1. 介紹
? ? ? ? 網絡安全是一門復雜的、多學科的、基于計算的學科，起源于 1960 年代。 第一篇關于計算機系統安全和隱私的論文由 Ware (1967) 發表。 1970 年，Ware 完成了一份有關計算機系統安全控制的報告，并強調安全系統的設計必須針對各種類型的漏洞提供保護，例如意外泄露、故意滲透、主動滲透和物理攻擊（Ware，1970）。 Ware (1970) 指出安全系統需要具備以下一般特征：靈活、響應不斷變化的操作特征、可審計、可靠、可管理、適應性強、可靠和確保配置完整性。

? ? ? ? 伯恩斯等人(2016) 確定了醫療設備歷史上的四個時期，從非聯網和隔離設備發展到包含遠程訪問、無線技術和復雜軟件的聯網設備。第一個時期（1980 年代至今）涉及對復雜系統和意外故障的擔憂。第二個時期（2000 年至今）涉及對植入式醫療器械的安全性和可靠性的擔憂。第三個時期（2006 年至今）提出了關于醫療設備對未經授權方的脆弱性的問題。在第四個時期（2012 年至今），注意力轉向了醫療設備的網絡安全。畢馬威最近對 223 名醫療保健高管進行的一項調查（2015 年）揭示了許多信息安全問題：惡意軟件感染系統、HIPAA（健康保險流通與責任法案）侵犯/損害患者隱私、與員工盜竊/疏忽相關的內部漏洞、醫療設備安全、和老化的 IT 硬件。根據 Ponemon Institute（2016 年）最近的一項研究，醫療機構平均幾乎每個月都會經歷一次網絡攻擊以及敏感和機密患者信息的丟失或暴露。 Arxan (2016) 對應用程序安全性的研究表明，在測試的 126 個移動健康和金融應用程序中，90% 至少有兩個關鍵安全漏洞。

2. 標準說明
2.1? FDA 和 CFDA 指導文件、ISO/IEC 29147 和 ISO/IEC 30111
? ? ? ?FDA 發布了表 1 中列出的三份關于網絡安全的指導文件。 FDA 指導文件（2014 年、2016 年）適用于包含軟件（包括固件）或可編程邏輯，以及醫療設備軟件，包括移動醫療應用程序。

三份指導文件是：

行業指南 – 包含現成 （OTS） 軟件的網絡醫療設備的網絡安全 - 2005年發行

醫療網絡安全管理上市前提交內容設備 –工業和食品藥品管理局工作人員指南 - 2014年發行

醫療器械網絡安全的售后市場管理 – 工業和食品藥品管理局工作人員指南 - 2016年發行

–
? ? ? ? 同時，醫療網絡安全管理上市前提交內容設備 –工業和食品藥品管理局工作人員指南的2018年版正在草案階段

? ? ? ?在準備 FDA 醫療器械上市前提交時，制造商必須證明有效的網絡安全管理。 FDA（2014 年）建議建立網絡安全漏洞和管理方法，作為軟件驗證和風險分析的一部分。這種方法包含以下活動：

