Ascension Health 网络安全总监 Skip Sorrels 的问答：了解用户可以缓解许多情况

当 Ascension Health 网络安全总监 Skip Sorrels 告诉一位可能对 IT 感到沮丧的临床医生他知道他们正在经历什么时，他是认真的。 这是因为，索雷尔在转入网络之前曾担任过 ICU 护士。 因此，他了解设备或应用程序在患者护理过程中出现故障是什么感觉，也了解为什么有些人会抵制应用程序合理化的推动，因为这种推动可能会导致他们最喜欢的工具被淘汰。 但索雷尔斯表示，需要做出这样的努力来推动标准化，否则成本就会上升，临床医生流动（并让他们适应他们遇到的工具）的能力就会下降。 在接受 healthsystemCIO 创始人兼主编 Anthony Guerra 的采访中，Sorrels 讨论了这些问题、为什么他关注网络卫生而不是闪亮的新对象，以及他如何设法创造可持续的工作/生活平衡。

使用下面的播放器在此处收听或通过您喜欢的播放器订阅 播客 服务。

播客： 在新窗口中播放 | 下载 （持续时间：32:14 — 22.1MB）

订阅： 苹果播客 | 谷歌播客 | Spotify | 安卓 | 潘多拉 | 爱心电台 | 追球者 | 播客索引 | 电子邮件 | 调入 | RSS

大胆的声明

我是前《龙与地下城》的孩子，我认为就城堡和护城河而言，我尝试用这个类比作为分层防御。 你有护城河，你有焦油，你有尖刺，你有墙，你有门，吊桥，每一层防御。 当我思考网络方面时，我是这样想的——最外部的是什么，我们如何确保我们受到保护，然后进入一层并从那里开始。

我将 IP 地址放在那里是因为它们不是有形资产，但它们与硬件、硬件的位置以及通信方式相关，您需要了解。 就像乡间小路上屋前的邮箱一样。 知道该地址及其所在位置意味着您还必须了解如果有人在车道上停车时如何保护它。 我在这方面考虑了我们的边界。

我想说医疗保健领域的挑战往往是缺乏生命周期管理。 我的意思是，我们环境中的应用程序已经超出了其使用寿命，这意味着它们不再受支持且无法修补。 我是从安全角度来讲的，看看应用程序如何到达它们所在的位置。 我们处于预算有限的环境中，因此我们往往会在更换汽车车轮之前先将其磨损。

安东尼： 欢迎接受 healthsystemCIO 对 Ascension Health 网络安全总监 Skip Sorrels 的采访。 我是安东尼·格拉，创始人兼主编。 跳过，谢谢你加入我。

跳过： 谢谢，安东尼。 很高兴来到这里。

安东尼： 非常好，斯基普。 首先，请告诉我一些有关您的组织和您的角色的信息。

跳过： 我在 Ascension Health 的基础设施部门工作，称为 Ascension Technologies。 基础设施团队约有 5,000 人，但总体而言，Ascension Health 拥有 130,000 至 150,000 名员工，在美国各地设有 2,500 多个地点，并且根据您在任何一天查看的指标，其中一个是美国三大非营利医疗保健提供商。

安东尼： 出于好奇，你知道有多少家医院吗？ 如果你不知道也没什么大不了的。 近似。

跳过： 我认为医院数量大约是125、130家。

安东尼： 那就大了。 这样就可以了，对吧。

跳过： 是的先生。

安东尼： 非常好。 从技术上讲，Ascension Technologies 是一家独立的公司，对吗？ 从某种意义上说，从技术上讲它有自己的实体？

跳过： 我相信是这样。 从金融人士的角度来看，我认为这是正确的。

安东尼： 你为扬升提供服务。 您是否向任何其他卫生系统提供服务？

跳过： 不。如果您愿意的话，我们是一家全资子公司。

安东尼： 只要一位客户，你就有一位大客户。

跳过： 正确的。

安东尼： 我想知道这种类型的动态是否存在——许多卫生系统没有单独的实体，但他们总是使用他们想要的术语，“像对待客户一样对待我们的用户”，从某种意义上说，“我们”是一个服务部门。 由于您在技术上为不同的实体工作，这是否有助于培养客户活力？

