醫療院所 WiFi：HIPAA、DSPT 與 WiFi 合規性詳解
本指南為在醫療環境中部署無線網路的 IT 經理、網路架構師和合規官提供具權威性的技術參考。它將 HIPAA (美國) 與 NHS 數據安全與保護工具包 (DSPT，英國) 的具體要求，對應到具體的網路架構決策，涵蓋網路分段、基於身分識別的存取、加密標準以及 IoMT 設備處理。Purple 的顧客 WiFi 與分析平台在整個指南中被定位為合規的企業級解決方案，用於在受控管的無線資產中管理患者與訪客的連線。
Video overview
收聽此指南
查看播客逐字稿
核心系列的一部分：企業級 WiFi 安全指南 →
執行摘要
醫療保健 WiFi 合規性不僅僅是一項設定 - 它是一門架構學問。無論您的組織是在美國的 HIPAA 規範下運行，還是遵循英國的 NHS 數據安全與保護工具包 (DSPT)，法規的要求都是相同的：您無線資產中的每個裝置、每個使用者和每個數據流都必須可被追溯、控制和稽核。
在美國，醫療保健數據外洩的平均成本目前每次事件超過 1090 萬美元，使其連續第十三年成為外洩成本最高昂的行業。在英國，未能完成年度 DSPT 申報的 NHS 信託基金將面臨失去國家系統存取權限的風險，並須接受強制性的改善計劃。在這兩種環境中，無線網路通常是最薄弱的環節 - 這並非因為技術不足，而是因為部署決策在制定時並未考量合規架構。
本指南涵蓋了部署符合這兩個架構的 醫療保健 級無線網路所需的技術架構、法規對照和實施階段。它還解決了患者與訪客 guest WiFi 的特定挑戰 - 這是一項必須同時具備高可用性、合規性且與臨床系統完全隔離的服務。
技術深入探討
法規環境
HIPAA 安全規則 (45 CFR Part 164) 為電子受保護健康資訊 (ePHI) 建立了三類安全保護措施：行政、物理和技術保護。對於無線網路，§164.312 下的技術保護措施最為直接適用。這些條款強制要求存取控制 (§164.312(a)(1))、稽核控制 (§164.312(b))、完整性控制 (§164.312(c)(1)) 以及傳輸安全 (§164.312(e)(1))。至關重要的是，安全規則在技術上保持中立 - 它不規定特定協議，但組織必須實施符合標準的機制。
NHS DSPT 圍繞十項國家數據監護人 (NDG) 數據安全標準構建。對於無線網路而言，最相關的是標準 1 (個人機密數據僅供有需要的員工存取)、標準 6 (所有個人數據均依法且適當地進行處理) 和標準 9 (識別並管理不受支援的系統)。DSPT 還納入了 Cyber Essentials Plus 的要求，這些要求強制規定了特定的技術控制措施，包括網路邊界防火牆、安全設定、存取控制、惡意軟體防護和補丁管理 - 所有這些都對無線網路有直接影響。
這兩個框架之間的主要區別在於執行機制。HIPAA 由 HHS 民權辦公室 (OCR) 負責執行，每次違規類別每年的罰款從 100 美元到 50,000 美元不等。DSPT 合規性則由 NHS England 負責執行，未合規的組織將面臨失去存取 NHS 全國系統的風險，並會被要求強制執行改善計劃。這兩個框架都要求每年進行審查並提交證明文件。
網路架構：四個信任區域
醫療保健 WiFi 合規性的基本原則是將網路細分為不同的信任區域。如果底層的策略執行力不足，那麼扁平網路 - 即使是擁有多個 SSID 的網路 - 也無法滿足這兩個框架的存取控制要求。
符合規範的醫院無線環境需要四個不同的策略網域：
| 區域 | 使用者/裝置類型 | 身分驗證方法 | 存取範圍 | 合規性驅動因素 |
|---|---|---|---|---|
| 臨床人員 | 臨床醫生、護士、行政人員 | WPA3-Enterprise, 802.1X, RADIUS | EHR/EMR、臨床應用程式、內部服務 | HIPAA §164.312(a), DSPT Standard 1 |
| 患者與訪客 | 患者、家屬、訪客 | Captive Portal (符合 GDPR 規範) | 僅限網際網路，無內部路由 | HIPAA §164.312(e), GDPR Article 5 |
| IoMT / 醫療裝置 | 輸液幫浦、監視器、遙測裝置 | 裝置憑證、MAC 過濾 | 依裝置類型進行微細分 | HIPAA 最小必要原則, DSPT Standard 9 |
