网络安全事件应急响应控制程序

为规范本公司医疗器械软件有关网络突发事件的防范和应急处理工作，协调各部门进行事件的应急响应处理，降低事件的损失和影响，满足法律法规和本公司的需要，制定本程序。2.适用范围包括医疗器械软件组件和（或）独立软件导致的有关网络安全事件。包括了网络安全事件风险管理、应急响应措施验证、用户告知、召回等活动要求。3.职责网络及信息安全小组负责网络及信息安全的全面管理工作。4.定义是指由计算机或者其他信息终端及相关设备组成的按照一定的规则和程序对信息进行收集、存储、传输、交换、处理的系统。4.2网络安全是指通过采取必要措施，防范对网络的攻击、侵入、干扰、破坏和非法使用以及意外事故，使网络处于稳定可靠运行的状态，以及保障网络数据的完整性、保密性、可得性的能力。保密性指数据不能被未授权的个人、实体利用或知悉的特性，即医疗器械相关数据仅可由授权用户在授权时间以授权方式进行访问。完整性是指保护数据准确和完整的特性，即医疗器械相关数据是准确和完整的，且未被篡改。可得性是指根据授权个人、实体的要求可访问和使用的特性，即医疗器械相关数据能以预期方式适时进行访问和使用。4.3应急响应组织为了应对突发/重大信息安全事件的发生所做的准备以及在事件发生或所采取的措施。4.4网络数据是指通过网络收集、存储、传输、处理和产生的各种电子数据。4.5健康数据指标明生理、心理健康状况的私人数据（又称个人数据或敏感数据，指可用于人员身份识别的相关信息），涉及患者隐私信息。4.6设备数据指描述设备运行状况的数据，用于监视、控制设备运行或用于设备的维护保养，本身不涉及患者隐私信息。5.网络安全事件分级5.1符合下列情形之一的，被视为重大网络安全事件：1）产品相关信息系统遭受特别严重的损失，造成系统全面或大部分瘫痪，丧失全部或大部分业务处理能力，或者极大的降低处理效率；2）院方或患者秘密信息、重要敏感信息和关键数据丢失或被窃取、篡改、假冒，对社会稳定构成严重威胁；3）其他对国家安全、社会秩序、公众利益构成严重威胁，并造成严重社会影响的网络安全事件；4）因产品网络安全原因导致客户损失金额，或公司赔付金额在25万元以上的；5）因产品网络安全原因导致发生严重不良事件或召回的；5.2除上述5.1规定的情形以外的网络安全事件被视为一般网络安全事件。说明：本网络安全事件分级仅供本公司内部质量目标评价用，不作其他参考。6.风险管理产品开发阶段，系统应按照《软件开发和测试环境管理制度》的要求进行相应的维护和管理，确保开发环境的安全可靠。上市后产品应坚持以预防为主的方针，加强网络与信息安全监测，及时收集、分析、判断监测信息，主动发现与收集网络安全事件，及时采取有效措施加以防范，必要时对客户发布通知消息，具体按《不良事件报告和忠告性通知》要求执行。产品开发及验证阶段，应对产品网络安全进行测试，并生成《网络安全测试计划》，根据测试计划完成《网络安全测试报告》及《网络安全管理分析报告》。产品研发阶段的风险管理计划内容应识别包括网络安全相关的风险，并采取必要的措施，将网络安全风险降低到可接受的水平。包括但不限于以下措施：1）深度学习软件在数据预处理、数据集构建、算法训练、算法性能评估、软件验证等内部活动应当在封闭的网络环境下开展，以防止数据污染。2）深度学习软件在数据标注、软件确认等涉及外方的活动若在开放的网络环境下开展，应当明确网络安全防护措施，以防止数据污染。3）数据采集、上市后使用应当考虑与临床机构网络与数据安全要求相衔接的接口问题。4）各数据库（集）应当进行数据备份以保证数据安全，数据备份应当明确备份的方法、频次以及数据恢复方法。5）使用云计算、大数据、移动智能终端（含穿戴）等技术的，应持续跟踪与网络安全、云计算、大数据相关的国家法律法规和部门规章的规定，保证移动医疗器械产品自身的网络安全，保护患者隐私。6）要求提供互联网接入和内部网络接入的网络运营商必须保证负责其线路的正常、稳定运行，当明确服务模式、部署模式、核心功能、数据接口、网络安全能力和服务合同，并签署质量协议。若运营商有线路或设备维护变更，并可能影响产品和（或）系统正常运行，要求运营商必须提前2小时通知本企业，并及时针对采取必要的紧急措施。7.应急响应措施7.1设备或系统的损害7.1.1有害信息首先，指派专人对存在问题的网站、网页及邮件信息等进行全时监控；其次，尽快采取屏蔽、删除等有效措施对有害信息进行清理，并做好相关记录；再次，采取技术手段追查有害信息来源；此外，如发现涉及国家安全、稳定的重大有害信息，还要及时向当地公安局网警支队报告。7.1.2黑客攻击当发现网页内容被篡改或通过入侵检测系统发现黑客攻击时，首先将被攻击服务器等设备从网络中隔离；然后采取技术手段追查非法攻击来源；第三，召开信息安全评估会，评估破坏程度，并视其严重程度，决定是否需向市公安局网警支队报告；最后，恢复或重建被破坏的系统。7.1.3病毒侵入当发现计算机系统感染病毒后，首先，立即将该计算机从网络上物理隔离，同时备份硬盘数据；然后再启用防病毒软件进行杀毒处理，并使用病毒检测软件对其他机器进行病毒扫描和清除；一时无法查杀的新病毒，要迅速与相关病毒软件供应商联系解决；如感染病毒的是服务器或主机系统，要立即告知使用部门并做好相应清查工作。7.1.4软件遭受破坏性攻击重要软件系统及其相对应的数据必须存有备份，同时还要采取异地避灾等方式保存于安全处。一旦软件遭受破坏性攻击，应立即报告和停止系统运行；然后检查日志等资料，确认攻击来源，并采取有效措施，恢复软件系统和数据。7.1.5网络线路中断网络线路中断后，应迅速判断故障节点，查明原因、尽快修复。如属网络运营商负责维护运营的线路，立即与运行商维护部门联系，及时进行修复。如属局域网内部线路故障，应立即判断故障节点，查明故障原因，迅速组织修复；如属路由器、交换机等网络设备故障，立即与设备供应商联系修复；如属路由器、交换机配置文件破坏，迅速按照要求重新配置；如遇无法解决的技术问题，立即向市政府经济信息中心或有关厂商请求支援。7.1.6设备安全发现服务器等关键设备损坏，应立即查明设备故障原因；能自行恢复的，立即用备件替换受损部件；难以自行恢复的，立即与设备供应商联系，请求派维修人员前来维修；若设备一时不能修复，应及时采取必要措施，并告知有关单位暂缓上传、上报数据。7.1.7其他故障上述没有列出的、属不确定因素造成的灾害，可根据总的安全原则，结合具体情况做出相应处理；不能处理的可咨询相关专业人员。7.2客户的损害损害包括对产品相关人员导致的身体及精神的损害，以及健康数据的泄露等情况。对于发现或接收到由网络安全事件导致的损害发生时，应立即按7.1的要求对产品及系统进行处理，对发生损害的客户进行妥善沟通处置，做好相关的退换货工作，收集相关产品的必要信息，分析是否可能对其他客户造成潜在的影响，必要时对相关客户发布通知消息，具体按《不良事件报告和忠告性通知》执行。7.3措施验证前述措施应在实施完成后及时进行验证该措施的有效性。7.4向监管机构报告对于涉及不良事件的