今日實作:選出五項措施

ISO 27001 控制措施介紹 – 資安防護五大措施精選

前言

在醫院資訊室的日常工作中，我常常聽到「資安要符合標準」這句話。但究竟要符合什麼標準？最常被提到的就是 ISO/IEC 27001。這是一個國際公認的資訊安全管理標準，適用於各種組織，包括醫療院所。

ISO 27001 的核心概念是建立 資訊安全管理系統（ISMS），並透過一系列控制措施（controls）來確保資訊的機密性、完整性與可用性。官方的附錄 A（Annex A）列出了 93 項控制措施，涵蓋技術、管理與組織層面。

本文我將挑選其中五項，特別針對醫院環境，介紹它們的重點與應用情境。

一、存取控制（Access Control）

內容說明

ISO 27001 要求組織必須實施適當的存取控制，確保只有被授權的人員能夠存取特定資訊。這包含帳號管理、權限設定，以及最小必要原則。

在醫院的應用

• 醫師可以查閱自己病人的完整病歷，但不能任意查閱其他病人的資料。
• 護理人員僅能查閱所屬病房病人的紀錄。
• 行政人員只能處理掛號與收費資料，不能開啟病歷內容。

啟示

醫院必須落實「誰該看什麼，就只能看什麼」，否則任何內部人員都可能成為資安風險。

二、加密（Encryption）

內容說明

加密是確保資料在傳輸或存放時不被未授權者存取的基本措施。ISO 27001 要求組織根據風險等級選擇適合的加密技術。

在醫院的應用

• 病歷系統與檢驗系統之間的資料交換，必須透過加密通道（如 TLS）。
• 病人檢查影像（DICOM 格式）應該加密存放，避免外洩。
• 行動裝置若存有醫療資料，必須全磁碟加密。

啟示

醫院資訊室應該定期檢查，確保所有敏感資料的傳輸都不是明文。

三、備份（Backup）

內容說明

備份的目標是確保資料在發生硬體故障、資安事件或自然災害時，仍能夠快速還原，避免醫療服務中斷。

在醫院的應用

• HIS（醫院資訊系統）的資料庫每日備份，並存放於異地機房。
• PACS（影像系統）的備份存放於磁帶或雲端，確保檔案長期保存。
• 每半年進行一次「備份還原演練」，檢查資料能否真正復原。

啟示

備份不是存起來就好，而是要隨時能「拿得出來用」。

四、事件通報與應變（Incident Response）

內容說明

ISO 27001 規定組織必須建立資安事件的通報與應變機制，讓任何人員一旦發現問題，能夠即時回報，並由專責團隊處理。

在醫院的應用

• 若護理人員收到疑似釣魚郵件，必須立即回報資訊室。
• 當發現病歷系統異常登入，資訊室必須啟動事件調查。
• 醫院應建立通報流程圖，明確規範「誰先報、誰接手、多久內完成」。

啟示

事件發生時，速度決定影響大小。沒有完善的通報流程，再好的資安設備也無法發揮作用。

五、資安教育訓練（Security Awareness Training）

內容說明

ISO 27001 強調資訊安全不只是技術問題，更是文化問題。所有人員都必須理解自己的責任與應注意的風險。

在醫院的應用

• 每年至少舉辦一次資安教育，讓醫護了解常見攻擊手法。
• 定期進行釣魚信演練，提升人員辨識能力。
• 新進員工在入職培訓中，必須接受資訊安全課程。

啟示

最強大的防火牆不是設備，而是有資安意識的人。

ISO 27001 五大控制措施比較表

總結

ISO 27001 的控制措施非常多，但若要選出五項最適合醫院落地的，我認為是：

1. 存取控制
2. 加密
3. 備份
4. 事件通報與應變
5. 資安教育訓練

這些措施涵蓋了 技術、流程、文化 三個層面，能讓醫院在資安防護上更全面。

我的體會是，資安沒有捷徑，不是買設備就能解決。唯有將這些措施融入日常管理，並讓每一位醫護人員都參與，才能真正守護病人資料與醫療信任。