識別與醫療設備相關的資產、威脅和漏洞；

評估威脅和漏洞對設備功能和最終用戶/患者的影響；

評估威脅和被利用的漏洞；

確定風險級別和緩解措施，以及

評估剩余風險和風險接受標準 (FDA, 2014)。

–
FDA 上市前提交文件應包括以下與醫療器械網絡安全相關的信息：

危害分析、緩解措施和設計注意事項，包括該器械的所有網絡安全風險和網絡安全控制的具體清單；

將實際網絡安全控制與設備設計中考慮的網絡安全風險聯系起來的可追溯性矩陣；

在醫療器械的整個生命周期內根據需要提供經過驗證的軟件更新和補丁的計劃；

控制確保醫療設備軟件從開發到設備交付的完整性（例如，保持沒有惡意軟件）；

與適用于預期使用環境的推薦網絡安全控制相關的設備使用說明和產品規格（例如，使用防病毒軟件、如何配置防火墻）（FDA，2014 年）。

–
? ? ? ? FDA 上市后指南（2016 年）醫療器械網絡安全管理建議實施主動、全面的網絡安全風險管理計劃。此類計劃可作為風險管理流程的一部分建立，可能包括： 監控網絡安全信息源（例如，信息安全漏洞名稱的 CVE（通用漏洞和暴露）標準 (https://cve.mitre.org)）；健壯的軟件生命周期過程；評估和檢測漏洞的存在和影響；定義漏洞接收和處理的通信流程；定期使用威脅建模；采用漏洞披露政策和做法；部署緩解措施，在利用之前和之前解決網絡安全風險（FDA，2016 年）。例如，通用漏洞評分系統（CVSS）3.0 版（www.first.org/cvss）可用于漏洞評估。

? ? ? ? FDA 指導文件（2014 年、2016 年）建議使用和采用自愿性 NIST 網絡安全框架的五個核心功能：識別 (ID)、保護 (PR)、檢測 (DE)、響應 (RS) 和恢復 (RC)。 2018 年 4 月，NIST 發布了網絡安全框架 1.1 版。表 2 提供了 NIST 框架的核心功能和相應的網絡安全成果。

ISO/IEC 29147 (2018) 和 ISO/IEC 30111 (2019) 標準得到 FDA 的認可。 ISO/IEC 29147 可用作解決與披露產品和在線服務中的潛在漏洞相關的問題的指南。 ISO/IEC 30111 提供了供應商應如何調查、分類和解決產品和在線服務中的潛在漏洞的指南。

2.2? BS EN 45502-1
? ? ? ? BS EN 45502-1 (2015) 定義了普遍適用于有源植入式醫療器械 (AIMD) 的要求。也有針對特定 AIMD 的標準。例如，針對人工耳蝸系統的 ANSI/AAMI CI:86 (2017) 標準要求對無線鏈路進行安全保護，以及醫療設備的風險管理、互操作性和網絡安全。 BS EN 45502-1 標準的第 5.4 條要求充分考慮數據安全性和保護免受未經授權的信息篡改造成的損害。 “當提供通過無線通信渠道與有源植入式醫療設備的可植入部分進行通信時，制造商應通過風險管理過程評估信息安全，并應用適當的風險控制措施來保護患者免受傷害。通過檢查風險管理文件來檢查是否符合要求。” （BS EN 45502-1，2015，第 13 頁）。

? ? ? ? 作為醫療器械監管提交的一部分，制造商應提供書面證據，證明 IT 安全威脅可能危及數據的機密性、完整性和可用性的安全風險已得到充分評估和管理。制造商還應考慮不檢測、響應和恢復 IT 安全威脅。

2.3? IEC 62304+AMD1、IEC 82304-1 和 IEC 60601-1：2005+AMD1：2012 +AMD2：2020
? ? ? ?IEC 62304+AMD1 (2015) 定義了醫療器械軟件生命周期過程的要求。本標準要求在軟件要求中包含安全要求。例如：與敏感信息泄露、身份驗證、授權、通信完整性、審計跟蹤和系統安全/惡意軟件保護相關的安全要求。此外，當檢測到醫療器械軟件存在問題時，應準備問題報告。該標準要求包括關于對性能、安全或安保的影響的關鍵性聲明。目前正在起草 IEC 62304 第二版以與 IEC 82304-1 保持一致。此版本將需要一個管理與數據和系統安全（包括隱私）相關風險的流程。

? ? ? ?IEC 82304-1 (2016) 對健康軟件產品的安全和保障提出了要求。根據該標準，潛在的傷害來源包括破壞安全和降低有效性。作為一般要求定義和初始風險評估的一部分，健康軟件產品的制造商可以使用以下有關安全漏洞的信息來源：權威機構的公開報告、操作系統和第三方軟件供應商的出版物 (IEC 82304-1 , 2016)。

