美國西奈山醫(yī)療中心（Mount Sinai Health System）首席信息官、醫(yī)學院IT院長Kristin Myers正在將這家位于美國紐約的醫(yī)療提供商帶到云端，同時把數(shù)據(jù)保護和安全作為重點的優(yōu)先事項。 

Myers擁有昆士蘭科技大學的法律和IT學位，以及哥倫比亞大學公共衛(wèi)生高級管理碩士學位，2019年重返校園，在卡內(nèi)基梅隆大學獲得了CISO認證，期間她萌生了對西奈山醫(yī)療中心網(wǎng)絡安全策略進行重建的想法。

“這個項目持續(xù)了六個月的時間，非常具有挑戰(zhàn)性，但我從中學到了很多東西，讓我作為一名CIO真正地去了解一個網(wǎng)絡項目應該包括什么，以及我們需要達到怎樣的成熟度才能向前發(fā)展?！?/p>

這促使Myers采取了很多安全舉措，為把西奈山的業(yè)務和臨床應用遷移到云端做好準備，包括在2021年5月聘請了首席信息安全官Rishi Tripathi，使其成為西奈山醫(yī)療中心云轉型執(zhí)行指導委員會的成員。

“有些人可能認為，你把應用遷移到云端是安全的，但這是錯的，”Myers表示，她認為CIO和CISO之間的關系極其重要?！霸谶M行轉型的時候，你必須要確保安全性?！?/p>

將西奈山帶到云端

Myers從2021年下半年開始整理適合于云遷移的業(yè)務案例，這個過程“需要相當長的時間，因為并非一切都在數(shù)據(jù)中心的技術預算范圍內(nèi)，還會影響到其他方面的預算，例如設施預算?！?/p>

為了評估這些影響，Myers和她的團隊對數(shù)據(jù)中心成本進行了自下而上的預算項目分析，并讓財務部門審查了他們的業(yè)務案例。

“當我們與設施團隊進行審查時，分析過程非常清楚，”她和由CEO監(jiān)督的西奈山企業(yè)風險委員會一起著手評估“所有三大”云提供商，最終選擇了微軟Azure，以及埃森哲的托管服務。

她說：“對我們來說，重要的一點是微軟對數(shù)據(jù)安全的理念，以及微軟在醫(yī)療領域為客戶提供幫助的市場定位?！?/p>

Myers還將一些業(yè)務應用遷移到了Oracle的云上，包括Oracle Financials、Supply Chain、HCM Talent Management和Learning，但對于其他業(yè)務和臨床云應用來說，“我想做到更多，例如不可感知?！?/p>

西奈山醫(yī)療中心的云遷移還處于早期階段，Myers的目標是在三年內(nèi)將他們大部分的應用都遷移到云端。

西奈山醫(yī)療中心的電子健康記錄系統(tǒng)——Epic——將成為遷移到微軟Azure的應用之一。自Myers加入該組織醫(yī)療，就在中心的各個方面部署了Epic，并計劃至少在2025年之前擴大部署規(guī)模。

“這似乎是沒有終點的，但當我們收購或者合并組織的時候，就必須確保我們能夠把所有醫(yī)院或者設施連接到主中心那里?！?/p>

西奈山醫(yī)療中心已經(jīng)在使用多云環(huán)境進行基因組學研究，雖然他們采用了同類最佳的解決方案，但是Myers說，“對我們的業(yè)務和臨床應用來說，制定多云戰(zhàn)略是沒有意義的”。

她這么說部分原因在于人才問題，因為在多云環(huán)境中，必須維持著不同、但卻有重疊的技能集合，“想想人才保留和能夠找到合適的團隊成員來管理這些環(huán)境，顯然我們希望把80%-90%的應用都放在一個廠商那里。”

為量子威脅做好準備

隨著西奈山醫(yī)療中心把大量的IT運營遷移到云端，數(shù)據(jù)安全就成為了Myers首要考慮的因素。

她說：“必須在整個遷移過程中構建安全性，只是將應用遷移到云端并不意味著對應用實施了保護，除非你加密了數(shù)據(jù)?！?/p>

不僅僅數(shù)據(jù)是否加密，還有加密的方式。那些使用當今計算設備可能需要數(shù)年時間才能破解的加密算法，對攻擊者來說，使用量子計算可能幾秒鐘就破解了。

雖然量子計算目前仍然處于短暫的實驗室實驗階段，但是終將有一天，量子計算機會得到更廣泛的應用，給人們帶來更加顯而易見的威脅。例如，美國白宮正在認真對待量子計算帶來的威脅，在2022年1月發(fā)布了一項行政命令，要求國家安全系統(tǒng)運營商更新他們的安全計劃和系統(tǒng)以防范量子威脅。

醫(yī)療組織不受相同要求的約束，但卻面臨相同的威脅：如果他們的數(shù)據(jù)沒有得到充分的保護和加密，那么當量子計算機成為現(xiàn)實時，數(shù)據(jù)終將會被破解。

Myers認為，量子威脅將在未來三到五年內(nèi)出現(xiàn)?！斑@聽起來似乎需要很長時間，但實際上并非如此?！?/p>

為了做好準備，她聘請了谷歌子公司Sandbox AQ來盤點西奈山的加密系統(tǒng)，幫助他們實現(xiàn)量子安全。

Sandbox AQ提供了一種審核工具，可運行在企業(yè)內(nèi)部網(wǎng)絡上，用于發(fā)現(xiàn)所有正在使用的加密系統(tǒng)，然后提出升級這些系統(tǒng)的建議。

Myers預計，將在年底之前明確有必要采取哪些緩解措施：“如果我們現(xiàn)在就開始這項工作，我們就會處于一個有利的位置，在這些漏洞被利用之前將其解決掉。”

將其視為對西奈山 IT 資產(chǎn)及其患者數(shù)據(jù)的預防性護理。