Oracle Health and AI (OHAI) 安全計畫

本文所展示的產品僅為特定情況下的範例。每項醫療設備/產品皆是為了遵守預期使用地的法規而設計，因此無法保證在其他地區的可用性或合規性。如要滿足特定地區的要求，可能需要根據當地情況進行調整。

OHAI 安全計畫專為 OHAI 代管平台設計，該平台包含硬體和作業系統，在 OHAI 代管環境中，OHAI 代表其客戶透過這些平台部署應用程式和解決方案。這些平台的範例包括 Oracle Health Millennium®、HealtheIntent® 和 CareAware®。我們承擔所代管作業系統的網路安全與事件管理的所有權和責任，以保護客戶資料的機密性、完整性與可用性。客戶負責管理特定層面的安全性，包括控制終端使用者的存取權、新增自訂擴充/整合功能，以及執行合法資料處理。

OHAI 在全球各地提供代管服務，不論客戶資料存放於何種代管設施，皆遵循相同的安全合規計畫與資訊安全政策。客戶資料將儲存並託管於客戶所在國家/地區，除非雙方另有約定。依據所使用的資料中心類型，存在一些營運方面的差異，但我們的資訊安全計畫始終如一。

  • OHAI Cloud Hosting – OHAI 的雲端代管選項，讓使用雲端啟用解決方案的客戶能輕鬆獲取最新的應用程式功能以及用於向終端使用者提供應用程式的技術。Oracle Cloud Infrastructure (OCI) 是 Oracle 的雲端運算環境，是一個可擴充、高可用性且具成本效益的雲端平台。OCI 擁有商用與政府公有雲區域，據點遍布全球。OHAI 也採用第三方公有雲提供方提供部分代管服務。
  • OHAI 資料中心設施 – OHAI 資料中心設施在建造時考慮了其所在地理區域的任何自然災害風險。資料中心設有實體與環境安全措施，並採用策略性分層方法，以嚇阻、延遲並偵測任何入侵企圖。這些措施旨在提供更強固且安全可靠的環境。
  • 共置資料服務提供方 – OHAI 在部分地區使用 Tier 3 同等級別的資料中心共置服務提供方。資料中心提供方提供的服務包括資料中心作業 (例如，電力供應、冷卻、消防)，以及維護 OHAI 資料中心機房空間的實體安全。電腦設備與網路設備 (例如伺服器、防火牆或網路佈線) 皆由 OHAI 擁有並維護，不會與其他資料中心租戶共用。服務提供方無法存取 OHAI 資料中心機房空間內代管的任何資料，也不會處理與 OHAI 客戶相關的任何資料。共置服務提供方認證包括業界公認的安全性、環境和健康與安全認證，例如 ISO 27001 和 ISO 14001 認證，以及 SOC 2 Type II 報告。

使用第三方資料中心共置服務提供方，並不會改變我們的安全計畫管理方式，也不會賦予服務提供方存取我們的系統或網路之權限。

政策和程序

OHAI 會維護一份資訊隱私權、安全與風險管理計畫記錄，其中明確規定了角色、職責、政策與程序，以保護 OHAI 平台所維護的資訊。OHAI 的計畫至少包括：

  • 將資料安全責任和責任分配給特定人員；
  • 描述 OHAI 平台的可接受使用方式；
  • 為 OHAI 終端使用者、管理員與作業系統提供存取控制與密碼屬性；
  • 強制執行 OHAI 終端使用者的身分驗證要求；
  • 描述 OHAI 代管生產環境的稽核日誌紀錄與監控；
  • 詳述 OHAI 的事件回應計畫；
  • 描述適當的風險管理控制、安全認證與定期風險評估；以及
  • 描述 OHAI 網路、辦公室與資料中心的實體和環境安全需求。

OHAI 嚴格控制其安全政策和程序，不會分發其紙本或電子副本。OHAI 會定期審查及修改其安全計畫，以反映不斷變化的技術、法規、法律、風險、產業與安全實務，以及其他業務需求。


