第一條 目的 #
為建立資訊安全管理制度，支撐醫療機構採購、個資保護、AI 治理、ISO 27001/27701 導入與客戶信任，特訂定本辦法。
第二條 適用範圍 #
適用於公司人員、顧問、供應商及所有資訊資產，包括雲端平台、原始碼、模型、API、資料庫、客戶環境、測試資料、內部工具、設備、帳號、文件及網路。
第三條 資安原則 #
- 最小權限與必要知悉。
- 身分驗證、MFA、RBAC 與定期權限檢查。
- 傳輸加密、敏感資料去識別化與原文不落地。
- 稽核日誌可追蹤、不可任意刪除。
- 安全設計先於上線，重大變更須經風險評估。
- 資安事件須即時回報與復盤。
第四條 帳號與權限 #
所有公司與客戶系統帳號應以個人帳號為原則，不得共用。新增、異動、停用權限須經主管與系統 owner 核准。高權限帳號應啟用 MFA，定期檢查並保留操作紀錄。
離職、轉任、專案結束或顧問契約終止時，應於當日或約定時點停用不必要權限。
第五條 開發與部署安全 #
產品與系統應落實：
- 原始碼存取權限控管。
- 機密不得寫入程式碼或公開 repository。
- 依環境區分開發、測試、正式。
- 重要 release 經版本、測試、資安與 rollback 檢查。
- API endpoint、金鑰、憑證、資料庫密碼集中管理並定期輪替。
- 上線前完成基本弱點、權限、資料流與日誌檢查。
第六條 醫療 AI 系統安全底線 #
- TLS 1.2 以上傳輸加密。
- AD/SSO/MFA 或客戶核准之等效機制。
- 原始可識別病歷不得送至未核准外部服務。
- 使用者操作、生成、編修、確認、帶回、匯出均應留 LOG。
- AI 不得未經醫護確認自動覆寫正式病歷。
- 紅綠燈、source map、版本與低信心提示應可稽核。
第七條 供應商與雲端安全 #
使用雲端、模型 API、外部工具或委外服務前，須評估服務地區、資料處理、資安認證、事件通報、日誌、刪除、再委外、合約條款與退出方案。高風險供應商須經 Legal、Security/DPO 與 CTO 審查。
第八條 日誌與監控 #
關鍵系統應保存登入、權限異動、資料匯出、API 呼叫、模型請求、帶回、管理員操作、錯誤與異常用量紀錄。LOG 保留期間依合約與法令，未另定者至少六個月；涉及重大事件者保存至調查結束後至少五年。
第九條 資安事件 #
疑似資安事件包含帳號盜用、資料外洩、異常下載、API 濫用、模型成本異常、系統入侵、惡意提示攻擊、供應商事件或客戶通報。任何人知悉後應立即通報 Security/CTO，不得自行隱匿或刪除紀錄。
第十條 稽核與改善 #
Security 至少每季檢查權限、雲端設定、重要供應商、日誌、漏洞與備份。重大缺失應指定 DRI、期限與驗收方式，並於治理會議追蹤。