邊界 • 資訊安全工程

「他們不斷試圖逃離／外在與內在的黑暗／藉由夢想一個完美到沒有人需要為善的系統。」——艾略特（T.S. Eliot）
「你反正沒有隱私。認了吧。」——麥尼里（Scott McNealy）

從「上下」到「左右」：橫向的資訊流控制#

當我們為保護隱私或機密性而限制資訊流時，政策目標通常不是防止資訊沿階層「向下」流動，而是防止它在較小的群體之間「橫向」流動。

上一章的多層級安全，邊界是水平的；本章要處理的邊界則主要是垂直的。

五個典型例子：

情報：如果你讓一百萬名有最高機密權限的美國聯邦雇員與承包商接觸太多最高機密資料，那麼運氣好時你會得到一個像史諾登的吹哨者，運氣不好時你會得到一個像 Aldrich Ames 的叛徒。
野生動物保護：隨著手機在世界各地普及，它們讓野生動物犯罪更容易。與盜獵搏鬥的巡護員面對各層級的組織犯罪、暴力與內部人威脅，但與國家情報不同，這裡沒有中央機關來管理權限與反情報。
醫療：如果你讓醫療服務中太多人看到病歷，你就會遇到員工偷查名人資料的醜聞。而大型中央系統的存在會導致大型醜聞——例如十億筆回溯十年的英格蘭病歷被賣給多家藥廠。
社會照護與教育：類似議題也在此出現。不斷有人呼籲資料分享，然而實務上的嘗試造成各式各樣的問題。
金融與專業服務：如果你讓銀行或會計師事務所的每個人都看到所有客戶紀錄，那麼一位不擇手段的經理就能藉由查看客戶競爭者的機密財務資訊，給該客戶非常好的建議。

常見的緩解是限制任何個人能看到多少資訊：

情報機關把敏感資訊放進區隔，於是研究阿根廷的分析師可能只看得到與阿根廷及其鄰國相關的最高機密報告；
支援野生動物保育的系統必須做類似的事，但存取控制必須是涉及多個保育區、研究者、巡護員與其他行為者的聯邦式努力；
許多醫院系統把員工存取限制在他們工作的病房或科別（在合理可行的範圍內），而病人有權禁止其資料被用於直接照護之外的用途；
2010 年英國國會關閉了一個本應讓醫師、教師與社工共享所有兒童資料的系統，因為他們意識到它既不安全也不合法；
金融公司在業務不同部分之間有**「中國牆」**，而銀行員工現在往往被限制只能存取「有近期客戶授權」的紀錄（例如客戶在電話上回答了安全問題）。

這類存取控制有幾個面向：什麼樣的技術設計可行、它們對組織施加的營運成本，以及——往往是關鍵因素——組織是否有動機去妥善實作與執行它們。

上一章看到多層級安全很難把機制做對。本章會看到當我們走向細粒度存取控制時，把政策做對也很難。
群組或角色是靜態還是動態的？它們由國家政策、商業法、專業倫理、還是（像你的 Facebook 好友群那樣）由系統使用者設定？當人們為規則爭吵、或互相欺騙時會發生什麼？ 即使人人都替同一個老闆工作，組織的不同部門也可能有相當不同的誘因。
有些問題技術上複雜但政策上簡單（野生動物），另一些則使用標準機制但有邪惡的政策問題（醫療）。

一個較簡單的起點：稅務機關

假設你要為稅務機關設定安全政策。過去員工曾被抓到不當存取名人的紀錄、把資料賣給外人、以及在贍養費案件中洩漏收入細節。你要如何阻止這些？

你的需求可能是：阻止員工查看不同地理區域、或不同產業的稅務紀錄——除非在嚴格控制下。

橫向資訊流控制可以是：

組織性的，例如情報機關把在某國工作之探員的姓名，對負責監視另一國的部門保密；
關係性的，例如律師事務所中不同客戶的事務、以及不同合夥人的客戶必須被分開；
兩者混合，如醫療——病人保密在法律上基於病人的權利，但可能靠限制對特定醫院科別或診所的存取來執行；
體積性的，例如野生動物保育組織不介意解密少數幾張豹的照片，卻不想讓盜獵者拿到整批照片，因為那會讓他們算出設陷阱的最佳地點。

醫師、銀行家與間諜都學到：除了防止公開的資訊流之外，他們還必須防止資訊透過帳單資料這類旁通道洩漏。
光是「病人 X 付錢給醫師 Y」這個事實，就暗示 X 罹患了 Y 專科領域中的某種疾病。

區隔與格模型#

美國與其盟邦除了用分級，也用代號限制對機密資訊的存取。

這些是電腦之前用來表達存取控制群組的機制，例如二戰時的代號 Ultra，指的是英美對德國 Enigma 機器加密訊息的解密。「Enigma 已被破解」這件事幾乎值得以任何代價保護。
所以 Ultra 權限只給了一小群人——除了密碼學家、翻譯與分析師，名單上還有盟軍領袖與他們的資深將領。任何曾持有 Ultra 權限的人都不得被置於被俘的風險中；而情報也絕不能以讓希特勒懷疑其主要密碼被破解的方式使用。
所以當 Ultra 揭示一個目標（例如一支開往北非的義大利船團）時，盟軍會在攻擊前一小時左右派一架飛機去「發現」它。
這靠特殊處理規則執行；例如邱吉爾的 Ultra 摘要放在一個特殊的公文箱裡，他有鑰匙而他的幕僚沒有。

如今預防措施大致相同。一個分級加上一組代號構成一個區隔或安全脈絡。若你有 N 個代號，就可以有 2^N 個區隔；有些情報機關曾同時有超過一百萬個活躍區隔。

Aldrich Ames，一名 CIA 官員，因長期服務與資深地位、加上他在反情報部門工作，累積了對大量區隔的存取權，得以出賣美國在俄羅斯幾乎整個特務網。
KGB 的海外行動同樣被 Vassily Mitrokhin 所毀——一位對共產主義幻滅、在等退休金時被派去檔案室工作的官員。
更早的先例是 Walker 間諜案：試圖把海軍艦艇保持在區隔中就是行不通，因為一艘船可能毫無預警地被派往任何地方，而船上沒有本地金鑰材料在作戰上不可接受。於是美國海軍 800 艘船最後全都用同一組密碼金鑰，而 Walker 一家把它們賣給了俄羅斯人。

