支援醫療照護組織建立網路韌性（上）

根據英國國家網路安全中心（National Cyber Security Centre，簡稱 NCSC）的定義，網路安全是指「個人與組織如何降低網路攻擊風險」。網路安全應該「保護我們所使用的裝置及存取的服務免於遭受盜竊與損害」，以及「避免對我們儲存在這些裝置與網路之大量個人資訊的未授權存取」。

對醫療照護組織而言，這代表要確保所有數位儲存資料的安全，包括從醫療紀錄到工作人員銀行帳戶細節的一切資料，因而只能由獲得授權者存取、使用或更改。

新冠肺炎既提高了網路攻擊的可能影響，也增加了網路攻擊發生的可能性。對醫療照護前所未有的需求，使得因為網路攻擊而造成服務中斷的影響變得相當有破壞力。緊急醫療服務尤其飽受壓力，而且這個體系絲毫沒有能將患者從受影響醫院轉移出去的淡季。此外，現在多數的醫療照護都仰賴數位技術。網路罪犯依然存在於對有效醫療照護運作的社會需求之上，因此才能透過勒索軟體劫掠這個部門；而這些需求很多時候都是付錢了事。

網路罪犯試圖在這次全球疫情期間趁火打劫；根據國際刑警組織的報告，新冠肺炎期間網路釣魚及勒索軟體攻擊事件都有顯著增加，且有許多攻擊是集中在初級醫療照護組織。

醫療照護特別容易遭受以獲取資訊為目的的網路釣魚攻擊，例如取得進入保管重要資料或銀行詳細訊息之系統的登入細節。這個資訊往往會再被轉售到暗網賺錢。

平均每筆紀錄的一個失竊資訊組約價值 20 英鎊（25 美元）；每筆紀錄的醫療資料價值更可高達 100 英鎊（140 美元）。對網路罪犯而言醫療照護資料更有價值，因為醫療照護資料紀錄不同於任何其他面向的個資，是永久固定且不容易更改；財務紀錄則是一旦遭到外洩就會終止與替換。

採用遠程與線上工作很快就因為下列原因而讓風險明顯增加，包括員工使用個人裝置（手機、平板電腦或筆記型電腦）、在潛在較不安全的環境中使用新方式工作，以及使用不熟悉的技術，如提供遠端照護的視訊會議。

此外，離開初級照護的醫療委員會小組結構轉向地方層級的新合作關係，將引進全新的工作方式。整合照護合作關係將聯合委員、提供機構及當地主管機關，以聚焦在特定人口層級的健康，如傳染病爆發期間的感染控制。因此必然意謂著會有更多橫跨組織的資料共享。儘管資料共享對讓這些合作關係蓬勃發展至關重要，但共享不安全的資料及仰賴潛在容易受攻擊的資訊系統確實曝露出網路安全中的落差，而這些落差就會遭到敵對行為者，或大家更常說的所謂「駭客」利用。駭客能透過傳送網路釣魚電子郵件，或釋出利用軟體漏洞的代碼發動攻擊，目的同樣是為了存取或擾亂資料與系統。

網路安全有漏洞代表罪犯能存取、凍結、操縱與公布資料。

對初級醫療照護機構而言，可能包括：

• 阻礙存取電子郵件、線上預約看診與分類系統、患者紀錄、工作人員輪值表與聯絡細節
• 操縱或破壞資料，例如移除醫療紀錄的「紅旗」（red flag）警告，並篡改測試結果
• 公布機密的醫療紀錄

在 2017 年，英國國民保健署（UK National Health Service，簡稱 NHS）在 Wannacry 攻擊中受到勒索軟體感染，這個惡意軟體會凍結臨床醫師存取資料的權限。受影響的初級與二級照護使用者無法進入存取患者紀錄、線上診斷、預約看診系統與電子郵件。駭客發出勒索要求，企圖勒索將檔案解鎖的錢財。自 2017 年起，Wannacry 類型的勒索軟體攻擊已不斷發展，Ryuk 勒索病毒在 2020 年造成最多破壞。

NHS 並非受到特定的目標式攻擊，這是完全伺機性事件，但確實暴露出初級與二級照護是這類攻擊的「輕鬆目標」。NHS 是這些利用軟體作業系統弱點進行攻擊的眾多受害組織之一，其中有許多都是使用未能充分更新以提供長期安全性的舊系統。僅管如此，這些攻擊還是造成了大規模當機。部分醫院與診所必須暫時關閉收治患者與取消門診，同時要檢查、消毒數百部機器，以及清理恢復的備份。

