医疗器械网络安全的检测要求

医疗器械与网络、云平台、移动终端的深度互联，使网络安全从单纯的信息技术问题上升为产品安全有效性的组成部分。凡具备网络连接、数据交换或远程升级功能的有源器械与独立软件，注册申报时均需提交网络安全描述文档与相应检测证据。企业若只在研发末期补做一次渗透测试，往往难以覆盖全生存周期的网络安全能力要求。

网络安全检测的适用情形判定

判定产品是否纳入网络安全要求，关键看其是否具备电子数据接口。只要器械能够通过有线、无线、蓝牙、红外或可移动介质与外部系统交换数据，或支持远程维护与远程升级，就应视为具备网络连接能力。独立软件、含软件组件的器械以及软件作为附件的情形，判定口径保持一致。完全不具数据交换能力的纯机械器械通常无需开展网络安全评价。企业应在申报前形成书面判定结论并留档备查，避免审评阶段因适用范围争议而产生发补。

• 含无线通信、云服务接口或远程控制的器械；
• 可导出或导入患者数据、配置文件的器械；
• 独立软件、软件组件及移动医疗应用；
• 仅本地显示、无任何数据接口的器械可豁免。

保密性、完整性与可得性三项安全能力

网络安全评价围绕保密性、完整性与可得性展开，三者缺一不可。保密性要求未经授权的用户无法读取患者数据与配置信息；完整性要求数据在传输与存储过程中不被篡改，且系统能够识别篡改行为；可得性要求器械在遭受网络攻击或资源耗尽时仍能维持基本临床功能，或安全地进入失效状态。审评关注的是安全能力是否与器械的风险等级相匹配，而不是堆砌安全功能。对高风险器械，还需说明安全失效后的降级运行策略与告警机制。

1. 保密性：身份认证、访问控制、数据加密与审计日志；
2. 完整性：数据校验、防篡改设计、数字签名；
3. 可得性：抗拒绝服务、资源监控与安全降级；
4. 可追溯性：网络安全事件记录内容与留存期限。

网络安全描述文档的编制要点

网络安全描述文档是注册申报的核心资料，应覆盖器械的预期使用环境、网络拓扑、数据流、外部接口清单和信任边界。文档需系统描述所采用的安全控制措施及其实现位置，并给出安全需求与验证证据之间的对应关系。常见缺陷是把文档写成产品说明书的技术附录，缺少对威胁建模过程的说明。合理做法是先识别资产与威胁，再逐条推导安全需求，最后用测试报告或设计说明证明需求已落地。文档还应声明所依据的标准名称与版本号。

• 器械预期使用环境与部署架构说明；
• 数据流图、接口清单与信任边界划分；
• 威胁建模结果与安全需求追溯矩阵；
• 安全控制措施的实现方式与验证证据。

网络安全测试与漏洞评估方法

安全测试通常包括功能测试、渗透测试和漏洞扫描三类。功能测试验证认证、加密、日志等安全功能是否按设计要求运行；渗透测试模拟攻击者视角，尝试绕过认证或提升权限；漏洞扫描侧重识别已知组件漏洞与不安全配置。测试应覆盖正常操作、异常输入和边界条件，并记录测试环境、工具版本与结论。对发现的漏洞需按严重程度分级，明确修复计划与复测结果。第三方组件清单与版本信息也应一并提交，便于审评判断供应链风险。

1. 安全功能测试：逐条验证安全需求的实现情况；
2. 渗透测试：模拟真实攻击路径与提权场景；
3. 漏洞扫描：识别组件漏洞与错误配置项；
4. 修复验证：漏洞闭环处理与复测记录。

上市后网络安全事件响应与更新

网络安全不是一次性工作，上市后仍需持续监测与响应。企业应建立漏洞信息收集渠道，明确安全事件的分级标准、响应时限与对外通报流程。当发现严重漏洞时，需评估其对患者风险的影响，并决定是否召回或发布安全补丁。软件更新本身也要经过确认与验证，防止修复安全问题的同时引入新的安全缺陷。更新方案、验证记录和用户告知材料均需纳入质量体系文件管理，形成可追溯的闭环。

• 建立漏洞监测渠道与信息来源清单；
• 明确安全事件分级标准与响应时限；
• 安全补丁的确认、验证与发布流程；
• 用户告知、召回与记录保存要求。

网络安全要求的落脚点是保障器械在联网环境下的安全有效。企业应把安全需求前移到设计输入阶段，用风险分析驱动安全控制选择，再以测试证据支撑申报，形成设计、验证与上市后监测的完整闭环。

官方来源：国家药监局·创新器械获批专栏