| 營運 / 設施 | 印表機、CCTV、BMS、房產管理 | 專用 VLAN、託管憑證 | 僅限營運系統 | DSPT Standard 6, HIPAA §164.312(a) |
網路分割必須在網路層強制執行 - 而不僅僅是在 SSID 標籤上。每個區域都需要自己的 VLAN、專用的防火牆策略，以及預設拒絕的區域間存取控制清單 (ACL)。臨床人員區域必須沒有指向訪客區域的路由路徑，且 IoMT 區域的通訊路徑必須僅限制在每種裝置類型所需的特定伺服器和連接埠。
基於身分的存取：超越共享 PSK
共享預先共用金鑰 (PSK) 仍是醫療保健無線佈署中最常見的合規性失敗原因。它們在操作上很方便，但會引入三個關鍵問題：無法歸因於特定的使用者或裝置、很少按照員工離職的進度定期輪換，且當員工離職或裝置報廢時，沒有機制可以立即撤銷存取權限。
IEEE 802.1X 搭配 EAP-TLS (Extensible Authentication Protocol - Transport Layer Security) 是目前醫療保健領域中，基於身分進行無線存取的黃金標準。在此模式下，每位使用者或受管理裝置都會出示由組織 PKI (Public Key Infrastructure) 核發的憑證。RADIUS 伺服器會比對 Active Directory 或 LDAP 目錄來驗證該憑證，分配適當的 VLAN 與策略，並記錄包含時間戳記、裝置識別碼和使用者身分的驗證事件。當 Active Directory 中的員工帳戶被停用時，其無線存取權限將在下一次重新驗證週期內 (通常在幾分鐘內) 被撤銷。
在 IEEE 802.11ax (WiFi 6) 規範中推出的 WPA3-Enterprise 進一步加強了此安全性，它規定在敏感環境中使用 192 位元安全性套件，並透過等同對等實體同時驗證 (SAE) 握手提供正向保密。對於新部署，WPA3-Enterprise 應作為所有臨床和營運區域的基準標準。
傳輸安全與加密標準
HIPAA §164.312(e)(2)(ii) 要求組織在認為合適時，應實施加密傳輸中 ePHI 的機制。在實踐中，任何 ePHI 的無線傳輸都必須經過加密。應用程式層加密的最低可接受標準為 TLS 1.2，對於新部署則強烈建議使用 TLS 1.3。在無線層，WPA3 提供了 CCMP-256 (Counter Mode Cipher Block Chaining Message Authentication Code Protocol) 加密，取代了舊有的 TKIP 和 AES-CCMP-128 標準。
對於 NHS 組織，傳輸至 HSCN (Health and Social Care Network) 服務的資料必須符合 HSCN 安全要求，該要求規定至少使用 TLS 1.2，並限制使用 SSL 3.0、TLS 1.0 和 TLS 1.1。任何終端至 HSCN 流量的無線存取點或控制器，都必須設定為強制執行這些密碼套件限制。
IoMT 裝置管理：最棘手的問題
醫療物聯網 (IoMT) 呈現了醫療保健無線部署中技術上最複雜的合規挑戰。傳統醫療裝置 - 輸液幫浦、病患監視器、遙測系統、影像設備 - 經常執行無法支援 802.1X 驗證或現代 TLS 版本的嵌入式作業系統。它們無法像受管理的端點一樣按照相同的時程進行修補，且其製造商通常禁止進行會影響裝置認證的修改。
合規的作法是採用微分割（micro-segmentation）並結合嚴格的通訊路徑控制。每種裝置類型或裝置系列都會被分配到一個專屬的子 VLAN。防火牆 ACL 僅允許裝置執行其臨床功能所需的特定來源/目的地 IP 對、協定與連接埠。所有其他流量都會被阻擋並記錄。網路存取控制（NAC）解決方案可以執行裝置分析 - 確保聲稱為輸液幫浦的裝置在核准其分配的策略之前，其行為確實符合該裝置的特徵。
DSPT 標準 9 特別針對不受支援的系統進行了規定：組織必須維護所有無法更新至目前安全性標準的系統清單，並實施補償性控制措施。對於 IoMT 裝置，補償性控制措施是網路隔離與增強型監控相結合。
病患與訪客 WiFi：無摩擦的合規性
病患與訪客 隨選 WiFi 是臨床上的必需品，而非可有可無的便利設施。研究一致顯示，提供網路連線可減輕病患焦慮、改善長期住院期間與家屬的溝通，並有助於提高整體的病患滿意度評分。合規性的挑戰在於如何提供此服務，而不會為臨床網路帶來風險媒介。
