仅6%的医疗设备具备抵御量子解密攻击的能力

医疗机构未能建立起充分的防护机制，以抵御未来可能瓦解保护临床记录的标准密码屏障的量子计算能力。¹ 安全分析师的评估证实，医院硬件目前在量子防御方面表现出明显的不足，临床设备明显落后于传统计算基础设施。¹ 网络安全公司Forescout的研究部门进行的一项审计显示，仅有6%的医疗设备具备能够抵御量子级别解密的安全防护。¹ 这一表现与传统的企业计算资产形成了巨大反差，后者已有50%采用了具备抗量子能力的安全架构。¹ 调查结果强调，整个医疗行业在为其数字防线做好迎接这一重大转变的准备方面行动过于迟缓。¹

量子硬件依靠量子力学原理处理信息，理论界预计其执行复杂计算的速度将呈指数级快于传统计算基础设施。¹ 虽然此类处理机器此前被视为纯理论探讨，但实际部署可能会在短短数年内出现，并带来前所未有的安全挑战。¹ 全球公共机构和私营企业担心，高性能量子处理器将能够轻而易举地化解传统的数学加密，而这种加密目前在从金融到医疗保健的各个领域将敏感文本转化为随机数字。¹ 为此，全球已展开竞逐以部署后量子密码学，该技术引入了能够在对手攻破脆弱目标之前抵御传统机器和先进量子处理器入侵的防御算法。¹

为了评估临床环境下的准备情况，研究人员对50多家医院机构中运行的超过250万台在用设备进行了审查。¹ 他们的清查结果表明，与标准计算机服务器和办公工作站相比，输液泵和床旁生理监护仪等专用医疗硬件在应对后量子密码学标准方面的准备严重不足。¹ 尽管在普通医疗机构中，传统企业设备仍占所有联网硬件的66%，但如果现代密码学部署遗漏了未受保护的临床设备，将带来巨大的系统性风险。¹ 更棘手的是，尽管医护人员在床旁操作中时刻依赖治疗仪器，但众所周知，这些仪器极难打补丁或重新配置。¹

该审计还通过评估医疗保健企业中运行的5500多个外部可访问门户和应用程序编程接口，仔细审查了更广泛的网络暴露情况。¹ 在这些面向外部的接触点中，仅有31%维持着与新兴后量子密码学要求技术兼容的通信协议。¹ 由于这些外部系统和内部医疗设备管理着核心临床信息，数字化患者病历、临床扫描和诊断实验室结果等核心资产面临严重暴露。¹ 调查结果支持这样一个结论：高度机密的医疗文件仍然格外脆弱，因为这些档案经常在缺乏充分保护的医疗设备和Web网关之间传输、查看或存储。¹

在Forescout负责运营技术和医疗保健网络风险解决方案的副总裁Daniel Trivellato明确指出，医院在未来几天并不会面临来自实用量子硬件的即刻攻击。¹ 相反，紧迫的困境源于一种对手策略，其核心在于眼下收集加密资料并予以存储，直至未来的机器能够将其解码。¹ 已有记录的评估强调，尽管最终的解密风险还有数年之遥，但立即干预十分必要，因为敌对实体可能已经在搜集加密的临床卷宗。¹ 如果不防范这种被动收集，一旦实用的量子解密成为现实，历史档案将彻底暴露无遗。¹

在延迟解密策略下，医疗行业面临更高的风险，因为诊断病史、医学影像记录、化验结果和用药记录在数十年内都高度保密且具有利用价值。¹ 与在发生入侵后可立即作废并重新签发的信用卡凭据不同，人类的遗传标记和终身医疗状况在人的一生中是恒定不变的。¹ 由于存储的医疗保健数据在如此长的时间跨度内仍具有敏感性，网络安全主管部门敦促医院高管迅速推进后量子现代化改造，切莫推迟行动。¹ 如果将安全升级推迟到量子处理器问世之后，将使得截获此前网络通信的任何人都能毫无悬念地读取已积累的数据库。¹

这一新兴的加密困境，是在针对临床运营的破坏性入侵层出不穷的背景下发生的。¹ Forescout记录到，今年1月至8月期间，全球针对医疗服务提供商的公开勒索和勒索软件要求达到461起，较上年同期增长47%。¹ 位于美国的机构是这些行动的主要目标，承受了所有记录在案的勒索诉求的60%以上。¹ IBM的财务统计数据显示，一起典型的医疗保健数据泄露事件会给机构造成总计约664万美元的损失。¹ 分析人士指出，这些相当巨大的财务影响为卫生系统向长期抗量子能力进行投资提供了紧迫的财务依据。¹

在向执行决策者发表讲话时，Trivellato指出，医院领导层不应将量子防御视为非此即彼的选择，即要么立即进行应急支出，要么在硬件问世前分文不花。¹ 相反，各机构可以将抗量子要求纳入常规的技术采购周期和多年期设备更新换代中，以防止未来产生庞大而混乱的补救成本。¹ 为了确立基准，他建议医疗保健管理者首先对所有联网设备进行分类，并彻底清查高风险网络组件。¹ 摸清现有的数字依赖关系，有助于医院管理人员在关键截止日期到来之前，精准定位无法支持现代加密更新的老旧设备。¹

启动向抗量子网络转型的组织，可以将其技术策略与负责起草技术标准的联邦机构美国国家标准与技术研究院制定的蓝图保持一致。¹ 该标准局于2024年发布了其首套正式的后量子密码学基准，以指导各行业的现代化改造。¹ 报告表明，尽管临床机构可以立即利用已发布的联邦指导方针，但专门针对医疗生态系统制定的法律法规尚未最终敲定。¹ Trivellato强调，监管部门尚未明确医疗保健网络是会面临单独的后量子法规，还是仅仅将抗量子能力纳入现行的合规职责中。¹