格模型#

人們曾嘗試用強制存取控制來實作區隔，這導致了格（lattice）模型。分級連同代號構成一個格——一種數學結構，其中任兩個物件 A 與 B 可以處於支配關係 A > B 或 B > A；它們也可以不必如此，A 與 B 可能單純不可比較。

例如假設我們有一個代號「Crypto」。那麼被授予「最高機密」的人有權讀取分級為「最高機密」與「機密」的檔案，但除非他也有 crypto 權限，否則無法存取分級為「機密 Crypto」的檔案。

事實上，格模型與 Bell-LaPadula 模型本質上等價，而且是平行發展出來的。 20 世紀為多層級安全市場建造的多數產品，都可以在區隔模式下使用。

用這種系統把不同區隔的資料保持分離很容易——只要給它們不相容的標籤（「機密鬱金香」「機密水仙」「機密番紅花」…）。但作業系統現在成了隔離機制，而非分享機制；而情報系統使用者面對的真實問題，恰恰是如何結合不同區隔中的資料、以及如何在消毒後降級。
格安全模型對此幫助甚微。

911 之後的大轉向，以及它的代價

911 之後美國情報社群出現了劇變。領導者宣稱那數百萬個區隔妨礙了反恐戰爭、更好的資訊分享本可能讓社群預先阻止攻擊，於是布希總統下令在情報社群內加強資訊分享。

NSA 局長 Keith Alexander 推動「全部收下來」，而不是把資料蒐集最小化——反而是最大化它，並讓一切可被搜尋。

所以如今政府系統用強制存取控制把機密系統與非機密的隔開、把最高機密系統與兩者隔開（用資料二極體等機制），而最高機密以上的東西現在看來多半是用任意存取控制管理的。

史諾登的揭露讓我們知道了 XKeyscore 這類搜尋系統，它們在「過去有許多區隔」的系統上搜尋。如果一次搜尋能拋出附有許多代號的結果，那麼讀取該結果就需要所有那些權限。 在這樣的世界中，本地標籤只會礙事；但沒有它們，你要如何預先阻止未來的 Aldrich Ames？

我們後來得知 CIA 的區隔也並不總是有效。2017 年其駭客工具在 Vault 7 事件中外洩，而該事件的內部報告刪節版於 2020 年在被控洩密者受審後公布。它揭露：多數最敏感的網路武器並未被區隔、使用者共用系統管理員密碼、沒有使用者活動監控，而歷史資料無限期可得。
他們直到一年後工具出現在維基解密上，才注意到它們遺失了。 事實上，情報社群用於最高機密資料的 JWICS 當時甚至還沒使用雙因子認證。

有一些區隔是史諾登沒碰到的，例如「NSA 能利用哪些密碼系統、以及如何利用」的細節——這被標為「極度區隔資訊」（ECI）。商業公司也可能有保護「未公布財務結果」這類材料的特殊機制；在作者的大學，考卷是在甚至沒接上網路的機器上編製的。這類情況與其說是一個區隔，不如說是一個高於最高機密的全新層級。

老虎的隱私#

打擊野生動物犯罪的人面對一系列引人入勝的問題。

威脅範圍從棲地侵佔、為叢林肉而做的小規模盜獵，到以工業規模收割象牙、犀牛角與虎骨的組織犯罪集團。

即使不存在主權威脅，公部門的防守者往往替互相猜疑的政府工作：保護雪豹免於盜獵，涉及印度、巴基斯坦、中國、尼泊爾與塔吉克的巡護員；而東非的非法象牙貿易則從肯亞一路蔓延到南非。

因此，它的軍事、內部人威脅與政治面向，在許多方面類似傳統的安全與情報工作。關鍵差別在於防守方是 NGO、公園巡護員與執法機關的鬆散聯盟——沒有一個中央官僚體系來管理分級、權限與反情報。

Wildbook 的存取控制設計：四個層級與二維透明度

作者團隊與 Wildbook 的領導者 Tanya Berger-Wolf 有一個專案。Wildbook 是一個生態資訊管理系統，用影像辨識來比對與分析從觀光客照片、相機陷阱、無人機與其他資料來源蒐集到的動物資料。

她的想法是：如果我們能把為個別野生動物拍的許多照片連起來，就能大幅改善生態學與族群生物學這門科學，連同倚賴它們的資源管理、生物多樣性與保育決策。現代影像辨識軟體讓這件事可行，尤其對大象、長頸鹿與斑馬這類有獨特花紋的大型動物。

結果發現他們也用了另一個公民科學網站 iSpot。
這類事件顯示野生動物資料聚合網站需要存取控制，也導致植物學家、動物學家與其他人重新思考開放資料。

那麼政策該是什麼？需要保護的東西因物種與地點而異：

稀有植物：我們不想讓竊賊知道哪怕一株標本的 GPS 位置。
瀕危的科阿韋拉箱龜：我們不想讓竊賊從野外偷走牠們，再用「人工繁殖」的假文件當寵物賣掉。這裡的目標是一個所有已知烏龜的公開資料庫，保育人員正忙著替其分布範圍（墨西哥一塊 360 平方公里的區域）內所有野生個體拍照，好讓美國魚類與野生動物管理局能查驗貨運。
雪豹：Wildbook 有來自尼泊爾一個保育區的三年相機陷阱資料，需要一套安全政策協助它擴展到尼泊爾、印度與巴基斯坦的五個地點。這是紅色名錄物種，這三國各只有數百隻個體。
非洲：Wildbook 從追蹤斑馬起步，其中格氏斑馬瀕危。動物跨越互相猜疑國家之間的邊界，而觀光客儘管有傳單與警告說不要加地理標籤，仍然貼出帶標籤的照片。 有些觀光客單純不知道怎麼關掉標籤；有些蠢到下車然後被吃掉。保護需求也因國家而異：納米比亞當局急於阻止觀光客貼出帶標籤的犀牛照片，而在肯亞，犀牛都有自己的武裝警衛，當局就沒那麼在意。