合規的病患 WiFi 部署需要三個要素。第一，完全的網路隔離：訪客 SSID 必須透過專屬的閘道器將流量直接路由到網際網路，且沒有任何通往內部臨床系統、EHR 平台或行政網路的路徑。第二，符合 GDPR 的資料處理：在 Captive Portal 上擷取的任何資料 - 電子郵件地址、裝置識別碼、接受條款 - 都必須按照 UK GDPR（適用於 NHS 組織）或 HIPAA 的最低必要（Minimum Necessary）標準（適用於美國醫療保健機構）進行處理。第三，頻寬管理：服務品質（QoS）策略必須確保訪客流量不會使無線介質飽和並降低臨床應用程式的效能。
Purple 的 隨選 WiFi 平台專為此使用案例而設計。它提供了一個可設定的 Captive Portal，具有符合 GDPR 的同意流程、用於病患溝通的第一方資料擷取，以及可讓營運團隊掌握訪客停留時間、尖峰使用期與存取點負載的 WiFi 數據分析 - 所有這些都不會建立任何通往臨床網路的資料路徑。對於 NHS 基金會，Purple 的資料處理實務皆有記錄以支援 DSPT 證據提交。
如需涵蓋 NHS 特定要求的詳細部署指南，請參閱 NHS 員工 WiFi：如何在醫療保健機構中部署安全無線網路。
對於您的特定設置有任何疑問嗎？
我們的團隊與超過 80,000 個場域的場域營運商、IT 經理和網路工程師合作。立即預約 20 分鐘的通話，我們將向您展示其他與您相似的用戶是如何解決此問題的。
實施指南
第一階段：探測與風險評估（第 1 - 3 週）
從全面的無線現場調查和設備盤點開始。繪製當前活動的每個 SSID、連接到網路的每種設備類型以及穿越無線層的每個資料流。特別注意舊版醫療設備 - 記錄其作業系統版本、驗證能力和製造商支援狀態。此盤點清單將構成您 DSPT 證明包和 HIPAA 風險分析文件的基礎。
針對您的目標合規架構進行差距分析。針對 HIPAA，將當前的控制措施與技術防護清單進行比對。針對 DSPT，對照 NDG 10 標準完成預評估。識別所有使用共享 PSK、缺乏或不完整網路分割以及稽核記錄無法擷取足夠詳細資訊的實例。
階段二：架構設計（第 4 至 6 週）
設計上述的四區分割模型。定義 VLAN 分配、防火牆原則規則和跨區域 ACL。指定 RADIUS 基礎架構 - 本地部署（Microsoft NPS、FreeRADIUS）或雲端託管（RADIUS-as-a-Service）。設計基於憑證驗證的 PKI 結構，包括憑證生命週期管理和撤銷流程。
針對訪客 WiFi 區域，選擇並設定 Captive Portal 平台。定義資料擷取欄位、同意條款和資料保留原則。確保該入口網站的隱私聲明符合 GDPR 第 13 條的要求（適用於英國/歐盟部署）或 HIPAA 的隱私實務聲明要求（適用於美國部署）。
階段三：部署與遷移（第 7 至 12 週）
按順序部署各個區域：營運和 IoMT 區域最先（對臨床營運的風險最低），其次是員工區域，最後是訪客區域。針對每個區域，透過嘗試來自測試設備的跨區域流量來驗證分割 - 確認防火牆 ACL 封鎖了非預期的流量。透過測試憑證撤銷來驗證驗證機制 - 在 Active Directory 中停用測試帳戶，並確認在預期的重新驗證時間範圍內無線存取已被拒絕。
使用分階段導入將員工設備遷移到 802.1X 驗證。透過您的 MDM（行動設備管理）平台將設備憑證部署到受管理的端點。對於 BYOD 設備，實作一個獨立的登入 SSID，在授予員工區域存取權限之前，引導使用者完成憑證安裝。
階段四：稽核記錄與監控（持續進行）
設定您的 RADIUS 伺服器和無線控制器，將驗證記錄轉發到您的 SIEM（安全性資訊與事件管理）平台。確保記錄擷取：時間戳記、使用者身分、設備 MAC 位址、SSID、VLAN 分配、工作階段持續時間和傳輸的位元組數。為符合 HIPAA 合規性，記錄至少保留六年。針對 DSPT，確保定期審查記錄並記錄審查流程。 針對異常行為實施自動警報：在非工作時間連線的裝置、異常的資料量、超出閾值的失敗驗證嘗試，以及出現在非預期 VLAN 上的裝置。
最佳實踐
