醫(yī)療器械網(wǎng)絡(luò)安全注冊審查指導(dǎo)原則 （2022年修訂版）
醫(yī)療器械網(wǎng)絡(luò)安全注冊審查指導(dǎo)原則本指導(dǎo)原則旨在指導(dǎo)注冊申請人規(guī)范醫(yī)療器械網(wǎng)絡(luò)安全生存周期過程和準(zhǔn)備醫(yī)療器械網(wǎng)絡(luò)安全注冊申報資料，同時規(guī)范醫(yī)療器械網(wǎng)絡(luò)安全的技術(shù)審評要求，為醫(yī)療器械軟件、質(zhì)量管理軟件的體系核查提供參考。本指導(dǎo)原則是對醫(yī)療器械網(wǎng)絡(luò)安全的一般要求，注冊申請人需根據(jù)產(chǎn)品特性和風(fēng)險程度確定本指導(dǎo)原則具體內(nèi)容的適用性，若不適用詳述理由。注冊申請人也可采用其他滿足法規(guī)要求的替代方法，但需提供詳盡的研究資料。本指導(dǎo)原則是在現(xiàn)行法規(guī)、強制性標(biāo)準(zhǔn)體系以及當(dāng)前科技能力、認(rèn)知水平下制定的，隨著法規(guī)、強制性標(biāo)準(zhǔn)體系的不斷完善以及科技能力、認(rèn)知水平的不斷發(fā)展，本指導(dǎo)原則相關(guān)內(nèi)容也將適時調(diào)整。本指導(dǎo)原則作為注冊申請人、審評人員和檢查人員的指導(dǎo)性文件，不包括審評審批所涉及的行政事項，亦不作為法規(guī)強制執(zhí)行，應(yīng)在符合法規(guī)要求的前提下使用本指導(dǎo)原則。本指導(dǎo)原則是數(shù)字醫(yī)療（Digital Health）指導(dǎo)原則體系的重要組成部分，亦是醫(yī)療器械軟件指導(dǎo)原則的補充，采用和遵循醫(yī)療器械軟件、獨立軟件生產(chǎn)質(zhì)量現(xiàn)場檢查等相關(guān)指導(dǎo)原則的概念和要求。本指導(dǎo)原則是醫(yī)療器械網(wǎng)絡(luò)安全的通用指導(dǎo)原則，其他涉及網(wǎng)絡(luò)安全的醫(yī)療器械產(chǎn)品指導(dǎo)原則可在本指導(dǎo)原則基礎(chǔ)上進(jìn)行有針對性的調(diào)整、修改和完善。本指導(dǎo)原則適用于醫(yī)療器械網(wǎng)絡(luò)安全的注冊申報，包括具備電子數(shù)據(jù)交換、遠(yuǎn)程訪問與控制、用戶訪問三種功能當(dāng)中一種及以上功能的第二、三類獨立軟件和含有軟件組件的醫(yī)療器械（包括體外診斷醫(yī)療器械）；適用于自研軟件、現(xiàn)成軟件的注冊申報。其中，網(wǎng)絡(luò)包括無線、有線網(wǎng)絡(luò)，電子數(shù)據(jù)交換包括基于網(wǎng)絡(luò)、存儲媒介的單向、雙向數(shù)據(jù)傳輸，遠(yuǎn)程訪問與控制包括基于網(wǎng)絡(luò)的實時、非實時的訪問與控制，用戶（如醫(yī)務(wù)人員、患者、維護(hù)人員等）訪問包括基于軟件用戶界面、電子接口的人機交互方式。本指導(dǎo)原則也可用作醫(yī)療器械軟件、質(zhì)量管理軟件的體系核查參考。（一）醫(yī)療器械網(wǎng)絡(luò)安全醫(yī)療器械網(wǎng)絡(luò)安全是指保護(hù)醫(yī)療器械產(chǎn)品自身和相關(guān)數(shù)據(jù)不受未授權(quán)活動影響的狀態(tài)，其保密性（Confidentiality）、完整性（Integrity）、可得性（Availability）相關(guān)風(fēng)險在全生命周期均處于可接受水平。其中，保密性是指信息不被未授權(quán)實體（含產(chǎn)品、服務(wù)、個人、組織）獲得或知悉的特性，即醫(yī)療器械產(chǎn)品自身和相關(guān)數(shù)據(jù)僅可由授權(quán)用戶在授權(quán)時間以授權(quán)方式進(jìn)行訪問和使用。完整性是指信息的創(chuàng)建、傳輸、存儲、顯示未以非授權(quán)方式進(jìn)行更改（含刪除、添加）的特性，即醫(yī)療器械相關(guān)數(shù)據(jù)是準(zhǔn)確和完整的，且未被篡改?？傻眯允侵感畔⒖筛鶕?jù)授權(quán)實體要求進(jìn)行訪問和使用的特性，即醫(yī)療器械產(chǎn)品自身和相關(guān)數(shù)據(jù)能以預(yù)期方式適時進(jìn)行訪問和使用。