健康與醫療資料的加值應用（四）：政府預計推動的電子化醫療政策？

• 作者／ 布萊恩‧柯尼罕（ Brian W. Kernighan）
• 譯者／ 李芳齡

網路的普及

回想第六章中敘述的電腦運算使用模式，你有一台或好幾台個人電腦，你讓個別應用程式執行不同的工作，例如用 Word 製作文件，用 Quicken 或 Excel 做你的個人財務，用 iPhoto 管理你的相片。這些程式雖可能連結網際網路以取得一些服務，但它們在你的電腦上運轉，你可以不時地去下載一個修補了漏洞的新版本應用程式，偶爾可能得購買一個升級版以取得新功能。

這個模式的本質是，程式和資料都在你自己的電腦上。若你在一台電腦上修改了一個檔案，然後在另一台電腦上需要這檔案，你必須自己做轉移。若你在辦公室或外出旅行途中需要一個儲存於你家中一台電腦上的檔案，那就麻煩了。若你需要在一台視窗個人電腦和一台麥金塔電腦（Mac）上都有 Excel 或 PowerPoint，你必須為兩台電腦各買一個程式。上面說的這些情況，還沒把你的手機包含在內哦。

另一種不同的模式是愈來愈普及：使用瀏覽器或手機去存取及操作儲存於網際網路伺服器上的資訊。Gmail 或 Outlook 之類的郵件服務是最普遍的例子，你可以從任何一台電腦或手機存取你的電子郵件，可以上傳一封在本機上撰寫的郵件訊息，或是下載郵件訊息至本機檔案系統，但多數時候，你把資訊留在提供服務的伺服器上。

你不需要做什麼軟體更新，但不時會有新功能出現。你通常是在臉書上跟朋友保持聯繫或觀看他們的照片，但交談及照片儲存在臉書，不是儲存在你自己的電腦上，這些服務是免費的，唯一可見的「成本」是當你閱讀你的郵件或查看你的朋友在做什麼時，你可能會看到廣告。

科技未來趨勢——雲端運算

這種模式通常被稱為「雲端運算」（cloud computing），因為網際網路被比喻為「雲」，沒有特定的實體位置，資訊被儲存於「雲端」的某處。

電子郵件和社交網路是最常見的雲端服務，但還有很多其他的雲端服務，例如多寶箱（Dropbox）、推特、領英、YouTube、線上行事曆等等。資料不是儲存於本機，而是儲存於雲端，亦即雲端服務供應商的伺服器上：你的電子郵件及行事曆儲存於谷歌的伺服器，你的相片儲存於多寶箱（Dropbox）或臉書的伺服器，你的履歷表儲存於領英的伺服器等等。

雲端運算的問世，得力於多個因素的匯聚。個人電腦變得愈來愈強大的同時，瀏覽器也是，瀏覽器現在能夠有效率地執行顯示要求很高的大程式，儘管使用的程式語言是直譯式的 JavaScript。對多數人而言，現在的頻寬及用戶端與伺服器端之間的延遲（等候時間）遠優於十年前，這使得資料的傳送與接收更快，甚至在你輸入搜尋詞時，當即反應你的鍵擊，在你還未輸入完之前，就列出一些建議的搜尋詞。結果是，以往需要一個單獨的程式去處理的絕大多數使用者介面操作，用瀏覽器就能搞定，在此同時，使用一台伺服器去承載大量資料，執行任何複雜運算。這種組織方式也在手機上運作得很好：不需要再下載一款行動應用程式。

以瀏覽器為基礎（browser-based）的系統的反應速度可以媲美以個別電腦為基礎（desktop-based）的系統，並且讓你可以從任何地方存取資料。

以來自谷歌的雲端「office」工具為例，它提供文書處理器、試算表、以及簡報程式，讓多使用者可以同時存取使用及更新。（譯註：以瀏覽器為基礎的系統又稱為 web-based，或稱「brower-server model」，簡稱 B/S 模式，指的是透過瀏覽器去使用網路上的軟體來執行各種工作；以個別電腦為基礎的系統又稱為 client-based，或稱為「client-server model」，簡稱 C/S 模式，指的是必須在每台電腦上安裝各種軟體來執行各種工作。）