採用 WPA3-Enterprise 作為所有新無線存取點部署的基準標準。 與 WPA2 相比，WPA3 提供了顯著更強的加密和前向安全性，並且是 WiFi 6 和 WiFi 6E 認證裝置的必要條件。舊有的 WPA2 部署應安排在規定的時間內進行遷移。
切勿在臨床或營運網路上使用共享的 PSK。 如果舊有裝置無法支援 802.1X，請實施基於 MAC 的驗證作為補償性控制措施，並結合嚴格的防火牆微分割。在您的風險登記冊中記錄該補償性控制措施。
為缺乏運行本地 RADIUS 伺服器基礎架構的較小型 NHS Trusts 和家庭醫生診所（GP practices）實施 RADIUS-as-a-Service。 雲端託管的 RADIUS 消除單點故障風險，並簡化憑證生命週期管理。
每季進行一次無線滲透測試，重點針對分割邊界。特別測試 VLAN 跳躍、惡意無線存取點偵測以及 Captive Portal 繞過漏洞。在您的 DSPT 證據包或 HIPAA 風險分析中記錄發現的結果和修正步驟。
維護與您的 NAC 平台整合的即時裝置清冊。 無線資產中的每台裝置都應該有明確的擁有者、定義好的策略和記錄的審查日期。未知的裝置應觸發自動警報，並予以隔離以待調查。
對於適用於各個行業的更廣泛企業 WiFi 安全原則，汽車產業 WiFi：2026 企業完整指南 中的指南涵蓋了幾種直接適用於醫療保健環境的架構模式。
疑難排解與風險緩解
常見失效模式 1：VLAN 洩漏
最常見的分割失敗是存取層的 VLAN 設定錯誤。不正確地設定為傳遞所有 VLAN 的中繼埠，或是具有過度允許之目的地的防火牆規則，都可能在無形中允許跨區域流量。緩解措施：在每次設定變更後，透過主動滲透測試來驗證分割。使用自動網路掃描工具來偵測非預期的跨 VLAN 路徑。
常見失效模式 2：因憑證過期導致臨床中斷
當裝置憑證過期且未自動更新時，臨床裝置將失去無線連線，這可能會發生在值班期間。緩解措施：透過您的 MDM 平台實施自動憑證更新，並提供至少 30 天的更新窗口。針對在 60 天內過期的憑證設定警報。維護一個用於緊急臨床裝置存取的備用緊急 PSK，並結合嚴格的存取記錄。
常見失效模式 3：iOS/Android 上的 Captive Portal 繞過
現代行動作業系統使用 Captive Network Assist (CNA) - 一種攔截 Captive Portal 重新導向的輕量級瀏覽器。iOS 或 Android CNA 行為的變更可能會破壞 Portal 流程。緩解措施：在每次作業系統更新週期後，於目前的 iOS 和 Android 版本上測試 Captive Portal 流程。使用像 Purple 這樣在各作業系統版本間主動維護 Portal 相容性的平台。
常見故障模式 4：網路變更後 IoMT 裝置故障
傳統醫療裝置對網路變更高度敏感。VLAN 重新編號、防火牆原則更新或 DHCP 範圍變更都可能破壞裝置連線。緩解措施：在臨床時間內，對 IoMT VLAN 保持變更凍結期。在實際部署之前，先在實驗室環境中針對具代表性的裝置類型測試所有變更。在進行任何影響 IoMT VLAN 的網路變更之前，先與裝置製造商的臨床工程團隊聯絡。
常見故障模式 5：稽核記錄保留不足
HIPAA 要求保留六年的記錄。許多無線控制器預設僅保留 30 或 90 天的記錄。緩解措施：設定所有無線基礎架構，將記錄轉發至具有適當保留原則的集中式 SIEM。每年將驗證保留設定作為您的 HIPAA 風險分析或 DSPT 自我評估的一部分。
投資報酬率 (ROI) 與業務影響
與違規成本相比，合規的醫療院所 WiFi 的商業案例非常明確。醫療機構單次違反 HIPAA 的平均總成本為 1090 萬美元 - 包括監管罰款、法律費用、補救措施和商譽受損。導致無法存取 NHS 國家系統的 DSPT 失敗可能會使臨床運作停頓數天或數週，並對患者安全產生直接影響。
除了降低風險外，架構良好的無線環境還能帶來可衡量的營運回報。臨床工作人員花在連線解決方案上的時間更少 - 2023 年 NHS 數位調查發現，67% 的臨床工作人員將連線不佳視為生產力的阻礙。透過 MDM 自動執行裝置註冊可減少 IT 服務台處理無線存取問題的工單。此外，透過像 Purple 的 WiFi Analytics 這樣的平台所提供的合規且管理良好的訪客 WiFi 服務，可產生第一方患者數據，以支援溝通、滿意度調查和營運規劃。
