[求助]醫療資訊的安全防護

分享至

[求助]醫療資訊的安全防護

榮譽勳章：

Dott

初學者

點數：250

2011-05-27 23:03:41

在2009年3月，香港聯合醫院一位醫師，遺失了存有47名病患個人資料的隨身碟，引起了相關單位的重視；2009年5月，美國加洲柏克萊醫療中心的資料庫，遭到駭客入侵，竊取了相當於身分證字號的社會安全卡號和健保資訊，估計有近16萬人受到影響；2009年11月，台大醫院發生了近年來第2次的電腦當機事件，造成掛號、病歷查詢和領藥系統的失效，影響上千名病患的就醫權益。

對於現今的醫療業者而言，資訊系統的應用已扮演了非常重要的角色，除了能提供有效率與高品質的醫療服務之外，也提供了更多生命安全的保障。但是相反地，一旦資訊安全發生問題，其後果不只是資料洩露問題，更可能會影響病患的生命安全。對於醫療業的資安防護策略，應該如何來確保或實務上的措施是如何?

回覆會員暱稱：火煉金
點數：400
等級：初學者

榮譽勳章：初學者
發文篇數：16
回文時間：2011-05-29 20:18:50

Dott您好: 根據您的問題，除了前述所提供的中山醫學大學附設醫院的成功案例外，這裡也整理了一些實務上成功的案例供您參考，進一步了解其具體措施。鑑於近年來電腦及網際網路應用之普及，許多醫院為確保各院所醫療相關資料、資訊系統、設備及網際網路之安全，訂定了許多資訊安全管理作業規範，如高雄市立民生醫院及台北醫院和關山慈濟醫院等許多醫院，就明訂其院內的資訊安全政策，以高雄民生醫院為例，其目標有五，分別為（一）維護資訊系統持續運作。（二）防止駭客、病毒等入侵及破壞。（三）防止人為意圖不當及不法使用。（四）避免人為疏失意外。（五）維護實體環境安全。以上目標與我們一般資安管理目標雷同，具體措施如組織權責分工、人員教育訓練、電腦軟硬體、網路及實體環境管理都有明文規定其安全政策，其影響範圍包括人員、應用系統、硬體設備及網路設施等部分，分述如下: 影響範圍部分 (一) 人員：適用醫院正式人員與其他人員及使用醫院資訊資源之委外廠商。 (二) 應用系統：1.醫院醫療資訊系統。2.影像資訊系統。3.網頁及郵件資訊系統。 4.醫院行政管理資訊系統。 (三) 硬體及其施：各式主機、伺服器、工作站及個人電腦。 (四) 網路設施：醫院區辦公室內部網路及網際網路及其相關設施。職能區分部分資安推動小組，負責召開資安會議，支持並推動資安相關議題，統合相關資源之運用，定期檢討成效並訂定獎懲辦法。資安執行小組，負責執行資安會議之相關決議事項並追蹤落實，必要時將進度向資安推動小組報告。資安管理代表，負責執行資安工作之主管代表，統籌與協調跨單位之相關資安工作與資源運用。政風室，負責執行資安內部稽核。資訊室，負責配合有關資安之各項事項。人事室，有關執行資安之人員配置。總務室，有關執行資安之後勤支援與資產清查。存取控制部分 (一) 資訊單位對存取之程式，應依承辦人員之執掌，設定存取權限，除通行碼外，需配發執行密碼，並每三個月須變更密碼一次。 (二)對於識別碼閒置六個月以上未曾使用者，主管配發人員應瞭解後刪除。 (三) 對進出系統之人員、時間，電腦應保留一年以上紀錄，進出紀錄應不定期稽核。 (四) 程式安裝完畢後，應將廠商所預設的通行碼變更，並啟動反脅迫機制，禁止廠商以遠距控管方式執行維修作業。系統開發及維護部分 (一) 系統委外開發者，應於合約書明定著作權歸屬及保密條款。 (二) 進入系統作業人員應由單位主管視業務需要，申請通行密碼及識別碼，資訊單位核配後，使用者應立即變更密碼。 (三) 系統應定期偵測病毒碼、木馬程式及間諜軟體，掃描處理結果並應做成紀錄呈核備查。考查與稽核部分 (一) 資訊系統及程式進出管理紀錄應留存必要紀錄一年以上，俾供考核。 (二) 各終端機使用人不得擅自安裝非法軟體，或將機密性資料存置於資料庫內。 (三) 各資訊單位與政風機構每年執行稽核乙次，稽核結果彙整後，簽陳機關首長並提資訊安全處理小組報告。以上為高雄民生醫院的資安政策，供您參考，希望對您有幫助。