雲端工具的快速崛起

一個受到關心的議題是，這些雲端工具會不會最終運轉得夠好而完全取代以個別電腦為基礎的版本。你大概可以想像得到，微軟非常關心這個，因為 Office 軟體佔該公司營收的相當比重，而 Office 主要在視窗作業系統上執行，微軟的其餘營收大多來自視窗作業系統。以瀏覽器為基礎的文書處理及試算表不需要來自微軟的任何軟體，因此將威脅到微軟的 Offic 及視窗作業系統這兩大核心業務。

目前，谷歌文件（Google Docs）及其他類似的系統還不具備 Word、Excel、及 PowerPoint 的所有功能，但科技進步史中充滿這樣的例子――明顯較差的系統問市，搶走認為此系統已經夠好的新使用者，漸漸侵蝕在位者的市場佔有率，並且持續改進本身的功能。微軟顯然很清楚這問題，實際上，為因應此問題，該公司已經推出雲端版本的 Office 365。

以網路為基礎（web-based，亦即以瀏覽器為基礎）的服務其實對微軟及其他供應商具有吸引力，因為易於採用訂閱收費模式，用戶必須持續付費以取得服務。但是，消費者可能偏好一次性購買軟體，必要時再付費升級。我目前仍然在我的較舊的麥金塔電腦上使用 2008 年版本的 Microsoft Office，它運作得很好（在此應該稱讚微軟），而且，它仍然偶爾獲得安全性更新，因此，我並不急於升級。

雲端運算仰賴用戶端的快速處理及大量記憶體，以及伺服器端的高頻寬。用戶端的程式是用 JavaScript 語言撰寫的，通常錯綜複雜。JavaScript 程式重度要求瀏覽器更新及快速顯示圖形資料，敏捷反應使用者的動作（例如拖曳）及伺服器的動作（例如更新的內容），這已經是夠難了，難上加難的是，瀏覽器版本與 JavaScript 版本之間的不相容性，需要雲端服務供應商找出傳送程式給用戶端的最佳方法。不過，伴隨電腦運算速度愈來愈快，以及更加遵從標準，這些都在進步中。

雲端運算可以在「於何處執行運算」和「處理過程中把資訊寄存於何處」這兩者之間作出取捨，例如，使 JavaScript 程式與特定瀏覽器脫鉤的方法之一是，在程式本身裡頭包含測試，譬如：「若瀏覽器是 Firefox 75 版，就執行這個；若瀏覽器是 Safari 12 版，就執行那個；若為其他瀏覽器版本，執行別的。」這樣的程式比較大，意味的是，需要更多頻寬來把 JavaScript 程式傳送至用戶端，而且，程式中增加的測試可能使瀏覽器運轉得較慢。另一種方法是，伺服器可以詢問用戶使用的是哪種瀏覽器，然後傳送針對這款瀏覽器撰寫的程式，這程式可能更簡潔，執行得更快，不過，對於原本就小的程式，差異可能不大。

網頁內容可以用不壓縮形式傳送，這樣，用戶端及伺服器端需要的處理工作較少，但需要較多的頻寬來傳輸；或者，用壓縮形式來傳送網頁內容，傳輸時需要的頻寬較少，但兩端需要增加處理工作。有時候，只有一端做壓縮處理，大型 JavaScript 程式經常被壓縮，移除所有不必要的空白，讓變數及函式使用一或兩個字母的名稱，壓縮後的程式是人類看不懂的，但用戶端電腦不在意。

儘管有技術性挑戰，若你總是能連上網際網路的話，雲端運算的優點很多。它們供應的軟體總是最新的，資訊儲存於專業管理的、有大容量的伺服器上，客戶資料隨時都有備份，幾乎沒有遺失的可能。一份文件只有一種版本，不會發生同一份文件在不同的電腦上可能有不一致版本的情形，而且，很容易即時共享文件及通力合作。雲端服務的價格很便宜，個人消費者往往可以免費取得，但企業客戶可能得付費。

