根據(jù)國家藥監(jiān)局發(fā)布的《醫(yī)療器械注冊申報資料要求及說明》，具備電子數(shù)據(jù)交換、遠(yuǎn)程控制或用戶訪問功能的獨立軟件和含有軟件組件的產(chǎn)品，是需要提交網(wǎng)絡(luò)安全研究資料的，那么這一資料具體應(yīng)如何撰寫呢？本期文章我們根據(jù)北京市藥監(jiān)局發(fā)布的《醫(yī)療器械網(wǎng)絡(luò)安全注冊審查指導(dǎo)原則實施指南》，跟大家分享一下網(wǎng)絡(luò)安全注冊資料的相關(guān)內(nèi)容。

注冊申請人應(yīng)結(jié)合醫(yī)療器械產(chǎn)品的預(yù)期用途、使用環(huán)境和核心功能以及預(yù)期相連設(shè)備或系統(tǒng)（例如：其它醫(yī)療器械、信息技術(shù)設(shè)備）的情況來確定醫(yī)療器械產(chǎn)品的網(wǎng)絡(luò)安全特性，提交網(wǎng)絡(luò)安全描述文檔。網(wǎng)絡(luò)安全描述文檔應(yīng)描述醫(yī)療器械的基本信息、風(fēng)險管理、驗證與確認(rèn)以及維護(hù)計劃。

應(yīng)描述醫(yī)療器械產(chǎn)品網(wǎng)絡(luò)安全相關(guān)的基本信息，這些信息包括：

網(wǎng)絡(luò)安全風(fēng)險管理是指注冊申請人基于醫(yī)療器械產(chǎn)品的預(yù)期用途和使用場景進(jìn)行網(wǎng)絡(luò)安全風(fēng)險分析，評價并采取網(wǎng)絡(luò)安全風(fēng)險控制手段確保產(chǎn)品的網(wǎng)絡(luò)安全能力。注冊申請人可對網(wǎng)絡(luò)安全采用醫(yī)療器械風(fēng)險管理的方法（可參照GB/T 42062-2022《醫(yī)療器械 風(fēng)險管理對醫(yī)療器械的應(yīng)用》）對醫(yī)療器械網(wǎng)絡(luò)安全相關(guān)的風(fēng)險進(jìn)行分析、評價和控制，也可采用信息安全風(fēng)險評估的方法（可參照GB/T 20984-2022《信息安全技術(shù) 信息安全風(fēng)險評估方法》）進(jìn)行評估，并進(jìn)行風(fēng)險控制。

如適用，醫(yī)療器械網(wǎng)絡(luò)安全風(fēng)險管理應(yīng)考慮對個人敏感信息的保護(hù)。對個人信息的處理，應(yīng)遵循個人信息安全基本原則和相關(guān)的法律法規(guī)以及標(biāo)準(zhǔn)，如GB/T 35273-2020《信息安全技術(shù) 個人信息安全規(guī)范》。如有必要，應(yīng)對個人信息進(jìn)行匿名化或去標(biāo)識化處理。

風(fēng)險管理除了從網(wǎng)絡(luò)安全角度來考慮醫(yī)療器械的網(wǎng)絡(luò)安全能力外，還應(yīng)根據(jù)醫(yī)療器械的預(yù)期用途考慮網(wǎng)絡(luò)安全風(fēng)險對醫(yī)療器械的安全性和有效性的影響。

醫(yī)療器械網(wǎng)絡(luò)安全風(fēng)險管理需要考慮整個醫(yī)療器械生命周期并適時更新。

（1）風(fēng)險分析與評價

注冊申請人應(yīng)對網(wǎng)絡(luò)安全管理活動進(jìn)行策劃并制定網(wǎng)絡(luò)安全風(fēng)險可接受性準(zhǔn)則。注冊申請人應(yīng)考慮網(wǎng)絡(luò)安全損害的嚴(yán)重度和網(wǎng)絡(luò)安全損害的發(fā)生概率并按照接受性準(zhǔn)則決定是否需要降低風(fēng)險。

