去年某三甲医院的医疗一套PACS影像系统被拖库，攻击路径简单到离谱——一个未修复的软件Struts2漏洞，暴露在公网整整七个月。网络IT部门说“业务科室催着上线，安全安全测试排期排到了明年”。漏洞这不是自评孤例。医疗软件的报告安全现状，用一句话概括：临床跑得比安全快，医疗而攻击者跑得比临床还快。软件

我参与过十几家医院的网络渗透测试，发现一个规律：越是安全核心系统，漏洞越致命，漏洞修补越慢。自评HIS、报告LIS、医疗PACS这三件套，几乎每家都存在弱口令或未授权访问。有个案例我印象很深，某县级医院的LIS系统，数据库端口直接映射到公网，密码是“admin123”。问运维为什么，回答是“厂商说这样方便远程维护”。方便了厂商，也方便了勒索团伙。2023年春节前，那家医院被加密了全部检验数据，停诊三天。

自评报告怎么写才有意义？别抄NIST那套框架，先做三件事：摸清资产、找到暴露面、验证漏洞真实性。我见过太多报告把“存在风险”写成“可能受影响”，把“未修复”写成“计划整改”。这种文字游戏骗得了检查，骗不了黑客。建议用攻击者视角自评：如果我是勒索软件操作手，从哪个入口进最快？答案通常是VPN、远程桌面和第三方接口。

具体到技术层面，医疗软件的老问题集中在几处。硬编码凭证——很多设备厂商的嵌入式系统里，root密码写死在固件中，改不了。某品牌监护仪，telnet服务默认开启，密码是厂商缩写加年份。SQL注入在老旧B/S架构里依然常见，尤其是那些十年没重构的挂号系统。还有XML外部实体注入，在HL7接口中频繁出现，攻击者能直接读取服务器文件。

供应链是另一个重灾区。医院很少自研软件，大多采购厂商产品。厂商的安全水平参差不齐，有的连SDL流程都没有。我审计过一套电子病历系统，源码里居然有调试后门，URL加个参数就能绕过登录。厂商解释说“这是给实施人员用的”。实施人员能用，攻击者也能用。更麻烦的是，医院没有源码，无法自行修复，只能等厂商发补丁。而厂商的补丁周期，平均四到六个月。

自评时别忽略物理环境。很多医院的内网隔离形同虚设，诊室电脑双网卡，一边连内网一边连外网。护士站的USB口随便插，U盘摆渡病毒是常态。我见过最离谱的，机房空调漏水，交换机泡在水里还在跑，网络时断时续，安全设备日志全是乱码。

怎么写整改建议？别写“加强安全意识培训”这种空话。写具体的：关闭不必要的端口，把RDP从公网撤下来，数据库连接串里的密码换成密钥管理服务，给老旧系统加WAF规则。如果厂商不配合，就在合同里写清安全责任和补丁响应时限。已经上线的系统，做微隔离，把HIS和PACS之间的访问控制到端口级。

最后说个真实数据。某省卫健委去年抽查了87家医院的医疗软件，73%存在高危漏洞，平均修复时间19天。而勒索软件从入侵到加密，平均只要4小时。这个时间差，就是自评报告要解决的问题。别等出了事再写报告，那时候写的就是事故说明了。

(责任编辑：娱乐)