——本文摘自《普林斯頓最熱門的電腦通識課》，2022 年 2 月，商業周刊。

作者：潘人豪助理教授，元智大學大數據與數位匯流創新中心

最近時常帶著來台灣受訓考察的外國朋友，到國內大型醫院做數位化醫院的介紹與教學。當中最讓人感到有趣的，就是這些來自發展中國家的朋友們，對台灣高度資訊化的醫療現場、醫院流程總是處處充滿著驚奇與讚嘆，但這些資訊化的醫院程序，對於居住在台灣的我們來說，彷彿理所當然般的熟悉，但，我們是否有曾經思考過，這些再普遍不過的醫院就醫流程，到底是怎麼發生在我們身活的周遭裡呢？

不知你是否曾想過，當你到醫院看病時，必須與所有病人擠在鐵閘門外彷彿沙丁魚罐頭般毫無秩序的等待著自己名字被呼喊，而醫生則彷彿珍奇異獸般在那保護周密的籠子裡幫人看診。不知你又是否能想像，當醫生要求你要拍攝 X 光片或檢驗時，你必須等到「改天」再回來「戶外」的放射間拍攝，隨後「改天」自行回來找你的 X 光片後，再「改天」重新化身沙丁魚回診讓醫生幫你看片做診斷，而這手沖的 X 光片，並沒有人會幫你分類保管，而是要你自己好好地攜帶保存，更不用說醫院會保存那屬於你的病歷資料。而這些才是屬於當地人們理所當然的日常生活。

在世界名列前茅醫療資訊高度發展的台灣，看診時從網路掛號、候診順序、診間病歷調閱、醫師醫令、處方開立，一直到放射影像存取、檢查檢驗資料儲存等等，無數的數據資訊悄悄的在我們沒有注意的時候在醫院各個角落中傳遞、交換、儲存，在你拍完 X 光片還沒走回診間時，X 光設備便已經透過光纖將你的資料送達儲存在資訊機房設備中，當你返回醫師診間時，醫生便能透過診間電腦進行調閱診斷。同時，大多數你的生理檢驗資訊，同樣的在你回診時得以從電子病歷中檢索。這些我們感覺理所當然資訊處理，在發展中國家甚至需要一個月時間才能完成所有步驟，但在台灣我們只要一天甚至一個早上便達成了！

這一切正是仰賴醫學資訊分析的與醫療大數據交換處理。醫學大數據的產生，主要歸功於醫療設備數位化及電子化病歷發展兩大領域的突破，透過儀器數位化（如放射設備、檢驗設備與電子訊號儀器等），醫院得以獲得更多病人疾病與健康資訊紀錄。然而在病人醫療診斷上，為了妥善紀錄病患個人資料、診斷資料與過往醫療紀錄、照護紀錄與前面提及的放射、檢驗結果等，即促成了電子病歷系統發展。

電子病歷的發展由過去由紙張紀錄抄寫、早期的數位化紀錄病人個人資訊、生理數據與疾病健康資訊紀錄的電子健康資訊系統（electronic health record，EHR），一路發展至目前國內醫療院所普遍使用，醫師可於診斷時在診間電腦進行病歷、檢查檢驗、放射影像數據等資料調用的病歷資料電腦化系統（computerized medical records，CMR），再到目前當紅發展，藉由設備間共通協定進行資料的交換串接，實現自動資訊蒐集的醫療記錄自動化系統（automated medical record，AMR），如自動化檢驗設備流程平台、移動護理資訊系統等等透過電腦自動化數據傳輸將檢體檢驗數據結果或是病人生理資訊，自動將該檢體與病人條碼自動配對與結果回傳儲存，取代以往的人工抄寫輸入流程。

醫學大數據發展的軌跡由過去紙張記錄、紙本資訊數位化、醫學紀錄儲存到現今多資訊整合，其數據量驚人的成長，不僅由過去個人社經資訊、診斷資訊等文字媒介，更擴展到多媒體影像資訊（X 光影像、高解析靜態影像）、動態視訊影像資訊（如磁振造影（magnetic resonance imaging, MRI）動態影像檔、內視鏡攝影）以及電訊號資訊，如心電圖（Electrocardiogram, EKG / ECG）、腦波訊號（Electroencephalography, EEG）等等，這些龐大醫學數據的彙集與高度整合技術能力，正是台灣醫學資訊發展超群的主因，同時更顯見醫學數據發展的多元應用與其重要性。

