醫療器械 FDA 上市後網絡安全

Sytance · 更新於 2026年10月6日

FDA 上市後網絡安全管理評估已投入使用器械的新漏洞。製造商需要判斷可能的患者傷害、確定風險處理方式，並告知用戶所需操作。處理方式可能包括軟件修復、臨時措施或現場行動。

上市後風險來自整個生命週期

醫療器械發佈後可能繼續使用多年。FDA 上市後指南關注這段時間內出現的新漏洞、攻擊技術、組件問題和部署變化。

團隊需要設計與發佈記錄來調查新漏洞，確認哪些受支持版本包含相關組件、存在缺陷的功能如何使用，以及有哪些防護措施，從而評估客户實際運行的器械。

評估可能的患者傷害

FDA 的上市後網絡安全風險評估關注漏洞是否可能造成患者傷害，包括死亡或身體損傷。隱私或商業影響也可能重要，但不能替代該指南要求的患者傷害分析。

生命週期維護

上市後管理包括監測漏洞來源、評估新信息、驗證修復和與用戶溝通，並按常規計劃或緊急程序更新在用器械。

在用器械的版本

同一個組件漏洞在不同版本、配置、使用環境和補償控制下可能產生不同風險後果。評估需要説明適用的版本、配置和環境條件。

受控風險與不受控風險

FDA 將上市後網絡安全漏洞風險分為受控風險和不受控風險。分類依據是：考慮既有或可用防護措施後，剩餘患者傷害風險是否可接受。

受控風險（Controlled risk）

受控風險表示患者傷害的剩餘風險足夠低或可接受。當常規安全更新、常規補丁和最佳實踐標籤變更只處理受控風險時，通常屬於這一類。

不受控風險（Uncontrolled risk）

不受控風險表示現有控制措施無法使患者傷害的剩餘風險降至可接受水平。FDA 建議及時補救。根據 21 CFR 806.10，製造商或進口商為降低健康風險，或糾正可能造成健康風險的器械違法情形而啓動糾正或移除時，必須在啓動措施後 10 個工作日內報告；還需考慮適用的豁免，以及是否已按 part 803 或 part 1004 報告。同樣，FDA 指南列明瞭不執行 part 806 報告要求的酌情處理條件，但這些條件並不取消法規規定的義務。

Uncontrolled risk is present when there is unacceptable residual risk of patient harm due to insufficient risk mitigations and compensating controls.
FDA 上市後網絡安全指南，2016 年 12 月（英文原文）

非官方中文譯文：當風險緩解措施和補償控制不足，導致患者傷害的剩餘風險不可接受時，就存在不受控風險。

常規更新與需要報告的糾正措施

許多網絡安全更新和補丁用於改善安全性或修復與受控風險相關的漏洞，FDA 將其視為常規器械改進。這些更新通常不屬於必須按 21 CFR part 806 報告的糾正或移除。

用於降低不受控風險的更新，需要另行分析報告要求。漏洞利用有合理可能導致嚴重不良健康後果或死亡時，也需如此。即使預計無需提交第 806 部分報告，製造商仍需驗證更新，並管理分發和用戶溝通。

常規安全更新可以包括針對安全配置或最佳實踐的補丁、加固變更和標籤更新。
是否常規取決於患者傷害風險，而不是技術改動是否很小。
同一補丁在一個產品配置中可能是常規更新，在另一個配置中可能是緊急補救，因為剩餘患者傷害風險不同。

實施上市後管理

上市後管理需要明確責任和資源，持續開展監測、接收報告、評估風險、驗證修復並與客户溝通。相關活動記錄可供後續 FDA 審查。

信號接收和監測

風險評估

補救和溝通

ISAO 參與

用上市前資料開展上市後評估

上市前資料是上市後評估的起點。威脅模型為初步評估提供依據，SBOM 提供漏洞監測所需的組件清單，安全架構則幫助判斷新漏洞能否影響安全相關功能。

按已上市配置更新 SBOM，並保留在用器械的版本和配置記錄。
當部署假設、更新路徑、外部服務或漏洞變化時，更新威脅模型。
根據上市後發現的問題更新風險管理記錄、標籤、客户説明和支持計劃，並在後續上市前申報中反映這些變化。
分發補丁前，驗證修復，並檢查該變更可能影響的器械功能。