由ISO 27799:2016所提供的資安管控機制，基本上參照了ISO/IEC 27002的標準內容，先前的文章已經說明如何清查和醫療資訊有關的各項資產，建立完整的資產清冊並識別可接受使用的方式，以及在使用系統時的資訊存取控制要求，並解析其資安控制措施在實務方面的做法，本文將是此醫療法規系列的最後一篇。
在上一篇的文章，說明了如何強化使用者和系統存取控制，並且確保在實體環境中使用醫療資訊處理設備的安全，以及在運作過程中須建立變更管理和防範惡意軟體的機制，接下來將繼續從醫療裝置的資訊存錄和監視開始，說明ISO 27799:2016針對健康醫療資訊的安全控制措施。
記錄安全事件並妥善保存證據
在ISO 27799:2016第十二章的運作安全中，有關「存錄和監視」、「運作中軟體之控制」、「技術脆弱性管理」及「資訊系統稽核考量」的控制措施，主要是在處理健康醫療資訊和系統運作的過程中，要求需留下適當的記錄，並且對運作中的資訊系統定期進行修補，避免可能的安全弱點受到利用，以下分別說明其涵蓋的控制措施。
12.4.1 事件存錄
不管是資訊系統、網路設備、資料庫或應用程式等，每天都可能會產生大量的系統日誌（Log），這項控制措施是要求保留使用者的活動記錄或異常事件的告警等，以便可以找出資安事件發生的可能原因，甚至還原事件發生的過程。對醫療資訊系統來說，除了保留日誌，更重要的是要能夠識別特定的病患，以及對於其醫療記錄的創建、修改和更新的行為，記錄在哪個時間點進行了存取或異動。如果含有個人健康醫療資訊的內容會在不同的資訊系統中進行傳輸交換，那麼更需要記錄的是傳輸的時間及傳輸的起點和終點，並非是傳輸的內容。另外，針對日誌的保留時間，首要考量是相關法令法規的保存要求，同時也要確保這些留存的日誌可以被分析，以因應未來可能需要進行的調查。
12.4.2 日誌資訊之保護
這項控制措施除了比照ISO/IEC 27002的做法，要求日誌資訊必須保護其不被竄改，對能夠存取日誌系統的工具和操作軌跡也都必須保護，以避免被誤用或濫用。此外，日誌系統的設計也是重要的一環，像是儲存日誌的設備需要有足夠的空間並且持續運作，不中斷地去記錄對健康醫療資訊的任何存取活動，保存正確且完整的稽核軌跡。同時，日誌系統的存取也僅限於特定的人員，以避免影響日誌本身的獨立完整性。至於接下來的「12.4.3 管理者和操作者日誌」的管控要求，請依照ISO/IEC 27002的做法即可。
12.4.4 鐘訊同步
對醫療資訊系統而言，時間的重要性在於可建立起各項醫療活動的時間線，以追蹤和確認各項活動的順序。同時，時間的正確性也會影響日誌資訊的可靠性，若涉及法律議題的相關調查，時間不正確將造成無法還原事件的過程，更會影響調查的進行和結果。
 |
| ▲由非線上的醫療裝置所獲得的資訊也需要適當保護。 |
至於接下來包括「12.5.1 對運作中系統之軟體安裝」、「12.6.1 技術脆弱性管理」、「12.6.2 對軟體安裝的限制」、「12.7.1 資訊系統稽核控制措施」、「13.1.1 網路控制措施」、「13.1.2 網路服務之安全」、「13.1.3 網路之區隔」等控制措施，可直接參照ISO/IEC 27002的實務指引。
13.2.1 資訊傳送政策及程序
這項控制措施除了參考ISO/IEC 27002的做法，也要求組織應確認所交換的資訊內容，若包括了健康醫療資訊，就必須要依據相關政策和法規稽核的要求，同時也要實施適當的加密機制。另外，若需考慮跨國傳輸和不同組織的特定要求，所須制訂的政策和程序，可以參考另一個國際標準ISO 22857的指引。至於接下來的「13.2.2 資訊傳送協議」，只須依照ISO/IEC 27002的要求來實施。
13.2.3 電子傳訊
這項控制措施除了可參照ISO/IEC 27002，實務方面也要求健康醫療資訊若以電子方式進行傳輸，就必須確保資訊的機密性和完整性。一般而言，組織若採用電子郵件來傳送，檔案加密和使用數位憑證都是建議採取的做法。
13.2.4 機密性或保密協議
這項控制措施可依據ISO/IEC 27002的做法，並且也要求在處理健康醫療資訊時，保密協議的安全要求必須依照資訊的類型來擬訂，並且要適用於所有處理健康醫療資訊的人員。
確保系統開發和取得的安全
在ISO 27799:2016第十四章的系統獲取、開發及維護中，主要說明有關「資訊系統之安全要求事項」、「於開發及支援過程中之安全」及「測試資料」等相關的控制措施，目標是要防止醫療資訊系統在開發和維護的過程中，可能因為應用程式開發流程未受到適當管控，或是應用系統的變更未依照要求的作業程序，而產生資安的風險。這一章比較特別的是在「14.1.1 資訊安全要求事項分析及規格」控制措施中，除了可直接參照ISO/IEC 27002的做法外，還特別延伸並新增加了兩個控制措施，說明如下。