英国 NHS 与勒索软件攻击 (WannaCry)：为什么一个已经被反复提醒过多年的安全问题，会在真出事时仍然没有解决？

# 商业复盘备忘录：英国 NHS 与勒索软件攻击 (WannaCry)

> 为什么一个已经被反复提醒过多年的安全问题，会在真出事时仍然没有解决？
> 周期: 2017 - 2018 | 行业: 医疗与健康
> 巅峰: 英国公共医疗体系，覆盖数千万人口的诊疗服务，拥有上千家医院与社区医疗机构，是欧洲最大的雇主之一
> 终局: 全球性勒索软件攻击中受影响最严重的机构之一，多家医院系统瘫痪、数千次预约与手术被取消，事后被审计机构指出多年预警未被落实

## 核心概览
在预算永远紧张的公共体系里，不出事的安全投入总是排在最后一位。巅峰期英国公共医疗体系，覆盖数千万人口的诊疗服务，拥有上千家医院与社区医疗机构，是欧洲最大的雇主之一；终局是全球性勒索软件攻击中受影响最严重的机构之一，多家医院系统瘫痪、数千次预约与手术被取消，事后被审计机构指出多年预警未被落实。

## 社区公投头号死因
1. [组织管理] 补丁与系统升级计划长期被推迟 (1,623 票)
2. [产品技术] 资产清单不完整 (1,363 票)
3. [资本财务] 安全投入在预算排序中始终靠后 (1,104 票)

## 可执行教训
### 安全整改如果没有责任人和时限，就等于没有整改
> 预警的价值在于有人被要求在期限内完成它。

- ✅ 推荐做 (DOs):
  - 为每项安全整改指定责任人与完成时限
  - 维持完整的资产清单以支持快速处置
- ❌ 绝不能做 (DON'Ts):
  - 不要把停机成本当作推迟补丁的理由
  - 不要让安全投入永远排在预算末位

## 救亡方案
### 先隔离与恢复临床系统，再把安全整改变成带时限的任务 — 良略编辑部
干预时点: 2017 年 5 月 12 日多家医院系统被勒索软件瘫痪时
- 必须断腕:
  - 立即隔离受影响网段并暂停非必要联网
  - 停止在资产清单不完整时做处置评估
  - 停止把补丁更新列为可延期事项
- 破局动作:
  - 优先恢复临床与急救相关系统
  - 为每项安全整改指定责任人与完成时限并逐季复核
  - 系统性升级已停止支持的操作系统与关键应用
- 预期结果: 漏洞在攻击发生前被大规模修补，即使出现事件也能快速定位与隔离，避免数千次诊疗被取消。

## 社区见解
### 在预算紧张的体系里，安全的特殊性在于：省下来的钱会在出事那天一次性花掉几十倍。 — 良略编辑部 (前从业者)
这家公共医疗体系的问题不是没人提醒。多年间的评估反复指出老旧系统与补丁管理缺陷，但整改涉及停机、协调与预算，每次都排在临床需求之后。当漏洞补丁发布、而相当数量的设备仍未更新时，攻击就直接造成了门诊与手术停摆。事后审计的结论也很直白：问题早就知道，只是没人被要求在期限内完成。
- 如果重来一次的纠偏招式 安全整改的落地条件只有一个：谁负责、什么时候完成。

---
来源: 良略 · https://www.lianglue.com/c/nhs-wannacry