文章总结： 本文阐述医疗保健行业结合FAIR风险量化与零信任原则提升网络安全的实践。通过FAIR量化风险辅助决策，配合零信任技术保护敏感数据。实施包括风险评估、访问控制优化及SOC升级。成果显著降低了财务风险并实现合规。建议从数据入手评估风险，优先保护高价值资产，并构建安全文化。 综合评分： 90 文章分类： 解决方案,安全建设,数据安全,网络安全,安全运营

将FAIR风险量化与零信任原则相结合提升医疗保健网络安全

何威风

祺印说信安

2026年1月14日 00:00 河南

Pulak De，Cardinal Health信息安全与风险管理负责人。

与其他行业相比，医疗保健行业最容易遭受数据泄露，受保护的健康信息 (PHI) 泄露会造成数百万美元的损失，并扰乱关键的临床运作。过去五年，数百万条美国医疗保健记录遭到泄露，平均每次泄露造成的损失约为1000万美元。网络钓鱼攻击增加了400%，第三方漏洞仍然是一个主要问题。

现代数据环境（包括多云环境）的复杂性使得传统的网络防御措施难以满足全球医疗保健运营的复杂需求。作为医疗保健数据管理领域的网络安全和风险管理从业人员，团队将信息风险因素分析(FAIR)模型与零信任原则相结合，构建了强大的防御体系，有效抵御勒索软件和网络钓鱼等威胁。这不仅降低了风险敞口，增强了对受保护健康信息(PHI)的保护，也与我们实现可靠的全球医疗保健数据分析的使命相契合。

为什么选择FAIR和零信任

FAIR模型是一种数据驱动的方法，它通过计算损失事件频率 (LEF) 和损失规模 (LM) 来量化风险，从而识别漏洞（例如电子健康记录 (EHR) 上的勒索软件），进而帮助确定投资优先级并有效地向利益相关者传达风险。零信任的“永不信任，始终验证”方法通过细粒度的控制措施（包括零信任网络访问 (ZTNA)、身份安全和微隔离）对此进行了补充。

实施历程

步骤 1

您可以考虑采用 FAIR 方法评估整个数据管道中的风险，以此启动风险评估流程。您可以模拟各种威胁，例如针对电子病历 (EHR) 的勒索软件攻击以及通过第三方/供应商集成实现的网络钓鱼漏洞。我们公司就是这么做的，分析结果显示，每次事件的潜在损失高达数百万美元，其中包括直接费用（系统恢复）和间接影响（监管费用、运营中断）。

将FAIR与HITRUST合并后，我们得以利用事故数据和行业基准构建内部损失数据库。遵循类似的流程，您也能将风险决策转化为可量化、可执行且与业务目标相符的策略。此外，尽早与利益相关者沟通并明确关键绩效指标(KPI)也至关重要。以财务术语呈现潜在损失更容易引起领导层的共鸣，从而获得扩大资金的支持。

步骤2

我们从传统的VPN过渡到ZTNA，并集成了基于角色的访问控制（RBAC）和多因素身份验证（MFA）来限制对关键数据集的访问。微隔离将PHI存储库与处理单元隔离，从而防止数据泄露扩散。

为了增强系统弹性，您可以借鉴我们的做法，引入不可变备份、故障转移架构（可实现近乎完全的可用性）以及定期演练，以最大限度地缩短恢复时间。我们还邀请临床医生参与策略制定，以确保安全性和不间断运行之间的平衡。

步骤3

务必将人为因素视为风险和优势。我们正是这样做的，当时我们推出了一项包含模拟网络钓鱼演练的互动式安全意识培训计划，显著降低了安全风险。

一个由IT、临床和合规团队组成的跨职能零信任监督委员会将确保政策的落实。持续的论坛和带有激励奖励的安全倡导者计划可以培养一种共同责任的文化。您还可以考虑每月召开全体员工会议，并建立迭代反馈机制，以完善指南并维持合规性。

步骤4

利用用户和实体行为分析(UEBA)以及安全信息和事件管理(SIEM)技术，改造您的安全运营中心(SOC)。我们正是通过这种方式减少了误报，并实现了预测性威胁狩猎。持续的每周更新使我们能够预见不断演变的威胁，例如供应链攻击。

步骤5

通过分阶段签订供应商协议，您可以有效控制前期支出。我们采用这种方式，并配合季度同步机制，使产品路线图与我们的身份和访问管理 (IAM)以及端点检测与响应(EDR)框架保持一致。借助FAIR的风险洞察，优化了资金分配，将资金集中投入到最优先的领域。请记住：供应商合作关系具有战略意义，因此这些联盟也应具有战术性，谈判过程应透明，并与组织需求保持一致。

主要成果

采用 FAIR 模型对于将我们的网络安全战略转型为可衡量、与业务目标相符的框架至关重要。虽然这对我们公司行之有效，但请记住，不同企业的收益可能有所不同。

• FAIR的量化方法以数据驱动的洞察取代了主观的风险评估。通过计算 LEF和LM，我们识别出了高优先级风险，例如针对电子健康记录 (EHR) 的勒索软件攻击，从而能够做出符合业务目标的精准决策。

• ZTNA 移除了不必要的访问权限，实现了实时异常检测（例如，异常数据导出到云存储），并强制执行了最小权限原则。通过FAIR原则，我们降低了高频损失概率，平均风险降低了约400万美元。

• 简化的访问处理流程每年为我们超过1万名处理敏感数据（例如 PHI）的员工节省了200万美元的生产力成本。这项投资回报增强了防御能力，促进了主动检测，并最大限度地减少了漏洞。

• 100%符合HIPAA和HITRUST法规。

• 通过模拟网络钓鱼攻击可能造成的损失，证明了对高级终端保护的投资是合理的，从而确保资源被用在了最重要的地方。

• FAIR透明、易于业务理解的语言促成了文化转变，缩小了IT团队与业务领导层之间的差距。

社区实用策略

• 首先从数据入手，评估当前风险。运用FAIR原则，以财务术语为基础制定策略，并针对网络钓鱼或内部数据泄露等常见威胁，建立 LEF 和 LM 的基准线。

• 集成是关键。将零信任的细粒度控制与FAIR相结合，有助于确保您解决第三方/供应商风险和物联网风险等核心问题，从而加快对异常情况的响应速度。

• 确保医疗保健领域的可扩展性。首先从电子病历和PHI数据集等高价值资产入手，然后扩展到分布式环境，在确保符合HIPAA等法规的同时，保持运营效率。

• 逐步实施零访问攻击 (ZTA)。首先进行身份验证和微隔离以保护数据流，重点在于消除不必要的访问。

• 优先考虑易用性。零信任只有在用户接受的情况下才能发挥作用。尽早让利益相关者参与进来，设计直观易用的控件。

• 培养安全文化。投资于安全意识提升项目和管理委员会，使安全成为每个人的责任。

结论

通过采用FAIR和零信任原则，我们已将网络安全提升为核心战略驱动力，从而增强了全球医疗保健数据管理的安全性和效率。这种变革性的方法显著提高了系统韧性，降低了风险敞口，并促进了全球运营的创新。

通过采纳这些框架，医疗网络安全领域也能取得类似的成果。让我们携手合作，使医疗网络安全成为在日益动荡的威胁环境中建立信任和创新的基石。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：祺印说信安 何威风《将FAIR风险量化与零信任原则相结合提升医疗保健网络安全》