2026年2月14日 星期六

歐盟MDCG 2025-9指引帶來醫療器材創新突破契機(六之一)

前言:從「審查寒冬」到「創新春天」

回首過去六年(2020-2025),對於多年深耕歐盟市場的醫療器材從業者而言,形容為「寒冬」並不為過。歐盟醫療器材條例MDR (2017/745) 與體外診斷醫療器材條例 IVDR (2017/746) 豎起的法制與行政高牆,讓無數創新產品在符合性評鑑的漫長排隊中消耗到僅存奄奄一息。然而,就在2025 年 12 月,歐盟醫療器材協調小組(MDCG)終於投出了一記好球:MDCG 2025-9《MDR 與 IVDR 下的突破性器材 (BtX) 指引》 (Guidance on Breakthrough Devices)(見圖一)。

凡曾親身經歷從MDD與IVDD轉換到MDR(Regulation (EU) 2017/745)與IVDR(Regulation (EU) 2017/746)過渡期的混亂與重整。皆期盼MDCG 2025-9的出現,猶如在狂滔巨浪的撲頂風暴中尋找晦黯角落的一座燈塔:該份指引文件的誕生,不僅釐清公告機構(Notified Bodies)的審查標準,更明確指引製造商如何在市場競爭推動的創新技術浪潮中,「符合法規地開拓創新領域」。標誌著歐盟終於有了匹敵美國 FDA「突破性醫材方案」(Breakthrough Devices Program)的正式機制。身為一名在醫療器材行業摸爬滾打 20 年的法規小卒,寒冬期間,仔細研讀了該份指引文件,並與幾位公告機構(Notified Body, NB)的審查員舊識非正式地交換了各自的看法。整理出初步的閱讀心得:假名《指引》不僅止於單純的《指引》,而是歐盟對高科技創新醫療器材敞開創新坦途的一扇「綠色通道」。

此一短文係打點個人心得,關於歐盟MDCG 2025-9 指引的內涵與作用,帶領亞洲地區讀者深入該指引,精選出多項值得特別關注的亮點,解析該指引如何影響各類加入創新元素醫療器材的未來,如人工智慧(AI)、軟體、奈米技術及眾人期待的創新領域。

© All Rights reserved。 版權聲明。CC BY-SA 4。0。
(內文引用人工智慧網路平臺提供資訊,經由整合篩選與文字調整。)

概述:MDCG 2025-9 的核心邏輯

MDCG 2025-9 並非全新法規,亦未對醫療器材給出新的分類規則、或劃分器材符合途徑,而是對MDR第10(4)條、附錄II–III 與 IVDR 附錄 II–III 中「技術文件」(Technical Documentation)要求,由歐盟主管機關做成「狀態型認定」,提供一致且具體化的詮釋。其目標在於統一各公告機構對技術文件的審查尺度,尤其針對高風險、高複雜度、高整合性的新興醫療器材。

MDCG 2025-9 的核心在於梳理出一個名為 【突破性器材BtX】 (Breakthrough Devices) 的歐盟法規架構。其目的是為了讓該等「針對危及生命或導致不可逆衰減病症」且具備「高度創新性」的器材,能夠在不削弱安全標準的前提下,完整滿足 MDR 或 IVDR 的全部適用之基本安全與性能要求,但在臨床證據生成方式、法規要求的溝通機制以及審查優先順序方面,可以獲得更具靈活性和前瞻性的支援,捷足先登,獲得更快進入市場的窗口。

這份指引承認了一個事實:對於最前沿的技術(如生成式人工智慧(AI)、奈米結構或載體),傳統的「先具備完整資料再申請上市」模式,因傳統支援性證據路徑而遭遇不必要的上市延遲,可能會扼殺創新,延宕患者和公共健康制度的潛在獲益。因此,它引入了「全生命週期證據生成」的概念,允許將部分上市前(Pre-market)的證據壓力,轉移到更嚴格的上市後(Post-market)階段。

該指引強調:【技術文件不再是「紙上作業」,而是產品全生命週期風險管理的數位攣生分身】(Digital Twin of Risk Management)。從設計開發、臨床評估、上市後監督(Post-Market Surveillance, PMS)到上市後臨床追蹤(Post-Market Clinical Follow-up, PMCF),對臨床不確定性的評鑑與管制策略,須將風險管理系統與 BtX 證據收集的規劃步調緊密結合。所有資料必須具備追溯性、經過查證、且更新到最新狀況。
指引內容概觀(見圖二):