當今醫學大數據的發展趨勢，架構在臨床、非臨床、放射、檢驗、公共衛生以及醫療保險各領域之資訊彙整上，所衍生之各種分析、整合技術與服務，我們可以從麥肯錫公司（McKinsey & Company）於 2013 年所發表的 The “big data” revolution in healthcare 趨勢報告了解，未來醫學大數據發展及應用所朝向的五個目標，將鎖定在提供人們更佳的生活品質（Right living）、更安全的醫療照護（Right care）、更具水準的醫事人員（RIght provider）、產出更高醫療價值與降低醫療成本（Right value）以及更多創新（Right Innovation）醫療應用，其含括層次包含個人、醫事工作者、醫療單位、設施以及公共群體、政府政策與國際健康衛生，由下至上皆直接受惠於醫學大數據應用之發展，就像目前當紅的健保資料庫加值應用、穿戴式裝置的個人健康管理、遠距照護的資訊傳遞、個人保健雲，許許多多的創新應用都說明了醫學大數據未來的重要性與發展潛力。

在百花齊放的醫學大數據應用中，最後我們可以稍稍反思一下，依據 2012 年 10 月實施之新版個資法規範，如何確保隸屬於極端隱私的個人醫療資訊於大數據計算載體間傳遞並且符合個人資料保護原則、資料歸屬權與道德隱私等議題，相信會是未來醫學大數據發展的另一波衝擊與探討重點。當我們在享受就醫的便利與各種個人健康數據管理裝置、軟體的介入下，你是否開始認識自我資訊隱私的安全保護呢？

醫學大數據小辭典：

• 醫學影像存檔與通信系統（Picture archiving and communication system，PACS）：在過去紙本化醫療紀錄制度中，影像資料如X光片、電腦斷層掃描（CT）、核磁共振（MRI）、超音波影像，僅能由專業儀器或是直接沖洗底片才得以讓醫師進行觀察與診斷。因此病例管理便顯得特別重要，因為若無法有效檢索，影像底片自然無處可尋。因此在許多開發中國家，甚至採用膠片讓病患自行帶回的方式，自行管理以避免資料丟失。但在PACS系統的發展後，透過數位化影像擷取技術將過去需要做底片沖洗的過程直接以數位化方式取代，並採用網路進行存取，醫事人員得以在診間，甚至病床端直接進行影像分析與診斷，更避免了過去實體文件儲存所花費的高額成本。（資料來源：潘人豪助理教授，元智大學大數據與數位匯流創新中心）

• 電子病歷 （Electronic medical records，EMR）：紙本化手寫病歷是醫發展重要工具之一，透過對病況的紀錄與編撰，醫事人員得以瞭解該病患的疾病歷史、生理、心理狀況等資料，因此在醫師的訓練過程中，如何客觀評估病人狀態並給予正確診斷、處置並紀錄於病歷中，便是一門大學問，也因此發展出所謂的SOAP （ Subject, Objective, Assessment, Plan）紀錄方法。然而在醫院規模的成長，病歷的管理、儲存與調閱便越顯困難，在許多開發中國家甚至因為無法有效儲存，導致每次的看診都需重覆建檔，因而造成病人的醫療品質低落。而電子病歷便是因此而發展出，透過電腦建檔，電子病歷便可以在電子載體中儲存、複製與傳輸，更不會受限於紙本調閱在空間與時間上造成的成本耗損，醫事人員可以在醫院內任何受權存取的電腦或設備上進行讀取（前提是經過身份核準），而當下的電子病歷更大幅擴展到包含實驗室資訊、檢查報告、數據、護理紀錄，生命徵象紀錄，藥物使用記錄等等，將病人的疾病資料更加完整的整合，以提供醫師更精確的疾病資料以維持醫療品質與病人就醫安全。（資料來源：潘人豪助理教授，元智大學大數據與數位匯流創新中心）

