我國自民國84年實施全民健保迄今，健保資料庫收載2,300萬名以上國民之就醫資訊，健保署105年度至112年度間合計投入5億元資訊安全相關預算，冀符合資訊安全要求。經查：
(一)健保資料庫涵蓋自84年度迄今2,300萬以上國民之就醫資料，105年度至112年度共編列5億餘元資安經費
我國健保資料庫涵蓋逾2,300萬名國民之就醫紀錄、2萬家以上特約醫療院所資料、每年8.5億筆就醫資料(含3.5億筆申報資料、5億筆檢驗檢查與醫療影像資料)，且自84年全民健保開辦後即持續迄今。因健保資料庫龐鉅，政府持續更新相關軟硬體設施，為應資訊安全需求，105年度至112年度健保署於公務預算及基金預算合共編列5億7,255萬元(詳表2-4-1)，期提升健保資料庫之資訊安全。
(二)健保署資通安全責任等級經核列為A級機關，係資通安全責任等級最高級別
資通安全責任等級分級辦法自108年1月1日起施行，依該辦法第2條規定，健保署(含健保資料庫)之資通安全責任等級經核列為A級機關，係安全責任等級最高級別，而第11條規定之應辦理事項，健保署108及109年度皆為25件，110年度起因增列「資通安全弱點通報機制」與「端點偵測及應變機制」2項，爰110及111年度均增至27件(詳表3-4-1)。
資通安全責任等級A級機關應填報資料眾多，舉其要者諸如資通安全健診、資通安全弱點通報機制、資通安全防護及資通安全教育訓練等；檢視健保署填報資料，該署已發現問題皆已改善，而資通安全教育訓練部分108至111年度一般使用者及主管均符合規定。
表3-4-1 108至111年度健保署辦理資通安全等級A級之應辦事項表
項目
辦理細項
108年度
109年度
110年度
111年度
資通系統分級及防護基準
已針對自行(委外)開發之資通系統完成資通系統分級，並完成資通系統防護基準之控制措施。
資訊安全管理系統導入及通過公正第3方驗證
資訊應用系統(含核心資通系統)已完成ISO 27001導入。已完成公正第三方驗證且持續維持有效性。
資通安全專責人員
資安專職人員數量已達法遵要求。
內部資通安全稽核
7個單位受稽，39項改善建議皆改善。
3個單位受稽，27項改善建議皆改善。
6個單位受稽， 44項改善建議皆改善。
10個單位受稽，30項改善建議皆改善。
業務持續運作演練
完成11個核心資通系統持續運作演練。
完成10個核心資通系統業務持續運作演練。
資安治理成熟度評估
已完成評估，結果為3級。
安全性檢測
弱點掃描
已完成。
1項弱點，已修補。
41項弱點，已修補。
發現0項弱點。
滲透測試
已完成全部核心資通系統滲透測試。
資通安全健診
網路架構檢視
發現2項中風險及3項低風險，已改善。
發現0項問題。
網路惡意活動檢視
發現4問題，已改善
發現2問題，已改善
發現1問題，已改善
發現0項問題。
使用者端電腦惡意活動檢視
執行138台電腦，發現0項問題。
執行1,762台電腦，發現0項問題。
執行1,951台電腦，發現0項問題。
執行3,072台電腦，發現0項問題。
伺服器主機惡意活動檢視
執行25台伺服器，發現0項問題。
執行661台伺服器，發現0項問題。
執行291台伺服器，發現0項問題。
執行481台伺服器，發現0項問題。
目錄伺服器設定及防火牆連線設定
發現0項問題。
發現1問題，已改善
發現0項問題。
發現3問題，已改善
資通安全威脅偵測管理機制
本機關已完成威脅偵測機制建置。
政府組態基準
已完成政府組態基準導入作業。
除Google Chrome、Microsoft Edge部分導入，餘套用所有GCB。
已完成政府組態基準導入作業。
已完成政府組態基準導入作業。
資通安全弱點通報機制
已完成資通安全弱點通報機制導入。
端點偵測及應變機制
已完成端點偵測及應變機制導入。
資通安全防護
防毒軟體
已建置防毒軟體，持續使用及適時進行軟硬體之必要更新或升級。
網路防火牆
已完成網路防火牆之建置，持續使用及適時進行軟硬體之必要更新或升級。
具郵件伺服器應備電子郵件過濾機制
電子郵件伺服器已具備電子郵件過濾機制，持續使用及適時進行軟硬體之必要更新或升級。
入侵偵測及防禦
已建置入侵偵測及防禦機制，持續使用及適時進行軟硬體之必要更新或升級。
對外服務之核心資通系統應備應用程式防火牆
對外服務之核心資通系統已具備應用程式防火牆，持續使用及適時進行軟硬體之必要更新或升級。
進階持續性威脅攻擊防禦措施
已建置進階持續性威脅攻擊防禦措施，持續使用及適時進行軟硬體之必要更新或升級。
資通安全教育訓練
資通安全專職人員
均已符合規定。
資通安全專職人員以外之資訊人員
均已符合規定。
一般使用者及主管
均已符合規定。
資通安全專業證照及職能訓練證書
資通安全專業證照數量及資通安全職能評量證書數量已達法遵要求。
資料來源：健保署提供。
(三)依健保署填報資料，該署108至111年度資安A級機關應辦事項皆符規定，惟108年度至112年4月底止共通報7件資安事件