新的野生動物聚合網站能用影像辨識識別個別動物、把目擊串成位置歷史；其他機器學習技術接著把這些歷史聚合成移動模型。

我們很快就發現敏感的輸出，例如哪個水坑有很多豹、哪個島有很多繁殖中的鯨魚。
這是動物隱私與人類隱私不同的方式之一：高度抽象的資料往往更敏感，而非更不敏感。
實質上，我們的機器學習模型取得了一位巡護員在保育區工作十年後可能學到的「門道」。由於這類個人若轉向黑暗面就成了最好的盜獵者，我們必須把學會他們技能的模型擋在盜獵者手外。
而且我們必須對敏感性夠聰明：光保護雪豹的資料與移動模型是不夠的，如果盜獵者能靠追蹤牠們吃的山羊來追蹤牠們的話。

主要保護目標是：不要給野生動物罪犯可行動的情報，例如「物種 A 的動物在時間 T 更可能出現在位置 X」。

存取有四個層級：

層級	誰	規模
0	Wildbook 核心團隊，維護軟體並對幾乎一切有操作存取權	極少數
1	管理員，每個物種也許 20 人；隨著存取控制被委任，還會有各保育區／保留地的管理員	數十
2	為保育區工作、蒐集與貢獻資料的人	數百
3	貢獻照片、並以「取得非敏感輸出」作為回報的隨機公民	數千

內部人威脅緩解的焦點是可能被誘惑而背叛的保育區員工。

由於保育區常在弱國運作，最終被偵測與入獄的威脅可能顯得遙遠。 可用的最強嚇阻是來自保育區同儕的社會壓力：對同事的忠誠、團隊感與使命感。
任務是找到一種支持團體凝聚力與忠誠的技術手段。 公務體系那套「有個部門安全官整天盯著每個人肩膀」的做法，在一個財務吃緊、在低度開發國家條件下僱用十到二十名低薪員工的保育區裡，反正也不可行。

所有保育區員工至少屬於一個群組，關聯到他們感興趣的物種、或他們工作的公園。於是犀牛群組的員工看得到誰在查看犀牛紀錄（包括個別目擊紀錄與模型），而在塞倫蓋提工作的員工看得到誰對那裡的資料與模型感興趣。
實質上這對層級 2 員工是個矩陣系統：如果你人在那裡、或你是犀牛專家，你就看得到塞倫蓋提的犀牛；而兩種情況下，你都分擔第一線的警覺責任。 層級 1 員工可以登錄層級 2 員工、並與其他保育區建立對等安排，但他們的相關行動對層級 2 同事是可見的。

醫療紀錄隱私#

存取控制支援隱私之安全政策中，最複雜也最有教育意義的例子，大概出現在臨床資訊系統中。

在所有已開發國家，醫療部門佔國民所得的比重都遠大於軍事；而雖然醫院的自動化程度仍不如軍方，它們正在快速追上。因此醫療資訊的保護是我們所有人的重要案例研究，有著豐富而複雜的取捨。

美國 HIPAA 與歐洲法的演變

美國：《健康保險可攜與責任法》（HIPAA）於 1996 年在若干隱私失敗之後由國會通過。

在一起惡名昭彰的案件中，麻州牛頓－威爾斯利醫院一名擔任骨科技師的已定罪兒童強暴犯，被抓到使用一位前員工的密碼翻查 954 名病人（多為年輕女性）的紀錄，以取得女孩的電話號碼並打猥褻電話。他最終入獄，而麻州參議員甘迺迪成了 HIPAA 的提案人之一。

HIPAA 法規隨時間改變：

柯林頓政府 2000 年 12 月發布的第一套相當穩健，基於「因隱私顧慮而不敢及時就醫者所受傷害」的評估。衛生及公共服務部估計，隱私顧慮導致 58.6 萬名美國人延後尋求癌症治療、超過 200 萬人延後尋求心理健康治療，而超過 100 萬人乾脆不去治療性傳染病。
2002 年布希總統改寫並放寬為「隱私規則」。
歐巴馬的振興法案撥了數十億美元給健康 IT，並略微提高隱私違規的罰則；2013 年其政府把規則延伸到受規範實體的商業夥伴。

歐洲：資料保護法設下了真實的邊界。

1995 年英國政府試圖集中所有病歷，導致與醫師專業團體英國醫學會（BMA）的對峙。BMA 聘請作者為臨床資訊的安全與隱私設計一套政策。

申訴人是芬蘭一家醫院的護理師，同時也是 HIV 陽性。她的病情在同事間傳開，而她的合約沒有被續約。醫院的存取控制不足以防止同事存取她的紀錄，其稽核軌跡也不足以判定是誰侵害了她的隱私。
法院的看法是：未參與病人照護的醫療人員，必須無法存取該病人的電子病歷。「這方面所要求的，是實際且有效的保護，以從一開始就排除任何未授權存取發生的可能性。」
此判決 2010 年定讞，此後醫療提供者被要求把系統設計成讓病人能有效地選擇退出其資料的次級使用。

威脅模型#

研究健康 IT 威脅的恰當脈絡不是隱私本身，而是安全性（safety）與隱私一起。主要目標是安全性，而隱私往往是從屬的。但兩者也以許多方式交纏。

第一類危害是安全性可用性失效，估計奪走的性命與交通事故相當。它們直接與資安互動；漏洞特別可能導致 FDA 下令召回輸液幫浦這類產品。

第二類危害是：對醫療隱私信心的喪失，導致人們迴避治療、或太晚就醫。

HHS 在柯林頓政府 HIPAA 立法前蒐集了最全面的資料（見上）。
蘭德公司發現，超過 15 萬名在伊拉克與阿富汗服役的士兵未能為**創傷後壓力症候群（PTSD）**尋求治療——這被認為助長了退伍軍人自殺率約為可比平民兩倍的現象，而一個重要障礙正是取得保密治療的管道。
最權威的文獻回顧結論是：許多病人（尤其是青少年、男同志與性工作者）隱瞞資訊、或單純因保密顧慮而未尋求治療。匿名 HIV 檢測讓男同志的受檢率提高了一倍以上。

