医疗设备网络安全FDA指南解读教案资料

1、精品文档医疗设备网络安全FDA指南解读医疗设备的安全性正日益受到关注；在本文中,专家 Mike Villegas探讨了如何用好最新的针对医疗设备制造商的FDA网络安全指南；在 2022 年 10 月 24 日,据路透社报道,美国国土安全部正在对输液 泵和植入式心脏设备等医疗设备和医院设备中二十几个疑似网络安 全漏洞进行调查, 他们担忧这些漏洞可能会被攻击者利用；这些漏洞 不仅危害人类生命安全 -当然这是最关键的风险,而且也会损害这些 设备的完整性和安全性；美国食品药品治理局 FDA在 2022 年 10 月 2 日发布了 Content of 精品文档精品文档Premarket Submiss

2、ions for Management of Cybersecurity in Medical Devices,该文件为医疗设备制造商供应了网络安全功能指南,以帮 助加强这些设备的安全性, 防止被攻击者利用； 该指南强调其中提出 都是建议,而不是要求,在阅读该文件后,笔者发觉,这些建议对于 任何医疗设备制造商及其网络都很全面且有用；现有两种类型的上市前申请文件：. 上市前通知 premarket notification ,PMN或者 510k,在制造商准备向市场推出医疗设备前需向FDA提交此申请；. 上市前审核批准 premarket approval,PMA是 FDA的科学和法规审 查过程

3、,以评估 III 类医疗设备的安全性和有效性；依据联邦法律,III类设备需要获得上市前批准才能推向市场；III 类设备是指那些支持或维护人类生命的设备, 它们对防止人体健康受到损害、或者潜在不合理的生病或受伤,有着实质性的重要意义；FDA将医疗设备分为三类：. I 类设备只受一般掌握； 它们通常代表着最低的风险等级；I 类设备包括弹性绷带、检查手套和手持式手术器械等；. II类设备是指单靠一般掌握不足以合理保证安全性和有效性的设备；II 类设备包括电动轮椅、输液泵和手术洞巾等；. III 类设备指那些支持或维护人类生命的设备,它们对防止人体健康受到损害、或者潜在不合理的生病或受伤,有着实质性的

4、重要意义；精品文档精品文档III 类设备包括置换心脏瓣膜、 硅凝胶乳房假体植入或植入的小脑刺激 器等；这对制造商和医院意味着什么.这意味着,特殊是对III 类生命支持和威逼生命的医疗设备,至少应当部署列出的网络安全掌握；制造商制造商需要确保这些设备有510k或 PMA批准这取决于设备类别；III 类设备必需设计有针对识别、身份验证、监控、授权和完整性检查 的安全措施,以确保防止隐秘攻击；安全和无故障设备不是肯定的,但这里的目标是最大化容错和网络安全；制造商特殊应当专心于这样的医疗设备,即通过无线或有线连接到另一台设备、互联网、其他网 络,或者连接到便携式媒体 例如 USB或 CD的设备；由于这

5、些设备最 简单受到网络安全威逼；FDA的指南中强调的一点是, 安全掌握不应当不合理地阻碍对设备的 拜访,特殊是在紧急情形下； 这意味着易于拜访和强大的网络安全控 制之间需要保持肯定的平稳；医院 医院和其他医疗服务中心需要确保其购买的设备供应备有证明文件 的断言,证明这些设备已经经过严格的以试验为依据的网络安全测试,可能仍有独立测试； 假如没有这些断言, 医疗机构应重新考虑他们是精品文档精品文档否应当购买这些设备或者考虑其他供应商的产品；在确定可供挑选的医疗设备清单后,医院在做最终的挑选之前需要实际考察其网络安全性；他们应当询问以下问题：该设备是否 . 具有 FDA批准的当前有效的 PMA. .

6、 需要用户身份验证,例如 如指纹扫描 . ID 和密码、智能卡或生物识别技术,例. 在预定时间后,是否有会话超时功能 . . 使用基于角色的拜访掌握来授予权限级别,统治理员 . 例如护理者、 医生或系. 为无线连接使用强大的加密功能,例如 WPA-2. . 供应多因素身份验证来答应特权设备拜访 . . 使用强密码语法规章来缓解被泄露的风险.例如,最小密码长度、字母数字、每台设备使用不同密码、加密等；. 为设备本身以及任何通讯端口供应物理锁来削减篡改 . . 供应最新反恶意软件 /杀毒软件,以在外部连接中供应爱护,并包 含软件或固件更新 . 在这个指南中, 除了针对医疗设备网络安全掌握建议外,仍提到其他精品文档精品文档指导文件,包括Guidance for the Content of Premarket Submissions for Software Contained in Medical Devices和 Guidance for Industry - Cybersecurity for Networked Medical Devices Containing Off-the-Shelf OTS Software；结论 FDA定义了“ 严峻级别” 来估量由于设备故障、设计漏洞或仅仅使用 设备用于其预定目的, 而可能答应或造成的对病人