目前國內衛生署正大力提倡醫療資訊化、網路化，但眾所囑目之電子病歷、電子簽章 法律條文，目前在立法院及各界研擬中。依衛生主管機關規劃構想，未來每人使用 IC 電腦卡看病，醫院則使用電子病歷，各項醫囑、處方、用藥、檢驗、檢查、完全由電 腦記錄，檢查檢驗之結果亦完全數位化，儲存在電腦中。易言之，未來醫院之病歷，
終極目標亦是要朝無紙化(paperless)發展，PACS 可以說是病歷電子化中之一環，因為 它的目標之一是 X 光片無片化(film less)。現時之病歷及 X 光片皆屬有實體之文件，
而未來由電腦數位化產生的東西及建構 PACS 時，必須要考慮合法問題。
反觀美國州政府法律，對於遠距教學，影像傳輸橫越兩州時，例如由馬里蘭州傳 影像到加州，判讀影像並撰寫正式書面報告之醫師，必須擁有上述二州之執照，否則 即違法。其次，影像在取得後如果沒有改變，包括儲存、傳輸、及分配，對於 PACS 就不須要 FDA 之認證核準，否則影像如經過壓縮、或影像顯示等則須要 FDA 之認證 核準。另外，如果有人使用有關 CT. MRI CR 等機台影像，這些影像係由經過 FDA 核 準機台所產生時，當這些影像進入 PACS 時，是不准變更的，同理若將影像呈現在工 作站時，這些影像資料亦不允許被變更，否則即是違法，其它諸如有意義之診斷性資 訊，是被允許 10 比 1 之壓縮損失，可回復性和無損失之壓縮，(低於 3 比 1 之比例) 是不會引起任何法律問題。
系統之安全性，由於影像之傳輸，是透過網際網路，因此醫療法律之爭議，以及病人 資料之私密性，相對變成很重要，此時就得靠系統之安全性，一般而言，為防止影像 或資料在傳輸過程中遭篡改，在工作站方面要有帳戶控制及授權限制，顯示工作站資 料庫管理系統則應顧及使用者身份和權限；網路方面則有私匙與公匙法，如將資料轉 換成不可閱讀之訊息，另外認證中心之建立，由第三者公信單位成立認証中心，任何 資料之傳輸，經由認証中心背書保証，亦是未來維持系統安全性之方法。
2.4.1 醫療保險可攜性與責任性法案(Health Insurance Portability and Accountability Act)
為規範資訊之安全性與機密性並符合個人隱私需求，美國聯邦政府於 1996 年通過 HIPAA 法案(Health Insurance Portability and Accountability Act)，該法案明定了資訊系 統應有的安全機制。其內容大致上可分為下列四大類：
管理程序(Administrative procedure) 實體防護(Physical safeguards)
技術安全服務(Technical security services) 技術安全機制(Technical security mechanisms)
管理程序(Administrative Procedure)
管理程序係指為保護資料所採取的安全衡量，並據此指定專責人員執行資料保護工作 並記載於正式文件。安全管理程序計有認證、協議… 等共十二項：
認證(Certification).：資訊系統及網路設計必須符合預定安全目標，並經內部稽核或公 認機構認證。
與合作組織間的協議(Chain of Trust Partner Agreement).：若與其他組織間有資料交換 (例如本院之轉診/檢報告查詢系統).，必須與之簽署安全保密合約。
應變計畫(Contingency Plan).：為臨時發生重大事變(例如停電、火災等).時得以持續醫 療照護並於事後復原，必須事先擬定系統損壞程度評估程序、資料備份計畫、災難復 原計畫、緊急模式操作計畫及定期演練與計畫修訂程式。
處理記錄的正式機制(Formal Mechanism for Processing Records).：關於處理例行與非例 行醫療資訊之資料搜集、操作、儲存、散播、傳送與控制之政策與程序，並記載於正 式文件。
使用者權限(User-based Access).：關於不同使用者的權限等級(包括授權、建立使用權 限及使用權維護).之政策及程序文件記錄。
內部稽核(Internal Audit).：關於系統活動(包括資料查詢、登錄、更改與刪除等).記錄之 內部稽核機制與程序。
人員安全(Personnel Security).：確保由充分授權的、具備安全管理知識的人員負責主管 其他員工之授權程序，並應：
(1).保留完整授權記錄。
(2).確保授予使用者適當的權限。
(3).建立員工離職後之移除授權程序。
(4).建立並維護員工安全策略及程序。
(5).確保系統使用者接受與安全常識有關之訓練。
安全結構管理(Security Configuration Management).：包括
(1).完整的文件說明與記錄。
(2).安裝軟硬體設備時應測試系統安全功能。
(3).安全庫存。
(4).測試安全機制。
(5).偵測電腦病毒。
安全事件處理程序(Security Incident Procedures).：事先規劃發生安全侵害時的報告及反 應程序，並記載於正式文件。
安全管理程序(Security Management Process).：建立、管理並監督與預防機制及發生安 全侵害時之封鎖、修正與損壞分析有關之政策。
結束程序(Termination Procedures).：員工離職時的正式文件指引，包括 (1).更換門鎖及門禁密碼。
(2).移除該員工之系統使用權限。
(3).移除該員工之使用者帳號。
訓練(Training).：
(1).必須對包括管理階層人員在內的所有員工進行安全訓練。
(2).定期宣導安全管理。
(3).訓練使用者，加強其防毒與個人密碼管理知識。
