医疗器械网络安全：质量管理体系考量与上市前提交内容

Cybersecurity in Medical Devices: Quality Management System Considerations and Content of Premarket Submissions: Guidance for Industry and Food and Drug Administration Staff

发布日期：2026-02-03

状态：Final（最终） 类型：Guidance Document 类别：数字健康与网络安全 主题：Premarket、Digital Health 案卷号：FDA-2021-D-1158

官方来源

https://www.fda.gov/regulatory-information/search-fda-guidance-documents/cybersecurity-medical-devices-quality-management-system-considerations-and-content-premarket PDF：https://www.fda.gov/media/119933/download

INFO

本内容由英文原文机器辅助翻译，并经结构校对。如有歧义，以英文官方文本为准。

---

官方文件全文

本指南代表了FDA目前对这一专题的想法。它没有规定任何人的任何权利,对FDA或公众没有约束力。您可采取另一种方式,即满足适用的法规和条例的要求。为了讨论另一种办法,请与标题页所列FDA工作人员或负责本指南的办公室联系。

I. 简介

随着无线、互联网和网络连接能力、便携式媒体(如USB或CD)的日益一体化,以及经常以电子方式交流与医疗器械有关的健康信息和其他信息,需要强有力的网络安全控制,以确保医疗器械的安全和有效性,这一点已变得更加重要。 此外,对保健部门的网络安全威胁越来越频繁和严重,对临床影响的潜力也越来越大。网络事件使医疗器械和医院网络无法运作,扰乱了美国和全球各医疗机构的患者护理工作。这种网络事件和剥削可能导致临床危害,如诊断和/或治疗延误,对病人造成伤害。 连通性增强导致单个器械作为较大医疗器械系统的单一元件运行。这些系统可以包括医疗机构网络、其他器械、软件更新服务器等相互关联的组成部分。这些系统的所有方面没有充分的网络安全考虑,a 网络安全威胁可能损害系统中任何资产的运作能力,从而损害一个器械的安全和(或)有效性。因此,确保器械安全和有效性包括充分的器械网络安全及其作为大系统一部分的安全。 本文件提到的FDA认可的协商一致标准现版见FDA公认的共识标准数据库。欲进一步了解监管提交中使用协商一致标准的情况,请参考FDA题为“在医疗器械上市前提交中适当使用自愿共识标准”和“生物评价和研究中心审查的条例提交中标准发展和使用标准”的指导。 总的来说,FDA的指南文件没有规定法律上可以执行的责任。 相反,FDA目前对一个专题的想法,只应视为建议,除非引述具体的规章或法规要求。在FDA的指导意见中使用这个词意味着建议或建议某种东西,但并不要求。

II. 范围

本指南适用于出于网络安全考虑的器械,包括但不限于包含器械软件功能1 或含有软件(包括固件)或可编程逻辑的器械。该指南不仅限于网络驱动器械或含有其他相关能力的器械。本指南介绍了关于为以下上市前提交类型下的器械提交的网络安全信息的建议,提交器械和辐射健康中心或生物评价和研究中心(生物中心):

• 上市前通知(510(k))提交材料; de Novo申请; 上市前批准申请和PMA补充材料; 产品开发议定书;研究用器械豁免申请; 人道主义器械豁免申请; 生物许可证申请; 生物许可证申请;- 调查性新药物(IND)提交材料。 此外,本指南适用于《FD&C法》第201(h)条意义内的所有各类器械,包括符合《公共卫生服务法》第351条生物产品定义的器械,不论它们是否需要上市前提交。 因此,本指南中的建议也适用于不需要上市前提交文件的器械(例如510(k)豁免器械)。本指南也适用于《FD&C法》第524B节所界定的网络器械,这是一套器械。 一般来说本指南中的建议适用于组合产品2 的器械组成部分(如药物器械和生物器械组合产品),如果由于信息、环境和发展提交材料的获益-风险门槛不同,且不是上市授权,附录3提供了关于国际经济发展指数提交文件的具体建议。 此外,附录5还载有指南通篇使用的术语。

III. 背景

FDA认识到,医疗器械网络安全是有关各方在整个医疗器械系统使用环境中的共同责任,为了本指南的目的," 医疗器械系统 " 一词包括与之相连的器械和系统——例如医疗机构网络、其他器械和软件更新服务器。 整个保健部门的活动都强调了网络安全对病人安全的重要性。WannaCry勒索软件 影响到全球各地的医院系统和医疗器械。例如URGENT/11和SweynTooth 导致各种临床专业使用的各种器械的潜在安全问题。2020年，对一家德国医院的勒索软件袭击突出表明,网络安全袭击迫使病人转往另一家医院时,由于患者护理延迟,可能受到潜在影响。 2014年，FDA发布了针对上市前要求的最终网络安全指南《医疗器械网络安全管理上市前提交材料的内容》，以及补充指南《医疗器械网络安全上市后管理》（以下称为“上市后网络安全指南”），于2016年发布。然而,迅速变化的地貌,对新出现的威胁有了更多的了解,在整个产品生命周期(TPLC)中,需要能够部署减缓措施,因此,有必要对网络安全器械采取更新的迭接办法。自2014年指南以来的变化旨在进一步强调确保器械安全设计的重要性,本指南由CDRH和CBER与毒品评价和监管中心协商编写, Research（CDER））和组合产品办公室（OCP）协商编写。 实现TPLC对器械的这些考虑的方法之一是实施和通过《产品安全开发框架》。如本指南所述,这是一套过程,可以减少整个器械生命周期内产品漏洞的数量和严重程度。在许多部门,包括医疗器械部门,都存在这种框架的例子。 器械制造商风险管理是查明、分析、评价、控制并监测整个产品生命周期的风险,以确保其制造的器械安全有效。FDA发布了最后规则11,修订了《质量管理体系法规》21 CFR 820下目前良好制造做法要求的器械(cGMP),以便更密切地与全世界许多其他监管机构使用的医疗器械质量管理体系国际共识标准保持一致。本订正第820部分称为《质量管理体系法规》。 QMSR通过参考采纳ISO 13485.12的2016年版ISO 13485.12,通过参考采纳ISO 13485,我们明确要求,对于受FDA管辖的器械,目前国际承认的对QMS的监管期望是明确的。ISO 13485, 以参考方式纳入质量和计量SR,13 本指南所载建议旨在补充FDA的《上市后网络安全指南》,以及“器械软件功能上市前提交书的内容”,以下称为“上市前软件指南”。 本指南取代了2014年最后指南“医疗器械网络安全管理上市前提交书的内容”。 本指南准则中的建议也大致上与2020年3月发布的国际医疗器械监管者论坛“医疗器械网络安全的原则和做法”最后指南“医疗器械网络安全的原则和做法”中医疗器械网络安全预售考虑部分的建议相一致或扩大。 13485, 医疗器械 -- -- 质量管理体系 -- -- 第820部分关于监管目的的要求。ISO 13485中的要求一经全面采用,与上一部分820的要求基本相似,在公司的质量管理体系中提供类似程度的保证,并有能力始终如一地制造安全有效、并以其他方式符合《FD&C法》的器械。 12 本指南中所有提及ISO 13485的文字都指ISO 13485:2016,医疗器械——质量管理体系——监管要求。 此外,2022年12月29日颁布的《2022年粮食和药物综合改革法》(FDORA)第3305条,2023年3月29日开始生效。关于“计算机器械”的上市前提交材料,第524B(a)条规定,申办者必须提供信息,以确保该器械符合第524B(b)14节规定的网络安全要求。 根据《FD&C法》第524B(a)节,提交510(k)、PMA、PDP、De Novo或HDE的510(k)、PMA、PDP、De Novo或HDE的人,为符合第524B(c)节定义的网络器械定义的器械提供,要求提交信息,以确保网络器械符合《FD&C法》第524B(b).15节第524B(c)节规定的网络安全要求。(b) 能够与互联网连接;(3) 含有任何此种技术特性,经验证、安装、可能易受网络安全威胁的申办者或经申办者授权的申办者(关于“网络器械”一词的更多信息,见第七.B节)。本指南中的建议旨在帮助制造商履行《FD&C法》第524B节规定的义务。

IV. 总体原则

本节规定了与器械制造商有关的器械网络安全一般原则。本指南的原则对于改进器械网络安全十分重要,而且一旦遵循,预计会对器械的安全性和有效性产生积极影响。本指南中的建议涵盖可能影响器械安全和有效性的所有相关网络安全考虑,包括但不限于软件、硬件和坚固的软件。

A. 网络安全是器械安全和质量管理体系法规的一部分。

器械制造商必须建立并遵循质量管理体系,以帮助确保其产品始终符合适用的要求和规格。质量管理体系要求见于《质量和计量报告》21 CFR Part 820,其中以ISO 13485为参考。QMS要求可能在上市前阶段、上市后阶段、16 或两者都适用,视器械而定。 14 虽然《FD&C法》第524B(b)(4)节授权FDA通过条例颁布更多的网络安全要求,FDA无需颁布条例,详细说明《FD&C法》第524B节具体规定的新要求。 15 除了《FD&C法》第524B(b)节规定的网络安全要求之外,《FD&C法》第524B(b)(4)节要求网络器械制造商遵守条例中规定的任何其他此类要求,FDA“证明该器械和相关系统具有网络安全的合理保证。”设计和开发对于确保医疗器械网络安全和维护医疗器械安全和有效性也很重要。FDA建议器械制造商按照质量和计量及计量标准,实施全面的网络安全风险管理方案和文件,包括但不限于投诉处理(ISO 13485 分项目8.2.2和21 CFR 820.35(a)),质量审计(分项目8.2.4),数据分析分析及改进(8.4和8.5章)、软件验证(7.3.7章)、风险管理(7.1章)、软件验证(7.3.7章)、风险管理(7.1章)、(缩略语7.5.4和21 CFR 820.35(b))。 在上市前的情况下,为了证明对具有网络安全风险的某些器械的安全和有效性有合理的保证,与QMSR持续要求有关的文件产出可能是作为上市前提交文件的一部分列入的文件来源之一。 17 本指南旨在解释如何也可以利用可能与QMSR合规性有关的文件来表明申办者或制造商如何处理与器械有关的网络安全考虑。例如,21 CFR 820.10(c)要求,对于所有类别的自动操作软件的器械,制造商必须遵守设计和开发的要求,第7.3条及其ISO 13485.18的分句 作为设计和开发的一部分,“应根据有计划、有文件记录的安排,对设计和开发进行验证,以确保这样做的产品能够满足对特定应用或预定用途的要求”(标注7.3.7)。设计和开发验证包括对器械软件的验证。ISO 13485 的7.1分节7.1规定,“组织应记录一个或多个实现产品过程中风险管理程序”。以及风险管理,包括第7.1分段的要求,软件器械制造商可能需要建立网络安全风险管理和验证程序,另见FDA题为 " 器械软件功能上市前提交材料的内容 " 的指导。 软件验证和风险管理是网络安全分析的关键要素,并表明一个器械是否有安全和有效性的合理保证。FDA要求制造商在整个设计和开发过程中,实施对软件风险进行核算和处理的开发过程,如ISO 13485中就设计和开发问题所讨论的,其中可能包括网络安全考虑。这些流程应涉及安全风险的识别、如何控制风险的设计要求,以及证明控制在使用环境内按照设计有效,确保充分安全的证据。

1. 安全产品开发框架(SPDF)可能是满足QMSR的一种方式。 网络安全威胁有可能利用一种或多种可能导致患者伤害的漏洞。器械运行系统中存在和/或长期发现的脆弱程度越大,威胁越容易损害医疗器械的安全和有效性。SPDF是一套有助于查明和减少产品漏洞的数量和严重程度的过程。SPDF涵盖产品生命周期的所有方面,包括设计、开发、释放、支持和退役。 此外,本指南中的建议无意暗示FDA将评估申请人是否遵守QMSR, 作为其根据《FD&C法》第510(k)节提交的上市前提交的一部分,以确定某一器械的实质性等同性,因为根据《联邦食品、药品和化妆品法》第513(i)条，这不是作出此种决定的要求。本指南旨在解释FDA如何评价器械网络安全的性能以及作为QMSR合规工作组成部分的活动的网络安全产出,并解释如何利用QMSR来显示这些绩效产出。 18 本指南中提及条款和分句的18项是ISO 13485:2016的条款和分句,除非另有说明。 使用SPDF是一种方法,有助于确保满足QMSR。FDA鼓励制造商使用SPDF, 因为它有利于帮助遵守QMSR和网络安全,但其他办法也可能满足QMSR。

B. 安全设计

FDA打算在审查上市前提交时,根据若干因素评估器械网络安全,这些因素包括但不限于:器械在整个器械结构下提供和执行安全目标的能力。以下安全目标一般可广泛适用于本指南范围内的各种器械,包括但不限于:含有人工智能(AI)和云基服务的器械。 安全目标：

• 真实性，包括完整性；

• 授权；

• 可用性；

• 保密性；

• 数据的安全、及时更新性和可补丁性。 上市前提交材料应包括说明器械设计如何解决上述安全目标并将其纳入器械设计的信息。实现这些目标所需的安全要求、架构、供应链和实施程度将取决于但不限于：

• 器械的预定用途、适应症和可合理预见的滥用；

• 其预期和实际使用环境；

• 网络安全漏洞带来的风险; 漏洞的可利用性; 以及 漏洞的利用导致病人受到伤害的风险。 SPDF程序旨在减少漏洞的数量和严重性,从而减少医疗器械系统的可利用性,并降低相关患者伤害风险。由于利用已知的漏洞或网络安全监管薄弱,应将医疗器械系统视为可以合理预见的故障模式,21 使用SPDF的主要好处之一是,20个医疗制造商可能无法说明所有潜在使用环境,但应考虑使用环境的范围,并确保在最坏的使用环境中查明和控制风险(例如,最不安全的预期网络配置)