深度解析:MDCG 2025-9關注制度亮點

以下是為醫療器材製造商與研發團隊費心整理的十二大行政與制度革新與八大關鍵亮點,每一項都代表著歐盟執行委員會的實務考量的典範轉換。涵蓋從人工智慧(AI)到奈米材料科學的實務衝擊:

【行政制度革新】

第一、重新定義創新程度:突破性(BtX)器材資格認定

  • MDR/IVDR 條款關聯MDR Art. 106 (專家小組Expert Panels), IVDR Art. 48, MDCG 2025-9 §4.1, §4.2
  • 內容與特點:指引明確了什麼是「突破性」(Breakthrough, Btx)。器材必須展現【高度的新穎性】(High degree of novelty),且該新穎性必須基於新技術、新臨床程序、公眾健康影響或新的臨床應用方式。再加上【正向型臨床衝擊】Positive clinical impact):針對公眾健康或患者的顯著正向衝擊、生命威脅性或不可逆衰減性疾病,相較現今技術水準或替代性醫療方法有明顯優勢,或滿足重大未被滿足的醫療需求。
  • 器材技術新穎性

1.          材料,包括其組成、化學、物理及生物特性、材料與人體組織或體液接觸的時間長短,或物質釋放特性的變化,

2.          設計,包括新的或修改過的規格與特性,

3.          製造流程,

4.          材料的永續性、循環性、耐久性、可重複使用性或環境影響,

5.          設計或製造流程,

6.          作用機制,

7.          整合與器材運作不可或缺的技術或元件,例如:生物標記、分析物、測試平台,或與其他器材的組合/整合,

8.          樣本或測試件的類型,

9.          器材可攜性,例如近患者測試/自我檢測,

10.     自動化層級,例如實驗室工作流程自動化,

11.     既有材料的應用地點,導致與/或的新或修改接觸

12.     相同或不同組織的機械負荷,

13.     包括醫療器材人工智慧(MDAI)等技術,以及具備奈米技術、先進材料,或精準醫療的器材。

  • 臨床程序新穎性:(包括器材在臨床實務新應用方式)

1.          預期目的或指示,例如用於IVD的偵測/測量不同/新臨床疾病的生物標記

2.          預定使用者,例如公共存取等級、供一般使用者的器材應用方式,

3.          應用楔式,例如新型程序方法或部署方法、早期偵測/預測/篩檢、監測/疾病管理,

4.          或在新穎情境下應用現有技術,

5.          患者或使用者與器材的介面或互動,包括控制、維護與調整。

  • 首見器材/此類器材第一件申請/創新將引發典範轉換的新穎性:

1.          新穎性非侷限於漸進式變化、持續地改進過程或迭代式變化;

2.          隨著新穎性提升,對於該器材預期安全性或性能的不確定性也可能另增加。這反映出具有高度新穎性的器材與替代方案及最先進的設備差異很大,因此來自類似器材的相關支持資訊較少,難以協助評估新穎器材的風險。當高度新穎性伴隨此類不確定性增加時,該器材僅在有充分理由證明該器材將帶來顯著的臨床正向影響時,才可被視為 BtX,也就是說,該器材相較於現有替代方案及技術狀況,預期能對患者或公眾健康結果做出有意義的臨床改善貢獻。

  • 應予斟酌考量事項:

臨床上對公眾健康或患者健康的顯著正向衝擊:《患者健康》係指個別患者獲得的全部身心的整體性受益、傷害作用和涉及風險;《臨床衝擊》係指係稱醫療器材或體外診斷醫療器材預期造成患者健康上的衝擊於下列領域:

u  診斷、治療、管理或預防危及生命或無法逆轉的疾病或狀況,

u  臨床結果,例如安全性及/或臨床性能的差異

u  與最先進及其他替代方案相比,這些改變包括:死亡率、發病率、健康相關生活品質、治療負擔、住院頻率或持續時間、給藥方式、嚴重程度、持續時間及頻率、是否需要醫療或外科再介入等。

