中山醫學大學附設醫院醫療資訊中心副主任黃冠凱於臺灣資安大會指出，衛福部健康臺灣深耕計畫第3範疇聚焦資安治理、資料治理與AI治理，將成期中審查重點。醫療業因病歷資料高價值及不能停機特性成駭客首要目標，95%資安事件涉人為因素。建議醫院資安預算占總預算3%以上，強化法規遵循、AI威脅偵測、IoT分段管理等。臺灣多數醫院資安成熟度處第二至第三級，目標3年內升至第四級預測防護。
衛福部近年推動的健康臺灣深耕計畫，其中第3範疇聚焦資安治理、資料治理與AI治理，將成為今年期中審查的重要核查項目。中山醫學大學附設醫院醫療資訊中心副主任黃冠凱在5月7日的臺灣資安大會中強調，此計畫要求醫院不僅補強傳統資訊安全，還須證明AI導入符合治理要求，包括模型透明性、資料來源揭露、風險管理、持續監測與績效評估等機制。計畫依行政院AI治理七大原則管理，涵蓋自主、透明、當責、安全、公平、永續與隱私等面向，並需設置AI治理委員會。
醫療機構持續成為勒索攻擊與個資外洩高風險目標。黃冠凱指出，醫療產業因病歷資料在黑市價值高達1,000美元，約信用卡資料200倍，涵蓋身分、保險、基因與就醫紀錄，具長期利用價值。醫院「不能停機」特性，從急診、加護病房到檢驗系統皆需24小時運作，讓勒索攻擊易施壓。內部運行HIS、NIS、IoT醫療設備及老舊設備，複雜供應鏈與外部連線形成破口。約95%資安事件與人為因素相關，如帳號密碼管理不當、釣魚郵件。
實際威脅包括商用電子簽章系統入侵導致文件刪除、境外駭客刺探，以及RealBlindingEDR工具使Windows AV與EDR失明。AI導入帶來新風險，如Whisper語音辨識API未設存取控制、LiteLLM AI Gateway未啟認證，允許無限呼叫Llama模型。
臺灣醫療資安受4大框架規範：《資通安全管理法》將60家醫院列關鍵基礎設施，由副首長兼資安長；醫院評鑑納ISO 27001，須加入醫療資安聯防平臺與H-ISAC；《個人資料保護法》修正草案新增個資保護長、提高罰則，特種個資外洩超100筆須72小時內通報主管機關並逐一通知當事人。
資安成熟度分5級：第一級初始僅傳統防毒、防火牆；第二級管理建政策、權限控管、弱點掃描、稽核；第三級整合導入EDR、SIEM，多源資料整合；第四級預測用威脅情資、自動回應、AI異常偵測；第五級自適應落實Zero Trust與動態風險評估。臺灣多數醫院處第二至第三級，目標3年內達第四級。
技術部署從EDR升級XDR，統一監控端點、網路、雲端、身分、應用。AI威脅偵測用機器學習建使用者行為基準，辨識勒索加密或圖神經網路分析橫向移動。IoT高風險，如香港醫院案例，網路分段限攻擊範圍，劃關鍵醫療區、病房區、行政區、訪客區，以零信任管理設備。
預算挑戰大，建議資安經費占總預算3%至15%：地區醫院3%至5%、區域醫院5%至10%、醫學中心10%至15%。視為保險，每1美元投入避4至6美元損失；事前防護降九成事件，異地備援恢復快5倍。Ponemon Institute ROI模型支持此觀點。
醫療資安事件影響深遠，直接威脅病人安全與國家健康體系。病歷外洩暴露特種個資，未來法規要求72小時通報與通知，違者面高罰則。勒索攻擊迫停機，影響急診、加護、檢驗，恢復時間長達數日，造成醫療延遲甚至生命風險。
供應鏈與AI漏洞擴大範圍。AI系統如Whisper、LiteLLM漏洞允許無限存取，放大資料外洩。IoT未分段恐癱瘓全院網路，人為因素占95%，中小醫院資源不足易成弱點。
整體而言，技術與社會防護失衡，形成國安經濟風險。健康臺灣深耕期中審查將核查治理，影響所有醫院預算分配與AI導入。
落實資安從治理出發，高層支持、跨部門協作、穩定預算、人才培育、持續改善。中小醫院加入H-ISAC共享情資、委外SOC、多院聯合稽核。從法規遵循強化，確保管個資法、ISO 27001、資安管理法。
技術面升級XDR整合多源，AI偵測建行為基準、圖神經網路防橫移。IoT嚴格分段、零信任。預算至少3%，依醫院等級調整，優先異地備援、自動回應。
成熟度提升至第四級，整合情資、AI預測。資安非技術而係管理問題，定期弱點掃描、權限控管、防釣魚訓練。AI治理依七原則，設委員會監模型透明、風險持續評估。