醫療器材資安是什麼？台灣醫材網路安全規範走到哪

醫療器材資安，指的是心律調節器、血糖機、雲端心電圖系統這類聯網醫材本身的軟體安全，不是醫院掛號系統或病歷資料庫的一般IT防護。這條防線這幾年才真正成形：美國FDA從2023年開始把資安文件列為醫材上市審查的強制項目，台灣食藥署也陸續補上指引與範本。規範補齊的速度，追不上台灣醫院這兩年被系統性攻擊的頻率。

是什麼：聯網醫材的資安，跟醫院IT資安不是同一件事

一般講「醫院資安」，多半指的是掛號系統、病歷資料庫、內部辦公網路這類IT基礎設施。醫療器材資安管的是另一層：裝在病患身上或接在病床邊、本身跑著軟體並連上網路的那台機器。美國FDA把這類產品定義為「cyber device」，條件是含有經驗證、安裝或授權的軟體、能連上網路、且具備可能被資安威脅利用的特性。凡符合這個定義的醫材，上市申請就得檢附完整的資安文件，不再只是選配。

這兩層資安容易混在一起講，但攻擊面完全不同。裝置本身的軟體可能十年沒換過，卻要一直連著網路收發資料；而攻進醫院的入口，往往不在裝置本身，而在裝置外圍的串接系統。美國心臟監測商iRhythm去年就是一個例子：它的臨床系統與醫材本身都沒事，被攻破的是代管在外的第三方商業應用，入口是社交工程而不是硬體漏洞。醫療器材資安要顧的，其實是從裝置韌體到雲端後台、再到串接廠商的整條鏈，任何一段沒補好，整體防護都算沒做完。

怎麼運作：軟體物料清單、上市前文件、修補生命週期

醫材資安審查的核心工具是軟體物料清單（SBOM），把裝置裡用到的每一個軟體元件、不管是自家寫的還是第三方套件，逐項列出名稱、版本與供應商，讓後續有漏洞通報時能立刻比對哪些產品受影響。FDA的規定涵蓋自有與第三方元件兩種，並建議採用NTIA的軟體元件透明度框架，搭配CISA已知遭利用漏洞清單做比對。除了SBOM，上市申請還要附威脅模型、風險評估、元件維護支援資訊，以及尚未解決的異常評估，這些文件合在一起才構成一份完整的資安風險報告。

台灣的做法是先給範本，讓廠商照著填。食藥署2021年12月公布「醫療器材網路安全評估分析參考範本」，2022年6月又更新過一次，一共五份：一份通用範本，另外四份分別對應植入式心律調節器脈搏產生器、葡萄糖試驗系統、血氧濃度應用軟體、雲端心電圖管理系統。廠商申請查驗登記時，照對應範本準備資安文件與業者揭露聲明書，等於把美國那套「威脅模型＋SBOM＋測試證據」的邏輯，拆成台灣審查人員看得懂的固定格式。

上市之後才是真正的挑戰。一般軟體發現漏洞可以隨時推更新，醫材韌體改版卻牽動法規列管的產品規格，改版本身可能要重新走一次審查或至少報備。這也是為什麼醫材廠商的資安承諾，不能只看上市那一刻的文件齊不齊，還要看它有沒有建立一套能長期維護、快速回應漏洞通報的機制。

台灣現況：指引補上了，攻擊已經先到

台灣其實動作不晚。食藥署最早在2019年11月18日就發布過一版醫材網路安全指引，2021年5月3日再以FDA器字第1101603391號公告更新版「適用於製造業者之醫療器材網路安全指引」，取代2019年那版。這個時間點其實比美國早：美國國會要到2022年底才把資安要求正式寫進聯邦法（Section 524B），2023年3月生效、同年10月才開始真的因為資安文件不齊而退件。台灣在紙面規範上並沒有慢半拍，差別在於：美國那套有法律授權的強制退件機制撐腰，台灣目前仍是行政指引與查驗登記審查要求，兩地在AI醫材監管上走的路線本來就不同，資安這塊也延續了同樣的邏輯，一個靠法定退件，一個靠審查關卡。

規範補齊的同時，台灣醫院這兩年正好被攻擊得很兇。2025年2月9日，馬偕紀念醫院台北、淡水院區超過500台電腦系統當機，核心醫令與掛號系統停擺，數位發展部資安署首度派專家直接進駐醫院協助應變，事後也把60家關鍵基礎設施醫院列為優先強化對象。攻擊者用的手法是把惡意程式偽裝成印表機驅動程式躲過防毒軟體，入侵Active Directory主機取得高權限後大規模感染。這波系統性攻擊後來擴及彰化基督教醫院與亞洲大學附設醫院，馬偕外洩約1,660萬筆病患資訊、彰基428萬筆，包含病歷、身分證字號、手術紀錄等特種資料。

要說清楚的是，這幾起事件公開資料顯示攻擊的是醫院整體IT系統與內部網路，不是特定聯網醫材的韌體漏洞被直接入侵。但兩者共用同一個現實：醫院的網路環境愈來愈密，掛號系統、病歷資料庫跟連床邊的監測儀器往往在同一張網裡跑，IT系統一旦被攻陷，聯網醫材是不是完全獨立於受害範圍之外，很難打包票。這正是資安指引與範本存在的意義，把裝置本身的軟體安全顧好，至少不讓它變成攻擊面的另一個破口。

該注意什麼

對醫院採購端來說，挑聯網醫材不能只比功能規格，也該問廠商要SBOM、要漏洞通報窗口、要修補時程承諾，這些原本就是TFDA範本要求廠商準備的文件，採購時直接拿來當比較依據並不難。對醫材廠商來說，資安文件現在是市場准入的一部分，尤其要銷往美國的產品，缺件就是直接被退件，早點把SBOM與威脅模型的準備流程內建進產品開發，比事後補件划算。對一般使用者而言，植入式或穿戴式聯網醫材出問題通常不能自己更新，只能靠回廠或原廠推播修補，選購前多留意廠商是否公開資安聯絡管道、過去是否穩定釋出韌體更新，會比單看價格或外觀更實際。

常見問題

醫療器材資安漏洞真的會被拿來攻擊病患嗎？
目前公開紀錄的重大案例，像馬偕、彰基遭CrazyHunter攻擊，鎖定的都是醫院整體IT系統與病患資料庫，並非個別聯網醫材的韌體被直接入侵。但FDA與TFDA之所以要求SBOM與威脅模型，正是為了在漏洞被大規模利用之前先堵住這個攻擊面，而不是等事情發生才處理。

台灣的醫材網路安全指引是強制的嗎？
它屬於行政指引，不是獨立專法，但已經是聯網醫材查驗登記審查的一部分，廠商要照對應範本備齊資安文件才能過關，實務效果接近強制。差別在於台灣沒有像美國那樣，由法律明訂資安文件不齊就直接退件的授權機制。

買穿戴裝置或植入式醫材，一般人該注意什麼？
先看廠商是否公開資安聯絡窗口、過去是否穩定釋出韌體更新，這比單純比較功能規格更能反映廠商長期維護的意願。植入式裝置尤其重要，因為出問題往往無法自行更新，只能靠回廠處理，選購前掌握廠商的維護紀錄比事後補救實際。