支援醫療照護組織建立網路韌性（下）

IoMT 裝置與資料安全性

醫療物聯網（IoMT）正在迅速發展，更因而被宣傳為醫療照護的未來。IoMT 是醫療器材、軟體、監護設備與資料匯集系統的互連基礎設施，並能提供各種益處，包括從遠端監控即時資料饋送，到緩解資源不足的醫院與公共衛生預算的壓力，以及潛在創造彈性容量與消除物理限制。隨著科技將數位醫療推向全新方向，每個新迭代都會同時帶來潛力與挑戰。

不斷發展的 IoMT 連線能力為網路安全挑戰帶來了進一步的細微變化。醫療照護部門的一個主要疑慮在於易受外部威脅的影響，這些威脅通常以病毒、駭客攻擊，或是阻斷服務的勒索軟體等形式出現。這裡要承受會直接影響患者健康、安全，甚至是造成死亡的最高風險。因此，醫療照護主管必須確保重要的醫院設備與電力供應不會受到危險分子掌控，更別說是對智慧型醫療器材與植入物的控制。

IoMT、醫療照護可穿戴裝置與網路安全

風險

惡意軟體

透過點擊會觸發病毒、蠕蟲、木馬程式、間諜軟體等而啟用，進而會刪除檔案與竊取資訊。

網路釣魚

欺詐電子郵件或假網站會誘騙個人提供敏感資訊，並因而能存取個人與健康相關資訊。

勒索軟體

這種軟體會在使用者支付贖金之前將資料加密，以防止使用者存取。攻擊者可以使用黑函，威脅將公布敏感或重要的個人資料。

分散式阻斷服務攻擊

會有多部電腦或裝置受波及，接著再用來攻擊目標網站、服務或應用程式。使用訊息與連線大量攻擊目標系統。

健康數據操縱

可穿戴裝置是將健康資料儲存在裝置、應用程式、連線手機與電腦上之生態系統的一部分，並會經由藍牙與 Wi-Fi 將健康資料傳輸至雲端平台。任何部分的安全性弱點都會導致資料遭到取用或竊取。

反制威脅措施

確保裝置與數位基礎設施的安全

可穿戴裝置在設計上和預設情況下都必須確保安全。預設（default）必須盡可能確保安全，且硬體與軟體要內建安全性或加密原語（cryptographic primitives）。製造者必須在整個產品生命週期中管理裝置漏洞，並開發能解決漏洞的軟體修補程式。必須確保生態系統與資料鏈的安全性，並且時常監控。

明確與健全的資料隱私權政策

製造者需要有明確的資料隱私權政策，以確保敏感健康資訊的安全性與隱私；這不只是為了遵守資料保護規範，也是為了保證使用者資料受到妥善保護。應該透過使用獨一無二的帳戶編號及允許使用化名，以盡量減少個人可識別資訊。

透過基本的網路衛生（cyber-hygiene）就能管理以上所概述的許多風險。儘管沒有什麼方法能保證攻擊絕不會發生，但遵守網路衛生基本原理就能大幅降低風險。優秀的網路安全意謂著要應用多層安全措施，以防萬一其中一個失效。

事實上，透過採取階層架構，組織就比較不會引起攻擊者的注意，並能降低讓攻擊成功的機率。

實體安全

醫療照護提供者需要確保用來處理或儲存敏感資訊之裝置的實體安全，如筆記型電腦、平板電腦與智慧型手機，並確保提供下列指南：

• 需要教育使用者在不使用時將裝置上鎖。絕不該使用如 USB 隨身碟等卸除式裝置儲存醫療資訊。
• 應勸阻工作人員將自己的裝置借給他人，例如借給孩子玩電腦遊戲，因為會有裝置遺失或感染惡意軟體的風險。

安全資訊儲存

醫療照護提供者應確保儲存在裝置上的資訊受到保護，如此一來當裝置遺失或遭竊，資訊也不會受到破壞。組織必須在未開機時檢查裝置的加密資料，因此沒有存取權限者就無法存取資料。措施可能需要包括當裝置遺失或遭竊時，利用遠端方式「清除」裝置資料的能力。若所有工作人員都使用醫療照護組織購買與提供的裝置而非他們自己的裝置，這個做法就會比較容易。

醫療照護組織應即時顯示人們正在使用的裝置，才能及早發現異常活動，並在需要時於遠端反應。此外，提供者需要透過安裝與更新業界標準防毒軟體與反惡意程式保護，並且確保及時安裝軟體的修補程式與更新，確保裝置本身未遭受破壞。