主要隱私威脅來自內部人，混合了疏忽與惡意，大致分三類：

類型	說明
針對特定個人的攻擊	從在醫院電腦上查詢約會對象紀錄的變態醫師，到跟蹤政客或名人的記者。直接對個人造成傷害
大量攻擊	政府或醫院把數百萬筆紀錄賣給藥廠，有時隱密進行，有時聲稱紀錄已被「匿名化」因而不再是個人健康資訊
意外（多數被通報的外洩）	例如醫師把筆電留在火車上，或設定錯誤的雲端伺服器讓數百萬人的紀錄暴露在線上。由於醫療提供者有通報義務，這些的通報率是民間公司的五倍。有時意外洩漏會導向機會性攻擊

隨之而來的新聞報導（多半是關於大量攻擊與意外）讓許多人為自己健康資料的隱私擔憂，即使他們可能並未直接處於風險中。大量攻擊也冒犯了許多人的正義感、侵犯其自主性與能動性，並侵蝕對系統的信任。

過去 25 年間，我們從「每位醫師的接待員能存取紙本資料庫或診所 PC 上大概 5,000 份病歷」的世界，走到「數千家醫療診所的紀錄被託管在共同平台上」的世界。而即使是本地系統也能大規模暴露資料：一家大型地區醫院很可能有超過一百萬名前病人的紀錄。

BMA 安全政策#

為什麼「單一電子病歷」與「多層級安全」都行不通

1995 年時，多數醫療診所已有保存紀錄的電腦系統；供應商是小公司，往往由「嗜好是計算而非高爾夫或帆船」的醫師創辦，因而契合醫師的實務需求。

英國政府（透過國民保健署支付約 90% 的醫療費用）宣布它想集中所有病歷。 網路熱潮剛開始，醫護人員開始用私人郵件傳送資訊。BMA 詢問個人健康資訊在網路上是否該加密，而政府拒絕連考慮都不考慮（密碼戰爭正在展開）。這是最後一根稻草；BMA 意識到最好找個專家。

我們很快撞上一個問題：

政府策略假設有一份單一電子病歷（EPR），從受孕跟隨病人到驗屍，取代「同一病人在不同醫院與診所有不同紀錄、資訊以轉診信與出院信形式流動」的傳統系統。

為 EPR 設計一套遵守既有倫理規範的安全政策的嘗試，變得無法管理地複雜——超過 60 條規則。
在你人生的不同階段，不同的人能存取你的紀錄：你的出生紀錄也是你母親紀錄的一部分；你在軍中或監獄期間的紀錄可能屬於政府；而當你接受性傳染病治療時，你可能有權讓它完全私密。

衛生部接著提議一個多層級安全政策：性傳染病相當於「機密」、一般病歷相當於「密件」、藥物處方與發票這類行政資料相當於「限制級」。

例如一張抗反轉錄病毒藥物的處方該如何分級？作為處方它該是限制級；但由於它把一個人標識為 HIV 陽性，它又該是機密。
它在其他各方面也是錯的：有些 HIV 感染者對自己的狀況相當公開，而有些人對輕微病症極為敏感。敏感性是病人的事，不是首相的事。
病人同意是核心的：紀錄只有在病人同意、或在有限的法律例外（例如結核病這類傳染病的接觸者追蹤）下，才能與第三方分享。

作者與醫界同僚意識到需要比「一生的紀錄」更細粒度的安全脈絡，於是決定讓既有法律與實務來設定粒度，再在其上建立政策。

所以一位病人通常會有不只一份紀錄——這冒犯了 EPR 的擁護者。

一個真正困難的問題是紀錄的次級使用。

過去這意味著一名研究者或臨床稽核員坐在醫院或診所的圖書室裡，耐心地蒐集統計；同意就是候診室裡一張寫著「我們在醫學研究中使用紀錄以改善所有人的照護；若您不希望您的紀錄被如此使用，請告知您的醫師」的告示。到 1995 年，我們已經看到一家公司提供補貼電腦給家庭醫師，換取藥廠遠端查詢以取得所謂匿名資料的權利。

BMA 安全政策的目標因此是：執行同意原則，並防止太多人取得太多紀錄的存取權。 它並不試圖做任何新的事，只是把既有最佳實務編纂下來，濃縮成一頁人人（醫師、工程師或行政人員）都能理解的文字。

九項原則：

存取控制：每一份可識別的臨床紀錄，應標記一份存取控制清單，列出可讀取它並附加資料的人。
紀錄開立：臨床醫師可開立一份把自己與病人放在存取控制清單上的紀錄。若病人是被轉診而來，她可開立一份把自己、病人與轉診醫師放在清單上的紀錄。
控制：清單上必須有一位臨床醫師被標記為負責人。只有她能更動存取控制清單，且她只能加入其他醫療專業人員。
同意與通知：負責的臨床醫師必須在紀錄開立時把清單上的名字通知病人，並通知所有後續的新增、以及責任轉移。除緊急情況或法定豁免外，也必須取得病人同意。
持久性：在適當的期間屆滿前，任何人都不應有能力刪除臨床資訊。
歸屬：對臨床紀錄的所有存取，都應連同主體姓名與日期時間標記在紀錄上。所有刪除也必須保存稽核軌跡。
資訊流：當且僅當 B 的存取控制清單被包含在 A 的清單中時，源自紀錄 A 的資訊才可被附加到紀錄 B。
聚合控制：應有有效措施防止個人健康資訊的聚合。特別是，若有人被提議加入某病人的存取控制清單、而該人已對大量人員的個人健康資訊有存取權，病人必須收到特別通知。
可信計算基礎：處理個人健康資訊的電腦系統，應有一個以有效方式強制執行上述原則的子系統。其有效性應接受獨立專家的評估。

從技術觀點看，這套政策的表達力嚴格強於上一章的 Bell-LaPadula 模型，因為它在原則 7 中含有資訊流控制機制，同時也含有狀態。事實上它把區隔化推到邏輯極限：區隔比病人還多。

實作的第一步：ACL vs. 角色，以及 TCB 的難題

來自實地的回饋有兩個來源：一個醫療診所的試辦實作（正面），以及一個在黑斯廷斯（Hastings）開發的醫院系統——後者用角色與能力的混合（而非 BMA 模型所用的 ACL）來控制存取。

結果發現，在醫院規模上做存取控制的實務方式是靠規則，例如：
「病房護理師可看到過去 90 天內曾在她病房之任何病人的紀錄」；
「住院醫師可看到曾在她科別接受治療之任何病人的紀錄」；
「主治醫師可看到所有病人的紀錄，但若她存取了一位從未在其科別接受治療之病人的紀錄，則負責該病人照護的主治醫師會被通知」。