除保密性、完整性、可得性三個基本特性外，醫(yī)療器械網(wǎng)絡(luò)安全還包括真實性（Authenticity）、抗抵賴性（Non-Repudiation）、可核查性（Accountability）、可靠性（Reliability）等特性。其中，真實性是指實體符合其所聲稱的特性，抗抵賴性是指實體可證明所聲稱事件或活動的發(fā)生及其發(fā)起實體的特性，可核查性是指實體的活動及結(jié)果可被追溯的特性，可靠性是指實體的活動及結(jié)果與預(yù)期保持一致的特性。保密性、完整性、可得性等網(wǎng)絡(luò)安全特性通常是相互制約的關(guān)系，在同等條件下，某一特性的能力提升可能會使得另一特性或多個特性的能力下降，如可得性的提升可能會降低保密性和完整性，因此需要基于產(chǎn)品特性進(jìn)行平衡兼顧。注冊申請人需結(jié)合醫(yī)療器械的預(yù)期用途、使用場景、核心功能進(jìn)行綜合考量，從而確定醫(yī)療器械網(wǎng)絡(luò)安全特性的具體要求。此外，盡管信息安全、網(wǎng)絡(luò)安全、數(shù)據(jù)安全的定義和范圍各有側(cè)重，既有聯(lián)系又有區(qū)別，不盡相同，但本指導(dǎo)原則從醫(yī)療器械安全有效性評價角度出發(fā)對三者不做嚴(yán)格區(qū)分，統(tǒng)一采用網(wǎng)絡(luò)安全進(jìn)行表述，即從網(wǎng)絡(luò)安全角度綜合考慮醫(yī)療器械的信息安全和數(shù)據(jù)安全。（二）醫(yī)療器械相關(guān)數(shù)據(jù)醫(yī)療器械相關(guān)數(shù)據(jù)可分為醫(yī)療數(shù)據(jù)和設(shè)備數(shù)據(jù)。醫(yī)療數(shù)據(jù)是指醫(yī)療器械所產(chǎn)生的、使用的與醫(yī)療活動相關(guān)的數(shù)據(jù)（含日志），從個人信息保護(hù)角度又可分為敏感醫(yī)療數(shù)據(jù)、非敏感醫(yī)療數(shù)據(jù)，其中敏感醫(yī)療數(shù)據(jù)是指含有個人信息的醫(yī)療數(shù)據(jù)，反之即為非敏感醫(yī)療數(shù)據(jù)。個人信息是指以電子或者其他方式記錄的能夠單獨或與其他信息結(jié)合識別自然人個人身份的各種信息，如自然人的姓名、出生日期、身份證件號碼、個人生物識別信息（含容貌信息）、住址、電話號碼等。設(shè)備數(shù)據(jù)是指記錄醫(yī)療器械運行狀況的數(shù)據(jù)（含日志），用于監(jiān)視、控制醫(yī)療器械運行或者醫(yī)療器械的維護(hù)與升級，不得含有個人信息。注冊申請人需基于醫(yī)療器械相關(guān)數(shù)據(jù)的類型、功能、用途，結(jié)合網(wǎng)絡(luò)安全特性考慮醫(yī)療器械網(wǎng)絡(luò)安全要求。同時，保證敏感醫(yī)療數(shù)據(jù)所含個人信息免于泄露、濫用和篡改，以及醫(yī)療數(shù)據(jù)和設(shè)備數(shù)據(jù)的有效隔離（如訪問權(quán)限控制等方法）。本指導(dǎo)原則所述醫(yī)療器械電子接口（含硬件接口、軟件接口）包括網(wǎng)絡(luò)接口、電子數(shù)據(jù)交換接口，若無明示均指外部接口，分體式醫(yī)療器械各獨立部分的內(nèi)部接口視為外部接口，如服務(wù)器與客戶端、主機與從機的內(nèi)部接口。網(wǎng)絡(luò)接口是指基于網(wǎng)絡(luò)的電子接口。醫(yī)療器械可通過網(wǎng)絡(luò)接口（含轉(zhuǎn)接接口）進(jìn)行電子數(shù)據(jù)交換或遠(yuǎn)程訪問與控制，此時需考慮網(wǎng)絡(luò)的技術(shù)特征要求，包括但不限于網(wǎng)絡(luò)形式（有線、無線）、網(wǎng)絡(luò)類型（如廣域網(wǎng)、局域網(wǎng)、個域網(wǎng)）、接口形式（如電口、光口）、數(shù)據(jù)接口（此時即數(shù)據(jù)協(xié)議，含標(biāo)準(zhǔn)協(xié)議、私有協(xié)議）、遠(yuǎn)程訪問與控制方式（實時、非實時）、性能指標(biāo)（如端口、傳輸速率、帶寬）等。無線網(wǎng)絡(luò)包括Wi-Fi（IEEE 802.11）、藍(lán)牙（IEEE 802.15）、射頻、紅外、4G/5G等形式，其中醫(yī)用無線專用設(shè)備（即未采用通用無線通信技術(shù)的醫(yī)療器械）應(yīng)符合中國無線電管理相關(guān)規(guī)定。