u  為個人或特定患者群體提供照護,例如:給藥方式、程序效率或成本效益的差異,與最先進技術相比,對患者帶來臨床效益或優勢,

u  與使用醫療輔助或IVD相關的風險、危害及負面臨床結果,

u  與其他MDIVD使用不相容的風險,

u  針對特定患者群體的風險,特別關注弱勢群體,

u  與醫療器材因合理可預見的誤用而產生的功能障礙相關風險。

在公眾健康臨床上對相當範疇群體的效益:此處之衝擊係理解為臨床上在群體層級所產生的淨潛在利益與風險。臨床對公眾健康的衝擊指的是醫療器材或IVD器材預期或潛在的衝擊:

u  在群體層級累積表現出來的個別患者健康,

u  預防、診斷、管理與治療嚴重的公眾健康威脅、及重大公眾健康風險相關的狀況,

u  回應及管理健康緊急狀況的疾病與狀況,係涉及地方、區域、國家、歐洲及/或國際情況,

u  系統層級的受益,例如:使臨床認可的治療途徑能以更具成本效益、更有效率、可擴展及/或簡化的方式,且容納量得以遠超現今技術水準,

u  市場滲透率,可能導致在患者中對該器材的接受度增加及接觸範圍,進而增加群體層級的受益與/或傷害的機率。

此等「突破性器材」類型如下例:

u  一種旨在治療、預防或診斷危及生命或不可逆轉地衰減患者的疾病或狀況,並能帶來臨床上顯著改善患者相關臨床結果的器材,

u  IVD,包括伴隨診斷,旨在提供危及生命或不可逆的疾病或狀況資訊,並可能帶來臨床上顯著的臨床改善(例如:比較更為早期的診斷、更高的敏感度與特異性、更有效的治療)

u  一種旨在治療或預防與治療相關的嚴重副作用的器材危及生命或無法逆轉的疾病或狀況,

u  一種旨在治療危及生命或無法逆轉使人衰弱的疾病,且其傷害風險顯著低於其他替代方案的器材。

u  旨在快速診斷或偵測可能引起公眾疾病的健康緊急狀況之IVD醫療器材,成本效益更佳、更有效率且可擴大範圍,容納量與速度也更佳。

u  旨在促進社區中早期且有效照護的器材,以更具成本效益的方式提供,藉由減少住院人數及醫療機構的醫療能力負擔,帶來臨床效益及系統層級效益。

生命威脅性或不可逆衰減性疾病:

u  若疾病或狀況在缺乏重大醫療介入的情況下,極有可能導致死亡,則被視為危及生命。因為在該種情況下,治療的選擇性甚為有限,通常需要重大醫療介入來中斷疾病或狀況的進程。

u  若疾病或狀況與對個人、群體或亞群體的日常生活功能或生活品質有重大衝擊的發病率相關,則該疾病或狀況被視為不可逆致殘。短暫或自限性發病通常不被視為不可逆的致殘;然而,在某些情況下,持續或反覆出現的疾病或狀況可能被視為不可逆轉地肇致體質衰弱。

u  判斷疾病或狀況是否不可逆致殘,須根據其對存活率、日常生活的動作,以及若未治療或依現有臨床技術進行,疾病進展與嚴重程度增加的可能性,宜依據其衝擊。此類疾病或狀況的例子包括:癌症、神經退化性疾病、糖尿病、中風,以及ST段抬高性心肌梗塞。

相較現今技術水準或替代性醫療方法有明顯優勢,滿足重大未被滿足的醫療需求:

u  製造商需說明該疾病或狀況管理的最新技術,包括判斷歐盟市場上是否存在相關的替代藥物(即歐盟市場上是否有針對相同特定適應症的替代藥物、生物產品、MD/IVD、複合產品或臨床程序)。目前可能存在多種潛在替代方案,這些替代方案在歐盟診斷、預防或治療危及生命或不可逆的疾病時,相關性各異,包括已不再使用或極少使用的選項。因此,在考慮潛在替代方案時,製造商應著重於反映相同特定適應症(包括疾病階段)目前技術狀況的選項,則係稱器材正是該等開發方案所對應的旨趣。

u  評估現今技術水準時,宜考慮任何相關的科學標準與指引文件,包括適當權威科學機構的建議、臨床實務指引及其他反映當前臨床實務的可靠資訊。當建議的 BtX 適用於更廣泛疾病群體中的某一亞群體時,除非有充分佐證說明,否則應將該較大群體的現今技術水準視為該亞群體可用的替代方案。