C. 透明

缺乏网络安全信息,如将器械纳入使用环境所需的信息,以及用户在器械生命周期内维持医疗器械系统网络安全所需的信息,为了解决这些关切,重要的是,器械使用者必须能够查阅与器械网络安全控制、医疗器械系统的潜在风险、对器械系统的潜在风险等有关的资料。例如:未能披露所有通信接口或第三方软件可能无法传递潜在的风险源;- 有关某一器械是否已经知道但并未披露网络安全弱点或风险的资料不足,因此可能与确定某一器械的安全性或有效性是否可能退化有关;和/或 - 贴标签,但不包括解释如何安全配置或更新器械,可能会限制最终用户适当管理和保护医疗器械系统的能力。 这些信息和其他有关信息对于帮助用户了解医疗器械系统对网络安全威胁的应变能力十分重要,网络安全风险可能受到何种威胁,以及如何预防或减轻这些威胁。或对除其他潜在影响外,可能导致器械安全和有效性方面妥协的不适当反应。 FDA认为,本指南中讨论的网络安全信息对于安全有效地使用器械十分重要,应列入器械标签,下文第六节讨论。

D. 文件 提交文件

预计器械网络安全设计和文件将随着该器械的网络安全风险而扩大规模。制造商应考虑到使用该器械的较大系统。无连接温度计可能得出风险有限的结论,因此,这种器械只需要有限的安全结构(即:仅处理器械硬件和软件),以及很少根据器械的技术特点和设计进行安全控制。如果温度计用于安全临界控制环,或与网络或其他器械相连,然后,该器械的网络安全风险被认为更大,而且应导致开展更实质性的设计和开发活动。提交方应考虑在向FDA提交的上市前提交中列入开发具有网络安全风险的器械时使用的设计和发展活动中产生的文件,以此证明安全和有效性的合理保证。本指南确定了FDA建议帮助支持本指南范围内的器械上市前提交的网络安全信息,包括但不限于网络器械。 由于网络安全是器械安全和有效性的一部分,在上市前发展期间建立的网络安全控制也应考虑到预期和实际使用环境(见第四节B)。网络安全风险随着时间而变化,因此,随着新的风险、威胁和攻击方法的出现,网络安全控制的有效性可能会降低。在510(k)方面,FDA评估所提交的网络安全信息和网络安全监管所提供的保护,以证明实质上相等(见《FD&C法》第513(i)节和21 CFR 807.100(b)(2)(ii)(B))。 此外,器械标签中的网络安全信息不足,如果标签没有适当的使用指示,或如果,如果标签没有按照标签中建议或建议的方式使用,对健康有害,则可能根据《FD&C法》第502(f)节错误地标出器械,或根据《FD&C法》第502(j)节,可能造成器械被错误地标出,对于网络器械,未能遵守《FD&C法》第524B(b)(2)节(关于确保网络安全器械)的任何要求,根据《FD&C法》第301(q)节,被视为违禁行为。 本指南建议,网络安全信息应列入根据网络安全风险提交的材料中,(b) FDA单独一项准则(例如,上市前软件指南中基于风险的方法,以帮助确定器械的文件水平。例如,确定软件风险较大的器械,由于器械的设计方式,可能只具有很小的网络安全风险。 同样,软件风险较小的器械也可能有重大的网络安全风险。 因此,本指南中关于向FDA提交资料的建议旨在应对网络安全风险,由开发器械期间的网络安全风险评估所评估,预计将根据网络安全风险进行规模评估。本指南通篇的上市前提交文件建议适用于所有上市前提交文件,并用于支持FDA评估器械的安全和有效性。 对于网络器械,本指南建议的一些信息可能有助于制造商根据《FD&C法》第524B节履行其在上市前提交材料中的义务。

V. 使用SPDF 管理网络安全风险

本指南建议的文件是根据FDA评估网络安全薄弱器械安全和有效性的经验编写的。申办者可采用其他办法并提供不同的文件,只要其方法和文件符合适用的法律规定对上市前提交的要求和22。《FD&C法》第524B节要求提交某些网络器械文件,见本指南第七节,关于网络器械的更多信息。 使用SPDF的首要目标是制造和维护安全有效的器械。 从安全角度来看，这些器械也是可信赖且具有韧性的器械。器械制造商和/或用户（如患者、医疗机构）可通过器械设计及相关标签管理（例如安装、配置、更新、审查器械日志）这些器械。就医疗机构而言，这些器械也可在其自身的网络安全风险管理框架内加以管理，例如美国国家标准与技术研究院（NIST）《改进关键基础设施网络安全的框架》，通常称为“NIST网络安全框架”或“NIST CSF”。 FDA建议,制造商使用QMSR所述的器械设计流程,包括ISO 13485,支持安全产品开发和维护。为保持制造商的灵活性,制造商可使用其他现有框架,满足质量和计量、报告和统计标准,并与FDA关于使用SPDF的建议保持一致。可考虑的框架包括但不限于:医疗器械和保健信息技术联合安全计划(JSP2)第26和IEC 81001-5-1节中具体医疗器械框架。其他部门的框架也可能符合质量和计量、报告和报告标准,如ANSI/ISA 62443-4-1号工业自动化和控制系统安全框架 以下各小节就使用SPDF程序提出建议。FDA认为，这些流程为开发安全有效的器械提供了重要考量，说明了这些流程如何补充QMSR，以及FDA建议制造商作为上市前提交一部分提供的文件。这些建议对必须“设计、开发并维持流程和程序，以合理保证该器械和相关系统具有网络安全”的联网器械制造商可能有所帮助（《FD&C法》第524B(b)(2)节；见 第七.C.2节中的资料并不代表一个完整的SPDF,关于SPDF的更多资料,见第五节前文。此外,FDA不建议制造商停止现有的有效程序。

A. 网络安全风险管理

为了充分顾及医疗器械系统中的网络安全风险,每个器械的安全与网络安全风险应在该器械运行的大系统范围内评估。24 解决网络安全风险是处理其他风险之外的问题,包括软件、生物相容性、灭菌、消毒等。以及电磁兼容性等。 进行网络安全风险管理不同于ISO 14971所述的患者安全风险管理。这些流程之所以存在差异，是因为在安全（security）语境与患者安全（safety）语境下，可能造成的伤害范围和风险评估因素可能不同。患者安全风险管理侧重于人身伤害、财产或环境损害，或因器械或系统不可用导致的护理延迟和/或拒绝；网络安全风险管理可能包括可导致间接或直接患者伤害的风险。此外,FDA对安全和有效性的评估之外的风险,例如与商业或声誉风险有关的风险,也可能存在。 安全风险管理进程的范围和目标,连同其他SPDF进程(例如安全测试)一起,是揭露如何通过漏洞、漏洞、风险、能够表明病人的伤害和其他潜在风险。这些流程还应确保一种风险评估的风险控制措施不会无意中带来新的风险。 例如,AAMI TIR57和ANSI/AAMI SW96详细说明网络安全与患者安全风险管理程序应如何相互配合,以确保充分评估所有风险。如QMSR和ISO 13485,30中详细说明的,应建立或纳入已有的,并应针对制造商的设计、制造ISO 13485中的程序,以参考方式纳入质量和计量SR,可能与此相关,包括:但不仅限于设计和开发(ISO 13485的7.3版)、生产工艺(7.5版)、并改进(包括纠正行动和预防行动)(第8.5段),以确保充分处理患者安全与网络安全风险。为在第7.1小节下完整开展风险管理， FDA建议器械制造商分别开展患者安全风险评估和网络安全风险评估，以确保更全面地识别和管理患者安全风险。 应设计一种器械,以消除或减轻已知的漏洞。对于市场上市器械,如果不可能全面设计减缓,应考虑采取补偿性控制措施。当任何已知的弱点仅部分减轻或未通过器械设计缓解时,TPLC流程包括设计和开发、制造、上市后监测，以及提供器械软件和固件更新及维护等。

为了记录医疗器械系统的安全风险管理活动,FDA建议制造商制定安全风险管理计划和报告,如AAMI TIR57和ANSI/AAMI SW96.32所述计划和报告。 制造商应在上市前提交中包括安全风险管理报告——包括安全风险管理流程的产出,以帮助证明该器械的安全和有效性。一份安全风险管理报告,如AAMI TIR57和ANSI/AAMI SW96所述的报告,应足以支持网络安全风险管理过程方面,证明对安全和有效性的合理保证。此类报告应包括系统威胁模型、网络安全风险评估的文件内容、 软件材料账单（SBOM）、组件支持信息以及下文各节所述尚未解决的异常点评估。下文各小节讨论FDA关于具体网络安全风险管理文件内容的范围和建议。 除了包含上述文件内容外,安全风险管理报告还应: - 概述风险评估方法和程序;- 详细说明安全风险评估得出的残余风险结论;- 提供威胁模式、网络安全风险评估、SBOM和SBOM之间的可追踪性;本指南下文讨论的文件以及其他有关的网络安全风险管理文件。

1. 威胁模拟

威胁模型包括一个过程,用以确定整个医疗器械系统的安全目标、风险和漏洞,然后确定预防、防止、减轻,32 关于安全风险管理计划和报告内容的详情,除具体指明的内容外,可查阅AAMI TIR57《医疗器械安全原则-风险管理》和ANSI/AAMI SW96《医疗器械安全标准-器械制造商安全风险管理》。 33 虽然安全架构可能被视为网络安全风险管理进程的组成部分,为了本指南的目的,由于制造商建议提供详细程度,以便FDA审查该器械的安全性和有效性,因此单独讨论。 监测或应对医疗器械系统在整个生命周期内受到的威胁的影响。 它是适当和全面应用时优化系统、产品、网络、应用和连接安全的基础。 关于安全风险管理,为了确定适当的安全风险和对医疗器械系统的控制,FDA建议进行威胁模拟,为风险分析活动提供信息和支助。作为风险评估的一部分,FDA建议在整个设计过程中进行威胁模拟,并包括所有医疗器械系统要素。 威胁模式应:- 查明医疗器械系统的风险和缓解措施,并通报作为网络安全风险评估一部分考虑的缓解前和缓解后风险;- 说明对医疗器械系统或使用环境的任何假设(例如,医院网络本质上是敌对的,因此,建议制造商假定对手控制网络,有能力改变、下降和重播包件);- 查明供应链、制造、部署、与其他器械合作、维护/更新活动带来的网络安全风险,和在传统的安全风险评估过程中可能忽略的退役活动。 FDA建议,上市前提交应包括威胁模拟文件,以表明如何分析医疗器械系统,以确定可能影响安全和有效性的潜在安全风险。存在若干方法和(或)各种威胁模型方法的组合,制造商可选择使用34 所选择方法的理由,应向所选择的方法提供威胁模型文件。 下文第五.B节讨论了如何向FDA提交威胁建模文件的补充建议。 在设计审查期间,可以开展和(或)审查威胁模拟活动。FDA建议,威胁模型文件应包括制造商进行的威胁模型活动的充分信息,以评估和审查器械内的安全特征,以便它们全面评价器械和器械操作系统,器械的安全性和有效性。

2. 网络安全风险评估

作为安全风险管理的一部分,安全风险和控制应评估残余风险,作为网络安全风险评估的一部分。有效的安全风险评估涉及一个事实,即网络安全方面的故障可能是有意或无意发生的。 因此，网络安全风险难以预测，这意味着无法基于历史数据或建模（亦称“概率方式”）评估和量化事件发生的可能性。34 MDIC/MITRE《医疗器械威胁建模手册》是讨论威胁建模过程的教育资源，介绍不同的威胁建模技术，并提供虚构的医疗器械实例。 这种非概率方法不是ISO 14971标准下患者安全风险管理的基本方法，并进一步说明患者安全与网络安全风险管理是不同但相互关联的流程。相反，网络安全风险评估流程侧重于可利用性，即利用器械和/或系统中存在的漏洞的能力。FDA建议制造商根据器械及其运行系统构成的风险水平评估已查明的风险。 FDA的《上市后网络安全指南》中网络安全风险评估的可利用性评估可进一步讨论。 对网络安全风险的可利用性进行上市前评估可能不同于对发现的漏洞的可利用性评估。上市前的可开发性评估可以采取最坏情况评估,并实行适当的控制,或为在整个TPLC对风险进行合理可利用性评估以及如何控制风险提供理由。 网络安全风险的接受标准应认真考虑医疗器械系统的TPLC,因为一旦该器械被上市,可能就更难缓解网络安全问题。如上文第四.B节和五.A节所述,已知漏洞应被评估为可合理预见的风险。网络安全测试期间查明的弱点的网络安全风险评估还应考虑该器械的TPLC,因为该器械生命周期内,漏洞的可利用性可能会增加。例如,如果插入测试者能够利用漏洞,威胁行为者利用这种漏洞的能力在器械生命周期内可能增加。CISA的已知被利用的脆弱程度目录中查明的脆弱程度应该从该器械中设计出来,由于他们已经受到剥削,医疗器械系统和使用者面临风险。 FDA建议,上市前提交中提供的网络安全风险评估应反映威胁模式确定的风险和控制。缓解前和缓解后风险评分方法和相关接受标准以及将网络安全风险转移至安全风险评估程序的方法也应作为上市前提交的一部分提供。

3. 互操作性考虑

在评估端对端医疗器械系统的网络安全时,互操作性是一个重要的考虑因素。FDA的指南 " 关于可互操作医疗器械的设计考虑和上市前提交建议 " (下称 " 互操作性指导 " )指出,可互操作医疗器械有能力通过电子接口与其他医疗或非医疗产品交换和使用信息,系统或器械 作为医疗器械系统的一部分,一个器械可能从互操作性功能中考虑网络安全因素,包括但不限于与下列单位的接口:其他医疗器械和配件; FDA " 多种功能器械产品:政策和考虑 " 指南中所确定的 " 其他功能 " ;

• 保健基础设施(例如网络、电子医疗记录、医疗成像系统);和 普通用途计算平台。 虽然网络安全控制可能会增加接口的复杂性,以便实现互操作性,但一旦适当实施,网络安全控制可有助于确保这些能力保持安全有效。网络安全控制应作为安全有效地交换和使用信息的手段。此外,网络安全控制不应旨在禁止用户访问其器械数据。 当使用通用技术和通信协议实现互操作性时(例如,蓝牙、蓝牙低能、网络协议),制造商应评估是否需要在这种通信下增加安全控制,以确保器械的安全性和有效性(例如,在蓝牙低能下增加安全控制措施,以防发现蓝牙低能议定书或辅助技术存在漏洞时出现风险)。 除了《互操作性指南》中的建议之外,制造商应考虑与互操作性能力相关的适当的网络安全风险和控制,并按照本指南通篇的建议记录这些考虑因素。

