人既有复杂情绪变化的非理性，又有利益得失计算的理性。这种理性和非理性的交错让人的安全充满着巨大挑战。
（2）医生或者护士
从 Verizon 数据泄露调查报告来看，来自医生及护士的威胁可能远超于系统管理员。由于医疗数据的个体价值巨大，医生或者护士只需简单地获得权限之内的数据就可以获得巨大收益。但目前由于病案数据的交叉特征，几乎没有医院的业务系统可以实现基于患者授权查询病案数据的机制，因此医生及护士可以遍历所有患者数据。
（3）软件开发商和维护人员
在医疗行业，软件开发商的力量过于强大，甚至会让院方觉得医院数据不是自己的，而是归软件开发商所有。即使是一些顶级医院，医疗系统和数据的命脉都掌控在开发商手中。
（4）驻场服务人员
驻场服务人员的权限等同于 DBA 和系统管理员，同时因其不受医院管理和约束，更易受到外部诱惑而铤而走险。
（5）集体的无意识
相对来说，当前医院对于患者隐私保护的意识相对淡漠，这从核心隐私机密的纸质病案和处方可以被任意重新利用这个环节就可以看出。换句话说，有心人只要不断地在医院收集各种纸质垃圾，就可以获得想要的医疗数据。
机制保证的核心在于降低受到诱惑的机会，降低可能产生的侥幸心理。机制保证主要体现在两点：
一是隔离诱惑，可以在很大程度上避免被动犯错，也可以大幅度提高主动犯错的难度。隔离诱惑的主要措施在于实现两点：最小权限和三权分立。特别是当涉及到高敏感数据和高风险操作访问时，建议建立工作流多级审批机制。
二是责任到人，模糊和共享会导致责任不清，从而助长侥幸心理。当机制可以确保任何行为都可以追溯到个人的时候，事件审计就可以产生巨大的威慑力，降低侥幸心理。
（2）技术保证
大部分机构都具有清晰的安全生产制度，但是能够在实践中落地的并不多。安全制度的落地不能依赖于培训和人的自觉性，需要在日常操作中进行技术规范。
- 确认人是真实的人，不是被盗用、伪造、共享的身份。只要可以确认访问数据的人是真实的，就为数据安全奠定了最为坚实的基础。为了确认人是真实的人，需要映射计算机身份和真实身份，并确保这种映射是不可假冒的。双因素或者多因素是确认人是真实的人的基本技术措施。
- 确认所做的事情是真实意愿的表达，不是被胁迫的。真实意愿的表达检测需要依赖于当事人日常行为特征的检测。
- 确认所作的事情是合乎规范的、已被授权的而非越权、合乎流程和控制。合乎规范可以从两个层面加以约束：被允许的操作以及正确的上下文环境。
- 确认风险操作或者所有操作是可审计和可追踪的，风险操作或者所有操作留痕是技术保证的一个基本措施，是增强威慑力和降低侥幸心理的基本技术保障。
终端管控是实现开放网络安全的有效手段，从安全的角度来看，主要实现两个目标：
一是实现脱离于非安全终端的可识别身份和凭证，由于终端是不可信任的，这个时候网络和数据，特别是数据需要可信任的身份作为访问凭证。由于终端的不可信赖，这个凭证需要在终端之外提供，比如密码，指纹，key或者离线验证码等。
二是防止关键应用被注入和假冒。可通过应用程序访问终端数据，如果应用程序不可信赖，那数据就会处于非常危险的境地。
（3）应用服务器，它是勒索病毒威胁的主要入口之一，应用服务器被勒索可以导致医疗业务完全中断。
- 及时更新系统补丁，防止攻击者通过已知漏洞入侵系统；
- 弱口令检测和弱口令的定期变更，使用复杂密码；
- 关闭不必要的端口，比如445、139、3389等高危端口；
- 安装部署杀毒软件，检测和防御已知勒索病毒威胁；
- 安全教育，不上可疑网站，不接受可疑邮件，不随意接受社交文件；
- 安全教育，不用未经审核的应用和工具；
- 做好备份，特别注意备份不能与源文件存储在相同终端，最好是备份在不同操作系统之中，避免被勒索病毒一锅端。
- 服务：关闭不必要的服务，关闭不必要的账户；
- 端口：禁止缺省端口，使服务端口区别于缺省端口；
- 账户：关闭缺省账户，不要设置共享账户；
- 密码：不追求密码复杂性，限定密码最小长度不小于16位；
- 诱饵：设置不可能被想到的密码，设置无法破解的密码，设置诱饵文件和数据；
- 漏洞：及时修复已知漏洞，特别是无需认证的漏洞；
- 溯源：禁止运行来自不可靠源头的应用程序，如需运行，必须经过明确许可；
- 底线：做好备份，特别注意备份不能存储在相同终端上，最好是备份在不同操作系统之中，避免被勒索病毒一锅端。
（1）如何在不受信任和管控的基础设施中存储敏感数据？
（2）如何让无法控制的、拥有超级权限账户的云运营商运维人员（上帝之手）隔离业务数据？
（2）如何让无法控制的、拥有超级权限账户的云运营商运维人员（上帝之手）隔离业务数据？
存储级加密解决了在云环境中存储敏感数据的风险，但是依然无法隔离上帝之手接触和窥视业务数据。需要提供一种机制，禁止超级权限的 DBA 访问业务数据，从而保证云上数据安全性。
（3）身份盗用、假冒和验证绕过。身份是访问数据的凭证，身份被盗用意味着数据财富面临巨大风险。其中数据库中存在的广泛共享的账户和缺省账户是身份盗用的天然温床。身份盗用手段包括密码猜测和破解、身份伪造、撞库等。
（4）从非安全区直接访问敏感数据。大多数情况下，数据流动软件在网络边界具有较高的安全脆弱性。这种安全脆弱性很容易给数据流动带来伤害。
（5）数据流动到弱安全区域或者失控区域，这是数据流动安全的本质所在，是数据流动的自然目标和业务属性。
（6）运维端流动，是传统数据安全的主要构成部分，也是流动安全的巨大风险之一。
（7）终端业务包含敏感信息，和运维端流动一样，是传统的数据安全的一部分。
（8）数据的再次流动。当数据流动到非受控制区域的时候，很容易产生多次流动。而这个数据流动可能并非是数据流动者所期望的。
（9）数据泄露追踪。当数据泄露事件发生之后，数据提供方需要确定数据是哪个环节出去的，以实现事件追责。
（1）源端控制：流动的数据总是被脱敏的，无需关注安全；
（2）数据内置的安全性：和源断控制一致的，通过加密等手段实现内置安全性；
（3）建立审计检查机制：数据提供方可对数据利用方进行数据使用审计。
