醫院資安新制 院長不得任意查病歷

近年國內陸續發生醫院遭駭客入侵、患者就醫資料外洩等資安事件，為強化醫院資安，衛福部擬於今年十一月起，要求全台重度急救責任醫院、一般醫院及基金會等，都需符合資安標準，內容包含院內需嚴格管制開啟病患資料權限、禁共用帳號等，即使身為全院最高層的院長，也不得接觸非業務相關的病人資訊，避免監守自盜等情事發生。

台北馬偕醫院近年多次遭駭客攻擊，導致病患個資外洩；輔仁大學附設醫院則是有醫事人員於公務電腦安裝恐使病患個資外洩的軟體，事後坦承犯行遭到醫院解僱。

衛福部資訊處處長李建璋說，十一月起，衛福部將推動「醫院資安新制」，各家醫院需強化身分認證，要求醫院可查看病歷資料的權限，不再以現行階級愈高、授權愈多的方式執行，未來即使是院長、副院長，調閱病歷的權限也僅限與自身業務，或督導業務相關的病歷，此舉能大幅降低監守自盜的可能性。

今年城鎮韌性演習首次模擬卅分鐘斷網演練，不少醫院開始模擬恢復「紙本」方式，維持醫院運作。李建璋說，衛福部也要求，若醫院遭逢資安攻擊，也須啟動類似的因應方式，即使資安受到影響，也不能影響醫院運作，後續將舉辦資安攻防演練，相關的資安標準，也將納入醫院評鑑。

另外，衛福部擬於十月公告「整合資安與臨床營運持續計畫」，也將比照「食安法」修法，課以第三方檢驗業者通報責任，未來醫院所外包資安保全公司，如發現資安異常事件，應直接通報衛福部。

衛福部預計今年底前完成全台醫學中心病歷資訊系統串接，採電子病歷（ＦＨＩＲ）格式促進資料互通，明年擴及區域及地區醫院，後年納入基層診所。系統上路後將嚴格把關資安，醫師須經病人同意才能調閱其他醫院資料；影像、病理等資料仍分散儲存在各醫院，僅於研究等特定需求時匯集至衛福部，完成去識別化分析後即全數銷毀。