安全使用資訊系統

醫療照護提供者需要確保用來存取資訊的系統安全無虞。建議使用有效的存取控制，例如要求高強度與定期更改的密碼，以及兩步驟驗證。我們強烈建議組織使用虛擬私人網路（VPN），以允許遠端使用者安全存取您組織的 IT 資源。若已經使用 VPN，組織就該確保這些 VPN 安裝了完整的修補程式。

然而，只有工作人員妥善使用系統，系統才能妥善運作。使用者必須只在需要時登入系統，並在使用後登出，而且不能將未上鎖的裝置放著無人看管。必須教育工作人員不得分享登入細節或密碼，或使用容易查出的登入細節或密碼。

若要幫助工作人員辨識會企圖存取資訊系統的網路釣魚電子郵件，就必須要進行教育。網路釣魚依然是網路罪犯試圖用來入侵組織的一個主要方法，因此必須透過提供一些教育訓練或某種能誘騙人們的模擬工具，教育使用者瞭解試圖獲得其資格的攻擊看起來是什麼樣子，讓大家能從自身經驗中學習，這樣做真的很有價值。

儘管醫療照護提供者不是科技公司，但他們的工作越來越常以科技為基礎，而在現今的數位世界中這樣的情況更勝以往。網路安全能鞏固安全的患者照護、醫療照護組織的聲譽，以及患者對醫療照護組織的信賴。若這個技術失去作用，醫療照護組織也會跟著無法發揮功能。

在面對全球大流行的疫情時，近期完成的巨大進展讓全球的醫療照護組織得以繼續發揮功能。保護醫療照護資訊免於遭竊、洩露與破壞，將能確保醫療照護服務不僅能持續發揮功能，更能繁榮發展。確保設置好網路安全系統、教育與支援工作人員使用網路安全系統，都是現今醫療照護管理不可或缺的一部分。

參考資料

National Cyber Security Centre Annual Review 2020.
Available at: https://www.ncsc.gov.uk/files/Annual-Review-2020.pdf

NHS Improvement, Lessons learned review of the WannaCry Ransomware Cyber Attack, published February 2018.
Available at: https://www.england.nhs.uk/wp-content/uploads/2018/02/lessons-learned-review-wannacryransomware-cyberattackcio-review.pdf

National Cyber Security Centre What is Cyber Security?
Available at: https://www.ncsc.gov.uk/section/about-ncsc/what-is-cyber-security

The Guardian, ‘Shocking’ hack of psychotherapy records in Finland affects thousands.
Available at: https://www.theguardian.com/world/2020/oct/26/tens-of-thousands-psychotherapy-records-hacked-in-finland

Y Mirsky et al, CT-GAN: Malicious tampering of 3D Medical Imagery using Deep Learning. Published in the 28th USENIX Security Symposium (USENIX Security 2019).
Available at: https://arxiv.org/pdf/1901.03597.pdf

Is primary care ready to switch to Telemedicine? Medscape UK, March 2020.
Available at: https://www.medscape.com/viewarticle/927631

NHS Digital, Advice on using video consultation systems.
Available at: https://digital.nhs.uk/services/gp-it-futuressystems/approved-econsultation-systems

NHS England, Securing Excellence in Primary Care Digital Services.
Available at: https://www.england.nhs.uk/wp-content/uploads/2019/10/gp-it-operating-model-v4-sept-2019.pdf

NCSC, About Cyber Essentials.
Available at: https://www.ncsc.gov.uk/cyberessentials/overview

NCSC, Exercise in a Box toolkit.
Available at: https://www.ncsc.gov.uk/information/exercise-in-a-box

NHS Digital, Data security and protection toolkit.
Available at: https://www.dsptoolkit.nhs.uk/

Department for Health and Social Care, 10 Data Security Standards.
Available at: https://www.digitalsocialcare.co.uk/datasecurity-protecting-my-information/national-policy/

NHS X, Remote Working in Primary Care Guidance for GP Practices during COVID-19 Emergency Response.
Available at: https://www.england.nhs.uk/coronavirus/wp-content/uploads/sites/52/2020/03/C0165-remote-working-inprimarycaregp-practices-during-covid-19-v1.2.pdf

NHS X, Bring your own device policy.
Available at: https://www.nhsx.nhs.uk/key-tools-and-info/procurementframeworks/clinicalcommunications-procurementframework/bring-your-own-device-policy/

International Standards Organisation, Information security management ISO/IEC 27001.
Available at: https://www.iso.org/isoiec-27001-information-security.html