跳过： 我认为绝对如此。 因为每个与扬升健康有关联的人都有一颗对使命的心； 医院的使命、组织、对穷人的关怀和对有需要的人的关怀。 我们都同意这一点，所以无论薪水上写了什么，或者我的钱来自什么预算，我们都在一起，为了照顾人们。

安东尼： 让我们从一个大问题开始。 这些天你在想什么？ 您在关注什么趋势？ 最重要的是什么？

跳过： 显然，最热门的是人工智能。 我想它就在那里。 我们必须认识到它，在我看来，我们必须弄清楚如何拥抱它，以便在网络防御、战略、工作流程自动化以及我们能想到的任何方面改善我们的情况。 但这并不是让我彻夜难眠的原因。 没有什么是真的。 我不应该这么说。 我睡得很好。

但如果我醒来，我的大脑通常会思考一些非常基本的事情——捕获管理、漏洞管理。 这是为了保护我们的周边。 我们拥有哪些暴露在互联网上的技术，这些技术可能在盔甲上有一个漏洞，可以说，那些所谓的敌人正在寻求利用？

暴露了我的年龄， 我是前《龙与地下城》的孩子，我认为就城堡和护城河而言，我尝试用这个类比作为分层防御。 你有护城河，你有焦油，你有尖刺，你有墙，你有门，吊桥，每一层防御。 当我思考网络方面时，我是这样想的——最外部的是什么，我们如何确保我们受到保护，然后进入一层并从那里开始。 所有这一切实际上都归结为 CIS 控制。

我不知道是否有人能够完善 1、2 和 3 来表示他们已经超越了任何表面上的完美。 这是不可能的，事情会改变。 库存是关键。 如果你不知道你没有什么，那么你就无法保护它。 我确实努力让自己适应基础知识，并回避闪亮的新事物。 我不相信灵丹妙药。 我相信理解上下文和用例并真正理解细节。 如果我们了解需求、限制和我们自己的能力，我们几乎可以用技术解决任何问题。

安东尼： 非常好。 让我们稍微讨论一下。 你睡得很好，这很好。 事实上，从严肃的意义上来说，我想多谈一点，因为我认为有很多网络专业人士不这样做。 我想尝试找出他们可能不这样做的一些原因，也许我们可以帮助他们。

但让我们首先假设您是一名网络卫生人员，专注于基本的阻止和处理。 我经常听到这样的说法。 这很有道理。 你试图思考，我错过了什么，有什么是我没有看到的，有什么是暴露在互联网上的危险的东西——你可以采取哪些方法来发现这些漏洞？

跳过： 因此，您可以从外到内或从内到外进行工作。 从外部，您可以利用扫描周边的技术。 与网络威胁或黑客的行为没有什么不同。 有各种各样的开源工具。 有各种付费工具可以用来查看您暴露在互联网上的 IP 范围。 基本上，可以将其视为寻找装甲上的漏洞的外部漏洞扫描器。

从内到外，回到库存。 我相信 IP 地址和 natted IP 地址是库存的一种形式，您必须了解 IP 空间和范围是什么样的，然后了解您的 DMZ 以及从内到外或从外到内的路径，以便您可以将其联系起来，并真正评估正在发生的情况，并希望找到不一定安全的系统并修复它。 让它们脱离互联网或采取控制措施来保护它们。

安东尼： 当您谈论库存时，我们主要谈论的是设备，包括生物医学设备，还是我们也考虑应用程序？ 我们两者都想吗？

跳过： 一切。 CIS控制，一是硬件，二是你的软件和你的应用程序。 我将 IP 地址放在那里是因为它们不是有形资产，但它们与硬件、硬件的位置以及通信方式相关，您需要了解。 就像乡间小路上屋前的邮箱一样。 知道该地址及其所在位置意味着您还必须了解如果有人在车道上停车时如何保护它。 我在这方面考虑了我们的边界。