4. 第三方软件组件

如FDA " 医疗器械使用现成软件 " 指南所述,医疗器械通常包括第三方软件组件,35 包括现成软件和开放源码软件。当这些组成部分纳入时,软件组成部分的安全风险应成为医疗器械系统总体风险管理程序和文件编制中的因素。 作为证明ISO 13485 ISO 13485第7.3小节下设计和开发符合标准的一部分,并为供应链风险管理流程提供支持,所有软件,包括由器械制造商开发(“专有软件”)或从第三方获取的器械制造商开发或开发的器械,应评估网络安全风险。器械制造商应记录器械的所有软件组件,并处理或以其他方式减轻与这些软件组件有关的风险。 此外,根据ISO 13485第7.4分节,制造商必须建立程序和控制措施,以确保其供应商符合制造商的要求。此类资料记录在7.3.10小节所要求的设计和开发档案和4.2.3小节所要求的医疗器械档案中。这些文件表明该器械总体上符合QMSR,第三方部件符合为该器械规定的规格。安全风险评估,包括第三方软件可能存在或将要采用的网络安全风险分析和考虑。 35 本指南中使用“组成部分”符合21 CFR 820.3中的定义。 软件供应链可能有助于证明制造商已充分确保了这种合规性,并记录了这种历史。 软件经过一段时间更新,以提供其他功能,解决安全关切,并以其他方式加以维护。这些变化可能会带来新的考虑或风险,必须作为风险管理的一部分加以核算。作为配置管理的一部分,制造商应在整个器械生命周期内建立和维持对器械源码(软件的原始“副本”)的保管控制。 36 可通过不同方法实现,例如源代码代管或源代码备份等。 37 由于许可证限制、供应商协议条款或其他挑战,制造商可能无法控制源代码。虽然在上市前提交材料中不需要提供源代码,制造商应列入计划,说明在上市前提交材料中出现支持目的或其他软件问题时,如何更新或替换第三方软件组件。器械制造商还应向用户提供在器械标签中可能需要的任何信息,使他们能够管理与软件组件有关的风险,包括已知的漏洞、配置规格和其他相关的安全和风险管理考虑。 如下所述,一个帮助管理供应链风险以及明确识别和跟踪器械中所含软件的工具是SBOM。 (a) 软件材料账单(SBOM) SBOM可协助管理软件堆叠中存在的网络安全风险。强有力的SBOM系统既包括器械制造商开发的部件,也包括第三方部件,包括购买/许可软件和开放源码软件,以及专利软件、购买/许可证软件和开放源码软件要求/依赖的上游软件依赖性。

系统管理管理局通过提供一种机制,查明可能因软件组件的漏洞而受到影响的器械及其操作系统,从而帮助促进风险管理进程,在软件被选为组成部分时和在产品寿命所有其他阶段投放市场之后,在开发过程中都是如此。 38 由于漏洞管理是器械安全风险管理过程的一个关键部分,a SBOM或同等能力应作为器械配置管理的一部分加以维持,定期更新,以反映市场器械软件的任何变动,并应支持文件,虽然有些供应商可能不允许获取源代码,如果购买的软件在预定的支助结束或医疗器械寿命结束之前从供应商获得的支持或寿命终止,制造商可考虑在其采购控制中增加获取源代码。 37 源码代管涉及向独立的第三方( " 源码代理人 " )交存一份有关软件源码的副本(以及相关的技术组成部分和文件)。源代码备份包括储存(并视需要更新)一份源代码单独副本。 行政当局的多利益攸关方软件透明度进程,可在以下网站查阅:NTIA软件组件透明度。 7.3.10(设计和开发文件)和ISO4.2.3(医疗器械文件) 13485. 协助FDA评估器械风险及其对网络安全安全和有效性的影响,FDA建议,上市前提交材料应包括以下概述的SBOM文件。对于网络器械,需要有一个SBOM(见《FD&C法》第524B(b)(3)节和本指南第七.C.3节)。如第六节下文所述,作为标签的一部分,SBOM也可以作为与潜在风险用户保持透明度的重要工具,作为标签的一部分。 (b) FDA题为 " 医疗器械使用现成软件 " 的指南文件 " 材料支持软件法案文件 " ,其中说明了在产品上市前提交的软件部件材料中应当提供的信息,而制造商无法要求完全控制软件使用周期。除了该指南中建议的信息之外,制造商应提供符合2021年10月国家电信和信息管理局(电信和信息管理局)软件组成部分透明度多利益攸关方进程文件“软件组成部分透明度框架:制定共同软件材料法案。” 除了国家技术评估机构确定的最低限度要素之外,对于SBOM所含的每个软件组件,制造商应在上市前提交材料中列入:- 软件组件制造商通过监测和维护提供的软件支持水平(例如,该软件得到积极维护),软件组件的末期支持日期。 如有规定,制造商可选择作为《巴塞尔公约》秘书处的一部分提供这些附加要素,或单独提供,如在增编中提供。鼓励采用行业接受的SBOM模式。 如果制造商无法向FDA提供SBOM信息,制造商应说明为何不能将信息列入上市前提交书。 作为上市前提交材料的一部分,制造商还应查明与器械和软件组件有关的所有已知弱点,包括CISA已知的被利用的脆弱程度目录中查明的那些。对于每个已知的漏洞,制造商应说明如何发现这些漏洞,以表明评估方法是否足够健全。对于已知易感染成分,器械制造商应在上市前提交中提供:- 对每个已知漏洞(包括器械和系统影响)进行安全与网络安全风险评估;- 应对漏洞的适用安全与网络安全风险控制措施的细节。如果风险控制包括补偿性控制,则应以适当的详细程度说明这些控制。 关于专有和第三方构成部分的补充资料和讨论情况,见下文第五节B.2节,安全架构意见。 5. 对未解决异常情况的安全评估,FDA的《上市前软件指南》建议器械制造商提供一份产品提交时存在的软件异常情况清单。对于每一个异常点,FDA建议器械制造商对异常点对器械的安全性和有效性的影响进行一次评估,并参考《上市前软件指南》,以评估建议列入此种器械的上市前提交书的相关文件。 在开发或测试过程中发现的一些异常现象可能具有安全影响,也可能被视为漏洞。作为确保ISO 13485第7.1小节下进行完整安全风险评估的一部分,评估对安全和有效性的影响可包括评估异常现象对安全的潜在影响。评估还应包括审议任何现有的共同薄弱度计算类别。 39 例如,临床用户可能无意中透露在正常使用期间存在先前未知的软件异常,反常现象的影响可能偶尔发生,从软件风险角度评估为可接受的。威胁可能找出这些异常,并查明利用这些异常的方法,以便不断显示异常的影响,与不包含安全考虑的异常评估相比,这可能严重影响风险的可接受性。 应对由此产生的影响安全的异常现象的标准和理由应作为上市前提交文件的一部分提供。

6. TPLC 安全风险管理

在整个器械的TPLC中,网络安全风险可能继续被确认。并减少网络安全的漏洞,因为这些漏洞在整个辅助器械生命周期中都得到确认。 作为使用SPDF的一部分,制造商应更新其安全风险管理文件,因为有新的信息可用,例如新的威胁、漏洞、风险等。开发过程中和器械释放后发现资产或不利影响。 在整个器械生命周期内保存时,这种文件(例如威胁模型、威胁模型、(e) 可用于在器械释放后迅速查明漏洞影响,并酌情支持及时改进,ISO 13485第8.5分节所述的纠正行动和预防性行动。 39 向CWE绘制的SW91缺陷分类实例见AAMI SW91健康软件缺陷分类附件D。有关CWE类别的其他信息,见CWE 常见的弱度计算。 FDA建议,在器械整个使用寿命期间,风险管理文件应说明在野外器械风险管理方面的任何差异(例如:例如,如果更新并非自动适用于所有已投放的器械,然后,该器械的不同软件配置可能存在不同的风险简介。FDA建议,应评估所有实地版本的脆弱程度,以了解其任何不同影响,确保准确评估病人的风险。 关于新的上市前提交（如PMA、PMA补充、510(k)）或21 CFR Part 806报告是否需要基于上市后漏洞，一般上市后网络安全风险管理在《上市后网络安全指南》中讨论。 为了证明制造商工艺的有效性,FDA建议制造商跟踪和记录以下40 的措施和计量标准,并在上市前提交和PMA年度报告(21 CFR 814.84)中提供,41.41 为界定SPDF的程序选择适当的措施和衡量标准,对于确保器械设计适当处理网络安全符合QMSR十分重要。FDA建议至少跟踪下列措施和衡量标准,或提供同等信息的措施和衡量标准:- 已查明的经更新或补足的漏洞的百分比(缺陷密度);- 期限,从何时提供更新或补丁,以完成部署在外地的器械的安装,直至已知的程度。 如果查明和处理多种漏洞,则应提供上述措施的平均值。这些平均数可根据数量或根据过程或程序变化在多个时间框架内提供,以便随着时间的推移提高这些措施的效率。

B. 安全架构

制造商负责查明其器械及其预期操作这些器械的系统中的网络安全风险,这些风险可能包括因器械依赖医院网络、云层基础设施而引入的风险。例如, " 其他职能 " (FDA指南 " 多种功能器械产品:政策和考虑 " 所定义的)等。安全架构,像系统架构一样,界定了系统以及系统内外的所有端对端连接。安全架构定义流程42 包括40项高级别定义。还可以考虑和报告替代措施或补充措施和衡量标准。 41 如果制造商没有推销前期版本或上市前提交材料不涉及市场产品(例如PMA补充品),FDA承认可能没有这些措施和衡量标准,但建议制造商将这些措施和衡量标准作为其风险管理计划和SPDF进程的一部分。 ISO 13485 ISO 13485 的7.3.1小节要求制造商记录设计和开发程序。a 制造商必须建立和维持描述或参照设计和开发活动的计划,并确定实施责任。此类计划必须随着设计和开发的进展加以维持和更新(第7.3.2节)。a 制造商必须确定和保持与产品要求有关的投入,以确保与器械有关的设计要求是适当的,并针对器械的预定用途。根据7.3.4分节,设计和开发产出必须采用适合根据设计和开发投入进行核查的形式,并必须保持记录。7.3.4分节还规定,设计和开发产出应包含或提及产品接受标准,并确保查明安全、适当使用这些产品必不可少的设计产出。 FDA建议这些计划和程序包括设计过程、设计要求、设计要求、以及器械安全结构的接受标准,以便它们能全面处理器械和器械操作系统的安全考虑。FDA建议,所有医疗器械都应提供并强制执行上文第四节的安全目标,但认识到实现安全目标的执行工作可能各不相同。 FDA建议,上市前提交中应包括关于安全架构的文件。在上市前提交材料中提供安全架构信息的目的是向FDA提供接口方面的医疗器械系统的安全情况和信任-边界,医疗器械系统与外部实体的互联和互动。这些要素的细节有助于查明医疗器械系统中发生或可能发生事故的部分。这些细节有助于充分理解该系统,使FDA能够评价建筑本身在安全和有效性方面的适足性。 制造商应分析整个系统,以了解该器械预期运行的整个环境和环境。安全架构应包括考虑系统层面的风险,包括但不限于与供应链有关的风险(例如,以确保该器械没有恶意软件或从上游依赖性(如第三方软件等)、设计、生产和生产中继承下来的弱点。和部署(即进入连接/联网环境)。 FDA建议,这一架构信息应采取“观点”的形式,并在上市前提交材料期间提供这些意见,以证明安全和有效性。 43 如果本节中查明的文件已经存在于其他风险管理文件中,更多信息,请参看NIST 800-160,第1卷,第1卷。 43 意见将在以下各分节和附录2中详细讨论。 FDA不期望制造商将这些资料分解成新的文件;可以提供这种文件,提交文件可参考有关章节。 如下:FDA通过具体的安全架构意见,概述了建议的安全控制办法和将由此产生的安全架构记录在上市前提交中的方法。

1. 执行安全监管

FDA认为,一个器械处理网络安全风险的方式以及器械在受到网络安全威胁时作出反应的方式是器械设计的职能。 有效的网络安全依赖于安全是器械“内建的”,而不是在器械设计后“被摧毁的”。FDA建议器械制造商的设计过程应包括为网络安全控制提供设计和开发投入。 44 FDA建议这些程序应包括器械内安全特征的设计要求和接受标准,以便它们通盘处理器械和器械操作系统的网络安全考虑。 安全监管使制造商能够实现第四节概述的安全目标,并且是SPDF的组成部分。FDA建议,一套适当的安全监管应包括但不一定限于下列类别的监管:授权; 加密; 代码、数据和执行完整性; 保密; 事件探测和记录; 恢复和复原; 恢复能力;数据更新和可调适。 附录1详细说明了上文每一安全控制类别的具体控制建议和执行指南,以避免常见的陷阱。 应在全系统架构内实施安全控制,采用与受试者连接和器械相关的基于风险的确定方法。医疗器械系统缺乏足够的安全控制,包括管理、技术、和操作控制——对安全和有效性没有合理的保证。某些安全控制措施的设计或这些控制措施的实施存在缺陷,可能对一个器械证明或维持其安全和有效性的能力产生巨大影响。 44 在产生这些设计投入时,有有用的框架可用以使用,包括按设计原则制定的OWASP安全原则AAMI/ISA-62443-4-1。以及医疗器械的具体框架,包括连接医疗器械Hippocrotic Oath、医疗器械软件安全建筑规范以及IEC 81001-5-1。 具体实施OWASP安全设计原则,见医疗器械和保健信息技术联合安全计划第2版(JSP2)。 FDA建议在上市前提交中提供上述每一类别的要求和接受标准,以证明安全和有效。制造商应在上市前提交的文件中提交文件,证明上述各类的安全监管,附录1中的建议进一步详细列出:(1) 已执行,(2) 已测试,以证实已有效执行。关于网络安全测试的更多信息,见下文第五节C。 制造商可能包括证明安全控制,这些安全控制可以与附录1在上市前提交中描述的安全控制相类似或相加。如果使用本文件未描述的替代控制,制造商应提供文件和追踪具体设计特征和对相关风险的安全控制,以证明它们提供了适当的安全和有效性水平。由于网络安全设计和开发活动是在开发阶段初期就确定的,FDA建议器械制造商利用FDA的Q-Submission程序，与FDA讨论在整个器械生命周期内进行网络安全风险管理的设计考虑。 45 有关设计和开发的上市前文件建议的补充信息将在下文安全架构意见一节讨论。

