資料來源：iThome IT將有兩⼤變⾰！以強化國內醫療資安防護基礎/王若樸
為強化醫療資安體質，衛福部資訊處處⻑龐⼀鳴6⽇在臺灣資安⼤會上重磅宣布，衛福部要擁抱HL7國際醫療資料交換標準FHIR，將電⼦病歷交換中⼼EEC改為FHIR交換中⼼，來降低眾多接⼝產⽣的資安⾵險；此外，衛福部也要放寬電⼦病歷存取權，將允許醫療機構上雲代管，⽬前正修改法規，接下來要公開草案、徵詢外部意⾒。衛福部希望藉這些做法，強化醫療資安防護基礎，⼀⽅⾯也希望臺灣醫療資料與國際接軌，要讓國內醫資廠商⽤符合國際標準的產品，出國「打國際盃」。
從公共衛⽣看醫療資安，得先養好體質才能預防資安事件
公共衛⽣出⾝的龐⼀鳴指出，醫療資安有如公衛和預防醫學的三段五級策略，公衛中的三段是指⼈⽣病 的三階段，從無症狀或易感染狀態，到臨床病徵出現，再到傷殘或死亡的階段。這三階段對應到醫療資安，就是無症狀或被刺探狀態；出現弱點、發⽣資安事件；以及資料遺失、橫向擴散和系統癱瘓。
⾯對發病過程，公衛有5種策略來應對，像是促進健康、特殊防護、早期診斷早期治療、限制殘障和減少死亡，以及最後的復健。「醫療資安也是如此」，龐⼀鳴舉例，醫療機構平時就應養成健全體質、蒐集情資來預防事件，並定期進⾏弱點掃描、做好特殊防護，再來才是資安健檢、加⼊監控機制（SOC） 即時修補問題，達到早期診斷早期治療的效果。
要是發⽣資安事件，醫療機構也要透過通報應變機制（如ISAC、CERT），來降低資安事件帶來的衝 擊。最後⼀步，則是事件後的復原鑑定。（如下圖）
(圖⽚來源：iThome)
在這5種做法中，過去，衛福部已在資安事件處理有所著墨，包括近幾年建置的醫療資安情資分享與分析平臺H-ISAC，讓關鍵基礎設施醫院（CI醫院）加⼊，透過緊急應變處理（CERT）和聯合監控 （SOC）等機制，來鞏固醫療資安聯防。 現在，龐⼀鳴則回過頭聚焦5級策略中的第1級，要培養好所有醫療機構的資安體質，來降低事件發⽣ 的可能。「醫院養好體質，可避免未來可能遇到的資安問題，」他⽐喻，就像這次疫情期間，⺠眾落實 戴⼝罩，不只防疫，也防⽌其他⽿⿐喉科相關疾病，連健保數據都顯⽰去年相關⾨診就醫次數⼤幅下 降。
養體質第⼀招：電⼦病歷交換中⼼EEC改為FHIR架構
同理，為防⽌病從⼝⼊，衛福部打算將醫療院所的「⼝」防好，也就是簡化電⼦病歷的交換架構。龐⼀ 鳴指出，電⼦病歷是醫療機構和政府單位最常交換的資料，這些單位包括健保署、國健署、EEC、疾管 署、地⽅衛⽣所等，由於這些單位彼此不互通，醫療機構得針對不同單位，採⽤不同交換標準，並配合 不同網路⼯具來執⾏。
過去，健保署多年來每每針對不同專案，開設專屬VPN來建⽴加密的資料交換環境，來給醫療院所使⽤。然⽽VPN⼀多，就容易產⽣資安⾵險。
因此，龐⼀鳴認為，要是能先將EEC交換平臺改為FHIR交換平臺，採⽤主流的國際醫療資料交換標準 HL7 FHIR，就能簡化交換流程，不必⼀對⼀客製化介接，連帶簡化醫院需使⽤的網路⼯具，減少破⼝出現。他希望，藉由衛福部EEC率先改⽤FHIR，帶動其他單位擁抱FHIR，跟上國際趨勢、進⼀步簡化資料交換⼯作。（如下圖）
(圖⽚來源：iThome)
他將這種以FHIR格式交換的電⼦病歷，稱為新世代電⼦病歷，並由4⼤要素來推動。⾸先是資料標準， 也就是要將新舊標準平⾏轉移，讓EEC先採⽤FHIR、健保署仍採⽤舊標準，爾後再調整；同時，龐⼀鳴也要藉此將衛福部內的資料交換，改以電⼦病歷為單位。（如下圖）
(圖⽚來源：iThome)
第2要素是連結跨部會資源，透過經濟部補助⼀年⼀度的臺灣FHIR聯測，來推動FHIR普及，同時也要協同經濟部輔導廠商的FHIR產品服務等。
再來是透過產官學合作，來發展醫療機構所需的FHIR資料格式轉換⼯具，以及培育FHIR⼈才資源。最後則是新世代電⼦病歷的交換應⽤，⽐如發展交換平臺，來試做疫苗護照等應⽤。
疫苗護照FHIR新機遇，未來還能推廠商打國際盃
龐⼀鳴坦⾔，疫苗護照是衛福部擁抱FHIR的另⼀個契機。⽬前，WHO、歐盟和世界多國都已倡議推⾏疫苗護照，要讓⺠眾透過App，出⽰⾃⼰在該國接種疫苗的證明，來加速出⼊境和進出特定場所的⾝分 檢查。⽽這款App，就需要與該國衛⽣部⾨資料串接，⽽他們⽤來串接接種資料的交換標準，「就是 FHIR。」