安东尼： 如果您有一个健全的采购流程，以便新应用程序、新设备都以正式的方式通过安全检查，那么这个问题是否会得到很大程度的缓解？ 你刚才谈到了库存，对吗？ 如果新库存不断增加而我们却浑然不觉，我们该如何控制库存呢？ 谈论这种动态。

跳过： 当然。 在采购过程开始时建立风险评估或技术评估是必要的，因为您想确定组织的需求或想要的产品。 他们正在将其提交以获得财务批准。 在获得批准之前，它必须通过企业架构审查，以确保它符合我们的参考架构或标准。 为了控制组织的非标准化，你必须遵循标准。 您想要消除偏离设定标准的事情，您想要了解风险。

因此，就您的观点而言，拥有一个系统，可以在财务获得批准并下订单后在您的数据库中放置一个占位符，以便您在货物到达码头或进入设施时有一个对账点，这一点很重要。 你可以说，‘我期待其中之一，而我得到了其中之一。 现在，我拥有了一项资产的生命起点，即它的摇篮方面。 然后，与应用程序一样，采购流程是了解哪些内容可能进入或不进入环境的前门，因此您可以将其编入数据库，作为未来库存的一部分。

安东尼： 实现这种治理、形成这种文化并不容易，必须通过安全措施。 你在一个庞大的组织中，我确信事情总是会突然出现。 你用了一个非常酷的词，我非常喜欢，“去标准化”，对我来说，这对于卫生系统来说是一个可怕的地方，对吧？

跳过： 我认为医疗保健领域的挑战——我想我可以诚实地说，作为一名临床医生，多年来一直担任创伤重症护理护士——是医生和临床医生历来都有自己的最爱； 他们喜欢的医疗设备或工具或仪器，与 Snap-on 或 Craftsman 等机械师没有什么不同。 当你考虑到这一点，并看看随着时间的推移所发生的事情，你就会明白为什么我们缺乏标准。 你到处都有一点点。

为了使这一点合理化，我认为关键是建立一种利用临床同行的治理形式。因此，领导该组织并定下基调的放射科医生、心脏病科医生等应该权衡基于工具、诊断、医疗设备等的标准。

如果你能确定这一点，那么你就给他们选择的机会，希望我们还没有做到这一点，但我希望有一天看到它导致单一或不超过双源供应商模式，其中我们不超过三个或特定型号（例如 X 射线机或超声波）的四种型号版本。 这有几个原因。

首先，标准降低了支持开销成本。 标准提高了谈判更好交易的能力。现在，让我们谈谈它如何影响您的员工。 在我们今天生活的这个世界上，我们的人员短缺程度甚至比临床领域的任何时候都严重，他们正在寻找创造性的方法，而不仅仅是我们的组织和整个医疗保健，将人员转移到不同地点，以平衡需求的需求例如，该设施中的护理基于人口普查。

如果你把我作为一名护士，从一个 ICU 带到另一个 ICU，并且设备不同，我将会有一个学习曲线。 在我从事这项工作并发挥作用的能力方面，我将遇到一些障碍和限制。 标准还有助于在组织中跨多个足迹动员临床医生，以便您可以在尽可能减少干扰的情况下平衡员工的负载。

安东尼： 这很有道理，但我听说应用程序老鼠，让人们放弃他们最喜欢的工具，真的很难。 你能谈谈吗？

跳过： 好吧，听着，我会第一个承认我是一个习惯性的人，我喜欢我的东西，对吗？ 当我在床边时，我也有我最喜欢的东西，一个特定的显示器而不是另一个显示器或其他什么。 我们有我们最喜欢的钢笔和铅笔，可以大声哭泣。 当我想到应用程序合理化时，你会听到——“感觉不错，感觉很好，因为我一直都是这样做的。”

在那的背面， 我想说医疗保健领域的挑战往往是缺乏生命周期管理。 我的意思是，我们环境中的应用程序已经超出了其使用寿命，这意味着它们不再受支持且无法修补。 我是从安全角度来讲的，看看应用程序如何到达它们所在的位置。 我们处于预算有限的环境中，因此我们往往会在更换汽车车轮之前将其磨损。