2. 安全架构观点

除了设计和开发要求之外,46 ISO 13485第8.5小节要求制造商建立和维持改进执行程序,包括纠正行动和预防性行动。第8.4分节下要求分析质量数据,以查明现有和潜在的质量问题原因,这些要求用于确定第8.5分节下是否需要改进。FDA建议制造商开发和维护安全架构查看文件文件,作为设计、开发、开发、制造、使用、维护医疗器械系统。如果确定纠正和预防行动,这些意见可用于帮助确定影响功能和应对风险的解决办法。 FDA建议,上市前提交应包括本节所述的建筑观点。这些架构观点通过说明应对网络安全风险的控制措施如何适用于医疗器械系统,有助于在上市前提交中展示安全和有效性。 安全结构可以以不同程度的抽象和不同范围或观点来表述。提交提供的建筑结构观点的数量和范围取决于通过威胁模型和医疗器械系统风险评估确定的攻击表面。因此,这些看法可以成为向FDA提供威胁模型信息的有效途径,并将自然地在提供的文件量上增加该器械的网络安全风险。 提交材料:质量方案。” 全球系统视图; - 多片伤害观点; - 更新/可处理性观点;和 - 安全使用案例观点。 将这些意见记录在上市前提交材料中,应包括图表和解释性案文。这些图表和解释性案文应载有足够详细的细节,以便了解医疗器械系统内的资产如何在相关实施细节内整体运作。关于安全架构的观点,制造商在确定列入上市前提交的详细程度时,应遵循附录2中概述的建议。 这些安全架构观点应: - 确定与安全有关的医疗器械系统要素及其接口;- 界定医疗器械系统的安全环境、领域、边界、关键用户作用和外部接口;- 使结构与(a) 医疗器械系统安全目标和要求相一致,(b) 安全设计特点,以应对已查明的威胁;- 确定建筑要素与用户和医疗器械系统安全要求的可追踪性。这种可追踪性应贯穿网络安全风险管理文件。 如果一种特定观点足以反映上述另一种观点的风险,我们并不期望制造商重复文件。同样,如果威胁模拟文件充分反映了这种观点,我们也不期望制造商重复文件。 此外,如果上述意见之一不合适,制造商应解释为什么在上市前提交中没有列入这一意见。 预计这些上市前提交材料中的安全观点的范围将根据结构以及给该器械带来的潜在网络安全风险而扩大。拥有网络和(或)云存取的医疗器械系统预计比仅拥有USB接口的医疗器械系统具有更多的安全使用案例意见。 (a) 全球系统观点应描述整个医疗器械系统,包括器械本身和所有内部和外部连接。对于互联和联网器械,这种观点应确定所有相互关联的要素,包括任何软件更新基础设施,医疗医疗机构网络影响、中间连接或器械、云连接和病人家庭网络影响。 视医疗器械系统的复杂性而定,将所有数据流细节纳入单一的全球系统视图可能不可行。可提供补充意见,详细说明附录2所建议的来文细节,如果在下文详述的其他类型意见中列出,无需重复。 (b) 当器械能够(有线或无线)连接到其他医疗或非医疗产品、网络或互联网时,多方向损害观点;由于这种连通性,如果一个器械受损,或者如果一个非器械功能(即:可能影响到器械功能的任何不属于《FD&C法》第201(h)节的功能,该器械可能通过安全风险给病人带来安全风险,这可能会改变器械的功能。例如,非器械功能可能被黑入,以履行器械功能,并最终伤害病人。 视器械风险和使用环境而定,多重器械妥协可能对多个患者产生严重影响,通过撞击器械本身和(或)医疗机构的运作(例如,多参数床边监测器),所有都同时重新启动,将所有监测员留在连接同一网络的网络上,不再监测病人生命力和人员配置水平,无法监测所有病人生命力)。 FDA建议,制造商应设法解决其器械及其操作系统如何防范和(或)应对可能从多患者伤害角度伤害多病人的攻击。这一看法应包括附录2所建议的资料。由于风险的性质不同,因此在相应的网络安全风险评估中,这些风险一旦确定后,也可能需要进行不同的评估。 (c) 数据更新和可调适性可靠地更新器械,以应对该器械整个TPLC新出现的网络安全风险,FDA建议制造商提供可更新性和可补装性。这种观点应说明允许向器械提供软件更新和补丁(即已安装)的端对端程序,并应包括附录2所建议的详细信息。 例如,如果一个器械制造商打算将软件从软件更新服务器推向临床心脏植入程序员,“端到端”是指从更新服务器到程序安装被植入器械的诊所内程控器的路径。软件更新路径可能包括器械制造商无法控制的穿行技术,因此,器械设计应保护端到端路径,并考虑到这些非制造者控制的技术所造成或构成的更多网络安全风险。 除上述意见外,还应提供安全使用个案意见。 所有医疗器械系统功能都应包括安全使用案例,通过这些功能,安全妥协可能影响器械的安全或有效性。这些安全使用案例应包括医疗器械系统各要素(例如电源、备用)的各种运行状态。评估医疗器械系统的临床功能状态(例如,编程、令人震惊、提供治疗、发送/接收数据、诊断/接收数据等),(报告诊断结果)。 应评估的安全使用案例数量将随着该器械的网络安全复杂性和风险而扩大。每种观点均应包括附录2所建议的详细信息。 对于所查明的具有相同安全评估的使用情况,相关图表和解释性文字可以描述观点所涵盖的多种使用案例,而不是在多个地方提供重复信息。发送/接收器械数据可能与通信协议相同,因此两种情况的安全观点可能没有不同,尽管进行了不同的临床风险评估。

C. 网络安全测试

与产品开发的其他领域一样,测试也用来证明设计和开发活动的有效性。虽然软件开发和网络安全是密切相关的学科,网络安全控制要求除标准软件核查和验证活动外进行测试,以证明在适当安全情况下控制的有效性,从而证明器械有合理的安全和有效性保证。 根据ISO 13485 的7.3.6小节,制造商必须建立和保持核查器械设计的程序。这种核查应确认设计产出符合设计投入要求。根据7.3.7分节,制造商必须建立和保持验证其器械设计的程序。FDA建议进行核查和验证,包括制造商对医疗器械系统的网络安全进行充分测试,制造商通过这些测试核查和验证其投入和产出,适当时。 安全测试文件和任何相关报告或评估应在上市前提交。FDA建议考虑将下列类型的测试列入提交: 安全要求;- 制造商应提供证据,证明每项设计投入要求都得到了成功实施。

• 制造商应提供其边界分析和边界假设理由的证据。
• 减轻威胁;- 制造商应提供根据全球系统提供的威胁模型证明有效风险控制措施的测试细节和证据,多患者伤害、高数据性和可调合性,以及安全使用个案意见。
• 制造商应确保每项网络安全风险控制(例如,执行特定安全政策的安全有效性)充分到位,酌情考虑到最大限度的交通条件、稳定性和可靠性)。
• 漏洞测试(ANSI/ISA 62443-4-1的说明);以及 - 制造商应提供下列测试和分析的详细和证据47:- 滥用或滥用案件、错误和意外投入;
• 模糊测试。
• 攻击表面分析; - 漏洞链; - 已知漏洞扫描的封闭箱测试; - 二元可执行文件的软件构成分析;- 静态和动态代码分析,包括测试“硬编码”违约、容易猜测和易泄露的证书。
• 穿透测试
• 测试应通过侧重于发现和利用产品中安全弱点的测试,查明和说明与安全有关的问题。 应提供穿透测试报告,报告应包括以下内容: 测试者的独立性和技术专长; 测试范围; 测试期限;使用的测试方法;和 测试结果、结果和观察。 器械制造商应在试验报告中说明进行试验的单位(如独立的内部测试器、以及负责测试器械的人与负责设计器械的开发商之间具有何种程度的独立性。可能需要利用第三方来确保这两个集团之间适当程度的独立性,以便适当处理测试期间暴露的漏洞或其他问题。对于任何第三方测试报告,制造商应提供原始第三方报告。对所有测试,制造商应评估任何结果,包括不执行或不将任何结果推迟到今后释放的理由。 如上文第五.A.2节和五.A.3节所述,作为安全风险管理进程的一部分,应评估测试期间发现的漏洞和异常现象对安全的影响。在非安全软件测试中,对发现的缺陷进行效益分析后,可能得出一个结论,即异常点不需要固定,因为它对医疗器械系统功能的影响可能很小或不大可能。相反,在安全测试中,异常点的可利用性可能要求减轻异常点,因为异常点可能助长更大和不同类型的伤害。 47 对于所使用的任何测试工具或软件,提供的细节可能包括但可能不限于工具的名称、适用的版本信息,以及所使用的工具的任何设置或配置选项。 对于今后释放中将处理的问题(即由于目前的风险被评估为可以接受而推迟以后软件释放的补救),上市前提交书应载有这些释放的计划,其中应包括未来软件发布会解决的漏洞,预计释放时限、临时释放器械是否会收到这些更新,以及更新需要多长时间才能到达这些器械。 有许多权威资源可以概述可能部分完成上述测试的安全测试。 48 FDA建议,整个南太平洋开发基金应进行网络安全测试。安全测试在早期开发时就已进行,可以确保安全问题在影响释放时限之前得到解决,并可以避免需要重新设计或重新设计该器械。释放后,网络安全测试应定期进行,与风险相称(例如:(每年)确保查明潜在的漏洞,并在开发能力之前予以解决。

VI. 网络安全透明度

网络安全透明度对于确保器械和系统的安全和有效使用和整合至关重要。 49 这种透明度可以通过器械标签和制定制造商漏洞管理计划来传播。然而,不同类型的用户(如制造商、服务商、病人)将具有不同的能力来发挥缓解作用,需要采取行动,确保持续网络安全,这对于用户类型是适当的。网络器械制造商在“设计、开发、生产、并维持程序和程序,以提供合理保证,确保器械和相关系统具有网络安全性。 " (《FD&C法》第524B(b)(2)节;见第七.C.2节。

A. 关于具有网络安全风险器械标签建议

FDA以几种方式管理器械标签,例如,《FD&C法》第502(f)节要求标签应包括适当的使用指示。根据《FD&C法》第502(a)(1)条,如果医疗器械的标签在任何特定方面是虚假的或误导的,则该器械被视为错误的品牌。 48 下列标准可部分满足安全测试建议:ANSI/UL 2900 网络可连接产品的软件网络安全,ANSI/ISA 62443-4-1-工业自动化和控制系统安全除了IEC 81001-5-1健康软件和健康信息技术系统安全、有效性和网络安全 -- -- 第5-1部分 -- -- 外,产品安全开发生命周期要求:- 产品生命周期的安全活动,附加标准也可达到或部分达到本节概述的测试建议。 49个用户往往通过最终用户或在国家信息系统安全框架等更大的风险管理框架内管理医疗器械系统的安全风险。 对于具有网络安全风险的器械,向用户通报有关安全信息可能是遵守与此类风险有关的标签要求的有效途径。FDA还认为,通过贴标签向用户通报安全信息可能是设计和发展活动的重要组成部分,有助于减少网络安全风险,并有助于确保该器械的持续安全和有效性。因此,在起草拟列入上市前提交书的标签时,a 制造商应考虑所有适用的标签要求,以及如何通过标签向用户提供信息可能是管理网络安全风险和/或确保安全有效地使用该器械的有效途径。转移给用户的任何风险都应详细,并应考虑在可用性测试期间作为任务列入(例如,人的因素测试)50,以确保用户类型有能力采取适当行动管理这些风险。 以下建议旨在向用户通报相关器械安全信息,以使其能够保持自己的持续安全态势,从而帮助确保一个器械在整个生命周期内始终安全有效。具体类别信息(如操作员手册、安全执行指南)的标签的确切位置,提供信息的方法应说明信息预定用户的情况。管理网络安全风险的指示应当为预定受众所理解,其中可能包括技术知识有限的病人或护理人员。制造商不妨采用各种办法,确保某些信息仅提供给用户,如果制造商通过一个在线门户网站提供,应确保用户有载有准确信息的最新链接。 以下是在贴标签向用户传递有关安全信息时可能列入的信息实例:52

• 与适合预定使用环境的建议网络安全控制有关的器械说明和产品规格（如防病毒软件、反恶意软件、防火墙、密码要求）。
• 为用户提供足够详细的图表,以便实施建议的网络安全控制。
• 一份网络端口和其他接口的清单,预计它们将接收和/或发送数据。 该清单应包括港口功能说明,并说明港口是否入境、出境或两者兼而有之,以及核准的目的地终点。
• 就支持基础设施要求向用户提供具体指导,使该器械能够按预期(例如最低联网要求,得到支持)运作 将风险管理应用于包含医疗器械的信息技术网络——包括建立IEC 80001-2-2中所确定的安全能力标准的相关部分;应用信息技术网络风险管理,包括医疗器械——有关部分涉及使用安全保证案例,以表明对IEC/TR 80001-2安全能力的信任,以进一步标明遵守这些标准的信息。 在适当情况下,这种指导应包括技术指示,以便能够安全地部署网络和提供服务,就如何在发现网络安全漏洞或事件时作出反应向用户发出指示。
• 第五.A.4节规定或按照行业认可的格式有效管理其资产,了解已查明的对医疗器械系统的漏洞的潜在影响,并部署反措施来维持器械的安全性和有效性。制造商应不断向用户提供或提供SBOM信息。如果使用在线门户,制造商应确保用户拥有包含准确信息的最新链接,SBOM应采用机器可读格式。
• 关于用户下载可下载版本识别制造商授权的软件和固件的系统程序的说明,包括说明用户将如何知道软件何时可用。
• 说明设计如何使器械能够在发现异常情况(即安全事件)时作出反应。这应包括通知用户和记录相关信息。安全事件类型可以是配置变化、网络异常、登录尝试或异常交通(例如向不明实体发出请求)。
• 对保护关键功能(例如备用模式、停用港口/通信)的器械特征的高级别说明。
• 关于备份和恢复功能以及恢复经认证的配置的程序的说明。
• 说明经认证的授权用户保留和恢复器械配置的方法。
• 关于装运器械安全配置的说明、用户可配置更改说明、查明用户可配置的改变,这些改变可能增加医疗器械系统的安全风险。安全配置可包括终端保护，如防病毒软件、防火墙/防火墙规则、允许清单、拒绝清单、安全事件参数、日志参数、物理安全检查和证书更新等。
• 在适合预定使用环境的情况下,说明如何获取法医证据,包括但不限于为安全事件保存的任何记录文件。 日志文件说明应包括日志文件的存放、储存、回收、存档、存放、如何使用自动分析软件(如入侵探测系统或安全信息和事件管理)。
• 如果已知或预期,关于器械网络安全(包括部件)的支助结束和寿命结束的信息。在支持结束时,制造商可能不再能够合理地提供安全补丁或软件更新。如果该器械在支持结束后仍在使用,制造商应有一个预先确定和事先通知的风险转移程序,强调最终用户的网络安全风险预计会随着时间的推移而增加。
• 通过对敏感、保密和专有数据和软件产品进行清洁处理,提供关于安全退役器械的信息。 修订控制,医疗器械和保健信息技术联合安全计划第2版(JSP2)中概述的关于医疗器械安全(MDS2)和客户安全文件的制造商披露说明可能涉及上述若干建议。

