢日漸嚴峻，引起人們的廣泛關注。
2018年，國家衛生健康委員會、國家中醫藥管理局釋出的《網際網路醫院管理辦法（試行）》明确指出，“網際網路醫院資訊系統按照國家有關法律法規和規定，實施第三級資訊安全等級保護”。各醫院為貫徹以上要求，必須在内網與網際網路相連接配接後，才能實作醫院内部的“存儲病案首頁資料”與國家衛健委醫管司的“醫院品質監測系統”接口對接工作，實作資料互通。就目前安全措施而言，醫療機構多數采用網閘的解決方案。
伴随着網際網路醫院建設的不斷深入，醫院核心業務系統（HIS、LIS、PACS、EMR等）與網際網路醫院平台的資料交換變得更加頻繁，在醫院核心業務系統之間，大量使用API接口進行資料交換。診療業務、便民服務、機構管理、醫保支付等資料，都需要互聯互通。在城市醫聯體、緊密型縣域醫共體等新型醫療機構叢集的區域協同要求下，網際網路醫院廣泛采用的移動APP、微信小程式等便民服務都離不開API功能調用。API作為網際網路醫院“資料中台”和“業務中台”的關鍵技術，其安全性至關重要。
為保障網際網路診療業務的安全性，天融信提出API安全營運管控方案，該方案針對網際網路醫院業務API接口安全問題提供安全營運管控辦法，優化業務流程，簡化醫院安全管理工作，提升患者線上就醫滿意度，保障網際網路醫院資訊安全和業務順暢流轉。
1、“零死角”API暴露面梳理
醫院IT資産精細化管理需要全面梳理業務API接口間調用。運維人員采用API流量可視化分析工具，輸出網際網路醫院API接口調用總體概況，為拆分高峰API接口功能和關閉低價值接口提供業務優化指導依據，優化系統調用，減少API接口安全風險暴露面。
2、“零信任”API身份可信授權
醫療機構應根據業務需要，對不同業務開放特定權限的API接口。天融信采用資料安全治理“六步法”，對重要醫療資料及涉及個人隐私資訊資料分類分級，制定API接口資料傳輸管控政策，針對某些患者的臨床資訊如心理疾病、HIV資訊等資料傳輸，加強對等通信節點的身份驗證。在接口通信過程中不斷校驗感覺使用者身份、運作環境、權限變化等資訊，可随時觸發通信授權規則。
3、“零代碼”國密應用改造
醫院核心業務系統普遍根據等保三級要求建設，随着《中華人民共和國密碼法》的釋出，國家對醫療行業商用密碼應用有明确要求：等保三級系統必須根據商用密碼應用安全性評估三級要求進行相應改造。天融信API安全營運管控方案基于API接口代理方式，實作國産商用密碼應用網絡通信層面“零代碼”合規建設。
4、“零距離”API可視安全管理
方案針對API互動資料中深度分析和感覺API調用的内容及行為，對API服務端開展安全防護，感覺和識别常見的API攻擊行為，包括SQL注入、跨站攻擊、網絡爬蟲、重播攻擊以及異常和無效的通路請求等，并對存在這些安全攻擊行為的API請求進行攔截或阻斷會話。除此之外，API網關能夠利用黑白名單機制進一步控制API使用者的後續權限。
方案價值
1、摸清家底，為系統間資料安全流動提供管控措施，阻止橫向越權通路。面向網際網路診療業務流程，繪制資訊系統API接口調用底圖。
2、優化管理，收斂系統間子產品通信權限，建立可即時幹預的診療服務可信通信模型，加強應用層接口管理安全細粒度，從攻防實踐角度彌補傳統安全裝置防控盲區。
3、密碼合規，實作國産商用密碼應用網絡通信層面“零代碼”合規建設。
4、安全可控，API互動資料深度分析和感覺，基于内容和行為預警風險。
IDC釋出的《IDC Perspective：中國API安全市場洞察，2022》報告中，憑借深厚的技術能力與實踐積累，天融信API安全産品和解決方案入編此報告，并成為IDC推薦廠商。IDC認為，API作為資料流轉和使用的重要通道，承載着十分重要的責任。
随着網際網路醫院、雲上醫院等新型醫療機構服務模式不斷湧現，在新興資訊技術為患者就醫帶來便利的同時，資訊安全問題不容忽視。天融信通過對網際網路醫院建設模式的全面、深入分析，提供面向不同級别醫療機構的醫院API安全營運管控方案，持續護航醫療行業數字化轉型。