勒索病毒來了，PACS 的影像救得回來嗎？

醫院遭勒索病毒攻擊的新聞，這幾年已經不稀奇。比較少被提到的是後續：有些醫院幾天內就恢復運作，有些醫院的歷史影像從此少了一大段。

差別通常不在防毒軟體買得好不好，而在備份的做法。而且這個差別，事前看不出來，因為兩種醫院在被問到「有沒有備份」時，答案都是「有」。

這篇文章不談怎麼防止入侵，那是另一個題目。這裡只談一件事：假設壞事已經發生，影像救不救得回來。

為什麼 PACS 特別容易出事

PACS 有三個特性，讓它在勒索病毒面前比一般系統脆弱。

第一，資料量大。一家中型醫院累積的影像動輒數十 TB，完整備份一次要很久，所以很多醫院的備份其實是「同步」：主儲存設備寫入什麼，備份設備就跟著寫入什麼。問題是，檔案被加密也是一種寫入。

第二，保存期限長。《醫療法》第 70 條規定病歷至少保存七年，未成年人的病歷要保存到成年後七年。影像是病歷的一部分，所以十年前的檢查也不能丟，而這些舊影像往往放在最便宜、最少人管的設備上。

第三，不能停。放射科一停，急診和開刀房就跟著卡住。這讓醫院在事發當下承受很大的壓力，也是攻擊者挑醫院下手的原因。

七個該問的問題

以下的問題，適合在評選新系統、續約，或只是年度檢討時拿出來問廠商，也問自己。

一、備份和主系統，是不是在同一個網路裡？

這是最重要的一題。如果備份設備掛在同一個網段、用同一組網域帳號就能存取，那麼攻擊者拿到管理員權限之後，備份和正本會一起被加密。

真正有用的備份，至少要有一份放在攻擊者從院內網路碰不到的地方：異地機房、雲端的物件儲存，或是離線的媒體。業界常說的「3-2-1 原則」就是這個意思：三份資料、兩種媒體、一份在異地。

二、備份是「同步」還是「有版本的」？

同步式的備份，保護的是硬碟故障，不是勒索病毒。檔案一被加密，加密後的版本就同步過去，把好的版本蓋掉。

要問的是：備份有沒有保留歷史版本？能不能回到三天前、一週前的狀態？如果用的是物件儲存，有沒有開啟版本控制，或設定一段時間內不可刪改？

三、資料庫有沒有一起備份？

PACS 不只是影像檔。哪一張影像屬於哪一位病人、哪一次檢查，記在資料庫裡。只救回影像檔、沒有資料庫，等於拿回一倉庫沒有標籤的底片。

反過來說，如果影像是以標準的 DICOM 格式保存，病人與檢查資訊就寫在每個檔案的標頭裡，即使資料庫全毀，也能從影像檔重建索引。這是選擇標準格式的實際好處之一，值得確認廠商的儲存格式是不是標準 DICOM，還是經過私有的封裝或加密。

四、上一次實際還原，是什麼時候？

備份有在跑，和備份能還原，是兩件事。很多單位是在真的需要時才發現備份不完整、格式讀不回來，或是還原的程序沒有人會。

比較務實的做法是定期抽樣還原：每季挑幾筆不同年份的檢查，從備份取回、開片確認。不必每次都演練整個系統，但一定要有人真的做過。

五、全部還原要多久？有沒有先後順序？

數十 TB 的資料從異地拉回來，受限於頻寬，可能要好幾天甚至幾週。如果還原計畫是「全部拉回來再開機」，臨床等不了那麼久。

可行的計畫會分階段：先讓系統本身恢復運作並接收新檢查，再還原住院中與近期門診病人的影像，其餘的歷史影像在背景慢慢補回。這個順序要事先和臨床單位談好，寫下來。

六、系統本身重建要多久？

資料救回來，還要有系統可以跑。如果 PACS 伺服器的安裝過程仰賴原廠工程師到場、逐台手動調校，重建時間就很難估計。

近年的做法是把系統打包成容器映像檔，設定檔另外保存。乾淨的主機準備好之後，重新部署是可以重複、可以演練的程序，不依賴特定某個人的記憶。

七、事發當下，臨床怎麼繼續工作？

最後一題和技術無關，但最常被忽略：PACS 停擺的那幾個小時或幾天，放射科怎麼發報告？急診怎麼看片？

常見的備案包括：儀器端保留近幾天的影像、放射科工作站可以直接從儀器收片、必要時輸出光碟或膠片。這些備案平常用不到，所以更需要寫成程序，並且確認儀器端的設定真的還在。

一張檢查表

把上面七題濃縮起來，可以直接拿去用：

七項都打勾，不代表不會被攻擊，但代表被攻擊之後，醫院面對的是幾天的不便，而不是永久的損失。

雲智的做法

雲智的 PACS 採用線上、近線、雲端異地三層儲存，第三層以 S3 協定歸檔到與院內網路隔離的物件儲存；影像以標準 DICOM 格式保存；系統以容器方式部署。還原的順序與演練，會在導入時和資訊室一起訂定。細節可以參考資安與認證頁，或異地備援與歸檔的說明。

如果您想拿這七個問題檢視院內現況，也歡迎和我們聊聊。