① 網(wǎng)絡(luò)安全損害的嚴(yán)重度，例如：

② 網(wǎng)絡(luò)安全損害的發(fā)生概率，例如：

注：發(fā)生概率應(yīng)和醫(yī)療器械具體情況相適應(yīng)

（2）風(fēng)險控制

根據(jù)風(fēng)險評價結(jié)果需要降低風(fēng)險時，注冊申請人應(yīng)識別適當(dāng)?shù)?strong style="margin: 0px; padding: 0px; outline: 0px; max-width: 100%; box-sizing: border-box !important; overflow-wrap: break-word !important;">風(fēng)險控制措施，以把風(fēng)險降低到可接受的水平。

↑ 風(fēng)險分析、評價和風(fēng)險控制措施記錄表

↑ 風(fēng)險評估矩陣模型-初始風(fēng)險分布

↑ 風(fēng)險評估矩陣模型-采取風(fēng)險控制措施后風(fēng)險分布

注：表格中的數(shù)字僅作為舉例。采取風(fēng)險控制措施后，剩余風(fēng)險中不可接受風(fēng)險數(shù)量為0。

注冊申請人應(yīng)形成網(wǎng)絡(luò)安全風(fēng)險管理報告，并完成風(fēng)險管理過程的評審，確認(rèn)綜合剩余風(fēng)險是可接受的。

注冊申請人要持續(xù)關(guān)注醫(yī)療器械上市后與醫(yī)療器械相關(guān)的網(wǎng)絡(luò)安全風(fēng)險，根據(jù)實際情況適時更新風(fēng)險分析、評價和控制文件，如法規(guī)更新、不良事件報告等。

網(wǎng)絡(luò)安全驗證和確認(rèn)活動的目的是確定風(fēng)險管理中采用的網(wǎng)絡(luò)安全控制手段均已得到正確的實施，確保醫(yī)療器械產(chǎn)品的網(wǎng)絡(luò)安全需求（例如保密性、完整性、可得性等特性）均已得到滿足。

對于現(xiàn)成軟件，注冊申請人應(yīng)在網(wǎng)絡(luò)安全風(fēng)險分析過程中將其作為醫(yī)療器械的一部分進(jìn)行充分的網(wǎng)絡(luò)安全評估，并在醫(yī)療器械的網(wǎng)絡(luò)安全能力配置中予以綜合考慮。

注冊申請人應(yīng)在醫(yī)療器械產(chǎn)品研制過程中進(jìn)行網(wǎng)絡(luò)安全的驗證與確認(rèn)活動，通過分析、測試、評估、審查等手段，確保醫(yī)療器械產(chǎn)品的網(wǎng)絡(luò)安全需求得到滿足。網(wǎng)絡(luò)安全驗證與確認(rèn)活動可以參考附錄中的19項網(wǎng)絡(luò)安全能力應(yīng)用參考，應(yīng)根據(jù)醫(yī)療器械的預(yù)期用途、使用方式和風(fēng)險評估綜合考慮每項網(wǎng)絡(luò)安全能力的驗證。

（1）應(yīng)確保在醫(yī)療器械產(chǎn)品的需求、設(shè)計、測試以及風(fēng)險管理各個階段考慮并落實網(wǎng)絡(luò)安全需求，并且保證網(wǎng)絡(luò)安全需求規(guī)范、設(shè)計規(guī)范、測試以及風(fēng)險管理的一致性和完整性。

（2）應(yīng)針對醫(yī)療器械產(chǎn)品進(jìn)行網(wǎng)絡(luò)安全測試驗證，確保所有網(wǎng)絡(luò)安全風(fēng)險控制措施都得到正確的實施。