想了解更多大數據知識，歡迎訂閱元智大學大數據匯流電子報創刊號  

還記得 疑似置入行銷的 「iMessage 超安全！」 新聞嗎？ Snowden 爆料 NSA 透過科技大廠監聽之後， 蘋果甚至還 公開聲明： 「比方說， 如果你採用 iMessage 或是 FaceTime 對話， 這些對話都是從頭到尾加密的 — 只有對話雙方能夠看見其內容。 就連蘋果都無法解密。」 但事實是： iMessage 的詭異設計， 讓 「掌握網路架構的單位/人士 E」 可以把自己安插在 D 與 B 兩人的對話當中， 面對 D 時假裝自己是 B， 面對 B 時又假裝自己是 D， 不只可以監聽， 還可以捏造對話。 這種攻擊方式叫做 中間人攻擊 （Man in the Middle Attack）。 巧的是， 日前行政院發到全國公教單位的 「行動裝置資通安全注意事項」 公文當中所大力推薦的 Mobile Device Management （MDM） 技術， 正好讓各單位的網管人員握有 「對 iMessage 進行 MitM」 所需要的一切條件。

法國資安公司 QuarksLab 公司兩位專家 “Pod2G” （Cyril Cattiaux） 跟 “GG” 逆向工程分析蘋果電腦號稱極安全的 iMessage， 並且展示如何監聽甚至捏造對話， 也證實了蘋果的宣示根本是誤導消費者。 日前他們在吉隆坡的 Hack In The Box 會議上， 逐步展示如何攔截兩部 iPhone 之間的 iMessage 對話。 新華網中文報導： 安全人員聲稱：蘋果公司可以解密iMessage。 英文報導： The Verge、 Mac World。 大推 zdnet 這篇， 連結最豐富、 重點最精確。

首先， 破解者在 部落格文章 裡面就開宗明義地強調： 他們的研究只證明蘋果 有能力 攔截你的 iMessage， 但並沒有指控蘋果 已經或正在 這麼做。 蘋果電腦最新的 否認聲明 只是更加證實了 Cattiaux 指出的安全漏洞是存在的： 「這一研究討論了理論上的可能性…但蘋果壓根沒這個打算。」

以下大部分 (還有上面的截圖) 摘要自 簡報檔。 沒錯， iMessage 兩造之間的對話， 確實採用公開、 經過資安專家檢驗的 RSA 與 ECDSA 演算法加密。 但是在一般正常的 非對稱式加解密 架構裡， 全世界的人都可以看見全世界的人的公鑰， 這樣發話者才能確認自己是在跟誰講話。 奇怪的是：蘋果本身在處理 SecureBoot 跟開發者憑證時， 至少都會如此確認身份（p.10, “certificate pinning”）； 但在處理 iMessage 時， 蘋果電腦不僅幫發話者把收話者的姓名電話等資訊轉換成公鑰 （這樣做有道理， 因為這樣用起來比較方便） 甚至還有點刻意地 不讓通話者看見彼此的公鑰。 （p.77） 就連我這個非資安本行也不可能設計出這種完全違背 「消費者資安保護原則」 的架構； 而蘋果竟然會這樣設計， 你不覺得可疑嗎? 我個人的判斷是： 這一點都不像是不小心造成的漏洞， 反而比較像是刻意安置的後門。

總之， 這也造成了簡報中所指出的漏洞： 如果有人入侵蘋果管理 iMessage 的伺服器， 那麼當他面對發話人時， 便能夠用自己的公鑰取代收話人的公鑰 （也就是假扮成收話人）， 然後轉過身來面對收話人時， 又可以用自己的公鑰取代發話人的公鑰 （也就是假扮發話人）。 他可以捏造對話 （如簡報截圖所示）； 但是更可怕的可能是： 他可以不動聲色地坐在兩造當中完全不失真地傳遞資訊， 這樣兩造更不會懷疑遭到監聽。 此外， MitM 攻擊者還可以直接看到對話雙方的 AppleID 密碼。 (p.11) （一般正常做法是僅傳遞 hash 過的密碼。） 以上這一切， 都不需要取得兩造的私鑰。