应用程序没有什么不同。 坦白地说，我认为这不是我们最喜欢的事情，而是更多的金钱驱动行为，我们必须用我们拥有的东西来凑合，幸运的是，在我们今天所处的位置，安全就处于其中。 十年前，十二年前，没那么多。 并没有真正考虑过。 就像医疗设备和应用程序一样，“是的，安全补丁，无论如何”，它只是没有像今天这样受到关注。

我认为应用程序合理化是最难做的事情之一，因为你试图瓦解已经存在的东西，并在不造成干扰或不受欢迎的情况下完成它。 你不可能让每个人都开心。 当您停用某个应用程序时，您还必须离开船并通过救生艇前往另一艘船。 这个过渡期，即组织变革管理，成为关键，这样你就可以减少干扰，设定期望，并希望对你的员工进行充分的培训，以迁移到新系统，以便你可以抛弃旧系统。 这不是一个容易的过程。

如果我们没有人，我们就不会有问题，这是我说的事情之一（笑）。 如果只是技术交换，没什么大不了的，对吧？ 但我们涉及到人类，特别是在医疗保健领域，所以我们必须意识到这一点。

安东尼： 正确的。 这一切都很有道理。 我们知道应用程序合理化是我们乐意做的事情。 这真的非常非常难。 但话虽如此，了解摆脱某些东西有多么困难，会让我们对我们带进来的东西更加谨慎和小心。这是真的吗？

跳过： 这是正确的。 是的。 通过我之前讨论过的不同途径（预采购、评估、架构审查、安全审查等）将某些东西带入组织，是未来的关键，尤其是现在。 天哪，我最后一次做护理是 1988 年或 99 年，那是电子病历刚刚出现的时候。 我们所做的一切都是笔和纸，老派。

当我开始看到电子病历和技术的出现时，我很着迷地思考我们将走向何方。 你猜怎么着，我们已经来到了未来，当我回顾过去时，哇，今天这一点更加重要。 仅在过去 5 年中，纵观应用程序和安全性的发展以及我们面临的威胁，它往往是令人难以承受的，而且确实让您很难应对它。

但我认为，从长远来看，重新制定标准和限制物品数量的重要性对许多人有利。 同样，我们必须设定期望，让人们接受并理解为什么它很重要。

安东尼： 非常好。 你说你是一名重症监护护士。 那是对的吗？

跳过： 是的先生。

安东尼： 这真的很有趣。 我认为它可以帮助您成为更好的网络领导者。

跳过： 我绝对认为这对我扮演这个角色有帮助。 我绝对同情那些在技术面前挣扎的临床医生，如果技术不能在他们需要的时候提供他们所期望的东西的话。 老实说，我可以对非常沮丧的临床医生说：“看，我一直处于你的处境。” 我曾经有过这样的谈话。 他们会说，“不，你没有。” 我说，‘等一下。 我知道，我以前在重症监护室。” 我确实是这么想的——我理解这些挑战和停机意味着什么。 太可怕了，太难了。

事实上，技术和医疗保健已成为临床医生的力量倍增器。 我的意思是，当我在重症监护病房的时候，你不能处理两个以上的病人。 这是不可能的。 这就是病人与护士的比例。 现在，它比那要大得多。 但其原因是因为我们拥有技术，可以让他们从大厅或其他地方的远程位置看到可见性，以及监控和照顾这些患者的手段。 如果出现问题，这种力量倍增器就会消失，现在我们就会遇到一些问题和挑战。 我绝对可以全心全意地理解临床医生的工作、压力水平以及事情进展不顺利时的困难程度。

在了解操作方面，我们鼓励并希望我们的员工在医疗保健室里，如果愿意的话，在大厅里走动，绕圈，建立理解，更重要的是，与人建立关系，这样当出现问题时，他们没有看到一张陌生的面孔，他们理解正在发生的挫败感。 他们可以说，‘哦，那就是可以帮助我的人。 我认识他们，他们经常出现。 我们的关系很好。”