事後看來，BMA 模型是對「醫師說他們在做什麼」的無損壓縮，而角色模型是稍有損失的版本，但它實作了醫院實務上的做法，並在那個脈絡中運作良好。

不過 BMA 的一條規則在兩個脈絡中都造成困難：對小型可信計算基礎的渴望。

家庭醫師最後必須信任他們從供應商拿到的所有應用程式碼；雖然他們能影響其演化，卻沒有可用的可信子集。
醫院紀錄系統更糟：它必須倚賴病患行政系統（PAS）告訴它哪些病人、哪些護理師在哪個病房。PAS 很不穩定且常故障，所以讓一個攸關安全的系統倚賴它是不可接受的。 下一次迭代是給每位醫院員工一張含其科別或病房憑證的智慧卡。

衛生部的政策回應，是設立一個由 Fiona Caldicott 女爵主持的調查委員會。她承認 NHS 內部約 60 條既有的資訊流是不合法的，並建議在每個醫療組織任命一位負責的隱私官。

實際出了什麼錯#

布萊爾在其第二任期宣布了一項 60 億英鎊的英格蘭醫療計算現代化計畫。這個後來被稱為 **NPfIT（國家 IT 計畫）**的東西，結果成了世界上最昂貴的民用 IT 災難。

卡麥隆 2010 年上台後，國家審計署的調查指出：總支出約 100 億英鎊中，約 20 億花在寬頻網路與數位 X 光影像上、產出大體能用的系統，其餘則沒有物有所值，而「每位病人都應有一份電子照護紀錄」的核心目標將無法達成。
卡麥隆正式終止了該計畫，但因為根深柢固的供應商合約，其影響持續多年，健康 IT 被耽誤了十年。

NPfIT 的安全政策有三個主要機制：

像黑斯廷斯所開創的基於角色的存取控制；
要存取病患資料，員工還需要一個合法關係（這抽象化了黑斯廷斯的「她的科別」概念）；
原本計畫讓病人能封存紀錄的某些部分，只對特定照護團隊可見。

結果是：

在醫院接受門診精神科治療的病人發現接待員能看到他們的病歷。
以前病歷以紙本保存在精神科醫師的檔案櫃裡，接待員只知道「史密斯太太每月看一次瓊斯醫師」。但現在接待員角色必須被授予病歷存取權，好讓他們能看見與修改預約時間這類行政資料；而在瓊斯醫師辦公室所在那一翼櫃檯工作的每個人，都有合法關係。所以他們全都取得了對一切的存取權。
這說明了「每位病人只有單一紀錄、單一安全脈絡」為何是個壞主意。

緊急照護紀錄、韌性，與次級使用醜聞

緊急醫療紀錄：用來推銷 NPfIT 的故事之一是「假設你在亞伯丁病倒，而醫院想取得你在倫敦的紀錄……」

但政策就是政策。蘇格蘭政府建立了一份處方與過敏的「緊急照護紀錄」，保存在中央資料庫供急診醫師、護理人員與非上班時段醫療專線接線員使用。250 萬人的敏感資訊被開放給數萬人，而不可避免的事情發生了：鄧弗姆林皇后瑪格麗特醫院的一名醫師因翻查時任首相布朗、蘇格蘭首席部長薩孟德與多位體育及電視名人的健康紀錄而被捕起訴。該案最終以「起訴不符公共利益」被撤銷。

病人被提供了退出這套系統的權利，但那是個非常奇怪的退出：

什麼都不做 → 你的資料從家庭醫師處被蒐集，提供給愛丁堡的衛生部以及救護服務；
選擇退出 → 你的資料仍然從家庭醫師處被蒐集、仍然提供給衛生部；只是不與救護人員分享。

這在英格蘭也是政策，稱為「同意才檢視（consent-to-view）」：國家蒐集一切，只給使用者看他們被允許看的。所有人的紀錄都會上線，而醫師只有在宣稱病人已同意時才被允許查看。官員向國會保證這是建造 NPfIT 唯一實際的方式，並把它描述為「現狀的電子版」。

韌性：走向集中式系統通常讓失效更罕見、但更巨大，而醫療系統也不例外。

脆弱性的早期警訊出現在 2005 年 12 月 11 日：Buncefield 油庫 25 萬公升汽油外洩形成蒸氣雲並爆炸——歐洲和平時期最大的爆炸。作者當地的醫院失去了 X 光服務，因為連往雲端服務的主要與備援網路連線都經過附近。
進一步的警訊是 2017 年 WannaCry 蠕蟲感染另一家附近醫院的機器；管理者愚蠢地關閉了網路（希望防止進一步感染），然後發現他們必須關閉急診室、把病人送往別處。沒有網路，他們做不了 X 光（連自家實驗室的病理檢驗結果也拿不到）。

次級使用：與付款相關的資料庫通常不允許真正的退出，英國的例子是**醫院事件統計（HES）**資料庫——它蒐集醫院寄給付款機構的帳單，含有 1998 年以來英格蘭與威爾斯每一次國家資助之醫院就診與檢驗的廣泛資訊，總計約十億筆紀錄。

卡麥隆 2010 年上台後閘門大開。他聘了一位曾經營健康 IT 事業的「透明化沙皇」，並在 2011 年宣布「開放資料措施」，目標是讓每位 NHS 病人都成為研究病人，好讓英國成為藥物研究的世界領袖。官員宣稱「所有必要的保障都會到位以確保病人細節受保護——資料將被匿名化，而流程將被審慎且穩健地規範」。
匿名化意味著你的個人細節被刪節到只剩郵遞區號與出生日期——這遠遠不夠。

2014 年 1 月，一些挖掘顯示 HES 資料已被賣給全球超過 1000 家藥廠、大學等——往往是以「一套含 1998 年以來十億筆事件之 DVD」的形式。一位醫護人員揭露資料已出現在網路上；它很快被撤下。

