民主進步黨・新北市第3選舉區發言紀錄
- 李委員坤城
謝謝主席，我們請邱部長，還有資訊處李處長。
- 邱部長泰源
委員好。
- 李委員坤城
大家都很關心今年至今大概有三家醫院受到駭客攻擊，2月6號的時候馬偕醫院受到中國駭客的勒索病毒的攻擊，據說有五百多部電腦當機，駭客勒索150萬美金，據說有1,660萬筆個資外洩給詐團，我不曉得有沒有1,660萬筆的病歷個資給詐團這件事情？
- 邱部長泰源
剛剛委員所提的前面那兩家大型的醫療院所，我們都有立即做處理……
- 李委員坤城
像馬偕嘛，然後彰基是在3月初嘛。
- 邱部長泰源
也提出了SOP，也針對60家比較大型的、關鍵型的醫院來做好……
- 李委員坤城
我先問一下，目前這三次的駭客攻擊，我們有沒有病歷個資外洩了？
- 邱部長泰源
請李處長回答。
- 李處長建璋
第一個的1,660萬筆這部分是駭客主張，但是現在還沒有辦法確認，因為此案調查局已經在處理，我們看不到那個資料，他主張說這是馬偕的，但是也沒有辦法去驗證，所以這是他們主張的，那也沒有……
- 李委員坤城
就我們的部分來講，你們有去查調，那有沒有病歷資料外洩的可能性？
- 李處長建璋
這個也是要調查局去調查，因為我們沒有調查權，我們衛福部是管理、輔導他們來做資安防守，所以要以調查局的說法，他們已經把這些跡證都收集起來，要以他們的說法為主。
- 李委員坤城
所以病歷有沒有外洩，目前在調查當中，你們也還不知道就對了？
- 李處長建璋
對，調查局才能說明。好。
- 李委員坤城
馬偕是在2月6號，然後彰基是在3月1號，所以你們在3月中旬有提出一個醫院面對勒索軟體攻擊的應變教戰手冊，是不是？這是處長你這邊所提供出來的嘛？是。我的意思是說，3月中旬教戰守則出來之後，結果這兩天桃園的長慎醫院又受到駭客攻擊了，所以長慎醫院沒有在你們所謂那60家基礎關鍵的醫院裡面，是不是？
- 李處長建璋
是，它不在。
- 邱部長泰源
因為它比較小型啦。
- 李委員坤城
它也不算小型，它在桃園中壢算是大型的長照醫院。
- 李處長建璋
是，我們當初定義國家關鍵基礎設施醫院，就是用急救重度及責任醫院以上來定義的，所以它不在這個定義範圍之內。
- 李委員坤城
那可見除了那60家之外，幾乎全臺灣我認為大概，當然第一個，你能力也有限；第二個，但是我認為這個要持續做下去，當然你先做60家，你們認為是關鍵基礎的必須要做，但是除了這60家之外，我覺得現在其他各個醫院的資安能力明顯不足，光靠你們的資訊處要去做全國的統籌，大概能量也不夠，所以我問一下邱部長，我覺得要把此事當成國安事件來處理……是。因為他現在入侵醫院網路，然後比如說他把病人的個資拿出來，不曉得他要做什麼樣的用途，有可能有國安上面的一些疑慮，所以這方面是不是應該要跨部會合作來處理，光靠你們的資訊處，我想大概沒有辦法有這個能量來做。
- 邱部長泰源
是，我們其實在做這件事情都有跟數發部……
- 李處長建璋
對，我們跟資安署還有國安會都有聯絡。
- 李委員坤城
對，但是這個應變守則只有for這60家而已，接下來有沒有繼續要怎麼做？因為你們講了之後，結果第三家又出現了，或許搞不好幾天之後，第四家、第五家又出現了，都有可能啊！
- 邱部長泰源
委員所提的這個部分，也是我們應該要努力的方向，我想既然60家大間的都能夠保護起來了，應該這樣的處理模式把它縮小來指導所有的醫院，我認為應該是可以去進行的。
- 李委員坤城
我問一下處長，目前你們有沒有把全國的醫療機構做資安的分類，就是各個醫療機構是屬於哪一級的，然後它的人力跟經費到底夠不夠，你們有做這個資安分類嗎？
- 李處長建璋
報告委員，我們就是依據資通法，所以我們只有針對關鍵基礎設施醫院做這樣的盤點，那超過的話，就像委員講的，大概也沒有這樣的能量去……
- 李委員坤城
好，那60家裡面，你們是做怎麼樣的分類？
- 李處長建璋
這60家全部都是最高等級的。
- 李委員坤城
最高等級的？對。最高等級的意思是說它的資安能力也夠，經費也夠嗎還是怎麼樣？我的意思就是說，你們有沒有針對……
- 李處長建璋
我們主要是訂標準，標準就是比如它一年要接受多少的稽查，然後參加什麼樣的演練，這些醫院過去三年我們已經花了很大的力氣，全部都已經由專家委員去稽核完一次了，相關的缺失報告全部都有回饋給這些醫院，未來會面臨最大的就是勒索軟體，所以遇到勒索軟體應該怎麼處理，我們也召集全國的醫院來教育，然後也給它應變手冊。
- 李委員坤城
你講的是全國的醫院還是只有這60家而已？
- 李處長建璋
全國的，教育的部分是全國的醫院。
- 李委員坤城
這個有開始做了嗎？
- 李處長建璋
全國醫院的資安長會議，在上個月都已經去教完了，對，教育是有做完，但是他們沒有……
- 李委員坤城
結果這個月前兩天還會發生……
- 李處長建璋
就是資安進去第一個要經費，第二個要人力，他們現在沒有這兩個。
- 李委員坤城
處長他提到一個重點，部長，你這邊要考量，我希望在經費上面，衛福部是不是能夠提高給各個醫院的資安經費，而且這個資安經費要專款專用。第二個就是要提升各個醫院裡面資安職系人員的質與量，因為我不太清楚，現在各個醫院裡面資安職系的人員比例是多少，你們可能要去做個調查，那到底有沒有這個能力，我有給你這個經費，到底你有沒有這個能力來處理這件事情。還有要升級醫療資安的聯防能量，就是我剛才提到的，除了數發部之外，你自己的資訊處一定沒辦法去做這件事情。我提三個建議，此事除了衛福部之外，我認為層級要拉高，甚至要拉到院的部分來做處理，不然你們自己去跟數發部講，我覺得都不如由一個政委或是院長來處理會更重視這件事情。因為這個事情我認為並不單純，你看幾乎一個月就一件，接下來我覺得要積極去防範這件事情，好不好？謝謝部長。好。
- 邱部長泰源
謝謝委員。
- 主席
謝謝李委員，謝謝部長。洪孟楷、洪孟楷、洪孟楷委員不在。請陳培瑜委員質詢。
文字取自立法院公報，由 LYAPI 對齊至影片片段。講者無法確定的句子不列為李坤城本人的發言。