聯合醫院逾五萬病人資料外洩　私隱署指醫管局違反私隱條例已發執行通知

聯合醫院4月五萬多名病人資料外洩，私隱專員公署完成調查，指醫管局違反《私隱條例》，已發執行通知。

私隱專員公署新聞稿

1. 對承辦商的存取資料及活動監察不足；

2. 承辦商管理的系統欠缺以角色為本的存取管控；及

3. 保安風險評估及審計不足。

 
基於以上缺失，私隱專員認為醫管局未有採取所有切實可行的步驟，以確保涉事的個人資料受保障而不受未獲准許的或意外的查閱、處理、刪除、喪失或使用所影響，因而違反了《私隱條例》的保障資料第 4(1)原則有關個人資料保安的規定。

私隱專員已向醫管局送達執行通知，指示其採取措施以糾正違規事項，以及防止類似違規情況再次發生。

私隱專員希望藉此個案提醒持有大量個人資料的機構，在委託資料處理者維護資訊系統時，應採取以下機構性及技術性措施，確保個人資料安全：

• 透過嚴謹的合約條款規範資料處理者：訂立合約，明確訂明強制性的個人資料保安措施、就違反合約或未獲授權匯出資料訂定清晰的罰則、保留視察或審計權利，並要求即時通報事故；

• 建立獨立的監察及監督機制：獨立保管系統及資料匯出紀錄、規定承辦商定期提交活動報告，並要求內部資訊科技人員在承辦商職員接觸實體系統硬件時採取嚴謹的監察措施；

• 實施最小權限原則及嚴格的存取管控： 嚴格按照「有需要知道」原則限制承辦商的存取權限、避免讓承辦商持續擁有可全面存取敏感個人資料的管理員權限，並透過角色為本的存取管理停用或嚴格限制資料匯出功能；

• 保留主要行政擁有權及基礎設施控制權：優先由機構直接管理儲存大量個人資料的系統，並確保主要管理員憑證由內部人員掌握，避免將伺服器的全部控制權交予外部承辦商；及

• 定期進行保安風險評估及審計：定期就外判的高風險系統進行針對性保安風險評估，並規定承辦商定期提交獨立的保安審計報告，以核實其是否符合資料保安標準。

1. 對承辦商的存取資料及活動監察不足

調查發現，醫管局制訂的「資訊保安政策」規定須定期檢視資訊系統日誌資料，以識別未獲授權或可疑的活動。然而，醫管局解釋由於相關系統由承辦商負責維護，因此醫管局並無持有系統的存取或資料匯出日誌。此外，沒有證據顯示醫管局曾要求承辦商檢視相關日誌，或就其維護期間所執行的指令、存取的檔案或傳輸的資料提交報告。
 
醫管局對相關系統的行政控制有限，醫管局的資訊科技人員並無登入相關伺服器的登入憑證，而需依賴承辦商管理相關伺服器。此外，在外洩事件發生前，醫管局並無規定承辦商的維護人員進入聯合醫院的伺服器機房時，須由醫管局的資訊科技人員陪同。在缺乏監督的情況下，有關安排造成可預見的風險，即在獲授權進入處所進行維護工作期間，可能出現未經授權的活動或敏感病人資料被傳送的情況，而未能及時被發現。
 
總括而言，醫管局對相關承辦商存取系統資料及承辦商於聯合醫院的活動的監察並不足夠。醫管局應透過適當的日誌記錄、監察及檢視，以及實地監督，擔當更積極的監察及監督角色。
 

1. 承辦商管理的系統欠缺以角色為本的存取管控

醫管局解釋，承辦商須為相關系統提供支援及維護服務，當中可能包括系統設置及實施、更新和修補及相關備份、系統升級、系統應用程式的故障審視，以及維修或更換系統伺服器等硬件。為方便承辦商執行上述工作，醫管局認為承辦商有必要存取系統資料庫內的所有資料，包括個人資料。醫管局亦承認，承辦商在技術上可從相關系統匯出資料，但表示承辦商只可在獲醫管局批准後方可匯出資料。