資料來源：

http://www.kmsh.gov.tw/ 高雄市立民生醫院

http://www.kmsh.gov.tw/policy.htm 高雄市立民生醫院資安政策

http://www.bsigroup.tw/upload/eNews/No75/75_June.htm BSI台灣電子報

回覆會員暱稱：RC
點數：300
等級：初學者

榮譽勳章：初學者
發文篇數：12
回文時間：2011-05-29 19:47:41

關於醫療業的資安防護策略，國內中山醫學大學附設醫院有相關的實務案例可供借鏡，整理如下供您參考： 2010年，為了減少醫療疏失，提升醫療資源的運用效能、服務品質及病人安全，行政院衛生署積極推動醫療院所實施電子病歷，保障個人健康資訊隱私則是優先要務，計劃在三年內推動國內八成醫院落實電子病歷，同時建置完成病歷交換系統，並將其考慮納入評鑑項目。衛生署宣告2010年為「電子病歷元年」，中山醫大附設醫院也配合政府政策，積極展開一連串電子病歷規劃行動。電子病歷的好處是多面向的。對病人而言，目前即使是同家醫院的不同院區，紙本病歷的傳遞仍需依賴病人自己申請調閱，電子病歷就可避免舟車勞頓，並節省就醫時間；另一方面，病歷內容將為病人所有，更易於進行自主的健康管理；從醫院的角度來看，電子病歷可大幅節省實體儲存空間、紙張與耗材等列印成本，以及人員傳遞紙本病歷的時間成本。在推動電子病歷之前，中山醫大附設醫院的資安作法以單點產品為重，例如網站入侵防護、防火牆、防毒等；然而，當前的資安需求不同於以往，除了確保電子病歷的互通性，還有新版個資法，必須有更全面性的作法，導入ISO 27001即為關鍵的一步。透過台灣IBM提供的諮詢、輔導、工具建制及實地勘查，中山醫大附設醫院除了確保資訊系統的嚴密防護、提升機房營運的安全性，還鉅細靡遺地確認各醫療資訊作業的運作過程，真正達到保障病人資訊安全性與機密性的目標。中山醫學大學附設醫院資訊室孫培然主任表示：「我們不是只為驗證而驗證，而是要將 ISO 27001 深化到日常運作。因此，我們向外尋求專業顧問的協助，找出真正的改善重點，全面提升資安品質。」由於電子資料傳送速度很快，如何確保病人隱私安全，讓一般大眾都能信任，就成為推動電子病歷的主要挑戰。雖然面臨行政院衛生署給予的時程壓力，希望一次就能驗證過關，但醫院更想藉由這次機會找出真正能改善資安品質的重點。在IBM的資安輔導下，並未全盤推翻中山醫大附設醫院原有的安全機制，而是比對現有作法和標準要求，針對不足之處再做補強。依照中山醫大附設醫院的現況和需求，IBM規劃的涵蓋資安現況評估、資安管理架構規劃、資安風險評鑑、資安管理制度導入與試行、資安管理查核與認證等階段。中山醫大附設醫院於 2010年 1月中旬啟動專案，4月中旬即順利地讓大慶、中港、中興和太原等四個院區全數通過 ISO 27001 資安驗證，就連IT團隊全體二十二名成員也都取得主任稽核員（Lead Auditor；LA）專業證照。原先需要六個月時間進行的工作，壓縮在不到三個月內完成，足見中山醫大附設醫院的旺盛企圖心。目前，中山醫大附設醫院已實施電子病歷的類別包括X光、醫影部超音波、電腦斷層、磁振造影、腸胃道攝影、血管攝影、正子造影、骨質密度、核子醫學及特殊攝影之影像報告。孫培然主任建議，建置電子病歷首先必須成立推動委員會，並由副院長等級以上擔任主任委員，以中山醫大附設醫院為例，就是由身兼全國電子病歷委員會主要委員的曾志仁副院長來擔任此職務。此外，根據衛生署補助項目、紙本病歷產出量較多者、病歷異動頻率較低者、單位及人員配合度較高等條件來選擇實施類別，也是成功推行的秘訣。中山醫大附設醫院能快速完成資安驗證等各項配套條件，在電子病歷的評核中建立指標地位，因應政府計劃的推行進程，可望為台灣醫療業樹立更多的標竿典範。

資料來源：

http://www-07.ibm.com/tw/express/is/safety.html

http://www.netadmin.com.tw/news_content.asp?sn=1005030009

http://www.bsigroup.tw/Assessment-and-Certification-services/Management-Systems/News-Events/Current-News/News-Archive/articles/new-articles/_ISO270012/

http://www.runpc.com.tw/news.aspx?id=100574