（續前篇）
|
適合醫療器材及資訊安全產業界，具備大學教育背景的亞洲讀者。 此文僅供個人參考與資訊喚回，尚非法律建議或符合性途徑。內文引用人工智慧網路平臺提供資訊，經由整合篩選與文字調整。後續修訂請查閱ISO與歐盟官方網站、洽詢各家驗證公司、諮詢顧問等。CC BY-SA 4。0。 |
階段四：持續維護期（2031-2032）
5.2.6 設計維護與演進- 年度安全評估：全面風險再評估、威脅模型更新
- 技術債管理：每季審視SBOM中EOL元件，規劃替代方案
- 法規變更因應：監控MDR修訂、新協調標準發布
所有與網路與資訊安全相關的設計決策、風險評鑑、測試結果和修復活動都應詳實記錄，作為技術文件的一部分。該等文件對於符合 MDR 的上市前要求和上市後監督措施與及時因應潛在風險至關重要，也是應對主管機關審查的關鍵證據。
6.資訊安全法規建置
建立一個強健的資訊安全監督制度對於保護 CGM 系統及其相關資料至關重要。此中不僅包括技術層面的防護，更涵蓋了組織、流程和人員等方面的綜合管理。製造商應參考 ISO/IEC 27001:2022 等國際標準，建立一套符合其業務需求和法規要求的資訊安全管理系統 (ISMS)。
6.1 IT 設施與基礎架構安全
CGM 系統的運作依賴於穩定的 IT 設施和基礎架構，包括伺服器、網路器材、資料中心和雲端服務。製造商應確保該等設施具備高水準的物理和邏輯安全防護：- 實體/物理性安全：資料中心應具備嚴格的門禁控制、監控系統、消防設施和環境控制。
- 網路與資訊安全：實施防火牆(Next-Gen Firewall)、入侵檢測/防禦系統 (IDS/IPS)、網路分段和 VPN 等措施，保護網路邊界和內部通訊。
- 資料加密：對靜態資料 (Data at Rest) 和傳輸中資料 (Data in Transit) 實施強加密，保護患者敏感資料的機密性。
- 備份與恢復：建立完善的資料備份和災難恢復計畫，預留 30% 的冗餘計算能力，以支持在遭受 DDoS 攻擊時的基礎功能運行，確保即使發生網路與資訊安全事件時能夠迅速恢復服務。
- 雲端安全：若使用雲端服務，應評估雲端服務供應商的安全控制措施，並確保其符合相關法規要求。
(圖6.1.1) 硬體與設備需求
(圖6.1.2) 軟體與平台授權
(圖6.1.3) 雲端服務與網路
6.2 營運、維護與年度預算
資訊安全是一個持續的過程，需要投入持續的資源進行營運和維護。製造商應為資訊安全部門編列足夠的年度預算，以支持以下活動：- 安全監控與事件響應：建立安全營運中心 (SOC) 或委託第三方服務，對系統進行全年無休式（24/7）監控，並制定完善的事件響應計畫。
- 漏洞管理與修補：定期進行漏洞掃描和滲透測試，並及時應用安全補丁和更新。
- 資訊安全意識訓練：定期對員工進行網路資訊安全意識訓練，提高其對網路威脅的警覺性。
- 符合法規性稽核：定期進行內部安全稽核(Annual Security Audit)機制、接受外部驗證機構的監督稽核，評估網路與資訊安全管理系統的持續有效性。
- 技術更新與升級：持續投資於最新的安全技術和工具，以應對不斷演進的威脅。
(圖6.2.1) 內部團隊強化（以現有6人為基礎）
(圖6.2.2) 外部資源（委外策略）
運作模式：7x24小時監控（委外託管SOC + 內部值班工程師）(圖6.3.1)
年度預算應涵蓋硬體、軟體、韌體、人員、訓練、顧問服務和驗證費用等各方面，並根據威脅環境和法規要求的變化進行調整。
6.4漏洞管理生命週期
|
階段 |
措施 |
|
發現階段（T+0） |
內部測試發現 外部通報（Coordinated Vulnerability Disclosure） 自動化掃描（SCA/SAST/DAST） 威脅情報饋送 |
|
評估階段（T+24小時內） |
CVSS評分 可利用性評估（EPSS） 業務影響分析 優先級排序（Critical/High/Medium/Low） |
|
緩解階段 |
立即緩解（虛擬修補、配置變更） 軟體修補開發 測試與驗證 部署（OTA或現場更新） |
|
驗證階段 |
修補確認 迴歸測試 用戶通知（如適用） 文件更新（SBOM、安全公告） |
|
上市後監督 |
PSUR更新 趨勢分析 預防措施實施 |
7.查證與確證 (V&V)