標(biāo)準(zhǔn)協(xié)議即業(yè)內(nèi)公認(rèn)標(biāo)準(zhǔn)所規(guī)范的數(shù)據(jù)傳輸協(xié)議，如DICOM、HL7等，需考慮其定制化功能的兼容性問題；私有協(xié)議需考慮兼容性問題。遠(yuǎn)程訪問與控制亦包括操作系統(tǒng)軟件所提供的遠(yuǎn)程會話或遠(yuǎn)程桌面功能。電子數(shù)據(jù)交換接口是指基于非網(wǎng)絡(luò)的電子接口。醫(yī)療器械可通過非網(wǎng)絡(luò)接口的其他電子接口（如串口、并口、USB口、視頻接口、音頻接口，含調(diào)試接口、轉(zhuǎn)接接口）或存儲媒介（如光盤、移動硬盤、U盤）進(jìn)行電子數(shù)據(jù)交換。此時需考慮其他電子接口或數(shù)據(jù)存儲的技術(shù)特征要求。其他電子接口可參照網(wǎng)絡(luò)接口明確其技術(shù)特征要求。數(shù)據(jù)存儲的技術(shù)特征要求包括但不限于存儲媒介形式、數(shù)據(jù)接口（此時即文件存儲格式，含標(biāo)準(zhǔn)格式、私有格式）、數(shù)據(jù)壓縮方式（有損、無損）、性能指標(biāo)（如傳輸速率、容量）等。標(biāo)準(zhǔn)格式即業(yè)內(nèi)公認(rèn)標(biāo)準(zhǔn)所規(guī)范的文件存儲格式，如JPEG、PNG等，需考慮其文件格式完整性問題；私有格式需考慮兼容性問題。注冊申請人需結(jié)合醫(yī)療器械電子接口的類型、方式、技術(shù)特征，基于網(wǎng)絡(luò)安全特性考慮其網(wǎng)絡(luò)安全的具體要求。（四）醫(yī)療器械網(wǎng)絡(luò)安全能力考慮到預(yù)期用途、使用場景的限制，醫(yī)療器械對于網(wǎng)絡(luò)安全威脅應(yīng)具備必要的識別、保護(hù)能力和適當(dāng)?shù)奶綔y、響應(yīng)、恢復(fù)能力。本指導(dǎo)原則所述醫(yī)療器械網(wǎng)絡(luò)安全能力包括：1.自動注銷（ALOF）：產(chǎn)品在無人值守期間阻止非授權(quán)用戶訪問和使用的能力。2.審核（AUDT）：產(chǎn)品提供用戶活動可被審核的能力。3.授權(quán)（AUTH）：產(chǎn)品確定用戶已獲授權(quán)的能力。4.節(jié)點鑒別（NAUT）：產(chǎn)品鑒別網(wǎng)絡(luò)節(jié)點的能力。5.人員鑒別（PAUT）：產(chǎn)品鑒別授權(quán)用戶的能力。6.連通性（CONN）：產(chǎn)品保證連通網(wǎng)絡(luò)安全可控的能力。7.物理防護(hù)（PLOK）：產(chǎn)品提供防止非授權(quán)用戶訪問和使用的物理防護(hù)措施的能力。8.系統(tǒng)加固（SAHD）：產(chǎn)品通過固化措施對網(wǎng)絡(luò)攻擊和惡意軟件的抵御能力。9.數(shù)據(jù)去標(biāo)識化與匿名化（DIDT）：產(chǎn)品直接去除、匿名化數(shù)據(jù)所含個人信息的能力。10.數(shù)據(jù)完整性與真實性（IGAU）：產(chǎn)品確保數(shù)據(jù)未以非授權(quán)方式更改且來自創(chuàng)建者或提供者的能力。11.數(shù)據(jù)備份與災(zāi)難恢復(fù)（DTBK）：產(chǎn)品的數(shù)據(jù)、硬件或軟件受到損壞或破壞后恢復(fù)的能力。12.數(shù)據(jù)存儲保密性與完整性（STCF）：產(chǎn)品確保未授權(quán)訪問不會損壞存儲媒介所存數(shù)據(jù)保密性和完整性的能力。13.數(shù)據(jù)傳輸保密性（TXCF）：產(chǎn)品確保數(shù)據(jù)傳輸保密性的能力。14.數(shù)據(jù)傳輸完整性（TXIG）：產(chǎn)品確保數(shù)據(jù)傳輸完整性的能力。15.網(wǎng)絡(luò)安全補丁升級（CSUP）：授權(quán)用戶安裝/升級產(chǎn)品網(wǎng)絡(luò)安全補丁的能力。16.現(xiàn)成軟件清單（SBOM）：產(chǎn)品為用戶提供全部現(xiàn)成軟件清單的能力。17.現(xiàn)成軟件維護(hù)（RDMP）：產(chǎn)品在全生命周期中對現(xiàn)成軟件提供網(wǎng)絡(luò)安全維護(hù)的能力。18.網(wǎng)絡(luò)安全使用指導(dǎo)（SGUD）：產(chǎn)品為用戶提供網(wǎng)絡(luò)安全使用指導(dǎo)的能力。19.