對於 NHS 信託基金，成功的 DSPT 提交還能解鎖對 NHS 共享商業服務框架和國家採購管道的存取，降低未來技術採購的成本。對合規無線架構的投資將在整個數位資產中帶來回報。
如需您醫療保健環境中的實施支援與合規的訪客 WiFi 佈署，請探索 Purple 的醫療保健 WiFi 解決方案 或參閱詳細的 NHS 員工 WiFi 安全佈署指南。
關鍵定義
ePHI（電子受保護健康資訊）
以電子形式建立、接收、維護或傳輸的任何可識別個人身份的健康資訊。根據 HIPAA，這包括患者姓名、就診日期、病歷號碼以及可用於識別患者與其健康狀況或照護相關的其他任何資料。
IT 團隊在設計網路分段和資料處理原則時會遇到此問題。任何可能傳輸 ePHI 的系統或網路路徑（包括臨床工作人員使用的無線網路）都符合 HIPAA 技術防護措施的要求。
DSPT（資料安全與保護工具包）
由 NHS England 強制要求所有存取 NHS 患者資料或連線到 NHS 系統的組織進行的年度自我評估架構。基於十項國家資料監護人 (NDG) 資料安全標準，它要求組織證明個人資料得到安全處理，並且已採取適當的技術和組織控制措施。
NHS 信託機構、全科醫生診所以及有權存取 NHS 系統的第三方供應商必須每年提交 DSPT。對於無線網路，最相關的標準是標準 1（存取控制）、標準 6（合法處理）和標準 9（不受支援的系統管理）。
802.1X
用於基於連接埠的網路存取控制的 IEEE 標準。它提供了一個驗證架構，要求裝置在獲准存取網路之前向 RADIUS 伺服器提供有效的憑證（通常是憑證或使用者名稱/密碼）。在無線佈署中，802.1X 與 EAP（可延伸驗證協定）搭配使用，以驗證個別使用者和裝置。
在企業和醫療環境中取代共享 PSK 的方案。當 Active Directory 中停用員工帳戶時，其經由 802.1X 驗證的無線存取權限將自動撤銷 - 提供 HIPAA 和 DSPT 所要求的存取控制問責制。
WPA3-Enterprise
目前的 WiFi 聯盟企業級無線網路安全性認證，隨 WiFi 6 (802.11ax) 推出。它強制使用 GCMP-256 加密和 HMAC-SHA-384 進行驗證的 192 位元安全性模式，提供比 WPA2-Enterprise 顯著更強的保護。它還提供正向加密，這意味著即使長期金鑰遭到破解，也不會洩露過去的工作階段流量。
新醫療無線佈署的基準加密標準。WiFi 6 和 WiFi 6E 認證設備所必需。舊有的 WPA2 佈署應排定移轉時程，作為組織技術更新計劃的一部分。
RADIUS (Remote Authentication Dial-In User Service)
一種網路協定，可為網路存取提供集中式的驗證、授權和計費 (AAA)。在無線佈署中，RADIUS 伺服器會驗證 802.1X 憑證，並根據使用者或裝置身分指派 VLAN 與原則，同時記錄每一次帶有時間戳記和裝置識別碼的驗證事件。
基於身分識別的無線存取的核心基礎設施組件。可以佈署在本地（Microsoft NPS、FreeRADIUS）或作為雲端服務 (RADIUS-as-a-Service)。RADIUS 驗證記錄是 HIPAA 稽核控制和 DSPT 存取問責要求的主要證據來源。
IoMT (醫療物聯網)
透過 IP 網路進行通訊的聯網醫療裝置生態系統，包括輸液幫浦、生理監視器、遙測系統、影像設備和穿戴式感測器。IoMT 裝置通常執行嵌入式作業系統，其安全功能有限且更換週期長，這為醫療照護網路合規性帶來了特定挑戰。
醫療照護無線佈署中最具技術複雜性的合規挑戰。IoMT 裝置通常無法支援 802.1X 驗證或現代 TLS 版本，因此需要補償性控制措施，例如基於 MAC 的驗證、微分割和增強監控。DSPT 標準 9 具體要求對不受支援的系統 (包括許多 IoMT 裝置) 進行盤點，並透過記錄在案的補償性控制措施進行管理。
網路分割 / VLAN
將實體網路劃分為多個邏輯網路 (虛擬區域網路，即 VLAN) 的實踐，這些網路在網路層彼此隔離。VLAN 之間的流量由防火牆原則和存取控制清單控制。在醫療照護領域，分割用於將臨床、訪客、IoMT 和營運流量隔離到不同的原則網域中。