(4).訓練使用者保護其帳號與密碼，避免遭人偷窺竊用。
實體防護(Physical safeguards)
※硬體防護之目的在維護資料之一致性、機密性與可用性。硬體防護計有指定安全責 任、媒體控管、實體使用控制及工作站管理政策四項：
指定安全責任(Assigned Security Responsibility).：建立管理階層之資料保護、管理與監 督職責。
媒體控管(Media Controls).：關於軟硬體的安裝/移除之使用控制、責任、資料備份、資 料儲存及處置等操作程序之政策與程序，並記載於正式文件。
實體使用控制(Physical Access Controls).：關於實體設施(例如電腦機房、儀器等).使用 控制之政策與程序，並記載於正式文件。包括
(1).災難復原。
(2).緊急處理模式。
(3).設備控制。
(4).設施安全計畫。
(5).授權確認機制。
(6).設備維修記錄。
(7).個人使用程序需知。
(8).來客登記與陪同。
(9).測試與修正。
工作站管理政策(Policy/Guideline on Workstation Use).：依功能性質安裝適當的工作 站，防止他人利用該工作站進行未授權之使用其他功能。
技術安全服務(Technical security services)
※技術安全服務之目的亦在維護資料之一致性、機密性與可用性，並包括保護、控制 及監督使用資訊的程序。技術安全服務計有使用權限控制、稽核控制、授權控制、資 料確認及實體確認五項：
使用權限控制(Access Control).：使用權限可依個別使用者而分或依職務區分(例如醫師 使用權限、護士使用權限… 等).，必要時可對帳號資料進行加密(Encryption).。
稽核控制(Audit Controls).：可供記錄及解釋系統活動(包括資料查詢、登錄、更改與刪 除等).之機制。
授權控制(Authorization Controls).：包括實體確認、自動登出帳號及使用者唯一識別碼。
資料確認(Data Authentication).：為避免資料遭受未授權之更動或刪除，可建立資料確 認機制。
實體確認(Entity Authentication).：為避免冒名頂替情況發生，有建立實體確認機制之 必要，以防授予不恰當的使用權限。
技術安全機制(Technical security mechanisms)
※技術安全機制目的在建立防範透過網路未授權使用資料之程序，主要有網路控管 (Communications/Network controls)一項：其內容包括
一致性控制。
訊息確認。
使用權控制或加密。
2.4.2 行政院衛生署醫療憑證管理中心憑證實務作業基準(HCA Certification Practice Statement)
本段僅就與資料交換與憑證部份摘要說明 簽發憑證之種類、保證等級、與適用範圍
憑證種類
『行政院衛生署醫療憑證管理中心』(以下簡稱「醫療憑證管理中心」)採用獨立單一 階層之認證架構，負責簽發憑證管理中心之自簽憑證，以及醫療領域專業醫事人員、
醫事機構及其所屬的伺服器應用軟體之終端用戶憑證。
保證等級
依據「政府機關公開金鑰基礎建設憑證政策」保證等級規範，提供第三保證等級之認 證服務。此等級可應用於具風險之醫療專屬通訊網路或網際網路上、傳送敏感之醫療 隱私資料，達到『身份鑑別』、『隱私保護』、『交易完整性與不可否認性』之保證。
簽發憑證之適用範圍
「醫療憑證管理中心」核發之憑證適用於醫療資訊電子化相關應用服務所需的身份認 證及資料加解密，業務範圍包括醫事人員之電子證照；醫事人員、醫事機構或應用系 統之身份鑑別、隱私資料之完整性保護與醫療資訊交換時之金鑰交換或資料加解密。
3. 法律責任重要規定事項
「醫療憑證管理中心」之憑證機構乃依『電子簽章法』與『醫療資訊電子化』相關行 政命令規定所設立，適用項目皆為將目前紙本作業流程改為電子化作業流程，故相關 應用之法律依據，將以原本作業流程之相關法令規定為準；相關之爭議訴訟與賠償規 定亦同。
2.4.3 行政院及所屬各機關資訊安全管理要點 本段僅就資訊安全架構部份摘要說明
目 的
一、行政院為推動各機關強化資訊安全管理，建立安全及可信賴之電子化政府，確保 資料、系統、設備及網路安全，保障民眾權益，特訂定本要點。
三、各機關應依有關法令，考量施政目標，進行資訊安全風險評估，確定各項資訊作 業安全需求水準，採行適當及充足之資訊安全措施，確保各機關資訊蒐集、處理、傳 送、儲存及流通之安全。
四、本要點所稱適當及充足之資訊安全措施，應綜合考量各項資訊資產之重要性及價 值，以及因人為疏失、蓄意或自然災害等風險，致機關資訊資產遭不當使用、洩漏、
竄改、破壞等情事，影響及危害機關業務之程度，採行與資訊資產價值相稱及具成本 效益之管理、作業及技術等安全措施。
五、各機關應就下列事項，訂定資訊安全計畫實施，並定期評估實施成效：
（一）資訊安全政策訂定。
（二）資訊安全權責分工。
（三）人員管理及資訊安全教育訓練。
（四）電腦系統安全管理。
（五）網路安全管理。
（六）系統存取控制管理。
（七）系統發展及維護安全管理。
（八）資訊資產安全管理。
（九）實體及環境安全管理。
（十）業務永續運作計畫管理。
（十一）其他資訊安全管理事項。
六、本要點所稱資訊安全政策，指機關為達成資訊安全目標訂定之資訊安全管理作業 規定、措施、標準、規範及行為準則等。
二十七、各機關應訂定電子郵件使用規定，機密性資料及文件，不得以電子郵件或其 他電子方式傳送。
二十七、各機關應訂定電子郵件使用規定，機密性資料及文件，不得以電子郵件或其 他電子方式傳送。