製造過程考量「新穎性」:(製造過程確效係包括製程中及最終檢驗)

u  考慮到BtX 器材可能採用新穎材料或先前未運用在醫療器材的製造技術。技術文件預期包含清晰且可追溯的器材規格,以及製造流程及其確證的描述、進廠檢查、製程控制、持續監督與最終產品測試。在缺乏廣泛接受的解決方案的情況下,為了證明成品器材符合製造商所訂定規格,所採用的方法與驗收準則必須有製造商展現科學佐證的證據支持。此等說明足以讓主管機關及/或公告機構能在現場稽核、檢查及/或技術文件評鑑時,查證過程確效的適當性。同時,與製造及使用新材料相關的風險也必須適當地加以考慮。

  • 專業提醒BtX 的認定必須以《整體評估》(holistic)著眼,涉及不只是單一宣稱內容,而需透過充分的技術與臨床病理證據支持宣稱事項。對於突破性技術可能存在的高度不確定性,安全與效能需透過風險模型、動態監控與追蹤報告持續驗證。
  • 從業者觀點:這是歐盟首次在 MDR/IVDR 既有制度下建立的創新支持機制,放送利多。過去以來,業者很難向公告機構(NB)證明為何提交申請案件裡的 人工智慧(AI)演算法優於現有標準。有了此份指引,只要能證明創新產品能解決「未被滿足的醫療需求」(Unmet need),就有資格申請 BtX。對高風險與先進技術產品(例如:人工智慧(AI)、物聯網器材、奈米材料)尤其具備申請成功的關鍵。
  • 推薦事項:研發初期就應建立「創新性檔案」,對比現今技術水準(State of the Art),量化製造商的技術優勢。 


圖三:突破性器材定義

(未完,見續篇)

2026年2月13日 星期五

醫療器材網路資安風險管理概述(十之十)

(見前篇)

參見標準:ANSI/AAMI SW 96:2023器材製造商的資安風險管理
© All Rights reserved。 版權聲明。CC BY-SA 4。0。
(內文引用人工智慧網路平臺提供資訊,經由整合篩選與文字調整。)

附錄F 基於發生可能性而定的資安風險評分

F.1簡介

本附錄的目的是針對醫療器材的資安風險評分提供指導,基於對發生可能性的定性或半定量化評估。

AAMI TIR57 B.5 節對比傳統安全風險管理中機率的運用與質性風險管理中可能性的應用。

傳統的安全風險管理方法設計用來處理隨機故障,其中發生機率主要取決於設計與製造因素。在這種情況下,機率通常是統計估計,或是一組獨立機率的相乘積,用以預測未來發生事項。

相較之下,在資安風險管理中,可能性是估計攻擊者是否願意投入時間和資源利用該漏洞,達成攻擊者認為有價值的目標。既然人類動機不適合傳統統計分析,故通常透過結合威脅與特定漏洞的評鑑來評鑑可能性。製造商的整體風險模型須定義具體參數,以及如何將之結合以產生定性或半定量化的可能性。惟須謹慎,各參數之間可能並非獨立存在。

亥指引第B.5節提供支持將發生可能性作為醫療器材資安風險管理的額外理由。該節亦簡要討論透過引用 NIST SP 800-30 中的概念,包括附錄 G 中提出的概念架構,來評分發生狀況的可能性。


F.2 NIST SP 800-30, 更版1,可可能性評分方法學

該指引提供一種方法學,以支持在「對聯網資訊系統與組織進行風險評鑑」的背景下,對發生可能性進行定性及半定量化評分,並強化特別出版物800-39中的指引。「針對發生可能性討論提供參考的 NIST SP 800-30 特定章節摘要如下:

2.3.1節(風險模型)討論威脅來源、威脅事件、漏洞、易感狀況、可能性及衝擊的考量。圖B.1提供了一個包含這些因素的通用風險模型。

附錄G(發生狀況的可能性)提供一種判斷發生狀況的可能性方法。

 NIST SP 800-30 附錄 G 以表格形式提供定性與半定量化評鑑量表:

G-2,評估量表威脅事件啟動的可能性(對抗性)

G-3,評估量表- 威脅事件發生機率(非對抗性)

G-4,評估量表—— 導致不利衝擊的威脅事件的可能性。

最後,表G-5根據「威脅事件發生的可能性」(根據表G-2或表G-3_的資格分數選擇)及「威脅事件發生可能導致不利影響」(選中  欄位)給出「整體可能性」(例如發生可能性)的定性分數根據表G-4的質性分數計算)。