網(wǎng)絡(luò)安全特征配置（CNFS）：產(chǎn)品根據(jù)用戶需求配置網(wǎng)絡(luò)安全特征的能力。20.緊急訪問（EMRG）：產(chǎn)品在預(yù)期緊急情況下允許用戶訪問和使用的能力。21.遠(yuǎn)程訪問與控制（RMOT）：產(chǎn)品確保用戶遠(yuǎn)程訪問與控制（含遠(yuǎn)程維護(hù)與升級）的網(wǎng)絡(luò)安全的能力。22.惡意軟件探測與防護(hù)（MLDP）：產(chǎn)品有效探測、阻止惡意軟件的能力。注冊申請人需根據(jù)醫(yī)療器械的產(chǎn)品特性分析上述網(wǎng)絡(luò)安全能力的適用性。若適用，明確網(wǎng)絡(luò)安全能力的實現(xiàn)方式，可通過產(chǎn)品自身功能實現(xiàn)，亦可通過必備軟件、外部軟件環(huán)境等外部措施實現(xiàn)。同時，根據(jù)產(chǎn)品風(fēng)險水平明確網(wǎng)絡(luò)安全能力的強弱程度，例如：用戶訪問控制可采用用戶名和口令方式，其中口令強度可采用不同強度設(shè)置或采用動態(tài)口令，亦可采用生物識別技術(shù)，通常情況下醫(yī)療器械的風(fēng)險水平越高則其用戶訪問控制要求越嚴(yán)格。反之，若不適用詳述理由并予以記錄。值得注意的是，對于特定醫(yī)療器械產(chǎn)品，上述各項網(wǎng)絡(luò)安全能力可能不足以保證其網(wǎng)絡(luò)安全，需結(jié)合產(chǎn)品具體情況補充其他網(wǎng)絡(luò)安全能力要求。（五）網(wǎng)絡(luò)安全驗證與確認(rèn)網(wǎng)絡(luò)安全驗證與確認(rèn)作為軟件驗證與確認(rèn)的重要組成部分，需在軟件驗證與確認(rèn)的框架下，結(jié)合產(chǎn)品網(wǎng)絡(luò)安全特性開展相關(guān)質(zhì)控工作，如源代碼安全審核、威脅建模、漏洞掃描、滲透測試、模糊測試等。軟件驗證與確認(rèn)相關(guān)要求詳見醫(yī)療器械軟件指導(dǎo)原則第二章。注冊申請人需針對不同類型網(wǎng)絡(luò)威脅，采用相應(yīng)技術(shù)手段來保證醫(yī)療器械的網(wǎng)絡(luò)安全。例如：針對讀取攻擊、操作攻擊、欺騙攻擊、泛洪攻擊、重定向、勒索攻擊等網(wǎng)絡(luò)威脅，可采用用戶訪問控制、端口與服務(wù)關(guān)閉、加密、數(shù)字簽名、標(biāo)準(zhǔn)協(xié)議、校驗、防火墻、入侵檢測、惡意代碼防護(hù)、防護(hù)規(guī)則配置等方法與技術(shù)來保證產(chǎn)品的網(wǎng)絡(luò)安全。網(wǎng)絡(luò)安全可追溯性分析作為網(wǎng)絡(luò)安全驗證與確認(rèn)的重要活動之一，是指追蹤網(wǎng)絡(luò)安全需求、網(wǎng)絡(luò)安全設(shè)計、源代碼、網(wǎng)絡(luò)安全測試、網(wǎng)絡(luò)安全風(fēng)險管理之間的關(guān)系，分析已識別關(guān)系的正確性、一致性、完整性、準(zhǔn)確性。醫(yī)療器械網(wǎng)絡(luò)安全生存周期過程均應(yīng)開展網(wǎng)絡(luò)安全可追溯性分析活動，具體要求可參照軟件可追溯性分析活動要求，詳見醫(yī)療器械軟件指導(dǎo)原則第二章。（七）網(wǎng)絡(luò)安全事件應(yīng)急響應(yīng)醫(yī)療器械設(shè)計開發(fā)只能針對已知網(wǎng)絡(luò)安全漏洞采取相應(yīng)風(fēng)險控制措施，上市后仍會面臨潛在未知的網(wǎng)絡(luò)安全漏洞引發(fā)的網(wǎng)絡(luò)安全事件的威脅，可能造成醫(yī)療器械無法訪問和使用、醫(yī)療數(shù)據(jù)發(fā)生泄露或遭到篡改，進(jìn)而可能導(dǎo)致患者受到傷害或死亡以及隱私被侵犯。同時，醫(yī)療器械網(wǎng)絡(luò)安全事件具有影響因素多、涉及面廣、擴散性強和突發(fā)性高等特點，對于醫(yī)療器械上市后監(jiān)測要求相對較高。因此，注冊申請人需基于相關(guān)標(biāo)準(zhǔn)和技術(shù)報告建立網(wǎng)絡(luò)安全事件應(yīng)急響應(yīng)機制，保證醫(yī)療器械的安全有效性并保護(hù)患者隱私。應(yīng)制定網(wǎng)絡(luò)安全事件應(yīng)急響應(yīng)預(yù)案，涵蓋現(xiàn)成軟件要求，明確計劃與準(zhǔn)備、探測與報告、評估與決策、應(yīng)急響應(yīng)實施、總結(jié)與改進(jìn)等階段的任務(wù)和要求。