對臺灣來說，要加⼊國際疫苗護照⾏列，就得⽤FHIR來串接電⼦病歷中的疫苗接種紀錄。但龐⼀鳴指 出，過去以來，臺灣醫療院所電⼦病歷交換的主要對象，⼀直是健保署，因此交換架構是臺灣健保署專⽤，⽽⾮國際通⽤。於是，要與國際串接資料，臺灣勢必得採⽤FHIR。
他認為，疫苗護照是臺灣練兵FHIR的⼤好機會，也能順勢將「國際標準轉化為國內標準。」他期望臺 灣趁這次機會實現3個⽬標，也就是做好FHIR疫苗護照，再來是醫療機構採⽤FHIR國際標準，讓國內醫學研究更容易與國外互通，最後是臺灣醫資廠商⼤規模採⽤FHIR，讓⾃家產品不再只是臺灣標準，⽽是遵循放諸四海皆準的國際標準，如此才能「打國際盃。」
龐⼀鳴指出，這項計畫也已知會衛福部部⻑陳時中和數位政委唐鳳，盼能落實。
養體質第⼆招：允許電⼦病歷上雲託管，放寬存取權
接下來，衛福部養好醫院資安體質的第⼆招，是要放寬電⼦病歷存取權，允許電⼦病歷上雲代管，再由政府監督雲端業者和代管業者。這是因為，對臺灣眾多的專業⼩型醫療院所來說，管理醫療相關資料⼗ 分耗⼒，委外處理要是出事了，廠商不負法律責任，「導致⼩診所苦不堪⾔。」
為解決這個問題，衛福部擬定草案，要開放電⼦病歷上雲、交由第三⽅代管。龐⼀鳴指出，許多雲端業者的醫療資料處理服務，既符合歐盟最嚴格個資法GDPR，也符合美國主流的醫療資料保護法案 HIPAA，更遵從國際標準FHIR，對⼈⼒不⾜的⼩型醫療院所來說，就會是個解⽅。⽽政府要做的，就 是監管雲端業者和代管業者，多⼀道把關。
衛福部要開放電⼦病歷上雲，還有另⼀個⽤意。龐⼀鳴表⽰，由於⻑年法規規定，電⼦病歷只能存放在 醫院中，導致醫院⽤雲相對落後。「但現在是上雲時代，醫院不⽤雲，⼤部分醫療AI幾乎不能⽤，」⽽開放上雲，就能促進醫療院所對AI的採⽤。
⽬前，這套上雲草案已完成內部意⾒整合，最近將公開草案、徵詢外部意⾒。龐⼀鳴希望，藉由改善電 ⼦病歷的交換架構和存取權，來打好醫療院所的資安體質。
要將資安稽核納⼊醫療評鑑，還要強化社交⼯程防治演練
回到醫療資安層⾯，衛福部也有幾套做法，來鞏固原有的醫療資安機制。⾸先是擬定在醫院評鑑中，加 ⼊資安稽核項⽬，來吸引更多醫院加⼊醫療資安聯防機制。這是因為，受限於資安法規定，衛福部無法全⾯將聯防機制推動到每家醫院，所以得想辦法讓不同⾝分的醫院加⼊。
再來，衛福部也會繼續推動資安⼈才培訓，並與其他政府部會協商，來強化醫療資安聯防。同時還要提 升醫資廠商資安意識，將逐步要求醫資業者備妥資安防護措施。
今年，衛福部也計畫辦理更多演練，來加強醫院資安事件處理經驗。這些演練包括資安事件通報，也就 是加⼊H-ISAC的會員醫院將收到H-ISAC演練警訊，會員醫院得依此回覆，進⾏通報等等。此外，衛福 部也會針對社交⼯程，辦理模擬演練，⾄少10家醫院參與演練，並各⾃提交報告。
衛福部也鎖定聯網程度越來越⾼的醫療儀器（OT），將醫療儀器⽣命週期納⼊資安管理，以6種配套措 施來納管，像是汰舊換新、採購評估、教育訓練等等。（如下圖）
(圖⽚來源：iThome)
近期醫院被勒索軟體攻擊次數下降，盤點5⼤⽅法降低事件發⽣率
最後，龐⼀鳴盤點近幾年醫療勒索軟體攻擊事件，指出2019年8⽉，臺灣38家醫院在幾個⼩內接連遭到 WannaCry病毒⼤規模攻擊，是因為病毒從內網橫向擴散，「我們也藉此檢討EEC架構和健保VPN設 置，並來改善。」
在那之後，⾃2020年⾄今，臺灣只有零星幾家醫院受到攻擊。⽐如2020年，只有兩起北部區域醫院和地區醫院的受害通報，今年⾄今也只有3起通報。（如下圖）
(圖⽚來源：iThome)
他也歸納出5種⽅法，來降低勒索病毒威脅，包括落實資安⻑制度、拒絕釣⿂郵件（即社交⼯程攻 擊）、建設好網路防⽕牆，還有USB管控和IT防禦。他認為前4種是對付80%攻擊的關鍵，⽽IT防禦雖只擋20%攻擊，但也是重要的防護基礎。
龐⼀鳴建議，IT防禦範圍包括善⽤H-ISAC情資分享，來掌握勒索軟體防護攻略，此外還有採⽤各種資 安縱深防禦⼯具和技術來防範威脅。醫院透過有效的管理⽅式，就能杜絕⼤多數的攻擊嘗試，讓IT有餘⼒應付⾼明的駭客，⽽不會因層出不窮的事件疲於奔命，這也是IT防禦的⼼法。