? ? ? ?IEC 60601-1：2005+AMD1：2012 +AMD2：2020是醫療電氣設備和系統制造商的產品安全標準。作為可編程電氣醫療系統 (PEMS) 風險管理過程的一部分，該標準的第 14.6.1 條提供了與 PEMS 相關的危險的可能原因示例。這些示例包括考慮數據缺乏完整性、缺乏數據安全性，包括其對數據隱私的影響，尤其是易受篡改、與其他程序和病毒的意外交互（IEC 60601-1：2005+AMD1：2012 +AMD2：2020）。如果 PEMS 打算并入未經 PEMS 制造商驗證的 IT 網絡，第 14.13 d) 條要求制造商提供實施此類連接的說明，包括 PEMS 網絡連接的技術規范，包括安全規范。病毒、蠕蟲、未經授權的軟件更新或升級可能導致與 IT 網絡相關的危險情況 （IEC 60601-1：2005+AMD1：2012 +AMD2：2020）。

2.4? AAMI TIR57、ISO 14971 和 NIST SP 800-30 修訂版 1
? ? ? ?AAMI TIR57（2016 年）通過提供有關對醫療器械執行信息安全風險管理的方法的指導來支持醫療器械制造商。主要目標是“管理可能影響設備或設備處理信息的機密性、完整性和/或可用性的安全威脅帶來的風險”（AAMI TIR57，2016，p.vii）。本技術信息報告遵循 ISO 14971 (2019) 標準的基本結構，并建議“創建一個單獨的風險分析流程，專門針對安全分析確定的影響”（AAMI TIR57，2016，第 5 頁）。它還包含了 NIST SP 800-30 修訂版 1 (2012) 中的一些原則，這是對聯邦信息系統和組織進行風險評估的指南。

? ? ? ? AAMI TIR57 (2016) 區分了安全風險，包括數據和系統安全的破壞和有效性的降低、具有潛在安全影響的安全風險以及 ISO 14971 標準涵蓋的安全相關風險。 “安全風險基于對威脅成功利用設備漏洞的可能性的評估，該事件可能因系統機密性、完整性和/或可用性受損而導致不利影響”（AAMI TIR57，2016 , p. x)。

? ? ? ? AAMI TIR57（2016）推薦的安全風險管理流程包括以下活動：1）安全風險管理計劃，2）安全風險分析，3）安全風險評估，4）安全風險控制，5）整體剩余安全評估風險可接受性，6) 安全風險管理報告，以及 7) 制作和后期制作信息。
為了支持制造商識別與其醫療設備安全相關的特征，AAMI TIR57 (2016) 的附錄 D 提供了涵蓋以下領域的問題列表：設備的基本性能、個人身份信息 (PII) 的數據存儲/私有數據資產和非 PII 數據資產、數據傳輸、身份驗證和授權、日志記錄和審計、物理安全、設備/系統更新、加固、緊急訪問、惡意軟件/病毒防護、備份/災難恢復和標簽（即，有關安全性的使用說明）。

2.5? IEC 80001 系列
IEC 80001-1 (2010) 定義了醫療 IT 網絡的以下關鍵屬性：安全性、有效性、數據和系統安全性。

IEC/TR 80001-2-2 (2012) 提供了一個框架，用于披露管理將醫療設備連接到 IT 網絡的風險所必需的安全相關能力和風險。該技術報告可在創建或更改醫療 IT 網絡時幫助健康服務組織、醫療設備制造商和 IT 供應商應用風險管理。

IEC TR 80001-2-8 (2016) 為健康服務組織和醫療器械制造商提供了如何應用 IEC/TR 80001-2-2 (2012) 中概述的框架的指南。本技術報告確定了以下安全控制：自動注銷、審計控制、授權、安全功能配置、網絡安全產品升級、健康數據去標識化、數據備份和災難
恢復、緊急訪問、健康數據完整性和真實性、惡意軟件檢測/保護、節點身份驗證、人員身份驗證、設備上的物理鎖、產品生命周期路線圖中的第三方組件、系統和應用程序加固、安全指南、健康數據存儲機密性、傳輸機密性和完整性。