技術安全性

身分和存取管理

OHAI 會依據角色、是否完成必要訓練以及工作職責所需的最小權限原則，授予用戶端系統的存取權。嚴格執行存取權核准流程，以確保授予適當的存取權且符合法規要求。

各團隊必須每月監控存取權，並檢查是否有閒置情況，以適時撤銷存取授權。員工使用 VPN 連線時，會透過雙重認證來驗證其身分。存取與公司網路隔離的雲端環境時，必須使用經核准的 VPN 進行驗證。

員工角色變更時，將審查其對資源與系統的存取權，並在必要時撤銷存取權。當雇用關係終止 (無論自願還是非自願)時，也會撤銷其存取權。

組態管理與網路防護

OHAI 在其安全計畫中採用了多層次的安全應用程式與防範措施來保護平台。以下是 OHAI 為保護平台而部署的一些安全技術範例：

  • 防毒軟體 – 在整個代管環境中，適時使用防毒 (AV) 軟體、防惡意軟體和補償控制措施。每日部署病毒碼更新。即時掃描傳入資料，並每週掃描系統硬碟。除了持續更新病毒特徵庫外，還會更新 AV 軟體與掃描引擎，以維持並提升防護效果。
  • 網路防火牆 - 使用行業標準網路防火牆技術，保護周邊網路和重要基礎架構連線。
  • 入侵防禦系統 (IPS) – 將內嵌式設備策略性地部署於網路基礎架構中，用來偵測惡意或異常行為。檢查通過防火牆介面的每個連接，以及通過核心網路的每個重要連接，以確保其有效性。
  • 阻斷服務 – OHAI 會與其網際網路服務提供方密切合作，共同偵測並防禦阻斷服務存取攻擊。
  • 代理伺服器 – 透過公用網路存取外部應用程式時，會在與目的地伺服器建立連線前，先進行蠕蟲或病毒掃描。輸出的網路與 FTP 請求會依據授權清單進行篩選，並進行蠕蟲與病毒掃描。
  • 系統強化 – 伺服器模板會依據行業標準的安全配置實務進行更新。新的映像會載入所有新伺服器，必要時也會載入舊版伺服器。
  • 修補程式管理 – OHAI 會維護自動化的系統清查與修補系統，以提供系統變更的可見性。OHAI 會透過合作夥伴關係取得最新的修補程式通知，並會先透過多種流程測試修補程式，再套用至適用平台。
  • 環境隔離 – OHAI 會維持開發、測試與用戶端生產環境之間的適當邏輯與實體隔離。

系統管理

系統層級日誌

OHAI 會在企業安全日誌紀錄儲存庫中記錄對網路設備、安全基礎架構元件與伺服器系統的存取與活動。將日誌傳輸至安全資訊與事件管理 (SIEM) 工具，用於監控、分析、疑難排解、合規和系統事件稽核。安全人員會使用 SIEM 建立常見事件的設定檔，以專注于異常活動、避免誤報、識別異常，並防止無意義的警示。

加密與密碼儲存

OHAI 會使用適當的加密機制來保護資料。OHAI 會執行風險評估，以評估資料的使用方式與資料的整體敏感度。在透過公用網路傳輸資料時會進行加密。OHAI 會管理用戶端網路的公開金鑰和私密金鑰基礎架構。OHAI 致力於在密碼模組支援時使用 FIPS 140-2 演算法。OHAI 也支援進階加密標準 (AES) 和傳輸層安全 (TLS) 加密協定。

脆弱性與威脅管理

滲透測試由具備適當業界認證與憑證的 OHAI 安全專業人員執行。此外，OHAI 會每年委託第三方進行外部滲透測試。作為 OHAI 脆弱性與威脅管理計畫的一部分，OHAI 的安全專業人員會分析並量化已識別脆弱性與威脅對 OHAI 及其客戶的潛在風險。