B. 网络安全管理计划

认识到网络安全风险随着技术在整个器械的TPLC的演变而演变,FDA建议,制造商应制定计划,说明他们如何按照ISO 13485第8.4和8.5项标准,查明在释放器械后发现的弱点,并告知有关各方,并酌情包括21 CFR Part 806。这项计划还可以支持安全风险管理进程,这些进程在《质量和计量、核算和核算标准》和《ISO 13485标准》中都有所描述,并参考纳入《质量和计量、核算和核算标准》。 FDA建议制造商在上市前提交材料时提交网络安全管理计划,以便FDA评估制造商是否充分处理了在获得上市许可后如何维持器械安全和有效性的问题。对于网络器械,“计划监测、确定并酌情在合理时间内处理上市后网络安全的漏洞和利用,需要“协调漏洞披露和相关程序”（见《FD&C法》第524B(b)(1)节和本指南第七.C.1节）。 网络安全管理计划应包括以下内容: 负责人员; 来源、方法、方法、方式监测和查明漏洞的频率(例如研究人员、国家信息系统和软件学会国家漏洞数据库、第三方软件制造商);- 查明并处理在CISA已知的被利用漏洞目录中查明的漏洞;定期安全测试;开发和释放补丁的时间表;更新程序; 补丁能力(即向器械提供更新的速度); 说明协调的漏洞披露程序;- 说明制造商打算如何向客户通报即将采取的补救措施、补丁和最新情况。 FDA的《上市后网络安全指南》载有关于协调漏洞披露计划的其他建议。

VII. 网络器械

本节确定FDA认为一般需要的网络安全信息,以支持《FD&C法》第524B节规定的网络器械义务。本节专门就网络器械提出建议。网络器械制造商还应在整个指南中考虑各项建议,以帮助履行第524B节规定的义务。

A. 须遵守《FD&C法》第524B条者

根据《FD&C法》第524B(a)节,一个人,包括一个制造商,53 提出上市前申请或提交下列任何一种途径的提交申请或提交书:510(k)、54 PMA、55 PDP、De Novo,或 HDE56 - 符合第524B(c)节所界定的“网络器械”定义的器械,要求FDA提供为确保网络器械符合第524B(b)节的网络安全要求而可能需要的信息。

B. 根据《FD&C法》第524B节规定的器械

《FD&C法》第524B节及其要求适用于“网络器械”。 第524B(c)节将“网络器械”定义为符合下列所有标准的器械。(b) 能够与互联网连接;(3) 含有任何此种技术特性,经验证、安装、FDA认为“网络器械”包括软件或含有软件的器械,57 FDA还认为“连接互联网的可能性”包括能够连接互联网的器械,无论是故意还是无意,通过任何手段(包括在评估器械威胁表面58 和使用环境时查明的任何时间)。众所周知,如果一个器械能够连接互联网,它有可能连接互联网,不论这种连接是否是器械发起人所要的。 59 53 《FD&C法》第524B(a)节规定,提交特定类型器械上市申请的“个人”有义务提交这种申请。为了本指南的目的,FD&C法第524B(b)节规定“申办者”有义务。我们假定制造商是提交申请的实体,因此在整个指南中使用该术语来代替“人”或“申办者”。如果另一人向该局提交《FD&C法》第524B(a)节列举的申请或提交,不论谁提交网络器械申请,均须遵守第524B条的要求。 与WannaCry Ransomware(最新一版)有关。 FDA认为,包括下列任何特征在内的器械能够连接互联网。· 无线电频率通信(例如无线、无线、蜂窝、蓝牙、蓝牙、低能);磁感应通信;60 和 - 能够连接互联网的硬件连接器(例如USB、Eeperet、序列端口)。

C. 关于遵守《FD&C法》第524B节的文件建议

对于适用的上市前提交类型,制造商必须提供文件,以符合《FD&C法》第524B条的要求。下文各节讨论关于文件的建议,以支持每项要求。

1. 计划和程序(第524B(b)(1)节)

《FD&C法》第524B(b)(1)节要求网络器械制造商向FDA提交“在合理时间内酌情监测、查明和处理的计划,在其上市前提交中,“包括协调脆弱程度披露和相关程序” 。我们建议,该计划应载有第六.B节所述网络安全管理计划所建议的信息。特别是,这种计划应涉及下文讨论的项目。 首先,FDA认为,按照《FD&C法》第524B(b)(1)节的要求,协调披露漏洞和相关程序可包括:- 协调披露外部实体(包括第三方软件供应商和研究人员)查明的漏洞和剥削;- 披露网络器械制造商查明的漏洞和利用情况;- 披露上述弱点和剥削的制造商程序。 第二,《FD&C法》第524B(b)(1)节所要求的计划还应说明制定和公布所需更新和补丁的时间表以及相关理由:- 《FD&C法》第524B(b)(2)(A)节要求网络器械制造商向器械和相关系统64提供最新资料和补丁,64 说明已知不可接受的漏洞;这些更新和补丁都是在合理合理的正常周期内提供的。 65

• 第524B(b)(2)(A)节中的“已知不可接受的漏洞”与第524B(b)(2)(B)节中的“可能造成不受控制风险的危急漏洞”形成对照。已知的不可接受的漏洞可能包括不能造成不受控制风险的漏洞;目前尚不知道会造成不受控制风险的漏洞;或如FDA《上市后网络安全指南》所述,可能构成可控风险的漏洞。为解决这些弱点而更新和/或补丁的目的可能是保持软件的可支持性。一般来说,软件应定期更新,以保持软件的可支持性。关于与受控风险相关的漏洞的例子,见《上市后网络安全指南》。处理这些类型漏洞的最新情况和补丁不是减少不受控制的风险,因此,不得减少健康风险或纠正违反《FD&C法》的行为。 欲了解关于《FD&C法》第524B(b)(2)(B)节的更多信息,见下文。
• 《FD&C法》第524B(b)(2)(B)节要求网络器械的制造商向器械和相关系统提供更新和补丁,以便尽快在周期外处理可能造成不受控制风险的重大漏洞66。
• 一般来说,这包括如FDA《上市后网络安全指南》所述,可能造成不受控制风险的漏洞。关于与不受控制的风险相关的漏洞的例子,见《上市后网络安全指南》。 63 更新被NIST定义为“(a)补丁,升级,或对纠正软件安全和/或功能问题的代码作其他修改”(见NIST计算机安全资源中心词汇表)。该系统将补丁定义为“软件和操作系统更新,以解决程序或产品中的安全弱点”(见《理解补丁》和《软件更新》)。我们认为,一个符合第524B(b)(2)(A)-(B)节对更新或补丁要求的更新或补丁是修改器械代码以应对网络风险的一项行动。 65 经常周期的理由通常应列入网络安全管理计划。正常周期的长度可能因特定器械的多种因素而异,影响周期长度的主要因素之一是风险。例如,一个互联的温度计,其功能限于摄取和报告病人温度,如果被利用的话,其伤害风险可能低于一个互联的手术机器人,其损害危险可能大得多。利用一种似乎风险较低的器械,可能提供机会影响使用环境中的其他器械,如果这些其他器械或大环境受到开发或破坏,损害风险就会大得多。制造商应在其拟在其中操作的环境的大环境范围内,充分考虑其器械对和对其器械造成的风险,并设计和部署定期更新的周期,为网络安全提供合理的保证。 第三,我们建议网络器械制造商在获得新信息后,对这些计划67 以及下文第七.C.2节讨论的进程和程序68 进行预测和适当更新。例如,在整个产品生命周期中发现新的风险、威胁、漏洞、资产或不利影响。制造商还应建立或更新适当的文件(例如,威胁模型、网络安全风险评估),并在器械整个寿命周期内加以维护。这样做将使制造商能够在器械释放后迅速查明漏洞影响,并有助于满足《FD&C法》第524B(b)(2)(A)-(B)节的补丁要求。 所需计划、69 以及下文第七.C.2节讨论的流程和程序,70 也应酌情说明野外器械风险管理中的任何差异(例如,市场化器械与不再上市但仍在使用的器械之间的差异)。如果更新不自动应用于所有已投放的器械, 那么该器械的不同软件配置的风险配置可能不同。 应评估所有实地版本的脆弱程度,以确定其对所有外地版本的不同影响,以确保准确评估患者的风险。

2. 设计、制定和维持流程和程序,以提供网络安全的合理保证(第524B(b)(2)节)网络器械的制造商必须 " 设计,制定并维持各种程序和程序,以提供合理保证,确保器械和相关系统具有网络安全性。 " (《FD&C法》第524B(b)(2)节)。FDA认为,除其他外,相关系统包括制造商控制要素,如其他器械,履行FDA " 多种功能器械产品:多种功能器械产品:软件/硬件更新服务器和与医疗机构网络的联系。制造商应考虑相关系统对网络器械的网络安全风险,并实行适当的安全控制,以减少这些风险。本指南中提出并在附录4中概述的文件建议,应予考虑并用于证明合理保证,即该器械和相关系统按照第524B(b)(2)节的规定具有网络安全。
3. 软件材料账单(SBOM)(第524B(b)(3)节)《FD&C法》第524B(b)(3)节要求网络器械制造商提供SBOM,包括商业、开放源码和现成软件组件。为了协助遵守这一要求,我们建议,网络器械应提供含有第五.A.4.b节建议的信息的SBOMs。

D. 修改

如前所述,《FD&C法》第524B条的要求适用于根据下列任何一条途径提交申请或提交材料的制造商:510(k)、PMA、PDP、PDA、PDA、FD & C。Devo 或 HDE - 用于符合网络器械定义的器械。 因此,a 要求制造商根据所列举的器械修改途径之一提交申请或提交申请的制造商,也必须符合《FD&C法》71 第524B节的要求。 根据最不繁重的原则,72 我们建议网络器械制造商提供的信息将因变化类型以及这种变化是否影响器械的网络安全而大不相同。 总体而言,我们建议制造商利用以下建议来确定FDA建议网络器械制造商提供的信息,以证明它们在提交器械变更上市前提交书时符合第524B节的新要求。

1. 5月影响网络安全的变化

一般而言,可能影响网络安全并可能需要上市前提交材料的变化可包括对认证或加密算法的改变,以及新的连接特征,或改变软件更新过程/机制。关于这些类型的变化,见第七节C节,要求的文件和建议的文件应列入每份上市前提交材料(见《FD&C法》第524B节)。 一般而言,不大可能对网络安全产生影响的变化可能包括材料变化、灭菌方法变化,或改变算法,但不改变结构/软件结构/连接。 对于这些类型的变化,FDA建议网络器械制造商提供下列信息,以满足《FD&C法》第524B节关于上市前提交要求的要求: □ 524B(b)(1)。

• 如果以前没有提供,制造商必须提供《FD&C法》第524B(b)(1)节所述的计划;我们建议报告载列上文第七.C.1节所述的资料。
• 如果先前曾提供上文第七.C.1节所述计划,制造商应提供先前提交材料的参考资料和对计划所作任何修改的摘要。 需事先批准的器械——PMA补充决策程序。”
• 524B(b)(2)
• 而不是按照要求或建议提供完整文件 上文第七.C.2节,制造商可提供下列资料:73 说明自上次批准以来,器械是否对具有不受控制风险的任何漏洞进行了补救。如果有,制造商应说明按照FDA《上市后网络安全指南》的建议如何进行补救。
• 524B(b)(3)
• 《FD&C法》第524B(b)(3)节要求网络器械的制造商提供SBOM,包括商业、开放源码和现成软件组件。为协助遵守这一要求,我们建议网络器械制造商提供SBOM,其中载有上文第五节A.4.b所建议的信息。 总的来说,在其网络安全审查中,FDA打算着重实质性审查对网络安全监管的修改或可能影响网络安全的修改。不管在上市前提交书中提议对器械作何种改动,FDA打算在进行上市前审查和确定该器械是否对网络安全有合理的保证时,考虑适用于该器械的已知网络安全关切。

E. 网络器械网络安全网络安全的合理保证

联邦DORA第3305(c)节规定,《FD&C法》第524B节中的任何规定 " 不得解释为影响秘书在确保器械安全和有效有合理保证方面的权力,其中可包括确保对某些网络器械的网络安全有合理的保证。FDA将这项规定解释为, " 合理保障网络安全 " 可以成为FDA确定器械安全和有效性的一部分。 此外,确定网络安全有合理保证与各种预市场途径及其下的授权相关,具体而言,FDA对510(k)、PMA、PDP、De Novo和HDE的审查。 随着过去几年市场上互联器械的指数增长(见第一节),确保网络安全已成为FDA保护公共健康和合理保证器械安全和有效的能力所必不可少的。 在评价提交的510(k)份申请时,FDA考虑到使用环境的变化(例如,主体器械将与其互动或在内部操作的技术变化),以及任何新的风险 《FD&C法》第524B(b)(2)(B)节要求制造商提供上市后更新和网络器械及相关系统补丁,以解决,除其他要求外,尽快脱离周期,摆脱可能造成不受控制风险的严重漏洞。欲了解关于“可能造成不受控制的风险的关键漏洞”或该器械将面临的漏洞的更多信息,见第七.C.1节,与提交参照器械相比,技术特性中的新风险或漏洞(例如,对组件软件的支持水平、以及受试者器械设计和/或性能测试(例如:见第五.C节网络安全测试建议),处理这些新的风险或漏洞。 74 例如,如果在审查中央护理站软件的510(k)号警报时,FDA确认,与前置器械相比,该器械增加了风险,因为它没有必要的加密来防范最近发现的网络威胁,FDA可能要求获得更多的性能数据(例如,见第五节的文件建议)。FDA很可能确定新器械与参照器械基本不等同(NSE),因为一旦开发,这种威胁将产生,警报准确性对于医疗服务提供者有效监测医院病人的健康至关重要,因此可能对器械的安全和有效性产生不利影响。

