通過ISO 27001, 資安就可以掛保證嗎?

今天看到一家醫療體系,  透過聯合報發布通過ISO 27001 的好消息, 標題下的很誘人:

秀傳資安掛保證 隱私不外洩

如果仔細看台灣從過去通過 ISO 27001的名單,   對照新聞媒體上的報導,   不難發現:  ISO 27001不是資訊安全的萬靈藥,  內政部入出國及移民署,  台大醫院,  郵局,  外交部,   健保局,  北區國稅局等等,   還有最新一期資安人雜誌討論的對象:  台哥大跨年當機 5 小時 委外廠商離職員工搞的鬼,   這些例子就不難看出,   通過ISO 27001,  只是企業/機關引入資訊安全管理的一種手段,   不代表做了,   就可以掛保證,    畢竟,   如果了解莫非定律,   就知道:   會發生的就是有可能會發生,   如何降低發生的衝擊與影響,   是做 ISO 27001的動機之一,   而不是做了ISO 27001,  就可以做出保證。


秀傳資安掛保證 隱私不外洩
【聯合報╱記者簡慧珍／彰化報導】
   
2010.01.22 03:25 am

秀傳醫療體系旗下4家醫院同步取資訊安全ISO 27001：2005國際認證，成為全國第一家通過資訊安全評鑑的醫療體系，昨天啟動資訊安全機制，除非取得安全技術權限的人員，一般醫護員工無法查閱病人資料，使病患就醫記錄更加保密。

衛生局長葉彥伯表示，資訊安全是醫療品質一環，當初設計健保IC卡，曾為該放什麼資料衍生很多問題，衛生署98年起推動資訊安全強化專案，要求醫療院所重視病人就醫記錄隱密性，秀傳醫療體系能率先通過認證，值得醫療院所效法。

秀傳醫療體系的醫院昨天透過視訊會議慶祝通過國際認證，認證公司香港商漢德技術監督服務亞太有限公司總經理葉政治肯定秀傳體系的積極主動，台南、岡山、彰濱秀傳醫院的行政主管先後報告目前資訊安全措施。

為了個資加密，秀傳醫療體系整合現有資源，斥資1000萬元建構個資安全防護系統，實施資訊安全管理後，可強化伺服器防火牆，防堵駭客、病毒入侵，及員工刻意或疏忽使資訊系統受損，減少患者與員工個人資料外洩的機率。