IEC TR 80001-2-9 (2017) 為健康服務組織和醫療設備制造商提供指南，以識別、開發、解釋、更新和維護聯網醫療設備的安全保證案例。它還為選擇 IEC/TR 80001-2-2 (2012) 中列出的適當安全控制以建立安全能力提供了指導。

2.6? 醫療器械法規（MDR）
? ? ? ?歐洲關于醫療設備的新法規要求在各個開發階段對個人數據進行IT安全、保護和保密（參考表4）。
表4 MDR 要求涉及安全和數據保護(“Official Journal of the European Union L 117”, 2017)

2.7? UL 2900系列
? ? ? ? 2016 年，Underwriters Laboratories（UL） 啟動了網絡安全保證計劃 (CAP)，該計劃提供可測試的網絡安全標準，用于評估可聯網產品和系統中的軟件漏洞、惡意軟件和安全控制。以下是可聯網產品和系統的一些示例：醫療設備及其配件、醫療設備數據系統、體外診斷設備、健康 IT、保健設備、汽車、工業控制系統、智能家居、消防系統、警報系統、物聯網（互聯網事物）等。

表 5 提供了 UL 的 2900 系列網絡安全標準列表。 UL 2900-1 (2017) 規定了可聯網產品和系統的一般產品要求，而 2016 年發布的 UL 2900-2-1 和 UL 2900-2-2 規定了行業產品要求。新的 UL 2900-2-3 （2020）標準已完成制定，它規定網絡可連接產品的組織和產品開發安全生命周期過程的一般要求。

2.8? ISO/IEC 27000 系列

? ? ? ?ISO/IEC 27000 系列標準可幫助組織保護其信息資產，例如財務信息、知識產權、員工詳細信息等。

ISO/IEC 27000 (2018) 提供了信息安全管理系統 (ISMS) 的概述和詞匯。

ISO/IEC 27001 (2013) 是一項國際安全標準，提供了建立、實施、維護和改進 ISMS 的要求。 “信息安全管理系統通過應用風險管理流程來保護信息的機密性、完整性和可用性，并讓相關方相信風險得到充分管理。” (ISO/IEC 27001, 2013, p. v) ISO/IEC 27001 (2013) 規定了以下領域共 114 項安全控制措施：A.5 安全政策，A.6 信息安全組織，A.7 資產管理，A .8 人力資源安全，A.9 物理和環境安全，A.10 通信和運營管理，A.11 訪問控制，A.12 信息系統獲取、開發和維護，A.13 信息安全事件管理，A.14業務連續性管理，A.15 合規性。

ISO/IEC 27032 (2012) 為組織提供了解決常見網絡安全風險的指南，例如社會工程攻擊、黑客攻擊、惡意軟件（惡意軟件的簡稱）、間諜軟件和其他可能不需要的軟件。它還為信息共享、協調和事件處理提供了一個框架。

ISO 27799 (2016) 為組織信息安全標準和信息安全管理實踐提供了指南，包括考慮組織信息安全風險環境的控制的選擇、實施和管理。

2.9? ?HIPAA
1996 年的《健康保險流通與責任法案》是美國的一項醫療保健立法，規定了保護受保護健康信息 (PHI) 的隱私和安全的要求。它于 1996 年引入并成為公法 104-191。 HIPAA 立法要求，除其他事項外，“發送給患者的包含健康相關信息的電子郵件必須在傳輸過程中加密，除非患者已書面授權該組織以未加密的方式發送其信息”（Wittkop，2016，p . 38）。不遵守 HIPAA 可能會導致民事和刑事處罰（Robichau，2014 年）。

