防疫也須防弊！美國加州檢察總長針對醫療照護機構遭受勒索軟體攻擊提出適當措施與事故通報指引
由於近日頻傳醫院遭受勒索軟體攻擊（ransomware attacks），美國加州檢察總長於2021年8月24日發布官方公告（bulletin）：在加州州法「醫療資訊保密法」（Confidentiality of Medical Information Act, CMIA）與聯邦法「健康保險可攜與責任法」（Health Insurance Portability and Accountability Act of 1996, HIPAA）規範下，蒐集、處理和利用醫療健康資料的醫療照護機構，有採取適當措施與事故通報的義務，以維護醫療健康資料保密性。
針對「採取適當措施」的內容，美國加州檢察總長於本次官方公告中，提出明確指引（guidance）：醫療照護機構須至少採取下列5項防範措施（preventive measures），以避免勒索軟體威脅：
- 確保所有存取醫療健康資料的作業系統與軟體，均升級至最新版本；
- 安裝防毒軟體，並維護其運作；
- 定期為員工舉辦教育訓練，包含教導員工不要點擊可疑網址和防範釣魚電子郵件（phishing email）；
- 限制員工下載、安裝和運作未經批准的軟體；
- 維護和定期測試資料備份與救援計畫，以便於事故發生時，控制對資料和系統的影響範圍及程度。
此外，針對「資料外洩事故通報義務」（breach notification obligations），美國加州檢察總長指出：依據「加州民法」（California Civil Code）第1798.82條，擁有或經授權使用含有個人資料的「電腦化資料」（computerized data）的醫療照護機構，於發生，或可合理確信發生，影響超過500位加州居民的資料外洩事故時，即負有將該事故通報檢察總長辦公室的義務。
- 零售業個資安全宣導暨安全維護計畫規劃說明會
- 數位經濟時代的隱私保護與商機－CBPR跨境隱私規則體系解析
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(實體)
- 2025科技研發法制推廣活動— 科專個資及反詐騙實務講座(直播)
- 零售業個資安全宣導暨安全維護計畫說明會（高雄場）
- 零售業個資安全宣導暨安全維護計畫說明會（台中場）
- 【台北場1】通訊傳播事業個資法遵教育訓練
- 【台中場】通訊傳播事業個資法遵教育訓練
- 【新北場】通訊傳播事業個資法遵教育訓練
- 【高雄場】通訊傳播事業個資法遵教育訓練
- 【台北場2】通訊傳播事業個資法遵教育訓練
- 零售業個資法遵實務與資訊安全說明會
- 114年資訊服務業者個資安維辦法宣導說明會
- 【線上】資訊服務業個資安維計畫說明會
- 【實體】資訊服務業個資安維計畫說明會暨交流工作坊
- 零售業個資法遵實務與資訊安全說明會（台中場）
- 【台北場1】通訊傳播事業個資保護實務專題講座
- 【台北場2】通訊傳播事業個資保護實務專題講座
- 【台北場3】通訊傳播事業個資保護實務專題講座
- 金融相關資服業者線上個資安維宣導說明會
李宗儒
副法律研究員 編譯整理
STATE OF CALIFORNIA DEPARTMENT OF JUSTICE OFFICE OF THE ATTORNEY GENERAL, Attorney General Rob Bonta Calls for Full Compliance with State Health Data Privacy Laws, Aug. 24, 2021, https://oag.ca.gov/news/press-releases/attorney-general-rob-bonta-calls-full-compliance-state-health-data-privacy-laws (last visited Sep. 16, 2021).
STATE OF CALIFORNIA DEPARTMENT OF JUSTICE OFFICE OF THE ATTORNEY GENERAL, BULLETIN: Obligation to Proactively Reduce Vulnerabilities to Ransomware Attacks and Requirements Regarding Health Data Breach Reporting, Aug. 24, 2021, https://oag.ca.gov/system/files/attachments/press-docs/2021AUG24%20Ransomware%20Bulletin.pdf (last visited Sep. 16, 2021).
Jill McKeon, CA Attorney General Calls Out Unreported Healthcare Data Breaches, HEALTHITSECURITY, Aug. 27, 2021, https://healthitsecurity.com/news/ca-attorney-general-calls-out-unreported-healthcare-data-breaches (last visited Sep. 16, 2021).
CYBERSECURITY AND INFRASTRUCTURE SECURITY AGENCY [CISA], Alert (AA20-302A) Ransomware Activity Targeting the Healthcare and Public Health Sector, Oct. 28, 2020, https://us-cert.cisa.gov/ncas/alerts/aa20-302a (last visited Sep. 16, 2021).
