醫療器械網絡安全風險管理

Sytance · 更新於 2026年10月6日

醫療器械網絡安全風險管理評估威脅和漏洞如何影響安全性、有效性和性能。威脅模型、SBOM、漏洞掃描或滲透測試可以支持評估，但任何一個都不是風險評估本身。

網絡安全風險與器械安全、性能

FDA 將網絡安全風險管理視為質量體系和器械生命週期的一部分。它不同於 ISO 14971 安全性風險管理，因為網絡安全失效可能是蓄意的，可利用性會隨時間變化，傷害也可能通過可用性、完整性、保密性或控制權喪失間接產生。兩類風險管理仍需要相互銜接，因為網絡安全問題可能造成患者傷害。

MDCG 2019-16 説明，安全措施本身也可能影響器械安全性。例如，訪問限制可以阻止未授權修改，也可能延誤合法操作。製造商需要在預期使用環境中評估這兩方面的影響。

患者傷害

FDA 上市後指南關注對患者健康的損傷，包括死亡。商業影響不能替代患者傷害分析。

安全性和性能

評估網絡安全問題是否改變器械的預期運行，以及控制措施是否引入新的安全性或性能問題。

威脅建模為風險評估提供依據

威脅模型識別攻擊者如何利用器械接口或外部依賴造成非預期結果。分析得出的攻擊條件與可能後果，是網絡安全風險評估的輸入。

威脅模型説明系統可能出現哪些問題，以及攻擊者或意外事件可能通過哪些途徑影響系統。
網絡安全風險評估評價風險、控制、剩餘風險和接受準則。
當漏洞利用可能造成患者傷害、影響臨牀性能或安全運行時，還需要將其納入安全性風險分析。
當新漏洞、部署變化、新接口或新攻擊技術改變風險時，上市後管理需要相應更新模型。

可利用性會改變分析

網絡安全風險評估不能只依賴歷史概率。FDA 解釋，安全風險評估關注可利用性：漏洞被利用的可行性、難易度和技術手段。因此，測試發現的漏洞、CISA 已知被利用漏洞、變化的網絡路徑或新公開的漏洞利用方法，即使尚未發生患者事件，也可能改變評估。

上市前風險

上市後風險

SBOM 不是風險評估

SBOM 識別軟件組件和依賴關係。它幫助製造商識別所用組件的已知漏洞、支持狀態和受影響版本。僅憑 SBOM 無法判斷攻擊者能否觸達存在漏洞的組件、防護措施能否阻止利用、臨牀性能是否受影響，或剩餘患者傷害風險是否可接受。

An SBOM is a formal, machine-readable inventory of software components and dependencies, information about those components, and their hierarchical relationships.
NTIA，《軟件組件透明度框架》，2021 年（英文原文）

非官方中文譯文：SBOM 是一份正式、機器可讀的清單，列出軟件組件及其依賴關係、這些組件的信息，以及它們的層級關係。

SBOM 提供的信息

組件的身份、版本、供應商、依賴關係和支持狀態，有助於判斷產品可能受哪些組件漏洞影響，併為漏洞管理提供依據。

風險分析需要回答的問題

結合架構、威脅模型、可利用性和控制措施的證據，分析漏洞如何影響器械，再評估可能造成的患者傷害。

風險分析與相關記錄的追溯關係

FDA 建議威脅模型、風險評估、SBOM 和測試記錄之間保持追溯關係。審評人員應能從受影響組件找到相應風險判斷和驗證結果。用於歐盟技術文檔時，還需説明這些記錄如何支持適用的 MDR 或 IVDR 要求。