我认为建立关系、形成理解和沟通、通过这种可见性和经验相互教育对方应对挫折，对于医疗保健网络安全来说极其重要。 对那些和你一起吃饭的人生气是比较困难的。 有时一起吃饭，以及由此产生的关系，可以让你们彼此更加宽容。 再次强调，人际关系极其重要。

安东尼： 是的，很好的表达方式。 彼此宽容——这是一个很好的表达方式。 我们只剩下几分钟了。 进展很快。 我确实想回到那个熬夜的概念。 我确实认为这是一项艰巨的工作。 你怎样才能不让它把你吃掉呢？

跳过： 你必须有一个爱好。 大学毕业时，我父亲常常问我——他知道我拼命工作，因为我正在努力偿还学生贷款，而且我很兴奋，因为我口袋里有钱。 但他总是会问：“你好吗？” 我们聊了一会儿，他的下一个问题是，“你在做什么好玩的，你的爱好是什么。” 他用这样的方式表达：“嘿，我真的很尊重你所做的事情，但你必须有属于自己的时间。” 我会对任何问我的人这么说。 你必须有意识地为自己留出一些时间，以便可以与外界隔绝。

这个周末我在修理我的吉普车。 这是治疗性的，太棒了。 手机不在我身边，收音机还在运转，我的手指上沾满了油，我对某些事情感到愤怒，因为它们不符合我的意愿。 但最后，我说，‘嘿，我这么做了，我精神崩溃了，这与思考网络安全及其压力完全不同’，尽管是一种不同形式的压力，对吧？ 我不是机械师，但我觉得我可以自己做，所以我尝试了一下。

安东尼： 我认为这是一个绝妙的建议。 我完全同意你的看法。 一些你可能会迷失自己的东西，对吧，你喜欢的东西，你可能会迷失自己的东西，它会造成精神上的崩溃。 你不需要——你不可能不去想，对吧？ 你不必将开关关闭，但你可以让它去其他地方，在那里它是一个更愉快的地方一段时间。

跳过： 我同意。 绝对同意。

安东尼： 辉煌，辉煌。 除了给你的同事之外，你还有什么最后的建议吗？你发现哪些事情让你成功了？ 最后有什么临别建议吗？

跳过： 洗澡、讲卫生、网络卫生。

安东尼： 网络卫生。

跳过： 我认为基础知识是关键。 很多人问我今天和明天的技术是什么。 好吧，它们会很棒，但现实是我们必须坚持基本原则。 我们必须完成基本的拦截和铲断工作。 在医疗保健领域，我们没有预算或奢侈去追求真正酷炫的东西，对吧？ 我们必须非常勤奋，通常当我们得到新东西时，那是因为我们要替换一些东西并将其抛在后面。 这不是一个全新的添加。

所有这些都是说，在思考过程中要小心，不要过度热衷于灵丹妙药，保持个人卫生，并记住网络安全是每个人的责任。 这不仅仅是我或我的团队的。 坦率地说，这是世界上的每个人。 我们在银行业务中看到了这一点。 我们有一个必须输入的 PIN 码。 我们有双因素身份验证。 当我们从事医疗保健时，我们不会考虑这些事情，但这与您在银行的安全状况完全相同。

当人们因为我们推出新的东西而感到沮丧时，我会经常使用这些类比，我会说，‘好吧，你用你的银行做什么，你有电话吗？ 它给你发短信吗？ 它会向您发送电子邮件并询问您可以使用此 PIN 码进行确认吗？ 他们说，“哦，是的，我们正在做同样的事情。” 没什么不同。

我认为退后一步，深呼吸，专注于基本原理，尽量不要对事情过于紧张，享受你所做的事情，并知道每个人都必须发挥作用。

安东尼： 太棒了，跳过。 那太棒了。 我认为人们真的会喜欢它。 非常感谢您的参与。

跳过： 非常不客气。 谢谢。 我很感激。