方案:评价上市前通知的实质性等同[510(k)]。”

1. 安全监管类别和相关建议

以下各节详细说明第五.B.1节所介绍的每一安全监管类别,以及安全控制及其执行的具体建议,以避免共同的陷阱。 通常有两种认证控制类型——信息和实体——而且一个有适当可靠担保的系统能够证明两者都存在。 信息75 的验证存在,如果该器械及其操作系统能够证明信息来源于已知和可信赖的来源,资料在原始来源与核实真实性的时间点之间没有改变。必须指出,尽管真实性意味着数据准确,并保护用户不受未经授权的修改(即完整性),仅凭完整性并不能保证数据真实真实,来自可靠来源。因此,为了本指南的目的,将认证作为比完整性更大的安全目标加以讨论。 实体的认证存在,如果一个器械及其操作系统能够证明其发送和/或接收信息的端点(硬件和/或软件)的身份,或该端点的经授权用户/操作者。 作为安全系统内正常业务的一部分,器械应核查外部实体信息的真实性,医疗器械系统可以评估和确保下列信息的真实性:休息时的信息(储存); 过境中的信息(传送); 实体对通信端点的认证,无论这些端点是软件还是硬件;· 软件资料;- 医疗器械系统的任何其他适当部分,制造商的威胁模式和/或风险分析表明需要这种模式和/或风险。 在技术层面,器械认证计划的强度取决于工作量,包括时间,未经授权的当事人需要花费资金来查明认证计划的分解情况。这可能是确定一个加密功能的正确“产出”所需的时间和资源,这一功能是建立加密认证机制的基础,未经授权的当事方可以利用这一功能绕过认证机制并进入医疗器械系统。 在选择认证办法时,制造商应铭记不同类型办法的下列普遍适用特征:- 完全基于非加密界面、握手和(或)协议的隐性认证计划本身就薄弱,因为一旦对它们进行反向设计,未经授权的用户可以很容易地模仿正确的行为,并似乎得到授权。

• 加密认证程序一般优于其他程序,但需要谨慎的设计选择和实施做法,才能充分发挥其有效性。 此外,这些计划仍然受到与该计划互动所需的加密钥匙保密的限制,以及持有或以其他方式利用这些钥匙的器械的完整性。关于加密的更多信息,见下文附录1C分节。对于非认证行为可能导致伤害的器械操作,器械应执行基于物理行动的附加的非常规意图信号,例如一个瞬时开关, 授权命令/ 会话 。 以下清单为执行认证计划提供了补充建议:如果认证功能存在于器械上,则对人员、信息、命令更新进行认证,并酌情对所有其他通信路径进行认证。考虑并在可能的情况下采用以硬件为基础的安全解决办法; 认证与相关风险相称的频率的外部连接。 例如,如果器械连接到非处方服务器,那么该器械和服务器应相互认证每个会话并限制会话的长度,即使在一个或多个现有可信赖的频道上启动连接; - 使用适当的用户认证(例如:(b) 多要素认证,以便在必要时允许系统管理员、服务技术员或维修人员等使用特权器械);- 在允许软件或固件更新,包括影响操作系统的最新更新之前,在某些情况下需要认证和授权,- 加强密码保护。不使用硬编码、默认、容易猜到或易泄露的密码(例如,每个器械都使用相同的密码;不可更改;可以作为默认继续存在;- 在关键通信中执行反重复措施,例如可能有害的指令。可以通过使用若干方法,包括使用加密非cce(在加密通信中只使用过一次任意数字)来做到这一点; 提供机制,核查该器械所产生信息的真实性,例如遥测。如果欺骗或以其他方式改变,可能导致病人受到伤害,例如临床程序员或监测器械与像心脏起搏器这样的植入器械之间的联系,(b) 连续葡萄糖监测器系统和自动胰岛素泵之间的联系;- 不依赖循环冗余检查作为安全控制,在安全环境中,循环冗余检查不提供完整性或认证保护。虽然CRC是一种错误,检测代码,提供完整性保护,防止环境因素(例如噪音或EMC),它们不提供防范蓄意或恶意行为者的保护;以及 - 考虑如果认证失败,器械和(或)系统应如何应对。 就本指南而言,授权是指给予系统实体(例如器械、服务器等)的权利或许可。(或软件功能)访问系统资源。更具体地说,作为一项防御措施,授权计划强制执行特权(即与经认证的会议、身份和(或)作用有关的“权利”)。这些特权要么允许允许行为,要么拒绝不允许行为,以确保系统资源只能以被接受的当事方所接受的方式获得。 在设计适当的授权计划内,最起码特权77的原则应适用于用户、系统功能和其他方面,仅允许这些实体获得履行具体职能所需的系统水平。 例如,在恶意行为者获得与病人特权有关的证书的情况下,恶意行为者不应能够获得为制造商或医疗服务提供者保留的器械资源或功能,例如,器械维修例行程序或改变药物剂量的能力。 虽然一般认为基于加密验证的设计的认证计划更健全,因此更可取,可根据其他令人信服的证据(例如:根据AAMI TIR57或ANSI/AAMI SW96以及相关的证明理由和通过安全测试证明的证明,根据AMI TIR57或ANSI/AAMI SW96进行的获益/风险评估。能够进行近地通信的医疗器械程控器,可享有根据意向信号给予的特权78 高于NFC的特权,而NFC不能由另一个未经授权的器械通过无线电频率(RF)实际生产(例如:家庭监视器)。 以下清单为授权计划提供了建议的设计实施:77 NIST计算机安全资源中心术语汇编将“最特别特权”定义为“一项安全原则,即系统应把用户(或代表用户行事的程序)的准入特权限制在完成指定任务所必需的最低限度”。用户身份和密码、智能卡、生物鉴别技术、证书或其他适当的认证方法);- 酌情使用自动定时法,在医疗器械系统内终止治疗;- 采用一种授权模式,根据用户的作用(例如护理员、病人等),通过区别特权,纳入最不优惠原则。卫生医疗服务提供者、系统管理员)或器械功能;- “默认拒绝”的设计器械(即器械未明确允许的器械默认拒绝)。例如,该器械一般应拒绝所有未经授权的连接(例如,进入的TCP、USB、蓝牙、序列连接)。 无视请求是拒绝授权的一种形式。 建议实施加密加密算法和协议,通过第四节概述的设计目标实现安全。标准化加密算法和协议随时可用,包括加密保护在内的若干商业产品已证明由于配置和/或执行不当而容易被利用。 本指南其他章节参考了加密控制,以下建议具体涉及选择和实施器械及其操作中使用的较大系统所使用的基本加密图:- 选择工业标准的加密算法和协议,并选择适当的关键生成、分配、管理和保护,以及强有力的非机制。
• 使用目前NIST建议的加密标准(例如:FIPS 140-379或相当强度的加密保护,预计在整个器械使用寿命期内将被视为具有加密强度。
• 制造商不应采用适用标准或最佳做法(例如,NIST SP 800-131A、NIST SP 800-131A、NIST SP 3)中已经折旧或不允许的加密算法。转换加密算法和关键长度的使用) 在提交前的会议期间,应与FDA讨论具有“传统使用”地位的算法的实施情况。
• 设计一个系统架构并实施安全控制,以防止出现任何单一器械的完全折中都可能导致能够披露其他器械钥匙的情况。
• 例如,避免使用器械上储存的万能钥匙,或完全基于器械识别资料或其他可随时发现的信息的关键衍生算法。
• 例如,避免使用器械序列号作为钥匙或作为钥匙的一部分。寻求有关其器械的更多信息的病人可以披露器械序列号,或者在重新调出器械以识别受影响的患者时披露序列号。 实施加密协议,允许谈判参数/版本,以便使用最新的安全配置,除非另有必要。
• 除非出于安全原因绝对必要,否则不允许降级或版本回滚,并记录和记录事件。降级可使攻击者利用以前保护较少的版本,应当避免。 许多网络事件的根源在于违反某种形式的器械完整性。 这包括违反储存的代码、储存的和业务数据,或违反执行状态,提出下列针对其中每一类别的建议。
• 完整性守则 -- -- 应尽可能考虑和采用基于硬件的安全解决方案;验证软件/软件内容、版本号和其他元数据的认证标记(例如签名、信息认证代码(MACs))打算安装的版本号本身应签字或有停战委员会。器械应以电子方式和可明显识别(例如,独特器械识别码(UDI)、80型号、序列号);- 允许安装加密认证公司软件和软件更新,并且不允许在这种加密认证不存在或失效的情况下安装。使用加密签名的更新,确保新更新是授权的版本修改,从而帮助防止未经授权减少保护水平(降级或回弹攻击);- 授权降级的一个可能办法是签署新的降级请求元数据,按定义,只有在特殊情况下才能这样做。
• 确保软件、固件和配置的真实性在执行前得到验证,例如,根据数字签字的“利差清单”81;- 禁用或限制在交付产品之前未经授权进入所有测试和调试港口(如联合空运集团、UART);- 在器械的封闭区及其敏感通信港口使用明显的密封,以帮助核查实物完整性。
• 数据完整性 - 核查所有输入数据的完整性,确保数据在过境或休息时不修改。加密认证方案核查数据的完整性,但不核查数据的有效性。因此,应核实所有输入数据的完整性,以确保数据在过境或休息时不作改动; 核实来自外部来源的所有数据均完善,符合预期的规程或规格。此外,酌情核实数据范围,以确保数据在安全限度内;- 保护确保器械安全和有效所需的数据的完整性,例如能源输出等关键配置设置。
• 完整性----使用行业接受的最佳做法,在使用该器械时保持和核查代码的完整性。例如,可以使用基于东道国的入侵探测/预防系统(HIDS/HIPS)来实现这一目标;- 认真设计和审查所有使用自动化(如静态和动态分析)和人工(即代码审查)方法对外部数据进行分析的代码。 制造商应确保任何/所有披露可能导致患者伤害的数据的保密性82(例如:(b) 未经授权使用其他有效证书,缺乏加密)。威胁行为者可以使用丧失证书保密性的手段造成多患者伤害。由于缺乏加密来保护敏感信息和资料,或缺少休息和过境时的数据,这种信息可能被滥用,可能导致病人受到伤害。在处理和储存用于认证的加密钥匙时,需要保密,因为披露可能导致未经授权使用/滥用器械功能。 本附录A节和B节所述授权和认证计划的适当执行一般将确保保密。制造商应在威胁模拟和其他风险管理活动期间评价和评估是否属于这种情况,并对医疗器械系统作任何适当修改,以确保实行适当的保密控制。 发现和记录事件是关键能力,应存在于一个器械及其操作的更大系统中,以确保发现和跟踪可能成功成功试图损害医疗器械的可疑企图。这些事件探测能力和日志应尽可能包括储存能力,以便日后进行法医发现。 虽然下列许多建议是针对工作站提出的,但下文提出的概念也适用于嵌入式计算机器械。制造商应考虑对所有器械采用下列方法:实施设计功能,以便在正常使用期间发现、确认、记录、定时和采取行动的安全妥协和可疑的妥协尝试。在安全事件后采取行动时,在确定是否适宜在安全事件期间影响标准器械功能时,应考虑根据AAMI TIR57或ANSI/AAMI SW96进行获益/风险评估。
• 83 设计应包括安全地从器械上创建和储存日志文件的机制,以跟踪安全事件。 文件应包括日志文件的存放、储存、回收、存档和储存方式及地点,以及自动分析软件(例如,IDS)如何加以使用。 安全事件的例子包括但不限于配置变化、网络异常、登录尝试和异常交通(例如:向不明实体发出请求)。
• 设计器械,通过具体规定安全配置,限制漏洞的潜在影响,安全配置可包括终端保护,防病毒软件、防火墙/防火墙规则、允许列入清单、确定安全事件参数、日志参数、实物安全探测和/或HIDS/HIPS等。
• 设计器械,以便它们能够整合和/或利用抗病毒/反恶意软件防护能力。这些能力可能因器械类型及其所含软件和硬件组件而异:- 推荐在器械上安装抗病毒/反恶意软件。建议制造商对多种选择进行资格认证,以支持用户选择不同选择的偏好,特别是如果该器械是在医疗机构环境中使用的。
• 用于利用其他商业操作系统的器械(例如Ubuntu、Unix、Linux、Apple/macOS、Android):· 可以根据器械的环境和相关风险推荐抗病毒/防病毒软件。不同的操作系统很可能根据网络接触和风险逐案确定。
• 用于利用嵌入操作系统(例如实时操作系统、嵌入窗口)的器械:· 通常不需要防病毒/防病毒软件,除非查明某项特定风险或威胁,而其他预期安全控制措施无法处理。
• 设计器械,使软件配置管理能够以电子方式进行(即:授权用户提供的(机器可读)数据。
• 设计器械,以便利进行变式分析,从而能够查明各种器械模型和产品系列之间相同的漏洞。 83 法医取证是数字法证的必要部分。检查和分析数据,同时保持信息的完整性,对数据保持严格的保管链。”
• 在发现故障或异常器械行为,包括可能与网络安全破坏有关的故障或异常器械行为时通知用户的设计器械。
• 考虑设计器械,以便能够以机器可读格式制作SBOM。 应设计适应力和恢复器械,使其适应可能的网络事件情景(又称“网络-复原力”),并保持可用性。网络复原力能力对医疗器械十分重要,因为它们为今后未知的漏洞提供了安全保障。 以下建议旨在帮助设计者实现网络复原力:- 实施保护关键功能和数据的功能,即使器械部分受损,也保护关键功能和数据。硬件支持的可信赖执行环境都提供了可能遏制成功利用器械的影响的机制。
• 设计器械,提供由经认证的、经授权的用户保留和恢复可信赖的默认器械配置的方法。
• 设计器械,以具体说明抗御力水平或独立运作能力,医疗器械系统的任何组成部分在与医疗器械系统其他部分的通讯能力中断时拥有的,包括长时间中断。
• 设计器械,以适应可能发生的网络事故情况,如网络停机、拒绝提供服务、其他产品过度使用带宽,服务中断质量(Qos)和/或过度紧张(即收到包件的延误变化)。
• 设计器械应具有适应可能噪音物品的能力(例如扫描)。 硬件和软件更新器械应能够安全及时地更新,以在整个产品生命周期内保持安全和有效。尽管作出了最大努力,但是在器械上市后,可能还存在未发现、可开发的漏洞。随着威胁随时间而演变,利用方法的变化,变得更加复杂,对器械的使用寿命来说尤其如此。 FDA建议,制造商不仅应建立更新器械的能力,而且制造商还应计划进行快速测试和评价,以下建议有助于实现这一点:- 设计器械,以预测对软件和固件的修补和更新需求,解决未来网络安全的漏洞。这很可能需要增加储存空间和处理资源。
• 考虑更新程序的可靠性,以及更新程序在通信中断或故障时如何运作。这应包括对硬件影响(预测中断的具体细节)和对中断或故障发生时的更新过程的哪个阶段的考虑。
• 考虑网络安全补丁和最新消息,这些内容独立于定期的功能更新周期。
• 实施流程、技术、安全架构和操作,以促进补丁和更新的快速核查、验证和分发。
• 维护和保养完整的建筑环境和虚拟机器、回归测试套房、工程开发包、模拟器、除虫器、以及用于开发和测试原产品的其他相关工具,以确保更新和补丁能够安全和及时地应用。
• 在整个器械的支撑寿命期间保持必要的第三方许可证。 针对第三方公司可能停止营业或停止支持有执照产品的可能性,制定应急计划。应将模块设计视为可以随时取代第三方解决办法的模块设计。
• 实施安全程序和机制,为用户提供经过验证的软件更新和补丁。