建立網(wǎng)絡(luò)安全事件應(yīng)急響應(yīng)團(tuán)隊，根據(jù)工作職能形成管理、規(guī)劃、監(jiān)測、響應(yīng)、實施、分析等工作小組，必要時可邀請外部網(wǎng)絡(luò)安全專家成立專家小組。根據(jù)網(wǎng)絡(luò)安全事件的嚴(yán)重程度、緊迫程度、廣泛程度等因素進(jìn)行分類分級管理，結(jié)合產(chǎn)品風(fēng)險級別，按照風(fēng)險管理要求開展應(yīng)急響應(yīng)措施的驗證工作并予以記錄，在事件發(fā)生期間及時告知用戶應(yīng)對措施。若適用，按照醫(yī)療器械不良事件、召回相關(guān)法規(guī)要求處理；必要時，向國家網(wǎng)絡(luò)安全主管部門報告。（八）醫(yī)療器械網(wǎng)絡(luò)安全更新醫(yī)療器械網(wǎng)絡(luò)安全更新從內(nèi)容上可分為功能更新、補丁更新，類似于增強類軟件更新、糾正類軟件更新。根據(jù)其對醫(yī)療器械安全性和有效性的影響程度分為以下兩類：（1）重大網(wǎng)絡(luò)安全更新：影響到醫(yī)療器械的安全性或有效性的網(wǎng)絡(luò)安全更新，即重大網(wǎng)絡(luò)安全功能更新，應(yīng)申請變更注冊。（2）輕微網(wǎng)絡(luò)安全更新：不影響醫(yī)療器械的安全性與有效性的網(wǎng)絡(luò)安全更新，包括輕微網(wǎng)絡(luò)安全功能更新、網(wǎng)絡(luò)安全補丁更新。輕微網(wǎng)絡(luò)安全更新通過質(zhì)量管理體系進(jìn)行控制，無需申請變更注冊，待下次變更注冊時提交相應(yīng)注冊申報資料。此外，涉及召回的網(wǎng)絡(luò)安全更新，無論功能更新還是補丁更新均屬于重大網(wǎng)絡(luò)安全更新，按照醫(yī)療器械召回相關(guān)法規(guī)要求處理，不屬于本指導(dǎo)原則討論范疇。網(wǎng)絡(luò)安全更新同樣遵循風(fēng)險從高原則，即同時發(fā)生重大和輕微網(wǎng)絡(luò)安全更新按重大網(wǎng)絡(luò)安全更新處理。同時，軟件版本命名規(guī)則應(yīng)涵蓋網(wǎng)絡(luò)安全更新情況，區(qū)分重大和輕微網(wǎng)絡(luò)安全更新。2.重大網(wǎng)絡(luò)安全更新判定原則網(wǎng)絡(luò)安全功能更新若影響到醫(yī)療器械的預(yù)期用途、使用場景或核心功能原則上均屬于重大網(wǎng)絡(luò)安全更新，包括但不限于：產(chǎn)品預(yù)期運行的網(wǎng)絡(luò)環(huán)境發(fā)生改變，如由封閉網(wǎng)絡(luò)環(huán)境變?yōu)殚_放網(wǎng)絡(luò)環(huán)境、局域網(wǎng)變?yōu)閺V域網(wǎng)、有線網(wǎng)絡(luò)變?yōu)闊o線網(wǎng)絡(luò)；產(chǎn)品預(yù)期使用的電子接口發(fā)生改變，如接口形式由網(wǎng)口變?yōu)閁SB口、接口類型由少變多、接口功能由電子數(shù)據(jù)交換擴至遠(yuǎn)程控制；產(chǎn)品網(wǎng)絡(luò)安全能力發(fā)生實質(zhì)性改變，如自動注銷能力由操作系統(tǒng)自帶功能實現(xiàn)改為產(chǎn)品自身功能實現(xiàn)、物理防護(hù)能力由有變無等。除非影響到醫(yī)療器械的安全性或有效性，以下網(wǎng)絡(luò)安全功能更新和網(wǎng)絡(luò)安全補丁更新通常視為輕微網(wǎng)絡(luò)安全更新：產(chǎn)品預(yù)期運行的網(wǎng)絡(luò)環(huán)境數(shù)據(jù)傳輸效率單純提高，預(yù)期使用的電子接口原有功能單純優(yōu)化、傳輸效率單純提高，產(chǎn)品網(wǎng)絡(luò)安全能力發(fā)生非實質(zhì)性改變；醫(yī)療器械軟件、必備軟件、外部軟件環(huán)境的網(wǎng)絡(luò)安全補丁更新。其中，必備軟件是指醫(yī)療器械軟件正常運行所必需的其他醫(yī)療器械軟件及醫(yī)用中間件，外部軟件環(huán)境是指醫(yī)療器械軟件正常運行所必需的系統(tǒng)軟件、通用應(yīng)用軟件、通用中間件、支持軟件，詳見醫(yī)療器械軟件指導(dǎo)原則。