你真的了解自家產品嗎？那些駭客虎視眈眈的核心資產
在醫材開發的過程中，我們習慣把注意力放在產品效能與規格上，但真正該感到不安的，是你不知道自己暴露了哪些弱點。
美國 FDA 2025年指引《Cybersecurity in Medical Devices》與我國 TFDA 的規範都指向相同概念：
資安風險評估的第一步不是技術防護，而是資產辨識(Asset Identification)。
如果連自己手上有什麼核心資產都盤點不清楚，那確實該感到害怕。
哪些資產容易被盯上？
在資安的世界裡，資產(Asset)的範圍遠比多數人想像的還要廣。
依據 AAMI TIR57《Principles for medical device security—Risk management》的觀點，醫療器材真正需要被保護的，不只是設備本身，而是整個系統所承載的入口、組件與關鍵資訊，例如：
實體入口：例如USB 埠、Debug Port、藍牙、Wi-Fi。
這些原本為了維護與使用便利而存在的介面，在資安語言裡，統一被歸類為Attack Vector(攻擊媒介)，指的是攻擊者用來接觸、入侵或影響系統的「路徑或手段」。延伸閱讀：這些入口「有多容易被利用」，可參考這篇<資安風險下手前，請先理解「可利用性(Exploitability)」>。
真正令人不安的，並不是這些介面本身的存在，而是它們往往缺乏足夠的身分驗證與存取控管機制，使得原本為了便利而開放的設計，反而成為資安風險最直接的入口。
第三方組件與 SBOM：你不知道的，才是最危險的
現代醫療器材軟體，幾乎不可能是百分之百自寫程式。開源函式庫、第三方 SDK、作業系統元件(SOUP)，早已成為開發的日常。
也正因如此，TIR57 特別把供應鏈風險(Supply Chain Risk)列為醫療器材資安的關鍵議題：一個產品的安全性，往往取決於它最脆弱的組件。
因此FDA 在 2025 年指引中明確要求建立SBOM(Software Bill of Materials，軟體物料清單)，因為如果無法掌握軟體的組成，等同於失去了對產品持續安全性的掌控權。當災難級漏洞爆發時，你甚至不知道自家產品是不是就在受害名單內。
歷史教訓：Log4j 事件
2021 年底爆發的 Log4j 漏洞(CVE-2021-44228)，影響全球數百萬系統。
許多製造商在漏洞爆發後才驚覺，自己根本不知道產品裡面有沒有用到 Log4j。
這正是 SBOM 與資產辨識為什麼會被 FDA、TFDA 與 AAMI TIR57 高度重視的原因，它能夠幫助製造商，在供應鏈型漏洞發生時，快速確認自己是否受影響。
(延伸閱讀：德國BSI發布網路紅色警告Java Log4j嚴重漏洞)
關鍵數據與治療參數：真正影響病患的安全
談到資安，許多人第一時間想到的是病患個資。
然而，在多數醫療器材的實際使用情境中，真正更關鍵的資產，往往是治療指令與臨床決策參數本身。
這包括但不限於：給藥速率、診斷演算法、閾值，以及治療模式的切換條件等。
當這些治療指令與臨床參數成為攻擊目標時，資安事件變成了：醫療決策被影響、治療行為被改寫。
也因此，許多資安專家在談醫療器材風險時都會強調：在醫療情境中，資料完整性(Integrity)往往比資料機密性(Confidentiality)更關鍵。
一旦這些資料遭到竄改，所影響的就不只是隱私權，而是醫療行為的正確性，甚至直接關係到病患的生命安全。
TIR57 的核心警示：當資安事件轉化為安全傷害
換句話說，在醫療器材的情境中，資安事件不再只是 IT 問題，而是可能轉化為實質的病患安全風險。
當攻擊破壞的是資料的完整性(Integrity)，它就會直接進入 ISO 14971 所定義的危害處境(Hazardous Situation)。
真實案例：St. Jude 心臟節律器事件
2016 年，美國 FDA 罕見發布資安警示，指出 St. Jude Medical 的心臟節律器存在可被遠端利用的資安漏洞，可能導致未經授權的指令傳送，影響裝置功能。
醫療產業清楚地意識到，資安漏洞也將是治療受限的風險，TIR57提到Loss of integrity不再是理論，而是真實發生過的事件。
(延伸閱讀：近50萬心律調節器有漏洞)
恐懼來自未知，防禦來自「辨識」
在 NIST 網路安全框架 中，Identify (辨識)是所有行動的最底層。
當你開始撰寫資安風險報告時，請從攻擊者的視角看著自己的產品問：「我有哪些資產最吸引駭客？我產品哪裡最脆弱？」
當你不再對自己的數位資產感到未知，資安的恐懼才會真正轉化為防禦的力量。
如果您正開始準備，歡迎留下email，我們將提供您一份《醫療器材資安資產評估表》，協助你在 10 分鐘內完成第一版 Asset Identification。
參考資料：
AAMI TIR57：Principles for medical device security—Risk management
ISO 14971：Medical devices — Application of risk management to medical devices
FDA (2025). Cybersecurity in Medical Devices: Quality System Considerations and Content of Premarket Submissions
NIST SP 800-30: Guide for Conducting Risk Assessments
