醫療院所在大量數位化以及智慧化的過程中，面臨的資安挑戰與風險可能包括勒索軟體、病人個資外洩、遭竄改以及信任問題。此外，也要留意行動辦公安全與遠距醫療帶來的安全風險。因應COVID-19與智慧醫療，新型資通訊技術將大量被使用，資料傳輸及聯網行為將更頻繁，攻擊管道與手法更多樣化，被攻擊面也可能大幅增加。
為了促進醫療資訊交換，衛福部開放電子病歷上雲，同時也推動FHIR（Fast Healthcare Interoperability Resources）電子病歷交換標準。從原本電子病歷交換中心（ECC）改為FHIR交換平台，Fortinet技術顧問夏克強觀察，FHIR電子病歷雖然能帶來諸多好處，但仍可能存在一些潛在的資安風險，包含資料可能被未經授權的使用者或惡意人士存取，導致個人隱私受到侵犯，甚至身份被盜竊；資料遭到未經授權人員修改，使得患者的醫療記錄發生錯誤，進而影響患者的治療過程和醫療決策。另外，惡意人士可能發出洪水般的大量請求來癱瘓FHIR服務，導致合法使用者無法正常存取或使用；FHIR API也可能潛藏漏洞，2021年國外曾有知名資安專家針對FHIR API進行安全測試，發現行動應用程式和API中存在一些漏洞，與OWASP API十大安全威脅相關，其中包括物件授權、身份驗證、過度資料洩露等。
「事實上，醫療院所面臨的資安挑戰仍不只於此。」他提到，醫療院所在積極數位化以及智慧化的過程中，面臨的資安挑戰與風險可能包括勒索軟體、病人個資外洩、遭竄改以及信任問題。舉例而言，現今已有醫院導入元宇宙概念到醫療照護領域，用於提醒年長者用藥，但是這些透過VR技術收集的大量資料很可能存放在雲端，傳輸過程若有沒有安全加密，萬一這些資料被竊取，後果可能很嚴重，因為這些資料中很可能有個人的生理特徵，例如虹膜或是聲紋，很可能會被不當使用。此外，虛擬人物的身分一定是正確的嗎？身份偽冒問題，也需要考量。
另外，也要留意行動辦公安全與遠距醫療帶來的安全風險。因應COVID-19與智慧醫療，新型資通訊技術將大量被使用，資料傳輸及聯網行為將更頻繁，攻擊管道與手法更多樣化，被攻擊面也可能大幅增加。
留意資安破口潛在風險
資安威脅年年攀升，加強網路安全防護、提高安全意識以確保病患和醫療服務的安全性，已成醫療體系亟須重視的課題。近期美國醫療集團Prospect Medical Holdings就因遭到駭客攻擊，使得旗下16家醫院都受到影響，而無法提供正常的醫療服務，此一攻擊事件也再度突顯醫療資安的重要性。
夏克強觀察，台灣醫療院所常見幾個資安破口，包含為了工作方便而使用Windows RDP、AnyDesk、TeamViewer、VNC等遠端桌面工具，種類繁多卻未適當控管；網路芳鄰也並未嚴加管控。而在醫療設備互聯帶來的風險方面，許多醫療設備存在作業系統老舊無法更新、漏洞無法修補，設備無法安裝防毒等等情況，其次網段沒有區隔，醫療物聯網（IoMT）／物聯網（IoT）網路與IT網路混在一起，也容易產生破口相互感染。
他提到，隨著醫療設備聯網程度越來越高，建議要將醫療儀器生命週期納入資安管理，醫療院所也可以參考五個防護準則來保護醫療物聯設備的安全，包含將IT/IoMT設備的網路分段微切分（Segmentation），把網段區隔開來；另外也應提高可視性，先讓網路上的所有設備都能辨識才能進行管理；而IT設備供應商與醫材商也要定期對漏洞進行修補與主動告知漏洞，韌體也要進行評估升級；此外要建立明確的連線存取規則，類似零信任的最小權限概念，有必要才放行；最後也要檢視是否有異常行為，最好有SIEM平台持續監控IT/IoMT設備連線，偵測連線有無異常。
