九龍東聯網病人資料4月曾外洩 醫管局：持續加強資訊保安
香港文匯報訊（記者 文森、張弦）醫院管理局發言人昨日表示，知悉個人資料私隱專員公署早前就今年4月九龍東醫院聯網一宗懷疑病人資料被盜取及非法上載至第三方平台的事件完成調查，並於昨日發表調查報告。醫管局接納有關調查結果及建議，並會嚴肅跟進和採取適當行動。局方表示，會持續加強資訊系統保安，確保醫院運作、病人服務和個人資料安全獲得嚴格保障。
個人資料私隱專員公署昨日發表有關基督教聯合醫院資料外洩事故的調查結果。經評估醫管局於外洩事件發生時對相關系統所採取的行政及技術性措施後，私隱專員鍾麗玲認為醫管局的3方面缺失是導致外洩事件發生的主因，包括對承辦商的存取資料及活動監察不足、承辦商管理的系統欠缺以角色為本的存取管控，以及保安風險評估及審計不足。
鍾麗玲批評，醫管局沒有採取所有切實可行的步驟，以確保涉事的個人資料受保障而不受未獲准許的或意外的查閱、處理、刪除、喪失或使用所影響，因而違反了《私隱條例》規定。鍾麗玲已向醫管局送達執行通知，指示其採取措施以糾正違規事項，以及防止類似違規情況再次發生。
醫管局表示，在上述事件發生後，九龍東醫院聯網已即時採取一系列措施，包括︰
（一）嚴格要求所有承辦商人員現場存取系統時，必須由獲授權的醫院資訊科技人員陪同，並記錄承辦商人員的身份、存取目的、操作時間，以及帶進及帶離的設備；
（二）定期審查涉事資訊系統的資料存取，並要求承辦商定期向醫管局提交審查結果報告，匯報任何異常、未經授權或可疑活動；
（三）加強監管承辦商的存取權限、按職能配置資料存取權限、限制獲授權人員及獲批准情況下的使用，並僅可在特定獲批准的情況下允許資料匯出；
（四）聯網資訊科技部門會聯同醫管局總辦事處資訊科技及醫療信息部根據醫管局《資訊保安政策》，定期就有關系統進行獨立保安風險評估及審查。
發言人強調，局方會繼續全天候監察各資訊系統的運作情況，又會與公署等執法機構及專業網絡保安機構保持緊密聯繫，交流保安資訊及情報，持續提升系統保安，加強內部培訓、資料管理政策及指引，定期進行測試和檢討，並採取與時並進的保安技術及方案，以有效防止任何不法行為。
