互联网云技术的发展使得网络架构更加复杂，数据接口暴露面扩大，API数据安全治理成为网络安全领域的重要模块。
自新冠疫情爆发以来，智慧医疗快速普及的同时沉淀了海量数据，高效就医伴随的是医疗数据泄漏的风险，医疗行业的数据安全治理成为疫情环境下的关注焦点。
一、什么是API
Gartner数据显示，API安全已是数据泄露头号风险，92%的数据泄露来自API业务。
API 通过定义一组函数、协议、数据结构，明确应用程序中各个组件之间通信与数据交互方式。将Web应用、操作系统、数据库以及计算机软硬件的能力以接口的形式提供给外部使用。
API提供能力，调用方不用访问源码或理解程序内部工作机制，使用API可以轻松实现应用系统连接和数据传输，承载着企业核心业务逻辑和敏感数据。
二、API问题频发的原因
从企业角度来看，大规模分布式系统及复杂应用架构带来API数量迅猛增长， 基于API-First理念构建的研发流程，极短的迭代周期导致API变动跟踪困难， 传统安全测试/防护工具对API风险收敛的失效。
此外，API可以直达数据， 大部分API的基础漏洞未被发掘， 云原生应用 API成为主要攻击面，这些都是API问题频发的原因。
三、医疗系统中的API使用
医疗系统对api依赖性高， 院内业务、监管单位、医保支付等互联互通；医联体、医共体、远程医疗等区域协同；互联网医院、第三方支付、微信小程序和公众号移动类应用的使用；血透机、输液泵等传统医疗设备及手推车、自动摆药机、手术机器人等新型移动终端的使用都离不开API。
四、医疗行业API安全隐患
随着医疗行业云化的不断推进，医疗机构数据接口需要整合大量系统来实现业务彼此之间的交互。智慧医院面向互联网，数据在银行支付，第三方支付、社保局、卫健局等多重系统中流通，医院内系统多，数据类型复杂，对外交互多， 风险暴露面广。
病历数据，病人个人信息等涉及复杂的数据接口，越来越多的个人数据以及敏感数据上云，这也意味着更多的数据接口将暴露到互联网中。此外，数据接口资产难以理清，系统使用人员对数据安全业务状况不明确等系统管理情况都是智慧医院在数据安全治理中所面临的问题。
五、医疗行业API安全治理
作为深耕网络安全领域的科技企业，忆享科技能够为医疗行业的数据安全治理提供专业高效的服务。
面对医疗行业API数据安全治理的问题与挑战，忆享科技安全团队首先对医院系统API、历史遗留API、开发中的API进行梳理，并对医院数据进行分类分级管理；其次，对医院业务场景、查询、支付、注册、预约挂号等异常行为进行识别，有效排查数据异常情况，阻断数据泄露渠道 。此外，忆享科技安全团队能够通过技术手段对医院敏感数据，及个人信息标识管理，对非法请求数据进行阻断，有效减少数据泄露的风险，保障客户的数据安全。
除了API数据安全情况排查之外，在API安全评估与治理过程中可以建立安全特征库与业务规则库，对应用接口进行安全态势监测，同时对在线业务与即将上线业务进行风险评估，基于网络资产指纹在自身的设备漏洞库中寻找相匹配的漏洞。除了第一时间补充互联网上爆发的漏洞信息外，还包含了大量医院内部安全人员发现的漏洞信息，例如大量的主机漏洞、网站漏洞、组件漏洞、组件、其他漏洞等各类型的漏洞，包括文件读取、信息泄漏、远程代码执行、缓冲区溢出等。
在授权的情况下对目标网站的应用和框架进行检测分析，确认目标组件后，以组件为依据，从安全能力库中寻找与该组件相匹配的PoC（漏洞验证程序）并对目标应用进行无感知的威胁检测。
未来，忆享科技将持续专注API数据安全治理，深耕网络安全领域，通过技术助力医疗行业数字化安全发展，为智慧医疗发展筑牢安全堡垒。
（本文图片来源于网络）
END