隨著網(wǎng)絡(luò)技術(shù)的發(fā)展，越來越多的醫(yī)療器械具備網(wǎng)絡(luò)連接功能以進(jìn)行電子數(shù)據(jù)交換或遠(yuǎn)程訪問與控制，在提高醫(yī)療服務(wù)質(zhì)量與效率的同時也面臨著網(wǎng)絡(luò)攻擊的威脅。醫(yī)療器械網(wǎng)絡(luò)安全出現(xiàn)問題不僅可能會侵犯患者隱私，而且可能會產(chǎn)生醫(yī)療器械非預(yù)期運行的風(fēng)險，導(dǎo)致患者或用戶受到傷害或死亡。因此，醫(yī)療器械網(wǎng)絡(luò)安全是醫(yī)療器械安全性和有效性的重要組成部分之一。信息共享是保障醫(yī)療器械網(wǎng)絡(luò)安全的基本原則。及時獲得網(wǎng)絡(luò)安全漏洞、事件等相關(guān)信息有助于識別、評估和應(yīng)對網(wǎng)絡(luò)安全風(fēng)險，保證醫(yī)療器械的安全有效性以及醫(yī)療活動的業(yè)務(wù)持續(xù)性，因此，鼓勵所有利益相關(guān)方在醫(yī)療器械全生命周期中主動積極共享網(wǎng)絡(luò)安全相關(guān)信息。注冊申請人需充分利用網(wǎng)絡(luò)安全漏洞披露機制加強醫(yī)療器械網(wǎng)絡(luò)安全的設(shè)計開發(fā)和上市后監(jiān)測，如基于國家互聯(lián)網(wǎng)應(yīng)急中心（CNCERT/CC，www.cert.org.cn）的國家信息安全漏洞共享平臺（CNVD，www.cnvd.org.cn），或其互認(rèn)的國際信息安全漏洞庫所披露的漏洞信息，定期開展網(wǎng)絡(luò)安全風(fēng)險管理工作。醫(yī)療器械網(wǎng)絡(luò)安全需要注冊申請人、用戶、信息技術(shù)服務(wù)商等利益相關(guān)者的共同努力和通力合作方能得以保障。雖然醫(yī)療器械在使用過程中常與非預(yù)期的設(shè)備或系統(tǒng)相連，使得注冊申請人在保證醫(yī)療器械網(wǎng)絡(luò)安全方面存在諸多困難，但這不意味注冊申請人可以免除醫(yī)療器械網(wǎng)絡(luò)安全相關(guān)責(zé)任。注冊申請人需保證醫(yī)療器械產(chǎn)品自身的網(wǎng)絡(luò)安全，明確預(yù)期的網(wǎng)絡(luò)環(huán)境和電子接口要求，持續(xù)監(jiān)測、評估、應(yīng)對、分享網(wǎng)絡(luò)安全相關(guān)風(fēng)險，與其他利益相關(guān)者密切合作，從而保證醫(yī)療器械的安全有效性。醫(yī)療器械網(wǎng)絡(luò)安全也是網(wǎng)絡(luò)安全國家戰(zhàn)略的重要組成部分，因此醫(yī)療器械網(wǎng)絡(luò)安全亦應(yīng)符合網(wǎng)絡(luò)安全相關(guān)法律法規(guī)和部門規(guī)章的要求，如網(wǎng)絡(luò)安全法、數(shù)據(jù)安全法、個人信息保護(hù)法以及數(shù)據(jù)出境、重要數(shù)據(jù)識別等要求。注冊申請人應(yīng)持續(xù)跟蹤相關(guān)法律法規(guī)和部門規(guī)章的制修訂情況，并滿足相應(yīng)適用要求。網(wǎng)絡(luò)安全新技術(shù)（如人工智能技術(shù)）研究處于快速發(fā)展階段，醫(yī)療器械若采用網(wǎng)絡(luò)安全新技術(shù)來保證網(wǎng)絡(luò)安全，亦需基于新技術(shù)特性，并結(jié)合風(fēng)險管理開展相應(yīng)驗證與確認(rèn)工作。綜合考慮行業(yè)發(fā)展水平和風(fēng)險分級管理導(dǎo)向，醫(yī)療器械網(wǎng)絡(luò)安全的風(fēng)險級別不同，其生命周期質(zhì)控要求和注冊申報資料要求亦不同。雖然網(wǎng)絡(luò)安全風(fēng)險與軟件風(fēng)險存在差異，但是網(wǎng)絡(luò)安全風(fēng)險作為軟件風(fēng)險的重要組成部分，其風(fēng)險級別亦可參照軟件采用安全性級別進(jìn)行表述。在通常情形下，醫(yī)療器械網(wǎng)絡(luò)安全的安全性級別與所屬醫(yī)療器械軟件的安全性級別相同；在特殊情形下，網(wǎng)絡(luò)安全的安全性級別可低于軟件的安全性級別，此時需詳述理由并按網(wǎng)絡(luò)安全的安全性級別提交相應(yīng)注冊申報資料。醫(yī)療器械網(wǎng)絡(luò)安全風(fēng)險同樣結(jié)合醫(yī)療器械的預(yù)期用途、使用場景、核心功能進(jìn)行綜合判定，特別是使用場景。