智慧醫療時代加速來臨，大數據與人工智慧及物聯網裝置下，醫療資料得以互通，然而醫療產業是高度監管的市場，須考量電性安規、電磁相容、無線通訊法規、生物相容、軟體確效與資訊安全。因此，需注重網路安全設計與制定相關安全法規。
自從駭客在2018年黑帽大會上，展示侵入胰島素幫浦(Insulin Pump)控制胰島素注射劑量的事件之後，醫療器材的資安議題逐漸獲得各國主管機關重視。回顧此事件，其實一開始是由一群擁有卓越資訊能力的病人所策畫，概念將血糖計的血糖讀數上傳電腦，再由電動控制系統操作胰島素幫浦，給予病人注射適量的胰島素，從此病人毋須手動操縱，改成全自動化，病患生活品質得以獲得改善。
深究其原理，不外乎是以電腦控制系統，讀取血糖計並操控胰島素幫浦，一切如同工業控制領域所常看見的「機電整合」，然後透過電腦雲端操控，這樣的智慧醫療情境，也正是吸引大量電子製造廠邁入智慧醫療領域的新契機。
然而，醫療產業攸關生命健康安危，試想，若是惡意人士透過類似方式控制醫用產品，後果絕對不堪設想。因此，近年來各國事業主管機關開始關注網路安全對醫療品質的影響，不單重視各醫療子領域的規範，也開始增修各類網路安全規範，以引導醫材業者注重網路安全議題，逐步加強監管力道，以完整網路安全測試作為准駁上市核可的依據。
全球醫材網路安全法規
放眼世界來看，全球醫療法規以美國FDA 510k以及歐盟Medical Device Regulation (MDR)為主要依循基準。以FDA 510k來說，目前已頒布醫療器材網路安全管理上市前指引(2014/2018版)與上市後管理指引(2016版)，要求廠商遵循NIST Cybersecurity Framework進行產品生命週期之網路安全管理與第三方軟體安全管理，其最新指引要求進行靜態/動態安全分析、弱點掃描、滲透測試等完整之安全檢測。
在歐盟部分，亦於2017年發布醫療器材法規，並於2019年發布MDCG醫療器材網路安全指引，要求廠商依據最新技術水準設計與製造醫療軟硬體，並須考量到開發生命週期的原則，進行風險管理，並對資訊安全性作適當的驗證和確認。另外，無論是歐盟或是美國，都要求網路安全風險必須有獨立的風險管理流程，並運用ISO 14971方式進行管理。
而在台灣方面，衛福部食品藥物管理署亦於2021年5月發布「適用於製造業者之醫療器材網路安全指引」，揭示七大網路安全設計原則，並要求廠商進行惡意軟體測試、異常輸入測試、結構性滲透測試等。總結來說，智慧醫材業者對於網路安全的要求，已逐漸從建議(Should)走到應該(Shall)再走到必要(Must)了。
智慧醫材業者的因應之道
那麼對於摩拳擦掌欲進入智慧醫材的業者，以下項目會是需要特別注意的：
·產品之網路安全風險評鑑
首先要提到，網路安全風險種類繁多並與時俱進，但對於醫材業者而言，要特別關注網路安全風險可能造成病患安全威脅，或者對醫療結果產生影響，這部分醫療器材風險管理ISO 14971能提供良好指引。另外，醫療儀器先進協會(AAMI)的TIR 57亦對網路安全風險評鑑提供細部參考作法。然而，上述所提到主要國家法規已傾向網路安全必須有獨立、完整性的風險評估，而非如過往僅是整體醫材風險評估的子項目了。
·全產品生命週期資安管理
主管機關已開始要求導入生命週期資安管理，從設計階段就須思考可能面臨的網路安全風險，並進行安全設計，例如韌體更新的憑證管理、透過硬體安全元件管制機密資訊的存取、適度加密傳輸以防範網路中間人攻擊等，建議業者可以參考國際通用之物聯網安全標準Security Evaluation Standard for IoT Platforms (SESIP)，快速建立其硬體安全基礎架構。
而上市之後，必須持續識別網路安全風險，包含第三方軟體套件的安全性弱點，並在議定期間內持續修補安全漏洞。另外，也需建立安全通報機制，在重大網路安全威脅時及時通報使用者及主管機關，為此善盡醫材廠商應負之安全責任。
·網路安全風險評估測試
經過內部完整的風險評鑑以及產品生命週期資安管理機制，在上市前仍需由專業技術單位做一個完整的總體檢，檢測項目可包含錯誤注入測試、黑白箱測試、模糊測試、滲透測試等可能的測試方法，期於產品上市前，使用可能的駭客手法找出產品遺留的資安疑慮。這樣的測試，不僅可以滿足主管機關的期待，縮短取得上市核可的時程。對於企業而言，更是可以大幅降低未來可能的產品召回損失，以及商業訴訟和商譽受損之風險。
打造醫療資安防護網
總結在全球經歷COVID-19的洗禮之下，遠距醫療將在醫療產業大幅度成長；而在少子化、高齡化的趨勢下，聯網的智慧家庭照護系統亦是這幾年的主流。可以預見聯網的醫療器材將持續帶動電子產業進入全新的藍海市場。然而不要忘了，醫療是個高度監管的市場，必須考量電性安規、電磁相容、無線通訊法規、生物相容、軟體確效與資訊安全，層層確認把關後方能取得入場券。欲入場的廠商們，除了專注研發之外，莫要忘了相關的法規以及安全議題，及早在產品開發階段置入相關功能，才能早日進入藍海，優遊於高附加價值之醫療市場。
(本文作者為SGS數位信任安全實驗室負責人暨全球資安發展經理)