1.5 实例3——?医院
在介绍了军事与食品卫生后，我们来讨论一下医疗保健领域。医院有大量有趣的保护要求——?大部分与病人的安全和隐私相关。
(1) 病历系统不应该让所有员工都能看到每个病人的记录，否则就可能会侵犯病人的隐私。系统应该实现类似这样的规则：“护士可以看到90天之内在本科室护理过的任何病人的记录。”传统的计算机安全机制很难做到这一点，因为角色会变化(护士从一个科室调到另一个科室)，此外，系统之间存在跨系统依赖(如果病历系统的访问控制决策最终依赖于人事系统，那么人事系统就会变成对安全、隐私或者两者都非常关键的系统)。
(2) 在用于研究时，病历通常被匿名化，但是这很难做得很好。只对病人的姓名加密一般是不够的，因为使用如下的查询：“查看1966年9月15日接受锁骨骨折治疗的59岁男性病人的所有记录”，一般就足以查询到一位已知在大学时受此类外伤的名人的记录。但是如果记录不能够被适当地匿名化，就必须遵循更严格的规则来处理数据，这样就增加了医学研究的成本。
(3) 基于Web的技术给医疗保健带来了一些有趣的新的安全保证问题。比如，由于药物目录等参考书移到了网络上，医生就必须保证那些性命攸关的数据(例如每个体重的剂量数字)和有关部门公布的完全相同，并且没有以某种方式改动过。另一个实例是，医生开始从家里或者在上门服务期间用笔记本电脑甚至PDA访问病人记录，使得合适的电子身份验证和加密工具变得必需。
(4) 新技术可能会引入未知的风险。医院管理人员应理解对备份过程的需求，以应对断电、电话服务中断等情况，但医疗手段越来越依赖网络，而且这些方式经常没有记录在文档中。比如，英国的医院开始使用在线式放射系统：X光片不再从X光机拍好后放到大信封中并送往手术室，而是经由远处的服务器。因此，网络故障可以像电源故障那样导致医生手术中断。突然之间，Internet变成了安全关键系统，而拒绝服务攻击也可能杀死一个人。
稍后将更详细地分析医疗系统安全。比起银行IT和军事系统，这是一个新兴领域，但是在所有发达国家，医疗保健在GNP(国民生产总值)里占的比例都比银行IT或军事系统大，而且随着医院对IT的采纳速度越来越快，医疗IT系统开始变得重要起来。特别是在美国，设置了隐私最低标准的HIPAA法规使得这一部分成为信息安全产业的主要客户。
1.6 实例4——?家庭
你可能不认为普通的家庭会用到任何安全系统，但请考虑如下内容：
(1) 很多家庭都在使用着前面介绍过的一些系统。你可能通过基于Web的电子银行系统付账，几年之内你将可以对你的医疗记录进行加密在线访问。防盗警报器每隔几分钟向安全公司发送加密的“一切正常”信号，而不会在有人闯入时吵醒邻居。
(2) 你的汽车很可能会装有电子防盗锁，它向钥匙链上的无线应答器发送加密的信号要求提供应答，启动车之前应答器必须给出正确的应答信号，这使得偷车的行径更加困难，并降低了保险费。但这也增加了家中汽车被盗的数量，因为窃贼会先入室行窃以拿到车钥匙。最麻烦的是劫车犯罪会激增：那些想得到一辆用于逃亡的汽车的罪犯可能直接拿枪对准车主。
(3) 早期的移动电话很容易被坏人“克隆”，用户可能忽然间发现账单上多了几百甚至几千美元。现在的GSM数字移动电话采用与车锁类似的加密的质询-应答协议进行网络身份验证。
(4) 只要你保持为订阅交费，卫星电视机顶盒就会对电影进行解码。DVD播放器采用基于密码学和版权标志的复制控制机制来限制复制光盘(或者在指定的地区以外播放光盘)。身份验证协议也可用于在家庭网络中构建安全的通信(包括WiFi、蓝牙与HomePlug)。
(5) 在很多国家和地区，无法获得信贷的家庭可以得到用于电和气的预付费仪表，可以使用智能卡或其他电子密钥将仪表充满，智能卡还可以在本地商店中再次充值。很多大学使用类似的技术让学生为复印机、洗衣机的使用甚至软饮料付费。
(6) 最重要的是，家庭提供了物理安全与隔离的港湾。技术进展将以很多种方式对其产生影响。锁匠行业的进展意味着多数常见家用锁很容易被攻破，这会很重要吗？研究表明，窃贼对锁的担心比不上对家中有人的担心，因此或许这没有那么重要，但报警装置可能变得更加重要，因为它们可以在家中没人时使窃贼无法逼近。电子入侵可能随着时间的推移成为一个更大的问题，因为越来越多的设备开始与中央服务进行通信。家庭的安全开始依赖远程系统，而你对这些远程系统无法控制。
因此，你可能已经使用了很多被设计为执行一些保护策略的系统或其他大量使用电子机制的系统。在未来的几十年里，这样的系统会迅速增加。根据以往的经验，很多系统会设计得很糟糕。必要的技能还没有被足够广泛地传播。
本书旨在使你能够更好地设计这样的系统。为此，工程师和程序员需要了解有哪些系统、这些系统如何工作，以及至少同样重要的——?过去这些系统是如何失败的。土木工程师从倒塌的桥中学到的经验教训远远超过了屹立百年的桥，在安全工程领域，道理同样如此。
