隨著穿戴式裝置興起，智慧手環等物聯網裝置透過網路應用，逐漸成為個人健康照護的最佳選擇。自2020年起，各國政府在積極面對COVID-19防疫時，面臨醫療資源的短缺，也著手規劃在疫情嚴峻的當下或後疫情時代下，如何有效運用網路的普及與便利性，發展智慧醫療政策，增加遠距醫療的服務模式，以免再度因疫情爆發而造成醫療體系崩潰。
近年來政府大力推動健康產業數位轉型，物聯網設備結合具大數據分析與AI運算技術的精準醫療技術應用服務上，醫療市場已逐漸成為國內電子設備廠商重要的角力平台，各種醫療整合解決方案更是百花齊放，從醫生門診到居家照護，皆可透過網路服務進行資料蒐集與數據分析，即時傳送診斷結果與醫囑，不僅節省病人掛號、檢測、問診所需的排隊時間，也有助於醫療體系資源整合與有效利用。
為促成智慧醫療廣泛應用，衛福部也陸續公告了醫材新法則，提供資通訊業者或結合AI技術之醫療產品，一個更彈性便利的申請管道，這些新法則也有助於以軟體為主進行的醫材解決方案能快速上市、滿足市場需求。而在2021年5月公告的「醫療器材網路安全指引」，也明確提出需要廠商上市前審查所需提供的設計、風險管理與資安測試等文件。以下則就指引中所提出的風險評估內容，提出企業可遵循或應用的網路安全評估技術方法，分享給醫材設備開發商作為「網路安全風險管理計畫」之參考。
- 風險分析的評估與方法
為確保醫材設備的有效性與安全性，醫材設備開發商需參考ISO 14971醫療器材風險管理標準(Medical devices – Application of risk management to medical devices)評估相關風險。在面對網路安全攻擊，醫材設備開發商需考量資訊處理上可能面臨的安全威脅，包括偽造使用者身份、竄改健康記錄及個資洩露等問題。血壓機與血糖機等僅提供單純的量測功能的傳統個人醫材，通常不具備使用者身份識別機制。然而，為因應智慧醫療需求，勢必得增加個人健康紀錄與大數據分析以進行診斷之功能。因此，醫材設備開發商需將識別使用者身份、連網儲存方式及資料傳輸機制等使用情境，均應列為風險分析的評估項目。
- 可接受殘餘風險的鑑別
醫材設備若透過藍芽、WiFi等連線技術傳輸個人健康資料或診斷結果時，應根據不同的傳輸方式所面臨的網路安全風險之攻擊向量、攻擊複雜度、使用權限及操作介面等因素評估風險的危險程度，並於開發過程時決定可接受的殘餘風險。這部份可參考CVSS通用漏洞評分系統的評估基準，透過資安專家評估或模擬網路攻擊，以針對網路安全風險發生之可能性進行優先排序，協助開發人員有效因應與管控。
- 風險確效的方法
針對風險分析結果中所涵括的網路安全風險活動，醫材設備開發商應提出合適的技術或管理措施進行驗證。舉例來說，前文所提的醫材設備在連網環境下可能面臨健康記錄被竄改與竊取的風險，醫材設備開發商應就此風險提出透過傳輸通道加密或資料加密機制措施，並透過實際驗證作業確保其技術或管理措施之有效性。若產品本身受限技術發展與應用情境無法提供加密機制時，製造業亦應提供管理措施降低風險發生之可能，如：傳輸資料時提供使用者訊息提示或在使用手冊上加註資料傳輸之注意事項。
- 產品上市後的網路安全監控機制
以往醫材設備在上市後的服務主要以硬體維修與保固為主，但是對於具連網服務之設備，所搭載的作業系統或開發平台、應用軟體、雲端服務及委外開發或營運廠商的監控機制也都是必須持續提供更新的項目。因此，在開發階段亦應將作業系統、軟體及服務維運與更新納入產品上市後服務範疇，以防在上市後產品涉及資安弱點或事故時無法作出有效因應。
- 網路安全訊息的收集方式
在醫材設備開發商廣泛使用開放原始碼套件的情況下，醫材設備也會受到開放原始碼套件弱點的影響。因此，醫材設備開發商須特別留意作業系統與開放原始碼套件是否存在新的安全問題，並針對新的安全問題，採取相對應的應變機制。因此，建議醫材設備開發商定期追蹤與觀察資安新聞，亦可搭配工具主動追蹤各大資安新聞平台與弱點資料庫，並協助過濾與產品相關的弱點，以節省開發人員過濾相關資訊的時間，將人力與時間資源有效利用在弱點驗證與修補。
- 已識別網路威脅和漏洞的定期檢視
上述開發過程中所分析出的網路威脅與上市後所識別出的資安漏洞，須定期檢視現有的技術或管理管控措施是否有效與合理。建議醫材設備開發商可搭配產品規劃發展時程，在進行功能檢視的同時，一併檢視網路威脅與資安漏洞的風險管控措施。然而，在缺乏資安專業人員的醫材設備開發商，建議可選擇與外部的資安專家或顧問合作，搭配適用的管控措施與流程，將會是較好的方式。由具資安評估經驗的顧問協助備妥法規所需的網路安全檢視文件與記錄，以利主管機關查閱。
- 已識別安全漏洞的揭露政策
面對資安漏洞，以往醫材設備開發商不瞭解這些資安弱點可能帶來的嚴重後果，然而資安漏洞就像是Covid-19的傳染病源一樣，很難根絕，沒有作業系統或應用軟體能自稱是沒有缺陷的，一旦有心人士想破壞，可以傾注大量的時間和人力發掘弱點，找到破口。如果不正視這些資安漏洞，屆時會像疫情一樣難以控制，不僅傷害公司名譽，甚至可能造成人體危害而面臨求償。許多國際化企業品牌商也開始積極面對資安弱點，提供資安研究者通報產品漏洞的管道，並協助使用者透過軟體或韌體更新修正產品漏洞，減少資安漏洞所帶來的損害。
- 安全有效性相關的軟體更新
提供安全有效的軟體持續維運是未來智慧醫療服務的一大課題，具備開發能力的團隊，應在產品例行改版時確認相關系統與套件是否已更新至最新版本，並思考未能即時修補的漏洞如何納入新的產品規格中。而委外開發或維運的設備業者，更應妥善規劃委外廠商的責任義務，確保安全有效的軟體持續維運及軟體供應鏈安全。另外醫材設備開發商也應提供軟體更新，透過更新檔案簽章方式，確保更新檔能正確的被下載、佈署及安裝。
有越來越多網通或資訊服務業者投入AI醫療產品或服務開發，未來除可透過政府輔導協助醫材申請，業者亦應將醫材設備所涵括的網路與軟體服務之設計開發及風險管理進行評估，搭配實際資安測試結果作為佐證紀錄。業者若能在開發期間有效地執行網路風險評估，在產品上市後發現的資安漏洞，也較易掌握並能作出更有效率的回應。
安華聯網擁有完整的資安評估實驗室，具醫療設備網路安全深度技術，提供美國FDA與歐盟MDR MDCG醫材設備資安顧問輔導與檢測服務，已協助國內外多間廠商通過醫材設備網路安全要求。除此之外，安華聯網自行研發的自動化工具HERCULES SecDevice與SecSAM，支援產品開發所需的軟體弱點測試與SBOM功能，能有效協助醫材設備開發商建置「網路安全風險管理計畫」，並進行資安評估與檢測。