F.3 參考模型

F.1展示了安全風險的參考模型。 發生機率取決於兩個因素,L1 L2,其中 L1 是威脅事件發生的可能性,L2 是導致不良影響的威脅事件的可能性。 F.1 (取自ISO 14971:2007, 圖E.1,及NIST SP 800-30, rev. 1,此處不錄。建議參考ISO 14971:2019版)


將發生的可能性分解為兩部分,L1 L2,與該術語定義中所包含的註解相符:

發生可能性結合了威脅事件啟動的可能性估計與影響可能性(即威脅事件導致不利影響的可能性)。

如圖 F.1 所述,不利影響僅限於導致「效能下降或資料與系統安全漏洞」的損害,如附錄 B B.1 所述的安全風險。

NIST SP 900-30 2.3.1 節指出 :「威脅事件是由威脅來源引起。「 因此,評估安全風險事件序列時,應始終考量威脅源的意圖、能力及目標。漏洞必須經過一連串事件導致威脅事件,否則不會造成不利影響。事件序列可能包括公開漏洞利用程式碼或威脅來源特性的變更。


F.4影響評分的參數,L1威脅事件發生的可能性

以下因素會影響威脅事件發生的可能性。

a)          威脅來源意圖、能力與目標鎖定

b)         攻擊複雜度

l   需要專用工具

l   所需專業技能

l   企及醫療器材的知識

c)          攻擊向量

l   網路

l   鄰近網路

l   本地局部

l   實體

d)         所需特別授權

e)          使用者配合動作

f)            資產的吸引力

g)          威脅行為者匿名性(即攻擊是否會曝露威脅行為者的身份?)

h)          威脅來源已知的資安控制

i)            誘發條件

F.5 影響評分的參數,L2威脅事件引起不良衝擊的可能性

以下因素會影響威脅事件發生並造成不利影響的可能性。

a)                  深度防禦 —— 額外的醫療設備安全控制(即未被威脅行為者破解的部分);

b)                 補償控制;

c)                  SIEM 系統(例如,管理員可啟用或限制某些網路元件的功能,包括醫療裝置);

d)                 系統容錯措施(切換可能由 SIEM 系統通知);

e)                  系統層級錯誤偵測與修正(此功能常用於提升系統對非安全環境因素的穩健性)。


補充說明:

IT 網路的資安風險管理中,SIEMSecurity Information and Event Management)是把「所有資安事件與日誌集中起來、做關聯分析、即時警示與支援調查」的核心平台,用來從日常噪音中抓出真正的風險,並與風險管理過程(識別、評估、控制、監督)串在一起。以下列順序「方法論流程具體動作可量化成就範例建議目標」分別說明。

一、SIEM 是什麼、在風險管理扮演什麼角色

  • SIEMSecurity Information and Event Management)會從作業系統、伺服器、網路設備、防火牆、應用程式、EDR 等處收集安全事件與日誌,再做集中存放、關聯分析與警示。
  • 在風險管理上,它提供「全網可視性、異常偵測、事件時間軸、合規報告」,幫你把抽象的威脅變成可量化、可追蹤的風險指標,並加速事件回應與改善循環。

二、SIEM 與安全風險管理的方法論對應

可以把 SIEM 看成是「風險管理 PDCA」中的量測、監督與觸發機制:

  1. 風險識別與資產盤點
    • 先列出關鍵資產(AD、核心業務系統、資料庫、OT/醫療器材等),定義「哪些事件」代表對這些資產的威脅(例如異常登入、多次失敗、權限提升)。
    • SIEM 會針對上述盤點出來的資產收集日誌,建立 baseline,後續用於行為偏差偵測與威脅模型(如 MITRE ATT&CK mapping)。
  2. 風險分析與評鑑
    • 透過規則與行為分析(correlation rulesUEBA),估計事件的可能性與衝擊,例如:同一帳號在短時間內從多地登入+ AD 權限變更,判定為高風險事件。
    • SIEM 報表能顯示高風險資產、常見攻擊手法與趨勢,變成年度/季度風險評鑑的重要輸入。
  3. 風險控制與處置
    • 將高風險事件對應到具體控制措施,例如:關閉異常帳號、阻擋 IP、鎖定端點或要求多因子驗證,部分可透過 SOAR / 自動化 playbook SIEM 直接觸發。
    • 針對無法完全消除的風險,利用 SIEM 設定加強監控與早期警示,作為「補償性控制」。
  4. 監測與持續改善
    • SIEM KPI(平均偵測時間 MTTD、平均回應時間 MTTR、誤報率、事件趨勢)可輸入到管理審查,調整規則與資安策略。
    • 新出現的攻擊模式與漏洞(如新的勒索行為、零日漏洞利用)須將之納入規則更新與威脅模型修訂,形成閉環改善。