OHAI 持續對其平台執行生產掃描。OHAI 會依據對環境的預期影響和外部暴露程度來進行脆弱性評分。完成脆弱性評分後，會啟動脆弱性緩解或修正流程。

將評估已識別脆弱性的風險，並依其嚴重程度進行緩解或修正。此分析包括使用行業標準，例如 NIST 的常見脆弱性評分系統 (NIST CVSS)，以及使用行業標準工具對環境進行內部滲透掃描。OHAI 致力於在以下時間範圍內修補脆弱性：

  • 緊急 – 如有已核准的解決方法，則為兩週；如果沒有相關解決方法，則為 48 小時
  • 嚴重 – 30 天
  • 高 – 90 天
  • 中 – 180 天
  • 低 - 365 天

實體與環境安全

實體與環境安全措施會以策略性分層方法實施，以嚇阻、延遲並偵測任何入侵企圖。這些措施依據設施的特定需求而設計，旨在為關鍵系統提供強化、安全且可靠的環境。

OHAI 會確保 Oracle Health 資料中心以及 OHAI 委託的任何共置服務提供方至少維護以下實體與環境安全控制措施：

  • 設置出入管制系統，僅限 OHAI 人員與授權第三方進入。
  • 所設計的設施配備行業標準的環境控制 (例如火災偵測和滅火系統、冷卻系統、濕度控制、配電控制、不斷電系統與備用發電機功能)。
  • 所設計的設施配備行業標準的周邊控制 (例如警衛站、實體障礙、視訊監控與適當的耐候設計)。

事件管理

即時回應中心 (IRC)

IRC 的主要職責是回應客戶諮詢中心的第二和第三級支援電話，並解決所報告的問題。報告的問題會記錄並儲存在中央儲存庫中。IRC 團隊會使用系統監控工具來追蹤並回應警示與警告，並採取適當行動。OHAI 的 IRC 提供 24x7x365 的人員值守服務。

電腦安全事件回應中心 (CSIRC)

OHAI 的電腦安全事件回應中心 (CSIRC) 是安全事件管理的控制中心，負責 24x7x365 持續進行 OHAI 平台的威脅監控。CSIRC 團隊會整合並協調對國際、聯邦與科技產業威脅情報的回應，以保護 OHAI 環境。此外，該團隊還會利用行業標準工具系統化分析日誌，以識別潛在的未經授權活動，並關注潛在威脅。

安全事件

OHAI 會維護安全事件管理流程，用於調查、緩解及通報平台內發生的系統安全事件。受影響的客戶會及時收到相關安全事件通知，以及建議採取的更正措施。

安全事件管理

OHAI 不會向客戶通報或公開討論「附名」的脆弱性事件。若 OHAI 基於所蒐集的威脅情報，判斷某個脆弱性需要立即關注，則 OHAI 可全權決定是否發布針對該脆弱性的回應。在其他情況下，OHAI 不會主動通知客戶，也不會處理客戶提出的環境脆弱性審查請求。


變更管理

OHAI 會基於資訊科技基礎架構庫 (ITIL) 最佳實務來維護變更管理流程，這些最佳實務根據變更類型及其相關風險等級設計。根據 OHAI 政策，OHAI 必須向受影響的客戶通報其用戶端系統的相關非例行變更。變更會經過驗證與審查，並依據變更風險獲得相應核准。OHAI 會委託變更諮詢委員會 (CAB) 審查已知會造成停機或提高風險的重大變更。變更會記錄並保留在 OHAI 的集中式變更請求系統中。客戶需負責控制與記錄其執行的任何系統修改。


應變計畫

OHAI 的應變計畫基於 ISO 22301，旨在確保在發生任何事件時 (例如可能導致長時間中斷、損失、緊急狀況或危機的情況)，透過支援內部與外部用戶端功能來維持關鍵技術的持續運作。