HIPAA 隱私規則通常規定，提供給醫療保健組織員工的任何紙質/電子 PHI 必須適合他們的工作并符合采用的內部政策（Robichau，2014 年）。這種方法稱為最低必要標準。受 HIPAA 隱私規則約束的是所謂的涵蓋實體。承保實體分為三種類型：1) 保險公司或健康計劃（例如，Medicare、Medicaid、健康維護組織 (HMO)、TRICARE 等），2) 為提供者提交醫療保健索賠的醫療保健票據交換所，以及3) 任何以電子方式傳輸與美國衛生和人力資源部監管的交易相關的健康信息的醫療保健提供者。每個涵蓋實體必須任命一名 HIPAA 官員，負責 HIPAA 合規性以及信息隱私和安全的所有方面。

為了確保對電子 PHI 的適當保護，HIPAA 安全規則概述了三種不同的保護措施：1) 管理（即安全管理流程、安全人員、信息訪問管理、工作流培訓和管理、安全政策和程序的定期評估），2)物理（即設施訪問和控制、工作站和設備安全），和 3）技術（即訪問控制、審計控制、數據完整性控制、傳輸安全）（“HIPAA 安全規則摘要”，2013 年）。

3.? 簡單總結
? ? ? ? 數字環境的爆炸式增長增加了保護公司數字財產/資產和醫療設備免受網絡攻擊的需求。在不斷增加的開發成本和安全控制投資之間找到平衡是項目管理的挑戰之一。軟件測試專業人??員和 IT 基礎設施人員必須將安全測試集成到他們的測試程序中，并不斷了解安全測試工具和硬件和軟件的最新網絡漏洞。考慮到有關該主題的法規、標準、框架、指導文件、技術報告和最佳實踐的數量，要正確概述解決互連醫療設備和相關軟件安全性的法規要求變得越來越困難。一些標準不包含關于網絡安全的明確規定，但它們為實施安全控制提供了一些指導。

網絡安全在軟件生命周期過程中變得至關重要。網絡安全是一個涉及整個產品生命周期的迭代過程。在設計強大的網絡安全計劃時，醫療設備制造商應考慮以下關鍵組成部分：

從一開始就考慮網絡安全（即預防）設計產品，

執行安全和滲透測試并應用其他網絡安全控制以減少可利用的弱點和攻擊（即檢測），以及

在網絡攻擊（即事件響應和恢復）情況下制定維護計劃。實施針對威脅的主動安全方法可以提高公司產品和服務的價值。

4. 最新標準列表(以上提到的標準都在下面可以找到）

• FDA

FDA Guidance for Industry：2005 - Cybersecurity-for-Networked-Medical-Devices-Containing-Off-the-Shelf-(OTS)-Software（FDA行業指南–含有現成軟件的聯網醫療設備的網絡安全問題)

FDA-2013-D-0616：2014 Content-of-Premarket-Submissions-for-Management-of-Cybersecurity-in-Medical-Devices—Guidance-for-Industry-and-Food-and-Drug-Administration-Staff （醫療器械網絡安全管理的上市前提交內容–行業和食品藥品管理局工作人員指南 ）

FDA-2018-D-3443：2018 Content of Premarket Submissions for Management of Cybersecurity in Medical Devices - Draft Guidance for Industry and Food and Drug Administration Staff（醫療器械網絡安全管理的上市前提交內容–行業和食品藥品管理局工作人員指南草案）

FDA-2015-D-5105：2016 Postmarket-Management-of-Cybersecurity-in-Medical-Devices—Guidance-for-Industry-and-Food-and-Drug-Administration-Staff (醫療器械網絡安全的上市后管理–行業和食品藥品管理局工作人員指南)

• NIST 網絡安全框架 1.1 版

NIST：2018 Framework for Improving Critical Infrastructure Cybersecurity V1.1（改進關鍵基礎設施網絡安全的框架 V1.1）

NIST Cybersecurity Framework V1.1 - Downloadable Presentation(NIST網絡安全框架 V1.1 - 可下載的演示文稿)

NIST：2018 Framework V1.1 Core (Excel).xlsx

NIST：2018 Framework for Improving Critical Infrastructure Cybersecurity with Markup-改善關鍵基礎設施網絡安全的框架（有改動記錄）

NIST 標準(SP800-30)： Guide for Conducting Risk Assessments of Information Security Risk（信息安全風險的風險評估指南）

