IEC 62304 是醫療器材軟體生命週期過程的國際標準（2006 年版＋2015 年修訂 A1），規範軟體開發計畫、需求、架構、實作、驗證、發布與維護的全流程要求。核心機制是軟體安全分級：依故障可能造成的傷害把軟體分為 Class A（無傷害）、B（非重傷）、C（重傷或死亡），等級越高、流程與文件要求越嚴——而分級的依據正是 ISO 14971 的危害分析。對智慧醫療業者最現實的兩個戰場：SOUP（來源不明軟體，含開源元件）的管制——每個第三方元件都要識別、評估與監控，這與 SBOM 及資安漏洞管理直接相連；以及敏捷開發與 62304 文件要求的調和——做得到，但需要方法。
安全分級決定一切
Class A/B/C 直接決定需要哪些開發活動與文件深度。分級做錯方向都昂貴：分高了徒增成本，分低了在審查時被打回更痛。分級判定須以 14971 危害分析為依據並文件化——這是 62304 導入的第一個關鍵交付。
SOUP 與軟體供應鏈
現代醫材軟體大量使用開源與第三方元件，62304 要求對 SOUP 建立需求、評估與異常監控。實務上這就是 SBOM＋漏洞情資監測的常設機制——與 IEC 81001-5-1 及 EU CRA 的要求天然銜接，一套機制三處出證。積穗科研自身管線即每日產製與監測 SBOM，方法論可直接移轉。
與 13485／81001-5-1 的關係
62304 是 13485 設計管制在軟體域的具體化；81001-5-1 再疊上資安活動（威脅建模、資安測試、漏洞處理）。三者共用生命週期骨架，整合導入避免三套平行文件的災難。
適用對象
- SaMD 與醫療 App 開發商
- 醫材內嵌軟體（韌體）團隊
- 使用大量開源元件、需建立 SOUP 管制的業者
- 採敏捷開發、需與法規文件要求調和的團隊
相關深度洞察
由積穗顧問群撰寫，平均每篇 6,000 字以上深度解析
2026 年資安與個資法新罰則衝擊：從 NTT 9 百萬筆外洩到臺灣金融 PIMS 變革
2026 年資安新罰則從 NTT 9 百萬筆外洩到臺灣金融 PIMS 藍圖，揭示委外監督、零信任與 DPIA 成為 C‑Suite 必備治理要素。本文深入解析罰金、資本影響與常見盲點，提供 5‒7 步行動指南，協助企業避免巨額罰款與資本稀釋，並介紹積穗科研的 ISO 27701、GDPR 雙合規與隱私衝擊評估服務。
pims刑事合規系統與ISO 27701整合：台灣企業PIMS實務指南
2024年巴塞隆納大學研究揭示，IT安全領域刑事合規系統（CCS）的五步驟框架與ISO 27701的PDCA管理循環高度重疊，台灣企業可採整合性策略同步達成GDPR、台灣個資法與ISO 27701三重合規目標，節省至少30%重複建置成本，並以DPIA常態化機制降低最高2,000萬歐元的GDPR罰款風
pims雲端安全框架整合指南：ISO 27701與CCM、NIST CSF如何協同保護台灣企業個資
2025年arXiv研究系統比較CCM、NIST CSF與ISO 27001/27017三大雲端安全框架，指出單一框架無法覆蓋全部合規需求。台灣企業應以ISO 27001為基礎，導入ISO 27701建立PIMS，同時符合台灣個資法與GDPR要求。積穗科研提供免費機制診斷，協助企業在7至12個月內完
pimsFMEA與領結分析：歐洲能源業資安案例對台灣ISO 27701與PIMS實務的啟示
Petri Helo與Mikko Suorsa（2025）以歐洲能源零售企業2018至2023年真實資安事件為基礎，識別八大網路安全風險類別，結合FMEA量化風險優先數（RPN）與領結模型視覺化攻擊路徑，提供符合EU NIS 2指令的防禦框架。台灣企業可將此方法論直接對應ISO 27701第6.5節
pims能力試驗方法論如何強化ISO 27701 PIMS個資保護機制：積穗科研解析
積穗科研股份有限公司分析Proftest Syke固體燃料能力試驗研究，發現其z值與En值雙軌評分邏輯，直接對應ISO 27701 PIMS個資保護機制的雙層驗證需求。92%合格率背後的方法論，為台灣企業建立可驗證的個資保護控制措施提供具體參考。結合GDPR與台灣個資法合規要求，企業應建立外部可比較
pimsISO 27001 不足以獨撐全球隱私合規：台灣企業 ISO 27701 雙軌框架實務指南
2025年arXiv最新研究以15位歐美隱私專業人士訪談（668項NVivo編碼）確認：ISO 27001的CIA架構是隱私合規基礎，但無法覆蓋GDPR同意管理、資料主體權利等要求，必須搭配ISO 27701及DPIA機制。台灣企業應立即啟動缺口分析，建立符合GDPR與台灣個資法的雙軌合規框架。
pimsCOBIT 2019與ISO 27701整合：台灣企業資安策略三步驟完整指南
2025年arXiv最新研究提出COBIT 2019與ISO 27000系列的三步驟整合方法，識別六大資安策略主題，其中ISO 27701隱私保護被明確納入策略架構。台灣企業可藉此同步滿足GDPR、台灣個資法與ISO 27701三重合規要求，積穗科研提供7至12個月的PIMS導入輔導服務。
pimsAI時代PIMS新思維：多元論認知模型如何強化ISO 27701個資保護
GDPR等法規雖劃定底線，卻無法真正賦權個人掌控資料。本文評析Human等人2019年arXiv論文，指出多元論計算認知模型可在透明度、可問責性與可控性之間取得平衡，對台灣企業ISO 27701 PIMS架構設計具有前瞻指引意義，建議同步落實DPIA評估與AI風險管控。
常見問題
我們的 App 算不算醫材軟體？
取決於宣稱用途：診斷、治療、監測等醫療目的即可能構成 SaMD 而適用 62304。健康促進類則可能豁免。建議先做法規定性，再決定流程投資。
敏捷開發和 62304 衝突嗎？
不衝突，但需要設計：以迭代產出累積 62304 要求的文件證據（需求追溯、驗證紀錄），業界已有成熟的敏捷×62304 對映實務。關鍵是把文件當開發產出物，而非事後補作業。
SOUP 管制要做到多細？
每個 SOUP 元件需識別版本、功能與效能需求、已知異常監控管道。實務最低配備是自動化 SBOM 產製＋漏洞情資訂閱＋評估紀錄——手工 Excel 維護在元件數量上百後必然失守。
62304 有認證嗎？
無獨立認證制度，符合性透過 13485 稽核與各市場技術文件審查驗證。輔導目標是讓開發流程證據經得起公告機構與 FDA 檢視。