私隱專員認為，醫管局應實施適當措施，確保授予外部承辦商的存取權限得到妥善管理，而承辦商的個別員工有清晰權限，同時限制資料匯出功能，或對該功能施加額外的審批、管控及監察，包括採用以角色為本的存取管控、承辦商存取權限的管理，或端點及資料保障措施。鑑於由承辦商管理的相關系統欠缺以角色為本的存取管控，醫管局僅依賴合約規定承辦商不得在未經批准的情況下匯出資料，顯然不足以減低相關風險，並增加個人資料被未獲授權查閱或匯出的風險。
 

1. 保安風險評估及審計不足

根據局方的「資訊保安政策」，醫管局須至少每兩年就高風險資訊系統進行一次保安風險評估。此外，資訊系統的審計須採用風險為本的方法，以確保員工遵從「資訊科技保安政策」，以及有效實施保安措施。作為替代安排，第三方承辦商須定期提交保安審計報告，以證明其已採取適當的保安措施。醫管局表示未有就屬於高風險資訊系統的受事件影響的系統進行獨立的風險評估，而醫管局於2024年進行的內部審計亦未有涵蓋相關系統及承辦商所提供的服務。此外，沒有資料顯示承辦商曾就醫管局透過合約委託其提供的服務提交任何審計報告。
 
醫管局既未有針對受影響系統及承辦商所提供的服務進行保安風險評估，亦未有就該等服務進行審計或取得承辦商提交的審計報告。這不但偏離醫管局本身的保安政策，亦未能達到其作為資料使用者應具有的資訊安全標準。由於缺乏相關評估及審計，醫管局未能有系統地識別、評估及減低與承辦商所提供服務的相關風險。

醫管局回應

醫院管理局（醫管局）發言人今日（十月三十日）表示，知悉個人資料私隱專員公署（公署）早前就今年四月九龍東醫院聯網一宗懷疑病人資料被盜取及非法上載至第三方平台的事件完成調查，並於今日發表調查報告。醫管局接納有關調查結果及建議，並會嚴肅跟進和採取適當行動。本局亦會持續加強資訊系統保安，確保醫院運作、病人服務和個人資料安全獲得嚴格保障。

本年四月，醫管局的恒常監察系統發現九龍東醫院聯網發生一宗懷疑病人資料被盜取的事件。事件屬個別個案，涉及周邊醫療系統的外判承辦商進行維護工作時存取資料的管理問題，導致部分病人資料被盜取。本局非常重視今次事件，隨即主動向警方及公署報告，警方其後以「不誠實使用電腦」罪名拘捕一名承辦商的職員。本局一直全力配合警方及公署的調查工作。由於警方仍在進行刑事調查，現階段不宜就相關案件進一步評論。

就公署對醫管局在個人資料保障方面提出的具體建議，本局深表重視。在上述案件發生後，九龍東醫院聯網已即時採取一系列措施，並進行了全面檢討，推行全方位策略以加強資訊系統保安及對外判承辦商的監管，當中包括公署所建議的步驟，以防止不法分子藉著維護系統，非法存取病人及員工的個人資料。有關措施包括︰

（一）嚴格要求所有承辦商人員現場存取系統時，必須由獲授權的醫院資訊科技人員陪同，並記錄承辦商人員的身分、存取目的、操作時間，以及帶進及帶離的設備；

（二）定期審查涉事資訊系統的資料存取，並要求承辦商定期向醫管局提交審查結果報告，匯報任何異常、未經授權或可疑活動；

（三）加強監管承辦商的存取權限、按職能配置資料存取權限、限制獲授權人員及獲批准情況下的使用，並僅可在特定獲批准的情況下允許資料匯出；及

（四）聯網資訊科技部門會聯同醫管局總辦事處資訊科技及醫療信息部根據醫管局《資訊保安政策》，定期就有關系統進行獨立保安風險評估及審查。

九龍東醫院聯網早前已透過不同渠道，通知及向所有受事件影響的病人和員工致歉。

發言人強調，醫管局一直高度重視資訊系統安全和個人資料私隱。本局會繼續全天候監察各資訊系統的運作情況，如果發現任何異常情況，會即時採取合適應變措施保障病人及員工私隱。本局亦會與公署等執法機構及專業網絡保安機構保持緊密聯繫，交流保安資訊及情報，持續提升系統保安，加強內部培訓、資料管理政策及指引，定期進行測試和檢討，並採取與時並進的保安技術及方案，以有效防止任何不法行為。