邱曉麗，〈加州消費者隱私保護法修正法案重點說明〉，資策會科技法律研究所，2021/03，https://stli.iii.org.tw/article-detail.aspx?tp=1&i=180&d=8630&no=64（最後瀏覽日：2021/09/16）。
詹世榕，〈美國衛生暨福利部於09年8月公布關於醫療資訊外洩通知義務之暫行最終規則〉，資策會科技法律研究所，2009/11，https://stli.iii.org.tw/article-detail.aspx?tp=1&i=40&d=3167&no=64（最後瀏覽日：2021/09/16）。
澳洲政府於 3 月 28 日 發布了反垃圾郵件（ anti-spam ）從業規則（ code of practice ），強制網路服務提供者（ ISP ）採取反制措施，以防堵大量、不請自來的電子郵件；業者若未配合新法的要求，將面臨鉅額的罰款。 繼 2003 年頒布的「垃圾郵件法」（ Spam Act ）後，澳洲通訊及媒體局（ Communications and Media Authority ）此次依據垃圾郵件法規定，針對 ISP 業者進一步制定了從業規則，成為對抗垃圾郵件的另一項重要工具。新法課予 ISP 業者的主要義務包括了： (1) 向用戶提供過濾垃圾郵件的服務選項； (2) 合理限制用戶電子郵件的發送；及 (3) 設立相關的投訴機制等。 為給予業者相當的緩衝時間，新法將自今年的 7 月 16 日 實施，屆時主管機關將針對澳洲當地近 700 家 ISP 業者進行檢查。一旦發現有違規情事，澳洲聯邦法院可對之處以 1,000 萬澳幣以下的罰款。
英國、新加坡領導全球發布供應鏈勒索軟體防護指引在勒索軟體攻擊快速進化、供應鏈弱點成為主要攻擊途徑的背景下，英國於10月24日發布「全球性供應鏈勒索軟體防護指引」（Guidance for Organisations to Build Supply Chain Resilience Against Ransomware），該指引係由英國與新加坡共同領導的「反勒索軟體倡議」（Counter Ransomware Initiative, CRI）框架下推動，旨在協助各國企業降低勒索軟體事件的發生率與衝擊。該指引獲得CRI 67個成員國與國際組織的支持，標誌國際社群在供應鏈資安治理上的最新進展。 英國內政部（UK Home Office）指出，勒索軟體已成全球關鍵基礎設施與企業最主要的威脅之一。根據IBM發布之2025年資料外洩報告（Cost of a Data Breach Report 2025）估計，單一勒索攻擊的全球平均成本高達444萬美元。隨著攻擊手法演進，勒索攻擊已由單點入侵擴大為透過供應鏈滲透，攻擊者常以第三方服務供應商為跳板，一旦供應商遭入侵，即可能向上或向下影響整體產業鏈。英國2024年醫療檢驗服務供應商Synnovis遭勒索軟體攻擊事件，即造成數千次門診與手術延誤，凸顯供應鏈風險的實質衝擊。 該指引從供應鏈角度提出四大防護方向，英國政府與CRI強調，企業應在營運治理、採購流程與供應商管理中系統性導入相關措施，包括： 一、理解供應鏈風險的重要性 在高度互聯的數位環境中，供應鏈已成為勒索軟體攻擊的主要目標，企業應將供應鏈資安視為營運韌性與組織治理的核心要素。 二、辨識關鍵供應商與其資安成熟度 企業應建立完整的供應商清冊，評估其資安控管措施、過往資安事件紀錄、營運與備援能力、保險安排，以及其可存取之系統與資料範圍。 三、在採購與合約中落實資安要求 企業應要求供應商具備基本資安控制措施，包括多因素驗證、系統更新與修補管理、網路分段、安全設定及惡意程式防護等。 同時，合約中應納入資安事件通報義務、稽核權限、營運復原計畫及違規處置機制，並鼓勵供應商採用國際資安標準，例如Cyber Essentials與ISO/IEC27001。 四、持續檢討並更新防護措施 企業應與供應商共同檢討已發生事件及未實際造成損害但已暴露潛在風險之情形（Near Miss，即近乎事故），不論是否構成正式資安事件，均應納入檢討範圍；並定期進行資安演練、共享威脅情資，依攻擊趨勢滾動修正合約與內部規範。 指引同時指出，供應鏈常見弱點包括過度依賴少數供應商、缺乏供應鏈可視性，以及資安稽核與驗證機制不足。英國政府與CRI亦強調，雖然網路保險可作為風險管理工具之一，但無法取代基本且持續的資安防護措施。 該指引適用範圍涵蓋科技、資訊服務、能源、公用事業、媒體與電信等多個產業，顯示供應鏈資安已成全球營運安全的共同課題。英國與新加坡呼籲企業及早建立制度化的供應鏈資安治理架構，以強化全球數位經濟的整體韌性，降低勒索軟體攻擊帶來的系統性風險。