倫敦帝國學院全球健康創新研究所數位健康主管 Dr Saira Ghafur 表示：「我們 [自 2017 年開始] 在網路釣魚電子郵件及教育工作人員方面已有許多改善，並設置能辨識及過濾這類電子郵件的系統。但在疫情當中，任何網路攻擊絕對都會是災難，尤其要是倫敦信託或 GP 外科手術還遭受 Wannacry 攻擊，而你又已經 [因為新型冠狀病毒的衝擊] 難以提供良好照護時。」

醫療照護產業報告指出勒索軟體攻擊已造成至少一起死亡案例，因為近期德國有一間醫院遭到勒索軟體攻擊時，正有一名患者在搭乘救護車前往急診部門的途中，因此該名患者被轉至另一間醫院，卻不幸在救護車上死亡。

如今這個潛在影響比起 2017 年更大上許多。Dr Ghafur 指出：「若想像當時 Wannacry 的情況發生在現在，情況將會變得非常艱難，因為我們提供的一切，每一個醫療照護都多少帶點數位元素。」三年前，有些部門恢復成使用紙筆的做法，以設法處理無法存取患者紀錄或診斷的情況。現在，當幾乎所有紀錄與影像都變得數位化、許多工作人員遠距上班、約診及分類也都在線上處理時，實在很難想像這樣的做法要如何執行。

目標式攻擊

根據英國 NCSC 的報告，由於醫療照護組織擁有患者的個人可識別敏感資訊，因此有越來越多網路罪犯專門以醫療照護組織做為目標。NCSC 發言人表示，「NCSC 已辨識出勒索軟體攻擊令人不安的新趨勢，發現這些攻擊者不僅會阻斷存取資料的權限，並且若不支付贖金，還會威脅要公布資料。」

2020 年 10 月，芬蘭有一間經營心理治療服務的私人公司遭受攻擊，結果有數萬名患者的機密治療紀錄遭駭。患者收到要求支付贖金以防止他們與治療師的機密討論內容被公布在網路上的威脅電子郵件。有些紀錄遭到公開，並造成嚴重痛苦與失去信任的結果。這個事件被歸咎於該公司在儲存資料檔案時缺乏可靠的加密，進而證明加密靜態資料的益處。

當對數位資訊的依賴越來越高，資料因為惡意目的而遭破壞的風險也會跟著增加。Dr Ghafur 表示，「這全都是駭客入侵與攻擊資料的方式。」她接著又問，「若你打電話到醫院然後說『每個血液檢測結果都遭到了篡改』，那醫院有什麼證據能證明事實並非如此？你的備份是什麼、該如何再次檢測、這對你儲存的樣本又有什麼意義？」檢測結果遭到篡改的可能性突顯出可能會造成的傷害。

此外，資料的完整性變得越來越重要，而且相較於經常成為攻擊目標的金融服務業，對醫療照護產業而言更是如此。若青黴素的藥物不良反應從系統中遭到刪除，那麼對患者的後果會比無法存取我的銀行帳戶來得更糟糕許多。

Dr Ghafur 提出其他恐怖情境的可能性。去年在以色列，有研究者證明有能力從醫療掃描圖攔截影像，再做出會改變診斷結果的更改，例如透過改變掃描圖上的畫素加入或消除代表癌症的徵象。研究人員推測攻擊者可能會利用這項技術「破壞研究、進行保險欺詐、執行恐怖攻擊行為，甚至是謀殺。」

據估計，全球每年會有 260 萬人到急診部門就診，其中約有 3/4（74%）的人必須進行診斷，而且這些診斷通常是指數位造影。他表示，「當考慮到 NHS 的一切都是數位影像時，若組織失去造影部門，就代表失去在急診部門治療患者的能力。」他認為釐清網路安全威脅的可量化影響，對確保認真看待網路安全威脅很重要。

而這也為醫療照護引進一個新的風險載體，隨著越來越常使用能以遠端數位方式控制如冷藏櫃與冷凍櫃等系統的物聯網，物聯網也因此可能成為另一個攻擊目標。Dr Ghafur 問到，「我們已經引進新疫苗了，對有邪惡想法的人而言（很遺憾這些人就是如此），要駭入存放疫苗的冷藏櫃與冷凍櫃溫度計將會變得多麼容易？」這點將在思考醫療物聯網（IoMT）時做更進一步探討。