附录2. 安全结构流程文件

FDA在上市前提交中建议制造商为第五.B.2节确定的意见提供详细资料。下文各节讨论了提供意见和建议的方法,以便提供详细程度。除了图表和解释性案文外,还可以提供呼叫流量意见,以传达结构意见中预计将涉及的一些信息细节。

A. 图表图

FDA建议制造商提供图表,帮助描述医疗器械系统的结构、接口、通信协议、威胁。以及全系统使用的网络安全控制。可以用不同的图表方法描述结构,包括数据流程图、状态图、游泳带图和呼唤流程图等。结构观点应包括图表,其中附有解释性案文,明确详细说明进程或协议步骤的顺序,以说明相关用途个案。 结构意见应提供医疗器械系统各部分之间通信路径的具体规程细节,包括认证或授权程序和届会管理技术。这些意见应足够详细,使工程师和审评员在逻辑上能够容易地跟踪来自任何资产的数据、代码和指令(例如,制造商服务器)与任何其他相关资产(如医疗器械),同时可能跨越中间资产(如申请)。图表还可包括下文所列第五.B.2节所确定的结构意见详细信息中的项目,如果信息比解释性案文本身更能以图表表示或传递。

B. 架构视图的信息详细信息

第五.B.2节所述每种观点制造商应提供系统层面的说明和分析,包括对医疗器械系统中所有通信的端对端安全分析,而不论其预定用途如何。这应包括详细的图表和下文所述所有通信路径的痕迹。与安全相关的分析要求有能力建立和跟踪重要通信路径的详细跟踪,其中说明数据、代码、数据、代码、数据等。命令在医疗器械系统中的任何两个资产之间都受到保护。这一分析还有助于确定每个器械应纳入SBOM的软件。 FDA建议,安全架构观点应考虑列入下列信息实例:- 详细图表和说明性解释性案文,其中列出所有医疗器械系统资产,包括但不限于:- 器械硬件本身(包括对任何商业平台的评估);和(或)与目标器械直接互动的其他辅助资产,如配置、安装/升级和数据传输应用程序;• 制造商控制的资产,包括与外部实体(例如:收集和再分配器械数据或固件更新服务器的服务器) 。

• 对于担保使用案例(和/或解释性案文)中两种资产之间存在的每一种通信路径,如果至少有一项中间资产(例如一个应用程序),包括间接连接,应提供以下细节:- 通信接口和路径清单,包括通信路径(例如,通过中间人在两个资产之间)和任何未使用的接口;- 说明路径是否用于数据、代码和(或)命令,以及数据/信息/代码的转移类型;- 详细说明每个医疗器械系统资产的主要功能和所有可用功能,包括评估在目前尚未使用或启用的任何功能(例如休眠应用功能或港口),包括保证这一功能不能被激活和/或滥用;- 每项资产(例如特权、用户账户/组、密码)的使用控制模式或特征(如有);- 从一种通信途径到另一种通信途径的任何 " 交换 " 顺序(例如:数据、代码和(或)命令如何在交接期间得到保障/保护(即:如何确保其完整性/真实性);- 解释在异常/错误/意外情况下(例如,在数据传输过程中终止连接)的故意行为;- 认证机制(如有的话),包括算法名称/版本(如有的话),“强度”指标(例如关键位数长度),计算轮数和运行方式(如果适用);- 说明整个医疗器械系统所使用的加密方法、加密钥匙的使用类型和程度及其使用方式(如一次性使用,描述还应包括公司软件和软件更新的加密保护细节;- 如果加密算法是专有的,或对标准算法作专有修改,加密专家进行详细分析;一份清单,列出核查地点,以及核查证书(如证书、对称钥匙或共享钥匙)如何分配给两个终点;详细列出如何生成、储存、配置、转让和维护每一类证书(例如密码、密钥),包括制造商和卫生医疗机构控制的资产(如关键管理和公用钥匙基础设施);- 身份管理84(如果有的话),包括身份的管理/转移和配置(例如从制造商到程序员,从程序员到器械);- 如果使用或支持交流会,详细解释如何建立、维持和分门别类地安排会议,包括但不限于对安全特性的保证,如届会识别资料的独特性、不可预测性、时间标记和核查;- 包括任何安全配置设置及其默认值;- 图表要素(或解释性文字)、相关危害和控制以及测试之间的精确联系;- 解释或与可用于证明安全声称和任何假设的证据有关联;- 资产可追查到上文第五.B.2节所述SBOM部分,酌情用于专利代码和第三方代码。

附录3. 研究用器械豁免的提交文件

FDA理解在设计中,特别是在临床试验期间,需要平衡创新和安全。FDA已查明了本指南建议随同IDE申请一起提交的整个指导过程中所建议的文件的一组。 根据21 CFR 812.25,制造商必须提供调查计划,作为其IDE申请的一部分。对于本指南范围内的研究用器械,FDA建议,调查计划应包括关于受试者器械网络安全的信息。 具体而言,FDA建议将以下文件作为IDE应用程序的一部分:- 将网络安全风险列入知情同意表(21 CFR 50.25(a)(2)和21 CFR 812.25(g));· 全球、多病人和可更新性/可处理性观点(21 CFR 812.25(c)、(d));- 安全风险功能的安全使用个案(例如植入程序)(21 CFR 812.25(c)、(d));- 通用标签 -- -- 连接和相关的一般网络安全风险、更新/处理(21 CFR 812.25(f))。 FDA打算根据FDA " 在为医疗器械研究用器械豁免规定确定获益-风险时应考虑的因素 " 指南中概述的研究用器械的总体获益-风险评估来审查这一信息。 因此,根据上述建议的文件核准信息、数据、数据和分析,并不排除今后在审查随后的上市申请时提出网络安全问题或关切的可能性。部分原因是认识到可能需要设计变革以及网络安全的时间性质。在临床试验期间和将器械提交市场批准(例如,从临床试验到提交市场批准)期间,可能需要改进网络安全(例如,从试验到试验,网络安全)。操作系统不再支持或接近支持结束、第三方软件更新)。

附录4:一般上市前提交文件文件的要点和风险的扩大

正如第四节D和整个指南所述,预计器械网络安全设计和文件将随着器械的网络安全风险而扩大规模。虽然预计文件的广度将缩小,如前所述,建议所有具有潜在网络安全风险的器械的上市前提交书都采用指南中指明的每一种文件。本指南中的提交文件建议旨在帮助制造商履行《FD&C法》第524B节规定的网络器械义务。 以下表1汇总了在上市前提交指南中确定的具体文件内容、文件指南的相关章节,以及虽然为网络安全风险管理报告确定了文件内容,但制造商可以以符合其现有文件程序的方式提供文件要素。 本表无意仅作为可交付的核对表,整个指导中概述的进程旨在帮助使这些文件的生成及其由此产生的内容与FDA的建议相一致。该表是整理建议资料的一种可能方式。 以下文件将自然与网络安全风险水平相适应。这一点在威胁模型和建筑观点文件的广度上最为明显。

• 例如,仅连接一个硬件的器械(例如,或具有有限的其他软件依赖性和连通性的萨马德产品,可能只需要对全球每个系统都有一个单一的结构观,多患者伤害以及可更新性/可处理性意见;安全使用个案视图可能仅限于一小部分独特的视图,以处理现有的连接和软件。
• 对于诸如联网、无线连接、云和(或)商业操作系统等更为复杂的器械来说,可能需要对多患者伤害和可更新/可满足性进行多重结构分析,因为可能存在多种方法造成多患者伤害或更新器械要素。 此外,可能需要许多安全使用个案意见,以传达整个架构内各种独特的安全和临床使用个案。 表1 国家上市前提交文件指导科(IDE提交)* 网络安全风险管理报告第五节,六.B 可能有助于提交:上市前提交文件指导科类型(IDE提交)* -- -- 威胁模式(可能包括建筑设计意见)第五.A.1节V.A.3、V.A.3、V.A.4、V.A.5、V.A.5、V.B.2,附录1,附录1,附录2可能有所帮助,但并未具体推荐(见 " 建筑展望 " 建议)
• 网络安全风险评估第五.A.2、第五.A.3、第五.A.4、第五.A.5、第五.A.6节可以帮助提交,但没有具体建议提交----SBOM第五.A.4节。六.A 建议----漏洞评估和软件支助科第五.A.4节可能有所帮助,提交:尚未解决的异常情况评估第五.A.5节可以帮助提交,但不能具体建议提交----可追踪性第五.A、五.A.1节。V.A.2、V.A.3、V.A.4。 V.A.5、V.A.6、V.B.1、V.B.2、V.C、VI.A 可能有所帮助,但并未具体建议措施,而V.A.6 节则可能有所帮助,提交:建议的Global,• 安全风险功能安全使用案例 -- -- 要求第V.B.1节,附录1安全风险功能安全使用案例 -- -- 建筑观点(可纳入威胁模式)第五.A.1节。V.B.2, 附录1、附录2 建议的安全风险测试第五.C节功能安全使用个案观点建议采用知情同意表格,以包括网络安全风险 通用网络安全标签 -- -- 连通性和相关的一般网络安全风险,第六.B节可能有所帮助,但并未具体建议*“建议”是指信息法司提交文件的内容。 FDA在本文件附录3中讨论:“可能有助于提交,但没有具体建议”是指如果提交可能对FDA有帮助的附加内容,但附录3没有具体建议。如果特定器械指南载有与本表所列建议不同的额外建议或不同建议,则应遵循特定器械建议。如果制造商不确定,他们应利用FDA的Q提交程序。