醫療照護 WiFi 合規性的基礎技術控制。HIPAA 和 DSPT 皆要求限制只有經授權的使用者與系統才能存取敏感數據。網路分割在基礎架構層強制執行此要求，確保訪客 WiFi 上的訪客裝置即使在應用程式層控制失效時，也無法將流量路由到臨床系統。
Captive Portal
當使用者連線到 WiFi 網路時，攔截其初始 HTTP/HTTPS 請求的網頁，要求其在獲得完整網路存取權限之前完成特定操作 (接受服務條款、輸入憑證或提供聯絡資訊)。在醫療照護領域，Captive Portal 用於管理病患和訪客的 WiFi 上網引導、收集符合 GDPR 規範的同意書，並執行可接受使用原則。
合規訪客 WiFi 佈署中主要面向使用者的元件。單憑 Captive Portal 並不能使訪客網路合規 - 底層網路仍必須進行適當的分割與隔離。然而，設定妥當的入口網頁 (例如 Purple 的平台) 可處理訪客存取層的 GDPR 同意管理、資料極小化和稽核記錄。
HSCN (健康與社會照護網路)
NHS 的託管網路服務，提供健康與社會照護組織與國家 NHS 系統之間的連線性。HSCN 於 2019 年取代了 N3，並提供安全、託管的 IP 網路以存取國家級服務，包括 NHS Spine、NHSmail 和臨床資訊系統。連線到 HSCN 的組織必須符合特定的安全要求。
適用於其無線設備提供 HSCN 連線系統存取權限的 NHS 組織。終止流向 HSCN 服務之流量的無線基地台或控制器，必須設定為執行 HSCN 安全要求，包括最低 TLS 1.2 要求和經核准的加密套件。
範例
一家擁有 450 張病床的 NHS 信託基金正在準備其年度 DSPT 申報，並發現臨床工作人員目前在員工 SSID 上使用共享的 WPA2 PSK。IT 總監需要遷移到基於身分識別的存取控制，且不得干擾臨床運作。該資產包括 280 台受控的 Windows 筆記型電腦、120 台註冊於 Jamf 的 iOS 裝置，以及大約 60 台無法支援 802.1X 的舊型醫療設備 (輸液幫浦和床邊監視器)。
將遷移工作分為四個並行的工作串。第一，部署雲端託管的 RADIUS 服務 (或在現有網域控制站上設定 Microsoft NPS) 並將其與 Active Directory 整合。第二，使用 Jamf 將 EAP-TLS 設定檔和裝置憑證推送到所有 120 台 iOS 裝置，這可以在無需使用者介入的情況下背景完成。第三，透過群組原則將憑證部署到 280 台 Windows 筆記型電腦，將無線設定檔配置為對新 RADIUS 伺服器使用 EAP-TLS。在遷移期間同時執行舊的 PSK SSID 和新的 802.1X SSID，並針對需要手動安裝憑證的裝置使用專用的註冊 SSID。第四，將 60 台舊型醫療設備放置在專用的 IoMT VLAN 上，使用基於 MAC 的驗證作為補償性控制，並使用防火牆 ACL 將每種裝置類型限制在僅其所需的通訊路徑中。在 DSPT 風險登記冊中將基於 MAC 的驗證記錄為補償性控制，並將審查日期與裝置更換計畫相綁定。一旦所有受控裝置完成遷移，即停用共享的 PSK SSID，並將遷移過程記錄在 DSPT 評估證據包中。
一家營運三家社群醫院的美國醫療系統需要在所有院區部署合規的患者與訪客 WiFi。每個院區有 150 到 300 張病床，且在候診區、門診部和自助餐廳有大量的訪客流量。資訊長 (CIO) 希望利用顧客 WiFi 收集患者聯絡資料以進行診後滿意度調查，但法律團隊已針對在醫療網路上收集數據提出 HIPAA 合規疑慮。
在每個站點的獨立 VLAN 上部署專用的訪客 WiFi SSID，並透過專用閘道直接將流量路由到網際網路 - 且不提供路由到內部臨床系統、EHR 平台或行政網路的路由路徑。實施可處理使用者上線流程的 Captive Portal 平台（例如 Purple）。該入口網站應呈現清晰的隱私聲明，說明收集哪些資料、將如何使用以及使用者如何選擇退出 - 這滿足了 HIPAA 對任何資料收集的隱私實踐聲明要求。關鍵在於，在入口網站收集的資料（電子郵件地址、裝置識別碼、連線時間戳記）並不構成 ePHI，因為它沒有與任何健康資訊連結 - 它僅僅是從訪客那裡收集的聯絡資料。設定入口網站僅收集滿意度調查使用案例所需的最少資料：電子郵件地址和選填的姓名。確保資料儲存在訪客 WiFi 平台的雲端環境中，而不是連接到臨床網路的任何系統上。實施頻寬 QoS 策略，將訪客流量限制在每台裝置 10 Mbps 以及每個站點總計 100 Mbps，以防止訪客使用影響臨床應用程式的效能。在 HIPAA 風險分析中記錄網路隔離架構和資料處理實踐。
