医疗器械 FDA 上市后网络安全

Sytance · 更新于 2026年10月6日

FDA 上市后网络安全管理评估已投入使用器械的新漏洞。制造商需要判断可能的患者伤害、确定风险处理方式，并告知用户所需操作。处理方式可能包括软件修复、临时措施或现场行动。

上市后风险来自整个生命周期

医疗器械发布后可能继续使用多年。FDA 上市后指南关注这段时间内出现的新漏洞、攻击技术、组件问题和部署变化。

团队需要设计与发布记录来调查新漏洞，确认哪些受支持版本包含相关组件、存在缺陷的功能如何使用，以及有哪些防护措施，从而评估客户实际运行的器械。

评估可能的患者伤害

FDA 的上市后网络安全风险评估关注漏洞是否可能造成患者伤害，包括死亡或身体损伤。隐私或商业影响也可能重要，但不能替代该指南要求的患者伤害分析。

生命周期维护

上市后管理包括监测漏洞来源、评估新信息、验证修复和与用户沟通，并按常规计划或紧急程序更新在用器械。

在用器械的版本

同一个组件漏洞在不同版本、配置、使用环境和补偿控制下可能产生不同风险后果。评估需要说明适用的版本、配置和环境条件。

受控风险与不受控风险

FDA 将上市后网络安全漏洞风险分为受控风险和不受控风险。分类依据是：考虑既有或可用防护措施后，剩余患者伤害风险是否可接受。

受控风险（Controlled risk）

受控风险表示患者伤害的剩余风险足够低或可接受。当常规安全更新、常规补丁和最佳实践标签变更只处理受控风险时，通常属于这一类。

不受控风险（Uncontrolled risk）

不受控风险表示现有控制措施无法使患者伤害的剩余风险降至可接受水平。FDA 建议及时补救。根据 21 CFR 806.10，制造商或进口商为降低健康风险，或纠正可能造成健康风险的器械违法情形而启动纠正或移除时，必须在启动措施后 10 个工作日内报告；还需考虑适用的豁免，以及是否已按 part 803 或 part 1004 报告。同样，FDA 指南列明了不执行 part 806 报告要求的酌情处理条件，但这些条件并不取消法规规定的义务。

Uncontrolled risk is present when there is unacceptable residual risk of patient harm due to insufficient risk mitigations and compensating controls.
FDA 上市后网络安全指南，2016 年 12 月（英文原文）

非官方中文译文：当风险缓解措施和补偿控制不足，导致患者伤害的剩余风险不可接受时，就存在不受控风险。

常规更新与需要报告的纠正措施

许多网络安全更新和补丁用于改善安全性或修复与受控风险相关的漏洞，FDA 将其视为常规器械改进。这些更新通常不属于必须按 21 CFR part 806 报告的纠正或移除。

用于降低不受控风险的更新，需要另行分析报告要求。漏洞利用有合理可能导致严重不良健康后果或死亡时，也需如此。即使预计无需提交第 806 部分报告，制造商仍需验证更新，并管理分发和用户沟通。

常规安全更新可以包括针对安全配置或最佳实践的补丁、加固变更和标签更新。
是否常规取决于患者伤害风险，而不是技术改动是否很小。
同一补丁在一个产品配置中可能是常规更新，在另一个配置中可能是紧急补救，因为剩余患者伤害风险不同。

实施上市后管理

上市后管理需要明确责任和资源，持续开展监测、接收报告、评估风险、验证修复并与客户沟通。相关活动记录可供后续 FDA 审查。

信号接收和监测

风险评估

补救和沟通

ISAO 参与

用上市前资料开展上市后评估

上市前资料是上市后评估的起点。威胁模型为初步评估提供依据，SBOM 提供漏洞监测所需的组件清单，安全架构则帮助判断新漏洞能否影响安全相关功能。

按已上市配置更新 SBOM，并保留在用器械的版本和配置记录。
当部署假设、更新路径、外部服务或漏洞变化时，更新威胁模型。
根据上市后发现的问题更新风险管理记录、标签、客户说明和支持计划，并在后续上市前申报中反映这些变化。
分发补丁前，验证修复，并检查该变更可能影响的器械功能。