安全测试

医疗器械网络安全测试用于证明安全要求、风险控制和威胁缓解措施在真实器械系统中有效。FDA 期望的内容超过普通软件验证和确认，单次漏洞扫描不足以证明网络安全结论。

测试应证明控制在真实上下文中有效

网络安全测试应显示所选控制是否在器械相关安全上下文中工作。这意味着测试范围应跟随威胁模型、安全架构、接口、数据流、信任边界、更新路径、用户角色和部署假设。

上市前文件使用测试支持设计验证、设计确认、安全控制有效性和风险控制充分性。

上市后过程使用测试评估新漏洞、验证修复、检查回归，并维持对现场版本的信心。

FDA 当前上市前指南识别了几类可能属于提交内容的网络安全测试和分析。有用的文件不是罗列所有测试，而是解释为什么所选测试匹配器械风险、架构和控制。

安全要求测试

威胁缓解测试

漏洞测试

渗透测试

扫描可以支持文件，但不能证明安全架构、更新路径、认证模型、密码设计、日志行为、恢复路径或用户责任。扫描器本身也不能决定利用是否可能影响患者伤害，或剩余风险是否可接受。

测试发现应评估安全影响，并连接到网络安全风险管理过程。FDA 说明，安全异常可能需要缓解，因为它的可利用性可能产生不同于普通软件缺陷的伤害。

报告应解释发现、受影响组件或接口、可利用性、受影响版本、控制状态和患者伤害含义。

如果修复被延期，文件应解释风险理由、计划发布、受影响现场器械，以及更新将如何到达这些器械。

FDA 建议在安全产品开发框架中以及发布后按风险匹配的间隔进行安全测试。新 CVE、供应商变化、部署假设变化、更新基础设施调整、事件调查、补丁验证和回归评估都可能需要上市后测试。

对欧盟文件，MDCG 2019-16 将验证和确认、风险管理更新、PMS、事件处理和安全更新连接起来。IEC 81001-5-1 可支持健康软件的生命周期纪律，但不能替代 FDA 或 MDR 的证据映射。