一家英國的私立醫院集團正在新建的設施中部署 Wi-Fi 6E。網路架構師需要設計無線環境，以同時支援 DSPT 合規性和 CQC（Care Quality Commission）檢查準備工作，同時提供支援該醫院自費模式的高級患者 WiFi 體驗。
設計如技術深度探討章節中所述的四區域架構，利用 Wi-Fi 6E 的 6 GHz 頻段用於臨床和 IoMT 區域（干擾更少、吞吐量更高），並將 5 GHz 和 2.4 GHz 頻段用於患者/訪客覆蓋。在臨床區域部署 WPA3-Enterprise，並採用與醫院 Active Directory 整合的 EAP-TLS 驗證。針對患者 WiFi 區域，實施具有品牌形象上線流程的高級 Captive Portal、基於病房號碼的驗證（允許醫院將 WiFi 工作階段與患者記錄關聯以用於計費和溝通目的，並取得明確的 GDPR 同意），以及分級頻寬方案。部署 Purple 的訪客 WiFi 平台來處理 Captive Portal、符合 GDPR 的同意管理和分析。分析儀表板為營運團隊提供對存取點負載、患者連線率和尖峰使用時段的即時可視性 - 這些數據可同時支援營運規劃以及 CQC 關於患者體驗的證據。確保患者 WiFi 資料是根據與平台提供商簽訂的符合 GDPR 規範的資料處理協議進行處理。在 DSPT 自我評估證據包中記錄網路架構、分段控制和資料處理實踐。
練習題
Q1. 您的 NHS 信託 IT 安全團隊剛剛完成了無線站點調查，發現放射科正對該科室內的所有無線設備（包括託管的 Windows 工作站和三部執行已停止支援 Windows 7 的舊型 DICOM 影像工作站）使用共享的 WPA2 PSK。DSPT 提交截止日期為六週後。您的緊急行動計劃為何？您如何在 DSPT 中對此進行記錄？
提示：請考慮 DSPT 標準 9 具體針對不受支援系統的要求。此處您有兩個獨立的問題：共用 PSK (存取控制) 和不受支援的 OS (系統管理)。它們需要不同的補救方法和不同的 DSPT 實證條目。
查看標準答案
緊急行動：(1) 使用現有的網域憑證將託管的 Windows 工作站移轉至 802.1X 驗證 - 這可以在六週的空檔內透過群組原則完成。(2) 將這三部 Windows 7 DICOM 工作站放置在專用的 IoMT VLAN 上，並使用基於 MAC 的驗證與嚴格的防火牆 ACL，僅允許 DICOM 流量傳輸至 PACS 伺服器。(3) 在 Standard 9 下的 DSPT 風險登錄表中，將 Windows 7 系統記錄為「具有補償性控制措施的不受支援系統」，並指定網路隔離作為補償性控制措施，同時列出計劃的更換日期。(4) 在所有託管設備移轉完成後，停用共享的 PSK SSID。針對 DSPT 證據包：提供顯示新區隔的網路架構圖、顯示託管設備具名使用者驗證的 RADIUS 驗證記錄、Windows 7 系統的風險登錄表項目，以及 IoMT VLAN 的防火牆 ACL 設定。關鍵的 DSPT 洞察是，Standard 9 並不要求立即更換不受支援的系統 - 而是要求對其進行識別、風險評估，並透過記錄在案的補償性控制措施進行管理。
Q2. 美國某醫療體系的 CISO 收到行銷團隊的請求，希望使用該醫院的患者 WiFi 資料，向在就診期間連接過網路的患者發送有關新服務的促銷電子郵件。行銷團隊認為，患者在連接訪客 WiFi 時已提供了電子郵件地址，因此已經給予同意。這是否符合 HIPAA 規定？需要實施哪些控制措施？
提示：請考慮在 WiFi 門戶收集的資料（聯絡資料）與收集該資料的背景（醫療保健機構）之間的區別。此外，也請考慮電子郵件地址與該人員曾在醫院的事實相結合，是否構成 ePHI。
查看標準答案