三、典型 SIEM 流程與具體動作

用一個「從事件產生到完成調查」的簡化流程來看 SIEM 在網路安全上的運作:

  1. 收集與集中化(Collect & Aggregate
    • 動作:設定各種 Log source(防火牆、VPNWindows ADLinux、雲端、DBWAFEDR 等)送日誌到 SIEM,統一時間戳記與格式。
    • 目的:建立全網的「單一事實來源」,避免事件調查時到處拉日誌,縮短取證時間。
  2. 常態化與關聯分析(Normalize & Correlate
    • 動作:將不同格式的日誌標準化(例如欄位化的 src/dst IPusernameaction),並設定關聯規則與行為分析模型(如同一帳號短時間多地登入+多次失敗+成功登入後立刻匯出大量資料)。
    • 目的:從大量噪音中找出真正可疑的運作方式(pattern),減少 SOC 人員逐筆查看與核對日誌的工作負擔。
  3. 偵測與警示(Detect & Alert
    • 動作:依風險等級設定警示門檻與通知管道(email、票務系統、PagerDutyTeams/Slack),同步建立 playbook(例如:高風險勒索行為立即封鎖端點+通知 on-call)。
    • 目的:縮短從「攻擊發生」到「被注意」的時間,對零日與內部威脅特別關鍵。
  4. 事件調查與回應(Investigate & Respond
    • 動作:使用 SIEM 的搜索與視覺化功能重建攻擊時間軸(攻擊者何時進來、橫向移動到哪、存取哪些資料),並觸發隔離端點、封鎖帳號或更新防火牆規則等回應。
    • 目的:快速界定影響範圍與根本原因,降低停機時間與資料外洩規模。
  5. 報告與符合(Report & Comply
    • 動作:根據 ISO 27001ISO 27002GDPR、醫療或金融監管要求,產出事件報告、存取記錄及控制證據(例如:登入檢計、變更紀錄)。
    • 目的:支援稽核、事故通報與向管理階層報告,同時證明組織有持續監督與事件管理能力。

四、可量化的成效與常見用例

1. 成效與量測(KPI

  • 偵測與反應加速:由於能即時關聯分析與警示,SIEM 通常能顯著降低 MTTD MTTR(例如從數天降到數小時或數分鐘),這也是許多導入案例的主要考量點。
  • 攻擊時間軸與根本原因分析:經由重建事件時間線,組織能更精準分辨攻擊路徑,避免只處理「症狀」而忽略真正的入侵點與入侵途徑。
  • 合規成本下降:集中化的日誌與報表讓稽核與報告產出更快,減少人工整理與截圖的時間。

2. 代表性用例(簡要)

  • 勒索軟體偵測(醫療或關鍵基礎設施)
    • SIEM 監控端點行為、大量檔案異常加密、可疑網路連線與威脅情報比對,一旦出現勒索指標,立即警示並協助 SOC 快速隔離感染端點,避免全院或整個 OT 網路被加密。
  • 內部威脅與帳號濫用偵測
    • 利用登入異常(異地登入、非上班時間登入)、短時間大量存取敏感資料等行為模型,偵測惡意員工或被盜用帳號,並觸發額外查證或帳號凍結。
  • 合規監控(如 ISO 27001、金融監管)
    • SIEM 集中紀錄管理員操作、權限變更、DB 查詢等行為,透過預設報表支援「誰在什麼時候做了什麼」的檢查要求,減少合規缺口。

五、導入與使用 SIEM 的建議目標與行動

以下為簡化表格,列出「類別、目標、措施、在風險管理中的意義」:


