美國醫療業者須符合最低資安標準，最新《醫療資安與韌性法案》通過

美國參議院上週以全體一致同意方式通過《2026 年醫療資安與韌性法案》（Health Care Cybersecurity and Resiliency Act of 2026），要求美國衛生及公共服務部（HHS）對私人醫療相關機構訂定最低資安標準。根據 外媒10 月 7 日報導，法案由路易斯安那州共和黨聯邦參議員比爾．卡西迪（Bill Cassidy）提出，現已送交眾議院審議，目前尚未發布確切表決日期。

起因：Change Healthcare 勒索軟體事件

法案是對 Change Healthcare 勒索軟體攻擊的回應，該事件曝露約 1.9 億人的資料。路易斯安那州共和黨聯邦參議員卡西迪表示：「網路攻擊可能使醫院停擺，並洩露病患的私密醫療紀錄。」

法案要求 HHS 做什麼

在對外規範上，法案要求 HHS 讓私人醫療相關機構採行最低資安標準，例如多因素驗證（MFA）。在內部與人才方面，HHS 須每兩年擴充並更新其人員的資安通訊協定計畫，提供訓練與最佳實務以擴大醫療資安人力，並向鄉村機構提供資安整備指引。HHS 另須指定一名代表，統籌與協調機關內的資安工作。

與 CISA 協作及通報義務

法案要求 HHS 與美國網路安全暨基礎設施安全局（CISA）合作，向醫療機構共享資安資訊，並建立重大事件的協同應變聯合計畫。此外，醫療公司在通知民眾其健康資訊遭未授權存取時，須載明資料外洩的受害者總數。

各方立場與後續

法案由參議員瑪姬．哈桑（Maggie Hassan，民主黨，新罕布夏州）、馬克．華納（Mark Warner，維吉尼亞州民主黨）與安格斯．金恩（Angus King，緬因州無黨籍）跨黨派支持。維吉尼亞州民主黨聯邦參議員華納在聲明中表示：「對醫療體系的網路攻擊，可能對病患造成攸關生命的後果。」同時呼籲眾議院儘速行動。

美國醫院協會（AHA）表態支持，尤其肯定法案中協助導入資安措施的補助經費，但希望釐清相關規範是否適用於第三方供應商。眾議院兩黨領導階層未回應 The Record 的置評請求。

本文轉載自 TheRecord。