醫療器械網絡安全常見問題
Sytance · 更新於
以下問答涉及 FDA 與歐盟要求、cyber device 的定義、技術記錄、補丁和用戶信息等常見問題。
監管邊界
不是。除軟件外，文件還需説明器械架構、接口、更新路徑和數據流，也涉及運行環境、用戶信息、漏洞處理和臨牀影響。
不是。美國申報依據 FDA 要求，包括適用時的第 524B 條；歐盟技術文檔則用於説明 MDR 或 IVDR 符合性。部分設計和測試記錄可以共用，但需要分別解釋如何支持相關要求。
不一定。第 524B 條要求器械同時滿足軟件、互聯網連接能力和可能受到網絡安全威脅影響這三項條件。cyber device 專題頁解釋了各項條件及適用的申請路徑。
證據記錄
不是。SBOM 列出軟件組件。威脅模型解釋架構、接口、數據流、誤用和攻擊路徑如何影響安全、性能或有效性。
不能。它規定健康軟件的生命週期過程，可作為安全開發和維護的依據。法律義務仍來自適用監管機構和產品法規。
生命週期和用戶
是否需要報告，取決於司法轄區、器械狀態、風險、患者傷害可能性、糾正或移除規則，以及更新是常規維護還是處理嚴重問題。
用戶信息應説明預期用戶為安全運行需要做什麼，包括所需配置與 IT 環境、如何取得更新和恢復運行，以及用戶或醫療機構承擔哪些責任。