醫(yī)療器械網(wǎng)絡(luò)安全能力詳解及自評

1、 1 / 9醫(yī)療器械網(wǎng)絡(luò)安全能力詳解及自評2022 年 3 月，國家藥監(jiān)局器審中心發(fā)布修訂版的《醫(yī)療器械網(wǎng)絡(luò)安全注冊審查指導(dǎo)原則》（2022 年第 7 號），新修訂的醫(yī)療器械網(wǎng)絡(luò)安全指導(dǎo)原則針對網(wǎng)絡(luò)安全概念進行了梳理，重點對網(wǎng)絡(luò)安全應(yīng)急響應(yīng)、網(wǎng)絡(luò)安全更新、全生命周期質(zhì)控、數(shù)據(jù)出境、軟件維護與升級、自研軟件安全評估與管理等方面進行了修訂。其中注冊申請人可根據(jù)醫(yī)療器械的產(chǎn)品特性考慮其網(wǎng)絡(luò)安全能力要求的適用性。目前，指導(dǎo)原則中提到的網(wǎng)絡(luò)安全能

2、力共 22 項，其中 19 項參考了 IECTR 80001-2-2:2012, Application of risk management for IT-networks incorporating medical devices - Part 2-2: Guidance for the disclosure and communication of medical device security needs, risks and

3、controls。美國國家電氣制造商協(xié)會和醫(yī)療保健信息和管理系統(tǒng)協(xié)會（NEMA）關(guān)于醫(yī)療器械網(wǎng)絡(luò)安全能力披露出具了一份《Manufacturer Disclosure Statement for Medical Deceive Security-MDS2》（HN 1-2013）供制造商進行參考，企業(yè)在進行網(wǎng)絡(luò)安全能力自我評估時也可以參考這份文件。《醫(yī)療器械網(wǎng)絡(luò)安全注冊審查指導(dǎo)原則》未對網(wǎng)絡(luò)安全能力進行詳細解釋，中關(guān)村器械產(chǎn)業(yè)聯(lián)盟等參考

4、IECTR 80001 系列標準制定了關(guān)于器械網(wǎng)絡(luò)安全能力的團體標準。3 / 93.授權(quán)（AUTH）：產(chǎn)品確定用戶已獲授權(quán)的能力。避免未經(jīng)授權(quán)訪問數(shù)據(jù)和功能，以確保系統(tǒng)和數(shù)據(jù)的保密性、完整性和可用性，以及確保數(shù)據(jù)和系統(tǒng)的有限制使用。正如醫(yī)療服務(wù)提供方的 IT 策略所定義的那樣，基于經(jīng)過身份驗證的個人用戶的身份，授權(quán)能力允許每個用戶只能訪問已批準的數(shù)據(jù)，并只能在設(shè)備上執(zhí)行已批準的功能。在 MDS2 (HN 1-2003)中的評估要素：4.