如果入侵者可以這麼做， 那麼蘋果有沒有能力這麼做？ 對照先前蘋果的聲明， 如果照字面的意義去解釋， 你可以說 「連蘋果都無法解密」 這句話並沒有說謊； 但是蘋果並沒有告訴你： 它有能力假扮通話的對方， 不需要解密就可以直接取得你們對話的內容。

不過， 姑且讓我們對這個可能性視而不見、 暫時繼續假裝蘋果電腦很善良、 假設它本身不會這麼做吧。 駭客想要入侵蘋果電腦伺服器， 應該沒那麼簡單對吧？ Pod2G 跟 GG 指出： 再一次採用類似上述的 「假扮」 技巧， 駭客根本就不需要 入侵 蘋果電腦的伺服器， 只需要 把自己安插在 用戶與蘋果電腦之間， 或是直接 假扮成 蘋果電腦的伺服器就可以了。 需要有多大的權限才能做這樣的事？ （69 頁到 73 頁， “III.4.APPLE BYPASS”） 基本上就是掌握網路的那個人或那個組織。 誰能掌握全球的網路？ 當然是 NSA。 （而且已證實 NSA 確實躲在全球骨幹網路底下監聽）。

如果只有 NSA， 那也就罷了， 反正我們上至總統府國安局， 下至各個卓越大學， 還不是繼續使用 安裝有 NSA 後門的微軟 Windows ：-） 在現今大學評鑑的架構之下， 資訊教授 （含電算中心主任） 最重要的任務是衝高各種數字績效 — 例如論文點數或學生證照數 — 而不是關心時事、 保護大家的資訊安全， 這是我們全國的共識， 對吧？

問題是： 符合 「攔截 iMessage」 要件的 ， 不只是 NSA。 如果你是公司的網管， 再加上一點點額外的條件 （下詳）， 你就可以攔截 iMessage 的對話。 如果對話雙方的 iPhone/iPad 都座落在你管的區網之內， 那麼你就可以扮演圖中 Evil 的角色； 如果對話雙方當中至少有一方的裝置落在你的管轄範圍之外， 那麼你只好把訊息乖乖地交給蘋果處理。

網管還需要什麼樣 「一點點的額外條件」？ 你必須要能夠在公司員工的 iPhone/iPad 上面安插一個假的憑證， 讓那部機器相信你所架的監聽伺服器就是蘋果的伺服器。 如果貴公司/貴機關/貴校的主管響應 行政院的呼籲， 大力推動採用蘋果的行動裝置及 MDM 技術， 那麼你甚至不需要逐隻手機設定， 只需要把這一小小個憑證透過 MDM 廣播到員工的行動裝置上， 就 Bingo 了！ 報告指出： （p.12-14） 事實上， 你的裝置必須曾經被 iPhone Configuration Utility 碰過一下， 才會顯示 「已認證」， 而這個東東恰好會在你的裝置裡默默地安插一個（不知名的?）憑證。 這裡我沒有讀很懂， 聽起來意思好像是說必須曾遭狼吻才會得到「通過!」的標章。

Pod2G 跟 GG 不只指出 iMessage 的後門， 也分享 iMITMProtect 這支程式幫 iPhone/iPad 的用戶堵住這個後門。 不過它只能安裝在越獄 （jail break） 過的裝置上面； 當然， 如果你堅持不肯越獄， 堅持選擇相信蘋果和行政院的建議： 「越獄是很危險的…」 那麼就只好接受這個後門的存在吧。 再一次地， 蘋果和微軟口中的安全， 其實真正的用意是要你棄權。 抱歉， 容我一再跳針跳針重播， 因為我聽的歌實在太少， 每次看到蘋果電腦這類來陰的新聞， 就立即想到 「愛用蘋果電腦， 讓藍星 “看起來” 更美好！ 裡面引用的這首歌：

Close your eyes，
For your eyes will only tell the truth，
And the truth isn’t what you want to see，
In the dark it is easy to pretend，
That the truth is what it ought to be
— “Music of the Night” 歌詞 from 歌劇魅影

(本文轉載自 資訊人權貴ㄓ疑；
T 客邦 也有一些討論與回應)