CGM 系統的查證與確證 (V&V) 過程，不僅要確保其臨床性能和安全性，更要全面考量網路與資訊安全層面。這包括對軟體、硬體和整個系統的網路與資訊安全功能進行嚴格測試，以展現其符合預期的安全需求和法規要求。本節將詳細闡述在 ICT 和網路與資訊安全背景下，V&V 所需遵循的具體標準、指引與實踐。7.1 ICT 測試方法論與操作面查證
7.1.1靜態測試（Static Testing）與動態測試（Dynamic Testing）
針對 CGM 系統的 ICT 測試應涵蓋以下方面，並參考相關標準：- 功能安全測試：查證網路與資訊安全功能是否按預期運作，例如身份驗證、授權、資料加密和日誌記錄。應遵循 IEC 62304:2006+A1:2015 (醫療器材軟體生命週期流程) 和 IEC 81001-5-1:2021 (健康軟體和健康 IT 系統安全) 的要求。
- 漏洞掃描與管理：使用自動化工具掃描已知的軟體漏洞和配置錯誤。應建立系統性的漏洞管理流程，包括識別、評估、修復和追蹤，並參考 ISO/IEC 27002:2022 (資訊安全控制實務守則)。
- 滲透測試 (Penetration Testing)：模擬真實世界的網路攻擊，評估系統抵禦攻擊的能力，並識別潛在的弱點。測試應由獨立第三方執行，並涵蓋應用程式、網路和雲端基礎設施。OWASP Top 10 和 MITRE ATT&CK 法規可作為測試範圍的參考。
- 模糊測試 (Fuzz Testing)：向系統輸入大量無效、非預期或隨機資料，以發現潛在的崩潰或安全漏洞。這對於發現未知漏洞和提升軟體韌性至關重要。
- 性能與壓力測試：評估網路與資訊安全控制措施對系統性能的影響，確保其不會導致不必要的延遲或資源消耗，並在極端負載下仍能保持穩定和安全。
- 相容性測試：確保 CGM 系統在不同操作系統、瀏覽器、行動器材和網路環境下的網路與資訊安全功能正常運作，CGM感測器在強電磁干擾下是否能維持安全配對，特別是與其他醫療器材或健康資訊系統的交互操作性。
圖7.1.1 靜態測試
圖7.1.2 動態測試
圖7.1.3 硬體在環測試（Hardware-in-the-Loop）
除了技術測試，操作面的驗證也至關重要，以確保網路與資訊安全措施在實際使用環境中有效：
- 使用者訓練與意識：查證使用者（包括患者和醫護人員）是否了解並遵循網路與資訊安全最佳實踐，例如強密碼政策、釣魚郵件識別和安全使用指引。定期訓練和評估是必要的。
- 事件響應與恢復演練：定期進行網路與資訊安全事件響應演練，確保團隊能夠迅速有效地應對安全事件，包括資料洩露、系統入侵和服務中斷。演練應涵蓋從事件識別到恢復的整個流程。
- 供應鏈安全稽核與管理：對第三方供應商（包括軟體元組件、雲端服務和硬體供應商）進行網路與資訊安全稽核，確保其符合相關安全要求。建立供應商風險管理計畫，並要求其提供安全證明和 SBOM。
- 上市後監督 (PMS) 與威脅情報：持續監控上市後資料，識別潛在的網路與資訊安全事件或趨勢，並及時採取糾正措施。積極利用威脅情報，預測和應對新興網路威脅。
達成歐盟網路與資訊安全符合法規目標，對於 CGM 製造商而言，既帶來顯著優勢，也伴隨著一系列挑戰與考量。
優勢
- 提升市場競爭力：在日益重視網路與資訊安全的市場中，具備完善符合法規證明（特別是 ENISA 驗證）的 CGM 系統將更具吸引力，有助於擴大市場份額。
- 增強患者信任：網路與資訊安全符合法規能有效保護患者資料和器材功能，從而建立患者對產品和品牌的信任。
- 降低法律與財務風險：符合歐盟法規可避免因違規而導致的巨額罰款、訴訟和產品召回，保護企業的財務穩定。
- 優化產品設計與開發：將網路與資訊安全融入產品生命週期，有助於提升產品的整體品質和可靠性。
- 促進創新：透過持續關注網路與資訊安全趨勢和技術，製造商能更好地應對未來挑戰，並將安全創新融入產品中。
考量事項
- 法規動態性：歐盟網路與資訊安全法規和標準不斷演進，製造商需投入持續資源進行監測和適應。
- 技術複雜性：CGM 系統的網路與資訊安全涉及多種技術領域，需要具備跨領域的專業知識和技能。
- 資源投入：符合法規過程需要大量的人力、財力投入，包括人員訓練、技術升級、第三方服務等。
- 供應鏈管理：確保整個供應鏈的網路與資訊安全符合法規是一項複雜的任務，需要與供應商緊密合作。
- 市場接受度：雖然網路與資訊安全日益重要，但市場對高成本的網路與資訊安全功能接受度仍需平衡考量。
8.外部支援與合作需求