這場後來以「care.data」聞名的醜聞成了主流新聞：

調查顯示：多數人願意讓自己的資料被用於學術研究，只要有人問過他們；但多數人不願與營利研究者分享，而多數人反對它被直接拿走。
經檢視，即使郵遞區號與出生日期未被納入資料集，重新識別病人仍然很容易。
有財務醜聞：儘管部長侃侃而談研究資料對醫療服務的巨大價值，資料卻是以成本回收基礎出售的，一套只賣幾千美元。
有管轄權議題：原來 PA Consulting 把 HES 資料載入 Google 雲端系統以轉售給客戶，因為 20 GB 對 Excel 來說太大了。但等等，國會議員說，這怎麼可能合法？ Google 在英國沒有資料中心，而把 NHS 資料帶出國有各式各樣的法規禁止。

此後英國健康隱私醜聞大約每年一次：

2015 年：Google Deepmind 取得倫敦皇家自由醫院全部 160 萬份病歷，宣稱要開發偵測急性腎損傷的 app（它拿走了全部紀錄，不只腎臟病人的）。未徵求病人同意，該交易後來被認定不合法；而當該 app 改用從美國退伍軍人部取得的資料開發出來時，效果並不出色。資訊委員申誡了醫院，卻未命令 Google Deepmind 刪除資料。最終 Deepmind 把紀錄移轉給了 Google，違背先前的保證。
同樣 2015 年：一家小報發現線上藥局 Pharmacy2U 把數千名病人的細節賣給掠奪性行銷者，包括鎖定病弱老年男性的樂透詐騙者，以及一家已因誤導廣告與未授權健康宣稱被制裁的保健品商。該公司被罰 13 萬英鎊。
2017 年：領先的家庭醫師軟體供應商 TPP（有 6,000 家客戶，含英格蘭三分之一的診所、2,600 萬名病人的紀錄）啟用了「加強資料分享」，好讓紀錄能被當地醫院的醫師看到。很快就有人注意到紀錄也能被所有其他 TPP 客戶診所看到——家庭醫師對此毫不知情。紀錄也對安養院、監獄與移民拘留中心的 TPP 客戶可見。TPP 未回答其在印度、中國與阿聯的客戶是否有存取權的問題。
2018 年：英格蘭公共衛生署把 2008–2013 年在英格蘭確診的全部 18 萬名肺癌病人紀錄，交給了一家菸草公司——而該署曾宣稱癌症登記資料只會為「醫療目的」出售。

但美國也有爭議。 2019 年 11 月，人們得知 Google 代表 Ascension 做了一筆處理 5,000 萬美國人病歷的外包交易，而一位吹哨者揭露資料甚至沒有被輕度去識別化；Google 與 Ascension 雙方的員工都有完整的病患資料存取權。

機密性的未來#

四分之一世紀後，有些事改變了，但出奇多的事保持不變。

自 2014 年起出現了 **FHIR（快速醫療互通資源）**標準草案，描述兩個系統在你允許之後如何彼此對話。安全工程在此標準之外；例如 Deepmind 的手機 app 用的是 OAuth 2。FHIR 自 2021 年起在 NHS 被強制採用。

在美國，新的聯邦資訊分享規則可能要求提供者在你授權資料交換後，把你的紀錄送給 Apple Health Records 這類第三方 app。
細節讓醫師警覺：他們指出一旦你這麼做，你就對嚴重濫用門戶洞開，因為那些資料將落在 HIPAA 之外，而那些 app 可以隨意賣掉它。藥物濫用這類資料不只可能限制你取得保險，甚至可能被雇主與其他人索取。
政府回應說開放健康資料能讓人們更好地管理自己的照護、理解成本，同時讓該部門對競爭性創新開放。但撇開人們是否信任微軟、Amazon 與 Google 處理其健康資料不談，你必須全部分享或完全不分享；沒有比「你的整份一生紀錄」更細粒度的存取控制。過去 25 年的經驗顯示這不會令人滿意。

真實的病人同意：對次級使用要有單一的退出，而不是目前那種每一兩年就更改退出機制、逼人重新退出一次的 Facebook 式做法。
保護資料不該是病人的工作：隱私架構與安全工程都必須預設安全。人們不得被悄悄地選入被誤述或根本沒提到的次級資料使用；而且必須有適當的安全機制，並在它們失效時對病人說實話。
必須有真正的透明度：目前作者的家庭醫師能看到誰存取過他的紀錄，但他也想看。如果數千萬病人能稽核存取紀錄，那麼即使只有幾十萬人真的去看，這也應該能嚇阻多數濫用。

然而著手取得正面同意以將資料用於研究的醫院，有 70–80% 的時間取得了同意；而我們也有 UK Biobank 這類大型協作研究專案——50 萬人在 2006–10 年間不只同意接受終身監測，還提供了血液樣本，好讓研究者能定序其 DNA 並與健康結果相關聯。

OpenSAFELY：一個「把查詢帶到資料旁」的新（其實很老）取徑

另一項發展是 OpenSAFELY 協作，它一直在開創新冠疫情的快速分析方法：與 TPP（支援英格蘭約 40% 家庭醫師的大型雲端電子健康紀錄服務商）所持有的即時病歷就地合作。

他們匯入一份死亡通報清單，得以不只依官方統計的年齡與性別、還依社會剝奪程度、種族、吸菸史、BMI 與特定共病症來分析死亡率，在 2020 年 2 到 4 月間對超過 1,700 萬名病人與 6,000 多起死亡建立風險因子。他們最先確立了「黑人與亞裔病人所觀察到的超額死亡率，顯著大於社會剝奪程度所能解釋的範圍」。

隱私風險可能更可控，因為資料副本較少，而且病人的退出選擇能被執行。

在電腦之前的年代，觀察性流行病學意味著坐在醫院或診所的圖書室裡、篩過數千份紙本紀錄、尋找感興趣的診斷，並在數週或數月的工作後帶著統計表（而非可識別的個人資訊）離開。

倫理#

所以與健康資料打交道的研究者最好注意倫理。

2014–5 年，Nuffield 生物倫理委員會委託了來自科技、遺傳學、醫學、保險與倫理等不同背景的十幾人，撰寫一份關於「在雲端病歷與無所不在的基因體學世界中，醫學倫理會發生什麼事」的詳細報告。
歷史上，正是一系列研究倫理濫用推動了更廣泛的研究倫理發展。