健保署除依「資通安全管理法」及「資通安全責任等級分級辦法」填報辦理情形外，若發生「資通安全事件通報及應變辦法」第2條所列4級資通安全事件(第1級最輕，第4級最嚴重) ，尚須依同辦法第4條規定進行通報。
健保署105年度至107年度依行政院相關規定共通報3件資安事件，108年度實施「資通安全事件通報及應變辦法」後，108年度至112年4月底止共通報7件資安事件，包括第1級2件、第2級3件及第3級2件(詳表3-4-2)。至109年度以後資安事件樣態包含民眾信箱遭植入惡意木馬、官網問卷調查網頁被上傳惡意程式及疑似健保署同仁利用職權外洩查詢資料等。
表3-4-2 105至112年4月依規定須通報之資安事件簡表
通報日期
資安事件等級及概述
處理方式概述
105/02/26
1
國家資通安全研究院通報健保署ROUTER疑似攻擊衛福部
1.研判係某醫事機構設備有惡意碼，透過健保署ROUTER攻擊衛福部，因容量限制而無法追蹤IP。
2.請ROUTER廠商研究增加LOG容量的方案。請國家資通安全研究院持續監控，健保署亦持續觀察。
106/10/06
3
網站遭植入web shell
重新安裝受駭伺服器之作業系統及網頁程式、變更健保署伺服器密碼、針對惡意程式製作病毒碼並完成全署掃毒。重建AD網域主控站、調整強化DMZ網路架構。登入機制搭配Token，改為雙因子驗證。
107/04/09
2
Core Switch 內ACE模組異常
健保署VPN及雲藥系統網頁無法顯示。無法及時排除異常而切換至臺中機房單邊營運，對外恢復服務。
108/02/18
3
健保卡系統認證服務量大致系統壅塞，部分院所認證無法完成
1.確認系統運作正常，只是作業量較大，於切換臺北臺中雙邊營運後恢復正常。
2.調整健保安全模組卡認證作業同時服務之機制。
108/05/09
3
健保卡報稅元件遭反組譯，曝露健保署憑證內容
108/05/09申請及核發新憑證、完成健保卡元件更新，並通知財稅中心。健保署內系統完成新憑證更新作業。次日廢除舊憑證。
109/08/07
2
民眾信箱遭植惡意木馬，入侵公文伺服器
1.暫停民眾意見信箱服務,重建該信箱伺服器。
2.防火牆封鎖惡意來源IP。修補程式漏洞。
109/10/06
1
健保署與NVIDIA進行AI模型共同學習研究之主機異常連線
左列主機存放外網未與內網連接，發現異常即關機，並將硬碟格式化。該設備供某計畫使用，因計畫結束且後續無使用需求，故將設備下架。
110/02/04
1
多個Cloudflare可疑域名進行查詢行為
1.經檢視所下載免費軟體含惡意碼，疑似該惡意碼針對多個Cloudfare可疑域名進行DNS查詢行為，進一步檢視本署相關設備無受其感染情形。
2.將該測試個人電腦重新Format後重灌系統。外部測試主機若需移入內網使用前應Format重灌。
110/08/24
2
官網問卷調查網頁被上傳惡意程式
受駭之伺服器重新建置乾淨版本。移除被駭客入侵網頁。變更伺服器所有本機帳號密碼、更新系統設定。
112/01/10
2
檢調搜索及約談調查健保署同仁，疑似同仁利用權限將查詢資料外洩，目前仍為疑似案件未有具體證據，檢調調查釐清中。
1.健保署涉案人員已調離主管職務，並關閉健保資料查詢權限，將視檢調偵查結果，追究行政責任。
2.健保署於112年1月啟動行政檢討，自我審視資訊系統管控及稽核機制，並針對人員管理檢討策進，於112年3月3日完成資安強化檢討報告，針對「加強權限監控管理及資料銷毀機制」等面向策進。
資料來源：健保署提供。
(四)對承保系統查詢大量機敏資料雖訂管理機制，惟健保署於檢調調查後始發現同仁涉嫌外洩查詢資料，管控亟待強化
有關健保署同仁疑似利用權限將查詢資料外洩案，依該署112年1月新聞稿「…健保署涉案同仁均辦理承保業務10餘年。…涉案人員是負責承保業務且無個人就醫查詢權限。」該署另說明健保承保系統之管理如下：
1.健保署資訊系統之控管及申請流程係依ISO 27001國際資安標準訂定之資安管理文件「資訊存取控制作業程序書」辦理。
2.應用系統權限申請流程：承辦人申請承辦業務所需查詢權限經主管審核同意，復經資訊單位審核後完成授權，流程皆留存紀錄。健保署每半年執行應用系統權限清查、每週及每月產出同仁查詢次數統計表予直屬主管。針對大量機敏資料查詢，如當月調閱資料量較基期(前3個月平均數)增量達一定比例，系統自動寄發報表予該直屬主管及當事人進行管控。
健保署雖訂定上開監督機制，惟該機制僅提供報表予直屬主管及當事人，然針對查得資料之去向用途、是否逾公務使用等，以增量進行管控且僅寄發當事人及其直屬主管妥適性，均待檢討精進；其中大量查詢是否異常或需通報更高階主管或資訊人員等亦待研擬，顯示該署對於國人健康機敏資料之管理機制仍需檢討強化。
綜上，健保署資訊系統既通過資通安全等級A級機關之應辦事項，且108年度至111年度一般使用者及主管之資通安全教育訓練皆符合規定，惟108年度至112年4月底止共通報7件資安事件，且經檢調調查後始發現同仁涉嫌外洩資料情事，凸顯資訊安全管理仍有極大改善空間。