鑑於網路與資訊安全符合法規的複雜性和專業性，CGM 製造商在實施過程中可能需要尋求外部支援或建立合作夥伴關係，以彌補內部資源和專業知識的不足。- IT 顧問與網路與資訊安全專家：聘請具備醫療器材和網路與資訊安全雙重背景的顧問，協助進行風險評鑑、安全架構設計、滲透測試和事件響應計畫制定。
- 法律顧問：諮詢熟悉歐盟醫療器材和網路與資訊安全法規的法律專家，確保符合法規策略的合法性和有效性，並協助處理潛在的法律風險。
- 自動化安全通知: 建立一套 API 機制，當伺服器端發現嚴重漏洞時，能主動向所有接收器推送「安全警告」或「強制更新通知」。
- 第三方公告機構/驗證機構 (Notified Body)：在 MDR 符合法規和 ENISA 驗證過程中，與指定的第三方機構合作，進行技術文件審查、品質管理系統稽核和產品符合性評鑑。
- 測試實驗室：委託專業的第三方測試實驗室進行網路與資訊安全測試，如滲透試驗(Penetration Test)、漏洞掃描和交互操作性測試，每年由第三方安全公司進行一次「黑盒測試」，模擬駭客攻擊，取得結果回饋供製造商改進和加強防制措施。
- 軟體供應商與雲端服務商：與軟體元組件供應商和雲端服務商建立緊密的合作關係，確保其產品和服務符合網路與資訊安全要求，並提供及時的安全更新和支援。
- 學術界與研究機構：與大學或研究機構合作，共同研究新興網路與資訊安全威脅和防禦技術，保持技術領先。
8.1 關鍵外部合作夥伴
8.1.1 法規與合規顧問
(圖8.1.1)
8.1.2 測試與驗證機構
(圖8.1.2)
8.1.3 技術供應商
(圖8.1.3)
8.2 合約與服務水準協議（SLA）關鍵條款
8.2.1 資安事件回應SLA
|
事件等級 |
回應時間 |
解決時間 |
賠償條款 |
|
P1（關鍵） |
1小時內回應 |
4小時內緩解 |
服務費用100%抵扣 |
|
P2（高） |
4小時內回應 |
24小時內緩解 |
服務費用50%抵扣 |
|
P3（中） |
8小時內回應 |
72小時內解決 |
無 |
|
P4（低） |
24小時內回應 |
依排程解決 |
無 |
8.2.2 漏洞揭露條款
- 責任揭露期：供應商需在90天內修補重大漏洞（CVSS ≥ 7.0）
- 公開揭露協調：統一對外窗口，禁止未經協調的公開揭露
- 賠償責任：因供應商漏洞導致的產品召回費用分擔機制
9.不符合法規的罰款 (2032 年估計值)
若 CGM 製造商在 2032 年未能符合歐盟相關網路與資訊安全法規，將面臨嚴重的法律後果和巨額罰款。歐盟法規通常訂定高額罰款，以確保企業嚴肅對待符合法規義務。- MDR 罰款：MDR 的罰款由各成員國自行制定，但通常與企業的營業額連動，最高可達數百萬歐元，甚至偶因情況嚴重而拉高。例如，德國的醫療器材法規 (MPDG) 規定，違反 MDR 義務可能導致最高三萬歐元的罰款，情節嚴重者甚至可能面臨刑事責任。
- CSA 罰款：歐盟網路與資訊安全法案 (CSA) 授權各成員國對違反驗證要求的行為處以罰款。雖然具體金額尚未完全確定，但參考 GDPR 的罰款標準（最高可達全球年營業額的 4% 或 2000 萬歐元，以較高者為準），網路與資訊安全不符合法規的罰款也可能達到類似的水準，特別是對於涉及敏感醫療資料的產品。
- 產品召回與市場禁入：除了罰款，不符合法規的 CGM 系統可能被要求從市場上召回，或被禁止在歐盟市場銷售，這將對製造商造成巨大的經濟損失和品牌聲譽損害。
- 法律訴訟與賠償：因網路與資訊安全漏洞導致的資料洩露或患者傷害，可能引發消費者或患者的集體訴訟，製造商需承擔高額賠償責任。
9.3.2 2032年非合規風險情境分析
情境一：基礎網路與資訊安全管制類缺失
- 觸發條件：未實施基本加密、無SBOM、無漏洞管理流程；
- 後果：公告機構暫停CE證書、產品被迫下架；
- 財務影響：歐盟市場年營收損失（假設占全球30%，年營收五億美元，每年損失約計一千五百萬美元）。
情境二：重大網路與資訊安全事件
- 觸發條件：駭客攻擊導致大量患者數據外洩或設備被遠端控制；
- 後果：強制召回、集體訴訟、刑事調查；
- 財務影響：召回成本二千萬到五千萬美元、訴訟賠償五千萬到二億美元、品牌損失無法估計；
情境三：市場監督抽查或追蹤稽核發現不符合
- 觸發條件：主管機關發現技術文件不完整、網路與資訊安全測試不足；
- 後果：限期改善、罰款、公開譴責；
- 財務影響：罰款一千萬歐元、改善成本五百萬到一千萬美元、股價下跌。
（未完、待續）