英HFEA同意該國婦女利用PGD技術「訂製嬰兒」現今生殖醫學進步相當快速，透過諸如胚胎殖入前之基因診斷（ PGD ）、組織配對（ tissue match ）等新興生物技術，人們將有能力選擇未來孩子的外表、智力、健康甚至性別等，故就現今的科技發展而言，篩選具有某種特徵之嬰兒的技術能力早已具備，反而是相關的倫理、道德及社會共識等等卻是最難的部分，這也是有關「訂製嬰兒」（ design babies ）之爭議焦點。 近幾年，訂製嬰兒的討論在英國非常熱烈，在英國，人工生殖之進行應依人工生殖與胚胎學法規定，獲得 「人類生殖與胚胎管理局」 （ Human Fertilization and Embryology Authority, HFEA ）之許可，至於進行人工生殖之同時，父母親是否得附加進一步的條件以「訂製嬰兒」，則一直有爭議。英國高等法院在 2002 年 12 月 20 日的一項判決中曾認為，國會制訂人工生殖與胚胎學法之目的，乃是在協助不孕婦女能夠生兒育女，至於組織配對的行為，則不在該法授權目的之內，因此 HFEA 無權就此等行為給予准駁。惟 2003 年 4 月 8 日 ，上訴法院推翻了高等法院的判決結果，但也進一步指出，這並不代表未來所有在進行 PGD 的同時加做組織配對之行為都是被允許的，想要施行這項技術之任何人，仍然需於事前取得 HFEA 的許可，新近 HFEA 已放寬管制規範，准許對更多種遺傳性疾病進行篩檢。 英國泰晤士報最近報導，一名英國女子已獲得英國 HFEA 同意 ，讓醫師將其透過體外受精方式培養出來的胚胎，利用基因篩檢技術，選擇出健康之胚胎植入其子宮內，以避免將她所罹患的遺傳性眼癌「視網膜母細胞瘤」基因傳給下一代。 本案婦女雖經 HFEA 同意「訂製嬰兒」，但仍會使「胚胎殖入前之基因診斷」（ PGD ）程序的爭議加劇，反對人士堅稱，基因篩檢的過程中勢必摧毀部分胚胎，且 為了某些目的而製造胚胎，將使人類被商品化，被訂製之嬰兒在長大成人後，若得知其出生之目的乃是在於治療其它親人，其心裡會對自己產生懷疑，並影響對自己人格的認同與其心理狀態。隨著生物技術發展飛快，許多可能背離社會良俗的行為恐將不斷出現，而法規能否隨之跟上則是生技產業能否興盛與倫理道德可否兼顧之重要關鍵。
智慧城市－美國最新政策發展美國政府在2015年9月14日發布，將投入超過1.6億美元（約台幣50億元）於新的「智慧城市計畫」（Smart Cities Initiative）。透過中央政府的研究，以及全美國超過二十個城市的合作，來共同著手城市主要面臨的問題，包含：減緩交通阻塞、對抗犯罪問題、促進經濟成長、對於氣候變遷影響的管理、改善城市服務的遞送問題等。此戰略主要有四個策略方案：（一）創造「智慧聯網」應用的試驗平台，並發展新的多部門合作模式；（二）致力於城市科技相關的活動，並打造城市之間的合作；（三）善用現有的中央政府資源；（四）追求國際間合作。 而在十月份，美國白宮公佈由國家經濟委員會（National Economic Council）與國家科學與技術政策辦公室（Office of Science and Technology Policy）共同完成的「美國創新戰略」（A Strategy for American Innovation）中，明確地指出美國國家的突破重點領域為：解決國家及全球性的挑戰（Tackling Grand Challenges）、精密醫療、健康照護、先進的運輸工具、智慧城市、乾淨能源與能源效率、教育科技等面向。此戰略報告係延續美國白宮於2011年，由相同組織單位所完成的「美國創新戰略－確保經濟發展與繁榮」（A Strategy for American Innovation – Securing Our Economic Growth and Prosperity），其中列舉出國家的目標政策為：能源改革、生物科技、太空探索、醫療健康與教育科技。相較下，十月份甫公佈的美國「創新戰略」則更明確的將「智慧城市」之發展設為重點政策。 美國政府將投入協助芝加哥（Chicago）「科技計畫」（Tech Plan）中的子計畫－「城市感測器專案」（Array of Things, AoT），發展當地下一代智慧聯網的基礎設施，包括運用內建Wi-Fi的感測器裝置路燈，使其能夠有照明的基本功能外，還能蒐集諸如人潮流量、天氣、濕度、空氣品質、亮度、聲音大小等數據。 在此戰略推動之下，美國主要之智慧城市發展的實例，如匹茲堡（Pittsburgh）的前導計畫（pilot project），係藉由交通網絡之間的交通號誌整合，得以優化地區性的交通吞吐量，讓平均降低將近百分之二十五的交通時間。另外，在肯塔基州（Kentucky）的最大城市－路易斯維爾（Louisville），利用具有感測功能之哮喘吸入器所蒐集的資料，統整出哮喘發生的「熱點」，以及空氣品質等級等其他環境因素，作為該州政府政策制定參考依據。