災難復原與彈性

OHAI 會提供備援且高可用性的基礎架構，以最大程度降低對生產環境的影響。一旦發生破壞性事件，OHAI 會遵循已制定、經過演練且妥善記錄的應變計畫，使用商業上合理的措施，盡快且高效恢復服務。OHAI 應變計畫的事件管理部分會每年測試、審查和更新。OHAI 會基於適用的平台，提供不同等級的災難復原服務。


軟體開發生命週期

OHAI 正在調整其安全實務，以與 Oracle 保持一致。在開發新產品時，OHAI 會運用 Oracle Software Security Assurance (OSSA)，其涵蓋產品開發生命週期的每個階段，旨在將安全性內建於產品設計、構建、測試與維護中。Oracle 的安全開發實務旨在預防常見的脆弱性，包括「OWASP 十大風險」中所識別的脆弱性。如需更多資訊，請參閱 https://www.oracle.com/corporate/security-practices/assurance/development/


人員

安全意識

OHAI 的安全意識計畫要求所屬人員參與其特定角色相關的強制性教育與訓練活動。這些活動旨在維持 OHAI 安全態勢的效果，並包括：

  • 持續教育宣導活動；
  • 年度安全訓練；
  • 本地安全訓練；
  • 網路釣魚與其他詐騙識別；以及
  • 目標明確的安全公告。

雇用要求指導方針

2003 年，OHAI 開始透過背景調查流程，定期篩選進入錄取階段的應徵者。2012 年起，OHAI 開始要求應徵者必須在入職前接受藥物篩檢。

背景調查

OHAI 的應徵者背景調查流程各不相同，取決於應徵者的潛在角色與適用法律。例如，在適用法律允許的範圍內，美國與加拿大的背景調查包括以下項目：

  • 過去五年的雇用記錄；
  • 最高學歷驗證 (基於角色要求)；
  • 七年內的犯罪記錄調查；
  • 社會安全號碼追蹤 (僅限美國)；
  • 醫療制裁查核 (僅限美國)；
  • 全球制裁與執法查核；
  • 藥物測試 (僅限特定職位)；以及
  • 專業證書 (僅限特定職位)。

轉包商

OHAI 要求轉包商必須確保其為 OHAI 客戶提供服務的員工具備適當的能力與資格。轉包商人員必須根據所執行之服務，完成適用的背景調查；此類背景調查的嚴格程度必須至少與 OHAI 對其內部人員進行的背景調查相當。

第三方風險管理

OHAI 規定，共置服務提供方及其委託提供平台之供應商必須基於其存取資料與其他機密資訊的權限，適時簽署業務夥伴協議和保密協議。OHAI 要求其供應商填寫資料安全問卷調查，作為 OHAI 供應商評估流程的一部分。此外，OHAI 會基於供應商的風險概況，每年對其進行安全風險評估。

境外資源

OHAI 是一家全球公司，其辦公室與員工遍布世界各地。OHAI 目前的營運與支援模式包括在全球各地聘用員工。OHAI 可能會提供適用平台的臨時存取權，以從其代管地點以外的國家/地區進行存取。擁有平台存取權的所有員工都必須參與其特定角色相關的強制性教育與訓練活動，並遵守 OHAI 的安全政策與流程。出於合規目的，會追蹤並保留訓練記錄。

媒體銷毀

用於交付 OHAI 代管服務的所有儲存媒體會依據 OHAI 的電子媒體處置政策進行清除與處置。此政策遵循 HIPAA 安全規則、ISO 27001 和 NIST 800-88。

OHAI 可能會向客戶提供硬體，以便於在其所在位置使用。儲存在 OHAI 提供的硬體上、但位於客戶所在位置的任何資訊由客戶自行負責。在這種情況下，由客戶負責在硬體使用生命週期結束時，做出關於清除或銷毀資料儲存媒體的決定。