類別

建議目標

主要措施

在風險管理中的意義

可視性

90%以上關鍵資產納入日誌收集

建立資產清單、整合 AD/伺服器/防火牆/雲端/EDR 日誌到 SIEM

降低「盲區」,提升風險識別的完整性。

偵測效能

MTTD 壓到「小時等級」

寫出優先關聯規則(帳號濫用、資料外洩、勒索指標)、導入 UEBA

提高及早發現能力,讓威脅還在「技術問題」階段就被阻擋。

回應速度

建立 5–10 個核心事件 playbook

SIEM 與防火牆、EDRIDP / IAM、自動化工具整合,部分行為自動化

把高風險事件的處置時間從「人力肉眼判斷」縮短到半自動流程。

合規與稽核

支援主要法規/標準的固定報表

預先設計 ISO 27001 / ISO 27002 / GDPR / 業管報表模板

SIEM 當成「證據工廠」,降低稽核準備成本與錯漏。

持續改善

季度檢討規則與誤報率

每季檢討警示排行榜( top alerts)、誤報原因、缺失控制,調整規則與 SOP

形成 PDCA 循環,讓 SIEM 與風險管理文件同步修訂。


六、實務建議(工作推動 checklist

如果要把 SIEM 真正嵌入組織的 IT 網路風險管理流程,可以考慮:

  • 先從「關鍵業務場景」切入
    • 例如「醫療影像伺服器被加密」「AD 被入侵」「雲端儲存洩漏」,為每個場景定義需要監控的事件與預期警示,避免一開始就想「收全部、看全部」導致 SIEM 變成日誌垃圾場。
  • SIEM 融入既有風險與變更流程
    • 風險分析(如你現有的 ISO 14971 / ISO 27005 程式)中加入一欄:此風險是否需由 SIEM 監控?需要哪種規則?
    • 變更管理(變更新系統、新雲服務)時,要求其日誌輸出與 SIEM 整合作為 go-live 前置條件。
  • 建立 SOC / IT 團隊的「最小可行營運」範圍
    • 定義 3–5 種高優先級事件類型(帳號濫用、資料外洩、勒索行為、關鍵系統異常),為每一類事件寫清楚:誰值班、怎麼分類、何時升級、何時通知管理階層或法規單位。
  • 與威脅情報與弱點管理整合
    • 將威脅情報(Threat Intelligence)與弱點掃描結果(含 CVE)餵給 SIEM,讓警示能考量「資產是否有已知 CVE」和「IP 是否在惡意名單」,更貼近真實風險。

在組織文件管理系統協助之下,可以將「SIEM 與組織現有的風險管理程序(例如 ISO 27001 / ISO 27005 或醫療 MDCG 2019-16)」畫成單頁流程圖(flowchart 或查檢表(checklist),直接嵌編輯到組織的 QMS / ISMS 文件裡(SOP)。

 

F.6 針對性或非針對性攻擊

針對性威脅事件的啟動通常需要意圖,並由資產、目的或目標的吸引力所驅動。針對性啟動通常出於威脅行為者的金錢、政治或個人目標。威脅漏洞存在於一組有動機攻擊者的情境中。 因此,能帶來高額回報、容易取得且可重複的漏洞會更具吸引力。影響威脅事件啟動可能性的其他因素還包括威脅表面對攻擊者的可及性、攻擊複雜度(以威脅行為者的技能與系統知識衡量)、所需權限類型,以及是否需要使用者互動才能取得系統所需存取權。

 被動威脅事件的啟動不一定需要積極參與或明確的目標意圖才能完成。 這可能是潛在漏洞的結果,而這些漏洞是全球存在的新興惡意軟體新近可利用的。潛在漏洞可能是產品使用者的失誤、使用環境安全政策與實務不成熟,或針對目標產品或系統的系統安全設計或深度防禦不佳所致。被動攻擊會隨著像勒索軟體即服務這類攻擊而增加。被動威脅本質上需要簡單且低複雜度,才能可行。

被動攻擊情境不依賴資產的吸引力。相反地,威脅事件發生的機率(L1)與環境中惡意軟體的盛行率有關。 任何簡單、低複雜度的威脅,無論資產吸引力如何,都應以威脅事件發生的機率(L1)為特徵。

F.7發生可能性評分

發生可能性的評分可採用 NIST SP 800-30 附錄 G 所列表格方法,並調整醫療器材及其使用環境的特定因素。

例如,MITRE 的醫療器材 CVSS 評分標準可用來判斷 F.4 F.5 中討論的可能性的質性值。修改版的表 G-2(假設存在對抗性威脅)及表 G-4 可作為指標,利用類似表 G-5 的表來判斷定性整體概率(即發生可能性)。

(全文完)


(未完,見續篇)