Spire Healthcare借助F5保障数字服务持续演进

作为英国颇具规模的私营医疗服务提供商，Spire Healthcare拥有38家医院和3,700多名顾问医师。随着越来越多的服务转移到线上，该公司需要增强应用安全。Spire持有高度敏感的患者数据，并与英国国家医疗服务体系（NHS）和大型保险公司等合作伙伴开展合作，因此还必须向利益相关方证明，其安全能力处于行业前列且值得信赖。2016年，该公司选择了F5和Silverline（F5基于云的托管应用服务平台）。

业务挑战

随着Spire开发更多面向客户的数字服务，例如用于预约、查看个人信息和付款的MySpire门户，越来越多的敏感患者数据也随之上线。

随着风险状况日益严峻，技术团队发现自己缺少有关用户行为的关键信息。现有系统无法显示客户使用哪些设备连接Spire的服务，也无法判断客户何时可能采用不安全的方式进行连接。由于缺乏这种可见性，团队难以实施重要的安全升级。

技术运营经理Rob Sissons回忆道：“例如，我们无法决定是否限制通过SSLv3访问，因为我们不知道是否有用户使用不支持TLSv1.0的设备进行连接。”

由于缺乏做出关键技术变更所需的信息，IT团队往往也无法回应企业内部有关数据安全的询问。此外，主要保险公司和英国国家医疗服务体系（NHS）经常将患者转诊至Spire，并会开展审计，以确认其数据得到安全存储；IT团队还必须为这些审计做好准备。

为了在不影响客户访问的前提下提升数字服务的安全性，Spire决定寻找一家应用安全托管服务提供商。

解决方案

为满足不断变化的安全需求，Spire选择以托管服务的形式部署F5® Silverline® Web Application Firewall（WAF）和F5® Silverline® DDoS Protection，并由F5面向客户的安全专家中心——安全运营中心（SOC）提供全天候支持。

Sissons表示：“SOC确实为我们带来了显著价值。每当实施变更时，都有经验丰富的专业人员协助审查，这让我们更有信心。团队还经常提出建议，帮助我们优化要开展的工作。”

SOC团队已成为Spire开发和实施新应用（包括第三方开发者提供的应用）过程中不可或缺的一环。Spire从空白模板着手制定WAF策略，然后将通过反复测试识别出的误报加入允许列表。

Sissons解释道：“当我们请求开放某项内容时，SOC会再次核查我们的方案。小众临床应用的安全性并不总能达到应有水平。有几次，F5提出意见后，我们又联系了第三方软件开发商，指出其应用中存在的问题。”

在Spire与F5合作期间，其应用生态系统日益多元化，也愈加复杂。其中包括集成API，让保险公司能够更轻松地转诊患者并传输患者信息。Silverline提供安全保障，支持Spire持续开发和增强面向客户、顾问及主要合作伙伴的数字服务。

在SOC的支持下，Silverline服务还帮助Spire实施了与其所存储敏感数据相匹配的应用安全防护，并能快速响应偶发的重大事件。

此外，Silverline还支持Spire持续完善整体安全策略，通过提供用户行为的可见性和相关数据，帮助IT团队优化整体安全策略。它还详细呈现了客户访问服务的方式，而这些信息此前并不可见。

Sissons表示：“以TLS加固为例，信息安全团队在很大程度上依赖Silverline提供的数据，以了解传入连接的情况以及不安全连接的来源。”

定制化全天候支持

Silverline的另一项显著优势是能够应对Spire网络面临的活跃威胁。在最近发生的一次重大DDoS攻击中，SOC积极参与响应，提供了有关攻击来源的信息，并参与了Spire与其互联网服务提供商的讨论。Sissons回忆道：“面对这种大规模攻击，事态发展很快，必须一边应对一边调查。整个过程中，我们始终与SOC保持畅通沟通。他们与我们共同参加电话会议，并提供了宝贵的支持。”

在日常运营中，Spire始终相信，SOC专家随时都能提供支持。Sissons补充道：“作为托管服务的一部分，即使时间非常紧迫，我们也能迅速联系到技术精湛的人员。我们提出的所有请求，SOC都能处理。”

让利益相关方安心

Silverline也在为Spire更广泛的生态系统带来积极影响。来自第三方的患者转诊是其业务模式的重要组成部分，而由F5提供托管服务，有助于让这些合作伙伴确信，相关数据安全策略和保护措施能够满足严格标准。Silverline甚至参与了保险合作伙伴的审计应对工作，也是加入英国国家医疗服务体系（NHS）医疗与社会保健网络（HSCN）所需安全工具包的一部分。Sissons补充道：“在外部审计中，我们可以说明有一支专业安全团队保护这些服务，这对我们很有帮助。”