案例說明痛點需求
獲多家醫療院所採用的Fortinet，近幾年累積了不少實際案例，以台北某公立醫院為例，該院區打算將無線網路汰舊換新，並有無線網路及有線網路品牌不同、控管不易的難題；雖然院內有多條線路備援與其他分院介接，但有時使用Teams開啟線上會議時卻很慢；而且由於院內上網並沒有嚴謹的管理，例如哪些網站不能上網，惡意網站不能連等等，希望能強化上網保護；以及醫院目前缺乏針對資安事件的有效監控與管理機制。
「針對這些需求，Fortinet也提供相對應的解決方案，」他提到，FortiGate結合FortiSwitch及FortiAP是資安鐵三角架構，可以做到單一管理介面同時管理防火牆、交換器與無線基地台。而且可以讓所有連線與資安事件看得到、找得到，同時管得到。藉由這個鐵三角架構，可以看到是哪個使用者連線，使用的是哪一個有線Port、VLAN或是哪個無線網路基地台，以及使用者名稱與端點MAC Address等。
而FortiGate新世代防火牆提供SD-WAN機制，除了可以針對線路做到備援之外，更可以依應用程式做選路，搭配QoS，可以大幅改善使用者的使用體驗，例如啟動Teams開會時，可以自動跑在頻寬較大的網路線路上。而SD-WAW同時也具有應用程式辨識的功能，可以辨識超過3,000種的應用程式，依應用程式來選擇網路線路，更能優化使用者體驗。
FortiProxy則負責提供上網管理的功能，而且由於是採用專門的晶片做SSL加解密，因此不會影響防火牆的效能；最後，全院的資安事件監控與管理則可以透過FortiSIEM來實現，由於可以支援300～400種設備日誌正規化與近千條預設的關聯規則，因此可以快速地幫醫院發現與管理資安事件。
另一個案例是中部某大型醫學中心，夏克強說，原本該院區只有導入防毒軟體，有鑑於勒索軟體日益猖獗，希望能建立防護；由於院內有些醫療儀器仍採用較舊的作業系統，如Window XP，因此希望勒索病毒的解決方案也能適用在Window XP環境；而且要能與現有防火牆聯防，以及針對時下流行的零時差攻擊或是無檔案（Fileless）惡意程式來進行防護。
Fortinet技術顧問夏克強認為，隨著醫療設備聯網程度越來越高，醫療儀器生命週期也應納入資安管理。
後來該醫學中心選擇導入FortiEDR，因為FortiEDR具有Next-Generation Anti-Virus（NGAV）技術，可作為防毒軟體，也可用來防範勒索病毒。此外，也支援舊版作業系統，包含Windows XP與Windows 2003。與現有防火牆聯防的需求，則有安全織網（Security Fabric）可以提供端到端安全整合解決方案，能建立有效的防禦機制，使各種環境中的資料和安全元件進行妥善整合，舉例來說，當FortiEDR偵測到攻擊時，Fortinet就會把這項情資更新到外網的FortiGate防火牆，直接在外網阻擋而不會竄到內部。此外，透過機器學習，FortiEDR也能夠對新型態無檔案方式或是零日惡意程式進行防護。
他強調，任何方案的導入一定會有所改變，這時候就要強化教育訓練以及溝通，才不會造成使用者有太大的反彈。例如對醫生、護士，甚至行政人員宣導勒索軟體可能造成的影響或是相關的基本概念，如收信時如果不確定寄件者是誰，或是看起來與以前收到信長相不一樣，這時候就要特別留意，不能隨便點擊連結等等。若是有導入監控的方案，也要如實告知，使用者才不會誤以為個人隱私受到侵犯。