• ISO/IEC

ISO/IEC 27000 信息技術 - 安全技術 - 信息安全完整全系列

ISO/IEC 29147：2018 Information technology - Security techniques - Vulnerability disclosure(信息技術 - 安全技術 - 漏洞披露)

ISO/IEC 30111：2019 Information technology - Security techniques - Vulnerability handling processes(信息技術 - 安全技術 - 漏洞處理過程)

• BS/EN 歐洲

完整英文電子版 BS EN 45502-1:2015 Implants for surgery — Active implantable medical devices Part 1: General requirements for safety, marking and for information to be provided by the manufacturer(手術用植入物 - 活性 植入式醫療設備 第1部分。對安全的一般要求。標識和制造商提供的信息的一般要求 制造商提供的信息的一般要求)

EU Regulation 2017/745 on Medical Device(MDR) - 歐洲醫療器械法規- L 117 - 完整英文電子版（175頁）

EU Regulation 2017/746 on in Vitro Diagnostic Medical Devices - 歐洲法規2017/746 體外診斷醫療設備（IVDR）

• IEC

IEC 62304：2015 Medical device software - Software life cycle processes（醫療設備軟件 - 軟件生命周期過程）

IEC 60601-1：2005+AMD1：2012 +AMD2：2020 最新的醫療設備安全和性能要求 - 完整英文版（858頁）

IEC 82304-1：2016 Health software – Part 1: General requirements for product safety（健康軟件-- 第1部分：產品安全的一般要求）

ISO/IEC 80001全系列- 醫療器械的IT網絡風險管理的應用（包含全部10份最新英文標準文件如80001-1， 80001-2-1~9）.rar

• AAMI

美國醫療儀器促進協會(AAMI) TIR57 - 醫療器械安全的原則 - 風險管理 - 完整英文版（82頁)

• ISO

ISO 14971：2019 Medical devices - Application of risk management to medical devices（ 醫療設備–風險管理在醫療設備中的應用）

ISO 14971：2019 醫療設備一風險管理在醫療設備中的應用 - 完整中文翻譯版（75頁）

ISO 27799：2016 Health informatics - Information security management in health using IS0/IEC 27002(健康信息學 - 使用 IS0/IEC 27002 的健康信息安全管理)

• UL

UL 2900系列 網絡產品的軟件網絡安全（包含下面全部4份最新英文版標準文件）.rar

UL 2900-1：2017 Software Cybersecurity for Network-Connectable Products, Part 1：General Requirements(聯網產品的軟件網絡安全，第 1 部分：一般要求)

ANSI/CAN/UL 2900-2-1：2018 Software Cybersecurity for Network-Connectable Products, Part 2-1：Particular Requirements for Network Connectable Components of Healthcare and Wellness Systems(網絡可連接產品的軟件網絡安全，第 2-1 部分：醫療保健和健康系統的網絡可連接組件的特殊要求)

?UL 2900-2-2：2016 Outline of Investigation for Software Cybersecurity for Network-Connectable Products, Part 2-2: Particular Requirements for Industrial Control Systems（聯網產品軟件網絡安全調查大綱，第 2-2 部分：工業控制系統的特殊要求）

ANSI/CAN/UL 2900-2-3：2020 網絡可連接產品的軟件網絡安全，第2-3部分：安全和生命安全信號系統的特殊要求

• HIPAA

Public Law 104-191：1996 Health Insurance Portability and Accountability Act(HIPAA) of 1996 - 健康保險攜帶與責任法案 (HIPAA)

————————————————
版權聲明：本文為CSDN博主「John-130」的原創文章，遵循CC 4.0 BY-SA版權協議，轉載請附上原文出處鏈接及本聲明。
原文鏈接：https://blog.csdn.net/Johnho130/article/details/117839526

與50位技術專家面對面20年技術見證，附贈技術全景圖

總結

以上是生活随笔為你收集整理的医疗器械软件网络安全法规和标准概述（附所有标准）的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。