附录5. 术语

此处所列术语是为了本指南的目的,用于评估医疗器械网络安全。这些术语并不打算在本指南之外的任何情况下适用。 反常 — — 任何条件都偏离基于用户需求、要求、规格、设计文件或标准的预期行为。 资产——对个人或组织有价值的任何物品。 85 攻击地面分析——对攻击表面的评价,以确定进出系统的所有入侵和入侵途径,包括共同的漏洞和暴露的港口及服务。 86 验证——验证用户身份的行为,处理或器械,作为允许进入器械、其数据、信息或系统的先决条件,或保证某一实体声称的特征是正确的。 87 真实性 - 信息、硬件或软件具有真实性并能够被核实和信赖;88 授权——给予系统实体访问系统资源的权利或许可。 89 数据的财产,信息和信息系统可以及时以预期的方式(即保证在需要时可获得信息)进入和使用。 90 边界分析——为信息系统分配信息资源的独特过程,91 封闭箱测试是一种软件测试方法,可以审查应用软件的功能,而不必将内部工作结构对等。 92 85 定义根据ISO/IEC 27032信息技术——安全技术——网络安全准则作了调整。 86 定义根据ANSI/ISA 62443-1-1调适。 87 定义根据NIST计算机安全资源中心词汇加以调整。 88 定义取自《联邦信息系统和组织安全和隐私监管》NIST SP 800-53。89 定义取自国家安全系统委员会(CNSS)词汇表CNSSI 4009。 90的定义根据ISO IEC 27000和CNSSI 4009 CNSS词汇加以调整。 91 定义取自《拟订联邦信息系统安全计划指南》第800-18号特别出版物《联邦信息系统安全计划指南》订正1。 92 定义根据CNSSI 4009 CNSS词汇加以调整。 补偿控制 - - 一种部署的保障或反措施,代替器械制造商设计的控制,或在没有这种控制的情况下。这些控制器是器械设计外部的,可在实地配置,由用户使用,为医疗器械提供补充或可比网络保护。 93 保密——数据、信息、信息、仅供受权个人和实体使用,并在授权时间以授权方式处理,从而帮助确保数据和系统安全。保密性保证任何未经授权的用户(即只有可信赖的用户)均不能访问数据、信息或系统结构。 配置 - 可能的条件、参数,95 配置管理 -- -- 一套活动,重点是建立和保持信息技术产品和信息系统的完整性,通过控制启动、修改、修改、在整个系统开发生命周期内监测这些产品和系统的配置。 96 当由于器械特有的网络安全漏洞而使病人受到伤害的残余风险(可接受)相当低时,则受控制的风险。 密码学 -- -- 体现信息安全原则、手段和方法的学科;包括保密、数据完整、不否认、不重复、不97 网络安全——防止未经授权获取、修改、滥用或拒绝使用或未经授权使用所储存信息的过程,98 退役 -- -- 处置过程中的一个过程,包括适当识别,授权处置器械、净化器械、清除病人健康信息或软件,或两者兼有。 93的定义根据《联邦信息系统和组织安全和隐私监管评估》NIST SP 800-53A改编。根据ISO IEC 27000改编定义:财产,而该财产的信息未提供给或披露给未经授权的个人、实体或流程。 95 定义根据《信息系统安全配置管理指南》(NIST SP 800-128)改编。96 根据《联邦信息系统和组织安全和隐私监管》第800-53号国家信息系统和组织的《国家信息系统和组织的安全和隐私监管》改编了定义。 97 定义根据CNSSI 4009 CNSS词汇加以调整。 98的定义根据ISO IEC 27032信息技术——安全技术——网络安全准则作了调整。 99 定义根据医疗器械和保健信息技术联合安全计划第2版(JSP2)。 拒绝提供服务 -- -- 防止或损害授权使用信息系统、资源、处置 -- -- 结束系统资产或系统对特定预定用途的存在,适当处理被替换或留存的资产的程序,并适当满足已确定的关键处置需求(例如,根据协议、组织政策或环境、法律、安全方面的需求),101 加密是数据(称为 " plaintext " )的加密转换成一种形式(称为 " ciphertext " ),掩盖了数据的原始含义,以防止其被人们知道或使用。 支持的结束 — — 产品制造商停止为产品或服务提供支持,包括网络安全支持。 开发性——使用一种威胁可以利用漏洞的可行性或易易易性和技术手段。 103 硬件器械闪存只读存储器(ROM)所编程的软件程序或一套指示。它提供必要的指示,说明器械如何与其他计算机硬件104进行通信。 104 Fuzz测试——建立错误或意外数据或调用序列的过程,供受测试的实体使用,以核实其处理是否适当。 硬件——信息系统的物质物理组成部分。 完整性 -- -- 数据财产,106 最起码的特权——一项安全原则,即系统应把用户(或代表用户行事的程序)的准入特权限制在完成指定任务所必需的最低限度。 107 生命周期——医疗器械寿命的所有阶段,从初始孕育到最终退役和处置。 100项定义根据NIST计算机安全资源中心词汇加以调整。 101 根据ISO/IEC/IEE 12207系统和软件工程-软件寿命周期过程来调整定义。 102 《操作技术安全指南》(NIST SP 800-82)引用了定义。 103 定义根据共同漏洞分类系统规格文件加以调整。 104 定义取自《网络安全框架制造概况》8183。 105 根据NIST计算机安全资源中心词汇,对定义作了修改。 106 定义根据AAMI TIR 57 " 医疗器械安全原则 -- -- 风险管理 " 作了调整。 107 定义根据NIST计算机安全资源中心词汇加以调整。 恶意软件或硬软件,意在进行未经授权的、对保密性、完整性、108 帕奇——用于编程的“修复工作”;也称为“固定 ” 。 补丁是提供给用户的被确认问题的即时解决办法。 补丁不一定是解决问题的最佳办法, 补丁可以直接解决问题。产品开发者通常会找到更好的解决方案, 当他们将产品包装到下一期发布时, 提供更好的解决方案。一个补丁通常是作为编译代码(即二进制文件或对象模块)的替换或插入而开发和分发的。在许多操作系统中,提供了管理和跟踪安装补丁的特别方案。 病人受到伤害 -- -- 病人健康受到伤害或损害,包括可编程逻辑——在制造时功能未界定的硬件,必须用软件编程才能运行(例如:外地可编程门阵列)。 服务质量 -- -- 数据通信系统或可能包括输送量(带宽)、过境延误(延迟)在内的其他服务的必要可计量性能水平,111 合理可预见的滥用 -- -- 以制造商无意的方式使用产品或系统,112 具有复原力——信息系统有能力继续:(一) 在不利条件下或压力下作业,即使处于退化或衰弱状态,同时保持必要的作业能力;(二) 在符合特派团需要的时限内恢复到有效的行动态势。 安全产品开发框架 — — 一套减少产品漏洞数量和严重程度的过程。有关SPDF及其执行情况的进一步信息将在第四和第五节讨论,以及整个指导准则。 114 安全架构——一套与实际和逻辑安全有关的代表(即:系统架构,该架构传递信息,说明如何将该系统分为安全领域,并利用与安全有关的要素在108范围内执行安全政策。 定义根据NIST计算机安全资源中心词汇加以调整。 109 定义根据关于电子邮件安全的NIST SP 800-45准则作了调整。 本文及《上市后网络安全指南》均详细讨论网络安全风险对患者的伤害。 111 定义根据CNSSI 4009国家信息保证词汇加以调整。 112 定义根据ISO 14971医疗器械-对医疗器械应用风险管理加以调整。 113 定义引自NIST计算机安全资源中心词汇表。 安全力量——衡量与从已知数据(例如:从已知数据中收回某些有关特定加密算法的秘密和(或)安全关键信息有关的计算复杂性。特定加密算法的纯文本/负数对。 116 在整个指南中,本术语的“强势”和其他迭代可适用于本定义。 安全风险管理—一个评估和控制威胁风险的过程(或流程 ) 。 对于安全风险管理,这包括评估剥削对器械的安全性和有效性、可利用性以及如果利用的话对患者伤害的严重程度的影响。 软件材料帐单(SBOM)——软件部件和依赖性的正式清单,关于这些部件的信息,177 SBOM软件组件包括但不限于商业、开放源码、现成软件和定制软件组件。更完整地说明SBOM的情况见第五.A.4节。 系统——结合相互作用要素或为了实现一个或多个功能而组织的资产。 118 威胁——任何可能对该器械产生不利影响的情况或事件,组织行动(包括特派团、职能、形象或声誉)、组织资产、个人、通过信息系统未经授权进入、销毁、披露、修改信息和(或)拒绝服务,或通过其他组织或组织进行。威胁造成漏洞,可能影响器械的安全或有效性。 威胁建模——通过确定目标和弱点优化系统、产品、网络、应用和连接安全的方法,120 115 根据NIST计算机安全资料中心词汇对定义作了修改。 116 定义引自《NIST SP 800-108关于利用HMAC多功能进行关键衍生的建议》。 NTIA的Framing软件组成部分透明度:建立共同的软件材料法案(SBOM)对定义作了修改。 118 定义根据ISO/IEC/IEE 12207系统和软件工程-软件寿命周期过程加以调整。119 定义根据联邦信息系统和组织安全和隐私监管的NIST SP 800-53调整。120 定义取自CNSSI 4009 CNSS词汇表。 威胁表面-系统边界上的一组点、系统元件或网络威胁可能试图进入、影响或提取数据的环境,121 可信赖的器械——一种医疗器械,它(1) 能够合理安全,免受网络安全侵入和滥用;(2) 提供合理水平的可用性和可靠性;(3) 合理适合履行其预期职能;(4) 遵守普遍接受的安全程序,以支持正确运作。 不受控制的风险 -- -- 由于补偿控制措施和减少风险措施不足,造成病人受到伤害的残余风险不可接受。 尚未解决的异常点 — — 软件中仍然存在缺陷,因为申办者认为不宜纠正或纠正异常点,123 数据更新性和可调适性——无论出于何种原因(例如:)可以方便和及时更换器械和相关资产。功能更新、安全补丁、硬件更换)。 更新对医疗器械软件的纠正、预防性、适应性或完善性修改。 124 漏洞——信息系统的一个弱点,可加以利用的系统安全程序、内部监管、人的行为或执行。 漏洞链-连续利用多重漏洞攻击系统,在链条末端的一个或多个开发需要成功完成先前的开发才能加以开发的情况下。 125 121 定义是根据NIST计算机安全资源中心词汇表改编的。 122 对定义作了修改,取自《公共钥匙技术和联邦公用钥匙基础设施介绍》。定义与《先期市场软件指南》一致, 124 定义引自国际医学和医学研究基金会指导准则“医疗器械网络安全的原则和实践”。 125 定义取自共同漏洞测算系统规格文件。 2026年2月第2级指导程序下发布的《最后指南》修订案日期(21 CFR 10.115(g)(4)),其中包括与21 CFR 820(质量管理体系法规)修正案(质量管理体系法规)相一致的修订。本指南取代题为“医疗器械的网络安全:质量管理体系考虑和上市前提交文件的内容”的最后指南,于6月公布。 2025. 2025年6月第1级最后指导 ** 本指南取代题为“医疗器械中的网络安全:医疗器械安全”的最后指南。2023年9月出版。 2024年3月作为第一级指南草案重新印发。以往的指导历史不能完整地记录。 ** 可通过FDA《指南文件》搜索网站查阅《备查通知》。

脚注

[^1]: 为本指南的目的,“器械软件功能”系指符合《联邦食品、药品、药品、《化妆品法》(FD&C法)。就本指南而言,“功能”一词是产品的一个独特目的,可以是产品的预定用途或产品预定用途的一个子集。更多信息见FDA指南 " 多种功能器械产品:政策和考虑 " 。

[^2]: 21 CFR 3.2(e)。3 包括但不限于包含器械软件功能或含有软件(包括固件)或可编程逻辑的器械。详情请与FDA审查司联系,该司将对综合产品进行牵头审查。

[^3]: 21 CFR4.2。

[^5]: 欲了解更多关于WannaCry Ransomware袭击的信息,见与WannaCry有关的指标。

[^6]: 为了本指南的目的，我们认为“勒索软件”是一种不断演化的恶意软件形式，设计用于加密设备上的文件，这一定义引自网络安全和基础设施安全局（CISA）的 Ransomware 101 网页。

[^9]: 有关德国医院勒索软件袭击的更多信息，见 The untold story of a cyberattack, a hospital and a dying woman。

[^11]: 见89 FR 7496,最后规则于2026年2月2日生效。并修正了此前21 CFR Part 820 (Part 820)第820部分21部分(Part 820)中的大多数要求,并参考纳入了2016年版《国际商事仲裁规则》。

[^13]: 见89 FR 7496, 见第7505页。

[^19]: 见ISO 13485第7.3小节。当在上市和分销后添加基于连通性的功能时,或当发现造成不受控制风险的漏洞时,该器械即为器械。SPDF可以与现有的产品和软件开发、风险管理和整个质量管理体系相结合。

[^21]: 欲了解更多关于可合理预见的滥用的信息,见IMDRF最后指南“医疗器械网络安全的原则和做法”。 器械系统更有可能通过设计而安全,使器械从一开始就设计成在其系统和/或整个器械生命周期的使用网络内安全。

[^27]: ANSI/ISA-62443-4-1 工业自动化和控制系统安全产品安全开发生命周期要求概述了类似于JSP2的安全产品开发生命周期。因为鉴于网络安全威胁和风险的不断变化性质,没有任何器械是或不可能是完全安全的。安全风险管理应是制造商整个质量管理体系的一个组成部分,质量管理体系流程包括技术、人事和管理做法等,制造商使用这种方式来管理其器械的潜在风险,并确保其器械在市场上一旦上市,即保持安全和有效的状态,其中包括安全。

[^29]: AAMI TIR57 医疗器械安全原则-风险管理说明安全风险管理程序,以及安全风险管理程序应如何与安全风险管理程序挂钩,反之亦然。ANSI/AAMI SW96 医疗器械安全标准 -- -- 器械制造商的安全风险管理(),说明在整个产品生命周期内利用ISO 14971定义的风险管理框架管理与安全有关的安全风险的具体要求。

[^30]: 见21 CFR Part 820. 风险评估,并被评估为额外的控制措施或风险转移31 给用户/操作者,或必要时给病人。在适当情况下,应仅在所有相关风险信息都已知道、评估、并适当传达给用户,包括从供应链继承的风险,以及当医疗器械系统的器械或制造商控制的资产达到支持结束和寿命结束时如何处理风险转移,以及用户是否或如何能够承担这一作用(例如,如果使用者是坚忍者的话。

[^42]: NIST 800-160 第1卷,第1卷,具有工程价值的可信赖安全系统指出,安全架构定义过程产生了一套对系统架构具有代表性的安全观点,以便为选择适当的安全架构提供信息。这一过程还确定对相互作用的器械和(或)系统的漏洞和易感性,并详细介绍这些互动如何发生和如何得到保障的执行情况。其中包含的资料表明,风险管理过程中考虑的风险受到充分控制,而反过来,支持证明医疗器械系统的安全和有效性。

[^45]: 更多信息,见FDA的指南 " 医疗器械反馈和会议请求

[^50]: 见FDA的指南 " 将人的因素和使用工程应用于医疗器械 " 。

[^51]: 关于FDA关于标签变动和提交要求的政策的更多资料,制造商可以利用 " 寻找FDA指南文件 " 工具,确定产品和提交类型的相关指南文件。

[^52]: 见IEC TR 80001-2-2 信息技术网络应用风险管理,包括医疗器械——涉及医疗器械安全需要通信的相关部分,风险和控制;IEC TR 800001-2-8

[^57]: NIST将可编程逻辑控制器定义为“固态控制系统,其内存有可用于储存指令的可编程的用户存储器,以便执行I/O控制等具体功能,逻辑、时间、计算、三种模式(PID)控制、通信、算术以及数据和文件处理。”(1) 硬件控制器和(2) “用户可编程内存”或可编程逻辑,指示硬件控制器执行特定功能。除其他外,NIST对软件的定义是:“计算机程序和存储在硬件中的数据—通常只以读存储器或可编程只读存储器的形式。 ”因此,可编程逻辑是一种特定类型的计算机程序和(或)存储在硬件上的数据,因此,它是一种软件。 关于NIST对这些术语的定义的更多信息,请参见NIST计算机安全资源中心词汇表。

[^59]: 更多信息,请参见《WannaCry Ransomware 医院加密医疗器械和指标》。

[^71]: 欲了解关于何时提交器械变更申请的更多信息,请见FDA其他指南,“决定何时就软件修改现有器械提交510(k) 和

[^72]: 关于FDA最不繁重的规定的更多信息,见FDA的指南 " 最不繁重

[^74]: 关于510(k)提交的当前审查做法的更多信息,见FDA的指南 " 510(k)

[^79]: 见NIST FIPS 140-3,密码模块的安全要求。42种产品,应当作为关键生产过程的一部分加以避免(例如:可使用公用钥匙加密技术来帮助实现这一目标。 )

[^81]: 就本指南而言,“清单”是指一份独立的实体清单,诸如主机或已知良性并获准在一个组织和(或)信息系统内使用的应用程序。这一术语从NIST SP 800-128中的“白名单”定义中借用。

[^114]: 为本指南的目的，制定了“产品安全开发框架”这一术语，以帮助反映和涵盖与安全开发生命周期和框架有关的概念。虽然SPDF一词是新的，但有关安全产品开发和风险管理的概念并非新概念，且符合QMSR和标签法规的期望。随着网络安全不断演变，FDA继续调整其术语以反映最佳实践。115 安全架构反映安全域、安全相关要素在安全域中的布局、安全相关要素之间的互连与信任关系，以及安全相关要素之间的行为与交互——这些均基于数据和信息必须如何受到保护以及安全域之间的划分。