這是一個細微的 HIPAA 問題。在訪客 WiFi 門戶上收集的電子郵件地址本身並非 ePHI。然而，將該電子郵件地址與該個人在特定日期出現在醫療保健機構的事實相結合，可能就會構成 ePHI - 因為這揭露了該人員接受或尋求了醫療保健服務。這就是 HIPAA 中的「機構就診」問題：僅是身處醫院的事實就是健康資訊。若要使行銷使用案例合規：(1) Captive Portal 同意條款必須明確說明電子郵件地址將用於關於醫院服務的行銷傳播 - 僅接受一般的「服務條款」是不夠的。(2) 該同意必須與 WiFi 存取權限的授予分開 - 患者必須能夠在不同意接收行銷電子郵件的情況下使用 WiFi（主動加入，而非主動退出）。(3) 資料處理必須記錄在 HIPAA 隱私聲明中。(4) 如果行銷電子郵件會提及患者的就診或健康服務，則可能需要 HIPAA 授權（而不僅僅是同意）。最安全的架構是將在醫療保健機構 WiFi 門戶收集的任何電子郵件地址視為潛在的 ePHI 並進行相應處理 - 與 WiFi 平台供應商簽署 BAA，並對行銷用途取得明確的主動加入同意。
Q3. 您是一家正在英國興建、擁有 200 張床位之新型私立醫院的網路架構師。臨床總監希望部署一個「智慧病房」，每個病房配備 45 個 IoMT 設備（輸液幫浦、生命徵象監測儀、護理師呼叫系統和智慧病床），全部採用無線連接。物業團隊也希望將建築管理系統（BMS）、監視器和門禁控制連接到相同的無線基礎架構，以降低佈線成本。您如何設計無線資產以滿足 DSPT 要求，同時容納所有這些使用案例？
提示：仔細思考您需要多少個不同的原則網域。智慧病床和護理師呼叫系統與輸液幫浦具有不同的安全性設定檔。BMS 和監視器與臨床設備具有不同的風險設定檔。考慮共享實體基礎架構（存取點）並同時保持邏輯隔離（VLAN）是否足夠，或者某些設備類型是否需要實體隔離。
查看標準答案
為此環境設計一個六分區架構：(1) 臨床人員 - WPA3-Enterprise、802.1X，與 Active Directory 整合。(2) 患者與訪客 - captive portal、僅限網際網路、符合 GDPR。(3) 關鍵 IoMT（輸液幫浦、生命徵象監測儀）- 專用 VLAN、支援之處使用設備憑證、嚴格的 ACL、加強監控，不與非臨床分區共享基礎架構。(4) 非關鍵 IoMT（智慧病床、護理師呼叫）- 與關鍵 IoMT 隔離的獨立 VLAN、較不嚴格的 ACL，但仍與臨床人員和訪客分區隔離。(5) 建築管理系統 - 專用 VLAN，在可能的情況下與臨床分區進行實體隔離，不路由到臨床網路。(6) 監視器 / 門禁控制 - 專用 VLAN，鑑於門禁控制資料的安全性敏感性，考慮這是否應該在一個實體隔離的網路上。關鍵的 DSPT 考量是，在 UK GDPR 下，監視器和門禁控制資料屬於個人資料，而 BMS 資料可能是敏感的營運資料 - 這些絕對不能從患者 WiFi 分區或處理患者資料的臨床系統存取。對於關鍵 IoMT 分區，考慮每個病房 45 個設備的密度是否值得為該分區配備專用存取點，而不是使用具有 VLAN 隔離的共享 AP - 這提供了更強的實體隔離，並消除了設定錯誤建立跨分區路徑的風險。在 DSPT 證據包中記錄分區架構、每個設計決策的依據，以及針對任何無法支援現代身分驗證之設備的補償控制措施。
繼續閱讀本系列
如何安全地隔離員工與訪客 WiFi 網路：企業區域網路（LAN）最佳實踐
本指南為 IT 經理和網路架構師提供了一個與廠商無關的技術藍圖，旨在透過正確隔離員工與訪客 WiFi 流量來確保企業 LAN 的安全。內容涵蓋 802.1X 驗證、雲端 RADIUS、VLAN 隔離，以及消除共享密碼並保護企業資產所需的憑證生命週期管理。
最佳 DNS filtering：企業綜合指南
本技術參考指南說明企業級 DNS filtering 如何在建立連線之前的解析層阻擋惡意網域，進而保護公共網路的安全。它為 IT 總監、網路架構師和場所營運團隊提供了保護餐飲旅宿、零售和公共部門環境中 Guest WiFi 所需的佈署架構、防火牆設定以及合規性背景。Purple Shield 在 DNS 層級為超過 80,000 個實體場所阻擋惡意軟體、殭屍網路和不當內容。
深入理解 Cisco SUDI：安全網路存取控制中的硬體錨定身分驗證
本指南說明 Cisco SUDI 如何為企業網路基礎設施提供硬體錨定且具密碼編譯安全性的身分。了解如何以不可變的 802.1AR 憑證取代易遭偽造的 MAC 位址，以確保您場域的網路存取控制安全。
對於您的特定設置有任何疑問嗎？
我們的團隊與超過 80,000 個場域的場域營運商、IT 經理和網路工程師合作。立即預約 20 分鐘的通話，我們將向您展示其他與您相似的用戶是如何解決此問題的。