三起推動研究倫理的醜聞

塔斯基吉梅毒實驗：美國醫師研究鄉村非裔美國男性未經治療之梅毒的進程，這些人被誤導以為自己得到免費醫療。實驗從 1932 跑到 1972 年，而即使 1947 年有效的抗生素療法問世後，受感染的男性也未被治療。
納粹醫師：Karl Brandt 是希特勒的私人醫師，自 1939 年起主持一個安樂死計畫。他也在未經同意的情況下對戰俘與被佔領國平民做人體實驗，他的同僚 Josef Mengele 則在 1943–5 年於比克瑙對雙胞胎做實驗；受試者事後往往被殺害並解剖。 Brandt 在紐倫堡審判被定罪，1948 年被絞死。
英國 Alder Hey 醜聞：媒體發現病理學家例行保存病人（活著與死去的）「有趣的」身體樣本，完全沒有任何同意。父母發現自己死去孩子的身體部位在他們不知情下被保留。這對公眾信任造成嚴重損害，其後果損害了英國的病理學研究。愛爾蘭也有類似醜聞。

納粹醫師審判導致 1948 年的《紐倫堡守則》，據此受試者自願且知情的同意是必要的。受試者必須有選擇的自由、不受欺騙或脅迫，並必須能隨時退出實驗。

這後來導向 1964 年關於醫學研究倫理的《赫爾辛基宣言》，該宣言在塔斯基吉事件後於 1975 年修訂，納入獨立機構審查委員會或倫理委員會的必要性，並在 1983、1989、1996、2000 與 2008 年陸續修訂。

在花了一年詳細考慮這段歷史與議題後，我們的結論是：在這樣一個複雜、快速變動、充滿希望卻也被既得利益與政治詭計割裂的倫理領域中，研究者躲在法律背後、或只是依今年的政府指引行事，是不夠的。

一組道德上合理的期待應具體體現四項原則：

關於資料將如何在一項資料倡議中被使用的期待，應以「尊重人」的原則為基礎。 這包括承認一個人對「控制他人取用與揭露其在自認為機密之情境下所持有的相關資訊」有深刻的道德利益。
這些期待應參照既立的人權來決定。 這將包括對國家與其他方「為公共利益（含保護他人利益）而干預公民個人隱私」之權力的限制。
這些期待、以及確保它們被滿足的適當措施與程序，應在具有道德相關利益之人的參與下決定。 這種參與應涉及以「所有人都接受為合理」的形式，就建立、執行與參與該倡議的理由給出並接受公開說明。若無法讓所有具相關利益者參與（實務上常是如此），則應公平地代表整個價值與利益範圍。
一項資料倡議應受到本身在道德上正當的有效治理與問責體系規範。 這應同時包括援引合法司法與政治權威的問責結構，以及源自社會中人們參與的社會問責。維持有效問責必須包括把治理、執行與控制的期待與失敗，有效傳達給受影響的人與更廣泛的社會。

社會照護與教育#

從兒童資料庫到學校雲端服務

同樣的議題已外溢到教育與社會照護。

英國政府在建造 NHS 國家 IT 計畫的同時，也開始建立一個涵蓋所有兒童的全國資料庫（為兒童保護與福利目的），內含每個兒童曾接觸過的所有專業人員名單。2006 年英國資訊委員請一組人研究這件事的安全與隱私面向。

「兒童 X 登記在家庭醫師 Y 名下」這件事也許無害，但兒童在社工部門的登記就不同了：教師對「已知曾與社工接觸」的兒童期望較低。而與戒毒服務或性交易服務接觸的紀錄，則帶有高度汙名。
我們的結論是：未能保持這類中繼資料私密，既不安全也不合法。

這在 2007 年 11 月成為更燙手的政治議題：稅務機關遺失了兩張含英國全部兒童福利資料庫的 DVD——英國每個有孩子家庭的個人資訊。

2010 年大選後的聯合政府終止了兒童資料庫、停止 NPfIT、廢除前工黨政府強制身分證的立法，並銷毀了該計畫相關的資料與硬體。經進一步檢討後，它也放棄了一套供兒童保護社工使用的新「eCaf」系統——那裡的問題不只是隱私，也是拙劣的設計：eCaf 要求如此多的資訊，以致社工開始花更多時間「餵養這頭野獸」而非真正與兒童及其家庭談話。

醫療與社會照護之間以直接電子存取分享資料的嘗試，還拋出了完整性（而非只是隱私）的議題。

例如當牛津的社工被授予家庭醫師紀錄的存取權時，一名社工可以直接在家庭醫師系統中輸入「糖尿病？」——而系統會把它詮釋成一個診斷，並開始試圖排定所有其他糖尿病照護機制。
家庭醫師要阻止這件事會很費勁，因為病歷是僅可附加的；而他們可能開始無法達成「為糖尿病患安排眼科檢查」的目標，這會削減他們的收入。

「資料庫國家」報告也凸顯了教育中的隱私。

在英格蘭，教育部設立了一個全國學生資料庫，起初持有普查資料，但逐漸累積了考試成績、行為與出勤資料、孩子是否窮到可領免費營養午餐、以及是否在寄養照護中。此外，學校開始加入更多監控，從記錄出勤與借書的指紋掃描器，到持續錄影教室的閉路電視（銷售說詞是教師可藉此為自己辯護、對抗兒童的不實指控）。

在蘇格蘭，政府 2014 年提議一個「指定人（named person）」方案，為每個兒童分配一名公部門工作者（通常是教師或衛生訪視員）來促進與保障其福祉。「與其汙名化有社工的窮孩子，何不給每個人一個社工？」 這引發廣泛反對，2016 年在最高法院敗訴，並在部長們想不出「既合法又政治上可接受」的做法後，於 2019 年最終被放棄。

顧慮範圍從生物辨識到教育中雲端服務的廣泛採用——眾多小型供應商販售大量教學支援與其他服務，而兒童的資料到處亂跑。
連隱私監理者（資訊委員）都因對兒童議題視而不見而受批評：例如在自己網站上用 Vimeo 提供教學影片，而 Vimeo 的服務條款禁止 13 歲以下使用。如果連監理者都管不好自己的網站，一般學校又有什麼機會？
更根本地：學校該把每個學生當成公民／顧客——負責任且能自主——還是當成要被追蹤、掃描與按指紋的嫌犯／慣犯？對年輕人的誘惑往往是後者。