認證與稽核

OHAI 會定期進行內部評估並接受外部稽核，以調查其平台內部與 OHAI 營運活動中的控制措施，並驗證 OHAI 是否根據其安全計畫有效運作。

HIPAA - 1996 年健康保險可攜性和責任法案 (Health Insurance Portability and Accountability Act)

OHAI 已建立並維護符合 HIPAA (HITECH 修訂版) 要求的必要控制措施。HIPAA (內部或外部) 評估會每年進行一次，以調查在美國據點的所有相關公司與客戶環境。

SOC 1 與 SOC 2 Type II 證明

對 OHAI 的代管環境執行第三方證明，以評估並測試 OHAI 的 AICPA 信任服務原則 (涉及安全性、可用性和機密性) 相關風險緩解措施的效果。SOC 報告根據 AICPA SSAE 指導方針編製，專門針對 OHAI 所管理的代管服務與控制措施，目前包括以下代管地點：美國、加拿大和瑞典。SOC 報告據點會隨著 OHAI 檢視其持續變動的業務需求而發生變化。我們會與客戶合作，協助他們適時取得 OHAI 或共置提供方的適當 SOC 報告。

ISO 27001/27002:2022

OHAI 的資訊安全管理架構 (ISMF) 符合 ISO 27001/27002:2022 標準的原則，且 ISMF 的政策適用於大部分 OHAI 平台。

我們仰賴加拿大、瑞典、英國、法國和澳洲的共置資料中心和公有雲服務提供方，提供所需的實體與環境安全控制。我們的獨立稽核者表示，只有 Oracle Health 擁有的資料中心和辦公室，才可以標示並列入 Oracle Health 的 ISO 認證範圍。管理共置資料中心的流程，由 ISO 認證中標示的 Oracle Health 辦公室負責。Oracle Health 可以確認，其管理共置資料中心服務提供方內部資料中心的流程，已列入 Oracle Health 的 ISO 認證範圍。在全球各地委託的多個共置資料中心服務供應商，也都依循這種模式。Oracle Health 僅擁有美國境內的資料中心，這也是在認證中予以標示的原因。客戶若想確認特定共置資料中心服務提供方營運活動的安全性，必須參考該提供方本身的 ISO 認證。

滲透測試摘要報告

OHAI 會每年委託第三方對 OHAI 的平台進行外部滲透測試。OHAI 會收到一份滲透測試摘要報告，其中會說明執行的滲透測試，確認採用行業標準方法、測試工具與國家脆弱性資料庫來進行滲透測試，並識別平台內的已知脆弱性。OHAI 會基於風險來修正已識別的脆弱性，並透過主動監控的修正計畫來解決這些脆弱性。

PCI-DSS - 支付卡產業資料安全標準

OHAI 會取得第三方合規證明 (AoC)，證明其符合 1 級服務提供方的 PCI DSS 規範，能夠處理特定 OHAI 解決方案所支援的付款。若要進一步瞭解此 AoC 支援哪些 OHAI 解決方案，請聯絡您的 OHAI 代表。

歐盟-美國隱私保護盾架構 (EU-U.S. Privacy Shield Framework)

OHAI 已自行認證符合《歐盟-美國隱私保護盾》與《瑞士-美國隱私保護盾》。

支援客戶安全問卷調查

如果客戶要求完成安全問卷調查或評估，OHAI 將提供上述安全合規計畫中的適用第三方文件。如果可以提供額外文件，例如預先填寫的標準安全問卷 (CAIQ) 或第三方應用程式的供應商風險管理概況，也會一併提供。客戶可以利用這些報告，評估 OHAI 的安全態勢以及合約條款的合規性。我們將與客戶合作，回答這些標準交付項目未能涵蓋之合理且具體的安全評估問題。

我們的眾多安全控制措施之一是確保我們不會提供將 OHAI 或客戶暴露至額外風險的機密和敏感資訊。我們非常重視資料安全，因此當第三方稽核人員已驗證我們的安全計畫時，我們不會為了滿足特定敏感資訊請求而危害您的資料安全。