不同使用場景的網(wǎng)絡(luò)環(huán)境不同，甚至存在巨大差異，對于醫(yī)療器械網(wǎng)絡(luò)安全的影響亦不同，如門診、手術(shù)、住院、急救、家庭、轉(zhuǎn)運、公共場所等使用場景的網(wǎng)絡(luò)環(huán)境均有所不同，因此對于適用于多個使用場景的醫(yī)療器械，注冊申請人需保證醫(yī)療器械在每個使用場景的網(wǎng)絡(luò)安全。醫(yī)療器械網(wǎng)絡(luò)安全風(fēng)險管理活動通常包括：識別資產(chǎn)（Asset，對個人或組織有價值的物理和數(shù)字實體）、威脅（Threat，可能導(dǎo)致對個人或組織產(chǎn)生損害的非預(yù)期事件發(fā)生的潛在原因）和脆弱性（Vulnerability，可能會被威脅所利用的資產(chǎn)或風(fēng)險控制措施的弱點），評估威脅和脆弱性對于醫(yī)療器械和患者的影響以及被利用的可能性，確定風(fēng)險水平并采取充分、有效、適宜的風(fēng)險控制措施，基于風(fēng)險接受準(zhǔn)則評估網(wǎng)絡(luò)安全綜合剩余風(fēng)險，保證網(wǎng)絡(luò)安全綜合剩余風(fēng)險均處于可接受水平。注冊申請人可結(jié)合醫(yī)療器械風(fēng)險管理和網(wǎng)絡(luò)安全風(fēng)險管理相關(guān)標(biāo)準(zhǔn)和技術(shù)報告的要求，開展醫(yī)療器械網(wǎng)絡(luò)安全風(fēng)險管理工作。值得注意的是，醫(yī)療器械風(fēng)險管理與網(wǎng)絡(luò)安全風(fēng)險管理在傳統(tǒng)上存在一定差異，注冊申請人若無法對二者進(jìn)行有效整合，則需分別獨立開展相應(yīng)風(fēng)險管理活動并予以記錄，同時考慮不同類型風(fēng)險控制措施的相互影響問題。與醫(yī)療器械軟件類似，注冊申請人應(yīng)在醫(yī)療器械全生命周期中持續(xù)關(guān)注網(wǎng)絡(luò)安全問題，包括上市前、上市后等階段。醫(yī)療器械上市前結(jié)合質(zhì)量管理體系要求和醫(yī)療器械產(chǎn)品特性開展網(wǎng)絡(luò)安全質(zhì)控工作，保證醫(yī)療器械的安全有效性；上市后根據(jù)網(wǎng)絡(luò)安全更新情況開展更新請求評估、驗證與確認(rèn)、風(fēng)險管理、用戶告知等活動，持續(xù)保證醫(yī)療器械的安全有效性。同時，建立網(wǎng)絡(luò)安全事件應(yīng)急響應(yīng)過程，定期開展醫(yī)療器械網(wǎng)絡(luò)安全漏洞風(fēng)險評估工作，根據(jù)網(wǎng)絡(luò)安全漏洞披露相關(guān)要求，及時將必要的網(wǎng)絡(luò)安全相關(guān)信息以及應(yīng)對措施告知用戶。此外，可采用信息安全領(lǐng)域的良好工程實踐來完善醫(yī)療器械網(wǎng)絡(luò)安全質(zhì)控工作，以保證醫(yī)療器械的安全有效性。四、醫(yī)療器械網(wǎng)絡(luò)安全生存周期過程考慮到行業(yè)實際情況，本指導(dǎo)原則不要求注冊申請人單獨建立醫(yī)療器械網(wǎng)絡(luò)安全生存周期（又稱生命周期）過程，而是將其作為醫(yī)療器械軟件生存周期過程的重要組成部分予以整體考慮，待時機成熟時予以考量。注冊申請人需在醫(yī)療器械軟件生存周期過程考慮醫(yī)療器械網(wǎng)絡(luò)安全的質(zhì)控要求，并可基于醫(yī)療器械網(wǎng)絡(luò)安全能力建設(shè)要求予以實施，具體要求詳見醫(yī)療器械軟件指導(dǎo)原則第六章以及獨立軟件生產(chǎn)質(zhì)量管理規(guī)范及其現(xiàn)場檢查指導(dǎo)原則。同時，注冊申請人可參考信息安全領(lǐng)域相關(guān)標(biāo)準(zhǔn)和技術(shù)報告，完善醫(yī)療器械網(wǎng)絡(luò)安全生存周期過程的質(zhì)控要求，本指導(dǎo)原則不再贅述。現(xiàn)成軟件同樣存在網(wǎng)絡(luò)安全問題，注冊申請人應(yīng)根據(jù)質(zhì)量管理體系要求建立現(xiàn)成軟件網(wǎng)絡(luò)安全更新過程，結(jié)合風(fēng)險管理要求，及時將必要的現(xiàn)成軟件網(wǎng)絡(luò)安全信息及應(yīng)對措施告知用戶。