英國 1997–2010 年的工黨政府以典型的左翼方式失敗：立意良善卻天真；只會用官僚集中主義與十億英鎊合約來思考；不知道怎麼寫規格；出錯時拚命說謊；而且對「醫學研究者要求存取一切」這類特殊利益毫無抵抗力。
2010 年以來的保守黨政府以典型的右翼方式失敗：談論權利與自由，卻犬儒地把資料賤價賣給藥廠裡的朋友；出錯時拚命說謊；同時削弱監理機關、任命傾向對安全與隱私失敗視而不見的領導者。

中國牆#

多邊安全的最後一種風味是中國牆模型，由 Brewer 與 Nash 形式化。

從投資銀行到會計師事務所的金融服務公司，都被其監理機關要求制定內部規則，以防止「兩個客戶互為競爭者」時的利益衝突，而這些控制就叫中國牆。

這個模型的適用範圍比金融更廣。 有許多服務公司的客戶可能彼此競爭，廣告代理商是另一個例子。典型規則是「最近曾為某家公司工作的合夥人，在固定期間內不得看到同業其他公司的文件」。所以一旦一名文案做過殼牌的案子，他在一段時間內就不被允許做另一家石油公司的案子。

它也把「職責分離」的概念引入存取控制：某位使用者可以執行交易 A 或交易 B，但不能兩者都做。存取控制因而變得有狀態。

這個模型對資安研究社群的部分吸引力，來自它容易被形式化——事實上它能以類似 Bell-LaPadula 的方式表達。若對每個物件 c，寫 y(c) 表示 c 的公司、x(c) 表示 c 的利益衝突類別：

簡單安全性質：主體 s 能存取 c，當且僅當對所有 s 能讀的 c′，要嘛 y(c) ∉ x(c′)、要嘛 y(c) = y(c′)；
*-性質：主體 s 能寫入 c，只有當 s 不能讀取任何 x(c′) ≠ ø 且 y(c) ≠ y(c′) 的 c′。

這也帶來一些有趣的隱蔽通道新問題。例如一家石油公司能否藉由詢問「有哪些專家可供諮詢」、並注意到他們的數量突然下降，來查出「使用同一家投資銀行的競爭者是否正計畫對第三家石油公司出價」？

實務上的中國牆與一個顯著的失效模式

實務上中國牆仍以人工方法實作。

一家大型軟體顧問公司讓每位員工維護一份「非機密」履歷，其中的條目已被消毒並與客戶議定。典型條目可能是：

2017 年 9 月–2018 年 4 月：為一家美國主要零售銀行的新分行會計系統提供安全需求諮詢

這不是唯一的控制：顧問的主管應意識到可能的衝突，若有疑慮就不把履歷轉給客戶；若這道防線失效，客戶自己可以從履歷中察覺潛在衝突；而若這道也失效，顧問有義務在潛在衝突出現時立即通報。

仍存在微觀層次存取的議題：如果一位銀行經理就是去看他最好客戶之競爭者的對帳單怎麼辦？現代系統傾向限制存取，除非員工已為該客戶建立了安全脈絡（例如讓客戶回答一些認證問題）。

政府通常有「部長離任後六個月內不得在自己曾規管過的部門工作」的衝突規則。這遠遠太少。 六個月前還是能源部長的人，仍然認識該業界所有高層；而任何從其政策中受益的人，都可能以聘用他來表達感謝。
五年也許比較合理，但如果你認為自己能讓本地立法機關通過這樣的法律，那祝你好運。

小結#

本章探討了「當系統規模擴大到蒐集大量敏感資訊、而許多人需要存取它們才能做好工作時，如何設定邊界」的問題。這在許多資訊安全問題中都是議題：從國家情報資料與受盜獵威脅之野生動物資料的保護，到醫療與社會照護資訊的隱私與機密性，再到一般的專業實務。

我們最詳細地檢視了醫療紀錄，並發現：

容易的問題是在直接照護環境中設定存取控制，使每份紀錄的存取被限制在合理數量的員工。這類系統可以靠自動化既有工作實務來設計，而基於角色的存取控制是實作它們的自然方式。
然而醫療系統中的誘因使得實作往往很糟，需要監理來強制合規。
傳統的隱私取徑（可總結為「同意或匿名化」）正被日增的複雜度所侵蝕——許多外包系統即使對醫師（更別說病人）也是不透明的。
更難的問題是：日增的中央系統（尤其與付款相關、無法退出的那些）；基因資料的日增使用；以及社群媒體的效應——敏感的個人健康資訊往往能從中被推論出來。
這裡的治理問題比技術問題還要棘手。唯一現實的解法在於監理，而美國與歐盟正在漸行漸遠。歐洲給予公民「把其個人健康資訊限制在直接涉及其病例之臨床人員」的權利，美國則沒有。然而歐洲人可能很難執行自己的權利。

另一個要點是：正如多層級安全是資訊安全的「刺蝟」取徑——你希望靠把一件大事做對來得到好結果——多邊安全需要「狐狸」取徑。
你必須詳細理解你的應用、學習過去出過什麼錯——而如果你想預期未來可能出什麼錯，你還必須擅長對抗性思維。

研究問題#

新冠疫情很可能讓健康監測變得更加無所不在，於是個人健康資訊會更加普及，而本章討論的衝突會遠遠擴散到醫療部門之外。那會帶來什麼，技術與政策機制又該如何演化以因應？
在不久的將來，越來越多醫療將涉及基因資訊。有沒有什麼合理的方式能把隱私模型擴展到處理多個個人？
例如在許多國家，你有權不知道親屬對亨丁頓舞蹈症這類遺傳疾病之 DNA 檢測的結果，因為那可能影響你也罹病的機率。你的親屬確實有權知道，而且可能告訴別人——所以不受歡迎的消息可能間接傳到你這裡。
撰稿時，英國與德國都有案件在法院中，對「被診斷出亨丁頓舞蹈症者之子女的權利」推向不同方向。
這類關於資訊權利的張力遠早於網際網路，且無法純靠技術機制管理。但社群媒體改變了規模因子，使它們更普遍也更尖銳。 長期解法很可能涉及法律、社會規範與技術支援的某種混合，而且很可能要花數年才能理出來——我們也很可能在不同文化中得到不同的解法。