医疗器械网络安全风险管理

Sytance · 更新于 2026年10月6日

医疗器械网络安全风险管理评估威胁和漏洞如何影响安全性、有效性和性能。威胁模型、SBOM、漏洞扫描或渗透测试可以支持评估，但任何一个都不是风险评估本身。

网络安全风险与器械安全、性能

FDA 将网络安全风险管理视为质量体系和器械生命周期的一部分。它不同于 ISO 14971 安全性风险管理，因为网络安全失效可能是蓄意的，可利用性会随时间变化，伤害也可能通过可用性、完整性、保密性或控制权丧失间接产生。两类风险管理仍需要相互衔接，因为网络安全问题可能造成患者伤害。

MDCG 2019-16 说明，安全措施本身也可能影响器械安全性。例如，访问限制可以阻止未授权修改，也可能延误合法操作。制造商需要在预期使用环境中评估这两方面的影响。

患者伤害

FDA 上市后指南关注对患者健康的损伤，包括死亡。商业影响不能替代患者伤害分析。

安全性和性能

评估网络安全问题是否改变器械的预期运行，以及控制措施是否引入新的安全性或性能问题。

威胁建模为风险评估提供依据

威胁模型识别攻击者如何利用器械接口或外部依赖造成非预期结果。分析得出的攻击条件与可能后果，是网络安全风险评估的输入。

威胁模型说明系统可能出现哪些问题，以及攻击者或意外事件可能通过哪些途径影响系统。
网络安全风险评估评价风险、控制、剩余风险和接受准则。
当漏洞利用可能造成患者伤害、影响临床性能或安全运行时，还需要将其纳入安全性风险分析。
当新漏洞、部署变化、新接口或新攻击技术改变风险时，上市后管理需要相应更新模型。

可利用性会改变分析

网络安全风险评估不能只依赖历史概率。FDA 解释，安全风险评估关注可利用性：漏洞被利用的可行性、难易度和技术手段。因此，测试发现的漏洞、CISA 已知被利用漏洞、变化的网络路径或新公开的漏洞利用方法，即使尚未发生患者事件，也可能改变评估。

上市前风险

上市后风险

SBOM 不是风险评估

SBOM 识别软件组件和依赖关系。它帮助制造商识别所用组件的已知漏洞、支持状态和受影响版本。仅凭 SBOM 无法判断攻击者能否触达存在漏洞的组件、防护措施能否阻止利用、临床性能是否受影响，或剩余患者伤害风险是否可接受。

An SBOM is a formal, machine-readable inventory of software components and dependencies, information about those components, and their hierarchical relationships.
NTIA，《软件组件透明度框架》，2021 年（英文原文）

非官方中文译文：SBOM 是一份正式、机器可读的清单，列出软件组件及其依赖关系、这些组件的信息，以及它们的层级关系。

SBOM 提供的信息

组件的身份、版本、供应商、依赖关系和支持状态，有助于判断产品可能受哪些组件漏洞影响，并为漏洞管理提供依据。

风险分析需要回答的问题

结合架构、威胁模型、可利用性和控制措施的证据，分析漏洞如何影响器械，再评估可能造成的患者伤害。

风险分析与相关记录的追溯关系

FDA 建议威胁模型、风险评估、SBOM 和测试记录之间保持追溯关系。审评人员应能从受影响组件找到相应风险判断和验证结果。用于欧盟技术文档时，还需说明这些记录如何支持适用的 MDR 或 IVDR 要求。