同時，根據(jù)現(xiàn)成軟件與醫(yī)療器械軟件的關(guān)系類型開展相應(yīng)網(wǎng)絡(luò)安全質(zhì)控工作。對于現(xiàn)成軟件組件（即作為醫(yī)療器械軟件組成部分的現(xiàn)成軟件），重點關(guān)注其網(wǎng)絡(luò)安全問題對醫(yī)療器械使用效果的影響，網(wǎng)絡(luò)安全的安全性級別判定亦需將其納入考量。對于外部軟件環(huán)境（即作為醫(yī)療器械軟件運行環(huán)境組成部分的現(xiàn)成軟件），重點關(guān)注其網(wǎng)絡(luò)安全補丁對醫(yī)療器械安全有效性的影響，網(wǎng)絡(luò)安全的安全性級別判定通常無需將其納入考量；需要說明的是，網(wǎng)絡(luò)安全補丁對于醫(yī)療器械而言屬于設(shè)計變更，需對醫(yī)療器械進(jìn)行驗證、確認(rèn)。根據(jù)《中華人民共和國網(wǎng)絡(luò)安全法》《中華人民共和國數(shù)據(jù)安全法》《中華人民共和國個人信息保護(hù)法》《中華人民共和國人類遺傳資源管理條例》等法律法規(guī)相關(guān)規(guī)定，在中國境內(nèi)收集和產(chǎn)生的重要數(shù)據(jù)、個人信息和人類遺傳資源信息原則上應(yīng)在中國境內(nèi)存儲，因業(yè)務(wù)需要確需向境外提供的，應(yīng)按照國家網(wǎng)信部門會同國務(wù)院有關(guān)部門制定的辦法進(jìn)行安全評估。《國家健康醫(yī)療大數(shù)據(jù)標(biāo)準(zhǔn)、安全和服務(wù)管理辦法（試行）》明確：健康醫(yī)療大數(shù)據(jù)應(yīng)存儲在境內(nèi)安全可信的服務(wù)器上，因業(yè)務(wù)需要確需向境外提供的，應(yīng)按照相關(guān)法律法規(guī)及有關(guān)要求進(jìn)行安全評估審核。醫(yī)療數(shù)據(jù)通常屬于重要數(shù)據(jù)，特別是敏感醫(yī)療數(shù)據(jù)含有個人信息，因此醫(yī)療數(shù)據(jù)出境應(yīng)符合重要數(shù)據(jù)、個人信息、人類遺傳資源信息出境安全評估相關(guān)規(guī)定。遠(yuǎn)程維護(hù)與升級雖為非醫(yī)療器械功能，但會影響醫(yī)療器械的安全有效性，故亦需納入考量。具有遠(yuǎn)程維護(hù)與升級功能的醫(yī)療器械可訪問和使用設(shè)備數(shù)據(jù)，本身雖不涉及醫(yī)療數(shù)據(jù)，但若未能實現(xiàn)設(shè)備數(shù)據(jù)和醫(yī)療數(shù)據(jù)的有效隔離，則存在醫(yī)療數(shù)據(jù)未授權(quán)訪問和使用以及被篡改的可能性。遠(yuǎn)程維護(hù)與升級所用電子接口也面臨網(wǎng)絡(luò)攻擊的威脅，可能會影響醫(yī)療器械正常運行，導(dǎo)致患者受到傷害或死亡以及隱私被侵犯。醫(yī)療器械在遠(yuǎn)程維護(hù)與升級過程中若無人值守，則可能存在醫(yī)療器械非授權(quán)訪問和使用的風(fēng)險。家用醫(yī)療器械的遠(yuǎn)程維護(hù)與升級需考慮其對產(chǎn)品正常使用的影響及其風(fēng)險。因此，注冊申請人需明確遠(yuǎn)程維護(hù)與升級的實現(xiàn)方法、所用電子接口情況、設(shè)備數(shù)據(jù)所含內(nèi)容、設(shè)備數(shù)據(jù)與醫(yī)療數(shù)據(jù)的隔離方法、網(wǎng)絡(luò)安全保證措施等技術(shù)特征，并提供相應(yīng)研究資料和風(fēng)險管理資料。此外，境外遠(yuǎn)程維護(hù)與升級若可訪問醫(yī)療數(shù)據(jù)，亦應(yīng)符合醫(yī)療數(shù)據(jù)出境要求。本指導(dǎo)原則所述遺留設(shè)備是指不能通過補丁更新、補償控制等合理風(fēng)險控制措施抵御當(dāng)前網(wǎng)絡(luò)安全威脅的醫(yī)療器械。遺留設(shè)備可能無法應(yīng)對當(dāng)前網(wǎng)絡(luò)安全威脅，導(dǎo)致產(chǎn)品綜合剩余風(fēng)險無法降至可接受水平，降低醫(yī)療器械的安全有效性。
注：本文轉(zhuǎn)載自國家藥品監(jiān)督管理局 醫(yī)療器械技術(shù)審評中心，轉(zhuǎn)載目的在于傳遞更多信息，并不代表本網(wǎng)贊同其觀點和對其真實性負(fù)責(zé)。如有侵權(quán)行為，請聯(lián)系我們，我們會及時刪除。
