醫療資安國際觀察｜資安事件多軌通報與證據分流

醫療資安事件的技術回報、個資外洩判定與臨床安全處置目的不同；向單一窗口送件，通常不能替代其他軌道的評估與證據責任。

名詞解釋：事件回報、外洩通知與共同事實庫

事件回報用於取得技術協助、分享攻擊指標或履行特定資安事件要求。外洩通知著重受保護資料是否遭未授權存取、使用或揭露，以及應通知哪些對象。臨床安全通報則處理停機、延誤、錯誤資料或設備異常是否影響病人照護。共同事實庫保存一致的時間線、系統範圍、資料與病人影響、處置措施、未知事項及版本核准紀錄。

共同事件事實庫向技術應變、個資法律與臨床安全三條通報軌道分流，各軌分別判定、送件與結案 — 圖一：共用事件事實不代表合併所有判定；每條軌道仍須保留自己的受理窗口、時程與完成證據。

國際現況與適用邊界

美國 HHS OCR 於 2026 年 10 月發布醫療資安通訊，特別說明依 CIRCIA 向 CISA 提交的資安事件報告，不能取代 HIPAA 違規事件的風險評估與通知責任。CISA 的事件回報入口則同時承接事件、弱點、惡意軟體與網路釣魚等不同類型資訊，並可作為尋求協助的管道。NIST SP 800-61r3 將事件回應納入整體資安風險管理，要求從偵測、回應到復原持續保留決策與改善證據。

台灣適用原則：美國 CIRCIA、HIPAA 與 CISA 受理機制不是台灣醫療機構的法定通報規則。可採用的是「共同事實、分軌判定、最小揭露、持續更新與證據結案」的方法；實際對象、門檻與期限仍應依台灣法規、主管機關要求、院內病人安全制度、契約及事件性質確認。

規劃：先建立通報矩陣，再等事件發生

治理範圍應涵蓋資安、醫療資訊、個資保護、法務、病人安全、臨床單位、公關、供應商與高階事件指揮。通報矩陣至少列出事件類型、適用法域、資料類別、病人影響、受理窗口、內部核准者、送件方式、時程來源、更新條件與結案證據。驗收指標可包含初始事實包完成時間、三軌判定完成率、送件版本一致率、收件證明保存率、重大變化重評時間及未決事項逾期率。