打造雲端個資防護　建立電子病歷管理安全

SafeNet台灣亞太區資深資訊安全顧問伍尚池

隨著雲端運算應用日益普及，智慧醫療也開始導入雲端服務，但衍生的資訊安全問題，卻不能不重視。

SafeNet台灣亞太區資深資訊安全顧問伍尚池指出，要了解雲端安全方面的挑戰，必須先了解誰該負責安全性。但事實上，許多雲端服務真正需要控管的資訊安全，用戶其實都管不到，但這些雲端服務商其實又不負責資料本身的安全，用戶必須要自己負責。

由於資料暴露於多客戶共享的環境中，加上雲端服務供應商的內部人員責任已經分攤掉，不會專注於特定資料的保護，雲端服務供應商甚至將責任轉移至資料擁有者，讓雲端服務其實有著基本信任與責任的問題。

此外，伍尚池也指出，新hypervisor技術與架構，已經重新定義雲端環境信任與鑑證，不管是虛擬化弱點或應用程式的惡用，都屬於全新的資安風險，而雲端法規已傾向要求強力的雲端控管。伍尚池表示，加密是實現雲端安全性的1項基本技術，也是最可靠的技術，除了可隔離多客戶共享環境內的資料，更已獲得分析師和專家肯定，可為雲端資料提供管控的基礎，更可建立展現資料法規遵循的高標準。

此外，用戶也必須考慮，從資料中心的戰術形式，轉移到雲端的戰略方案，透過實體管控、基本信任設計以及隔離資料等方法，增加對雲端服務的信任。

伍尚池強調，儘管加密本身未必能防止資料外洩，但由於法規規定，外洩的加密資料，可以視同未外洩，等於讓資料受到保護，而金鑰管理則可讓用戶順利存取受保護的資源，讓具備金鑰管理功能的強力加密技術，成為雲端運算系統應採納以保護資料的核心機制。

針對雲端及虛擬化環境的信任與控管需求，SafeNet特別提出「信任雲端架構」的概念，如轉移到虛擬化環境的使用者、資料、應用程式和系統，仍有足夠的管控與能見度，企業在進行雲端布署時，也能取得經過驗證的安全性和法規遵循策略，同時還有可布署任意組合的私有、混合或公共雲端模型，在用戶所需要的時候及地點，建置所需要的方案，才能與用戶的近程和長期科技與安全策略，做到無縫接軌，讓存放在雲端服務的資料，就像放在自己的公司一樣安全。

若要實際應用在電子醫療資料上，透過管控SaaS與雲端應用存取，伍尚池指出，可藉由集中化管理的認證機制，以保護電子醫療雲端應用程式存取；建立電子醫療法規遵循孤立以及多客戶共享環境之責任分攤，以維護未管控的虛擬執行個體安全。

此外，利用安全執行個體加密與認證，以維護虛擬機器的信任與管控，或是藉由加密的資料隔離，以維護共享儲存環境的資料隱私，達到虛擬儲存安全的目標，更是雲端服務能否取得用戶信任的關鍵。

而為了在確保雲端應用安全的同時，不會衝擊效能，勢必要做好多客戶共享環境的雲端應用程式資料保護，如確保雲端數位簽章和PKI的安全，確保資料真的是從雲端服務所產生，落實雲端身分識別與異動處理的安全管理。

另外一個需要注意的雲端安全問題，就是大量敏感資料傳輸，尤其是電子病歷或遠端醫療等醫療資訊或服務，更需要注意雲端通訊安全。因此，從醫療機構到雲端的資料高速加密，同時兼顧資料備援及即時資料傳輸技術，更是雲端服務安全不可或缺的項目。伍尚池指出，資料保護應該要涵蓋整個生命週期，資料在其生命週期內的各個關鍵點，用戶才能有效適應變化並掌握行動先機。