① 應(yīng)對網(wǎng)絡(luò)安全測試活動進(jìn)行合理的策劃，包括確定測試的內(nèi)容（包括醫(yī)療器械需求中要求配置的網(wǎng)絡(luò)安全能力）、測試人員和相應(yīng)的職責(zé)、測試所需的環(huán)境、測試的技術(shù)和方法（如漏洞測試、惡意軟件測試、缺陷輸入測試、結(jié)構(gòu)化滲透測試等）、異常處理方式、測試通過的準(zhǔn)則、測試所需的資源以及測試進(jìn)度安排等。

② 應(yīng)根據(jù)測試計劃的安排設(shè)計測試用例，并按照測試用例的要求執(zhí)行測試活動，記錄原始測試結(jié)果，確保測試過程的可追溯性。對于安全軟件，注冊申請人應(yīng)針對不同的軟件、硬件運行平臺，進(jìn)行兼容性測試；如醫(yī)療器械采用標(biāo)準(zhǔn)傳輸協(xié)議或存儲格式，應(yīng)進(jìn)行審查或測試驗證其對相關(guān)標(biāo)準(zhǔn)的符合性；如醫(yī)療器械采用自定義的傳輸協(xié)議和存儲格式，應(yīng)進(jìn)行完整性測試驗證。

③ 應(yīng)對測試結(jié)果進(jìn)行分析和評價，確保測試活動的有效性，并對測試遺留的問題進(jìn)行評價。

注冊申請人應(yīng)將醫(yī)療器械網(wǎng)絡(luò)安全驗證與確認(rèn)活動的結(jié)果以文檔的方式進(jìn)行記錄，確保網(wǎng)絡(luò)安全驗證與確認(rèn)活動的可追溯性。

（1）應(yīng)以文檔的形式記錄醫(yī)療器械網(wǎng)絡(luò)安全需求規(guī)范、設(shè)計規(guī)范、測試以及風(fēng)險管理的追溯性關(guān)系。

（2）應(yīng)對網(wǎng)絡(luò)安全測試策劃活動進(jìn)行記錄并形成網(wǎng)絡(luò)安全測試計劃文檔。

（3）應(yīng)對網(wǎng)絡(luò)安全測試執(zhí)行過程、測試結(jié)果以及測試結(jié)果的分析評估進(jìn)行記錄，形成網(wǎng)絡(luò)安全測試報告。

（4）對于安全軟件，注冊申請人可將兼容性測試結(jié)果進(jìn)行單獨文檔記錄，并形成兼容性測試報告。

（5）對于采用標(biāo)準(zhǔn)傳輸協(xié)議或存儲格式的醫(yī)療器械，注冊申請人應(yīng)記錄標(biāo)準(zhǔn)符合性審查結(jié)果；對于采用自定義的傳輸協(xié)議和存儲格式的醫(yī)療器械，注冊申請人應(yīng)對完整性測試結(jié)果進(jìn)行記錄并形成完整性測試報告。

（6）可以對實時遠(yuǎn)程控制功能醫(yī)療器械中關(guān)于遠(yuǎn)程數(shù)據(jù)相關(guān)的測試進(jìn)行單獨的文檔記錄，并形成相應(yīng)的完整性和可得性測試報告。

在醫(yī)療器械產(chǎn)品上市后，注冊申請人應(yīng)結(jié)合自身質(zhì)量管理體系要求，制定網(wǎng)絡(luò)安全維護(hù)流程，保證醫(yī)療器械的安全性和有效性。

網(wǎng)絡(luò)安全維護(hù)流程涉及到以下方面：

有關(guān)醫(yī)療器械產(chǎn)品中網(wǎng)絡(luò)漏洞的披露和處理，可參閱文獻(xiàn)《ISO/IEC 29147-2018 信息技術(shù) 安全技術(shù) 漏洞公告》和《ISO/IEC 30111-2013 信息技術(shù) 安全技術(shù) 漏洞處理流程》。

具備聯(lián)網(wǎng)功能的醫(yī)療器械產(chǎn)品面臨的網(wǎng)絡(luò)問題可能不斷變化，注冊申請人在醫(yī)療器械產(chǎn)品上市前難以解決所有的網(wǎng)絡(luò)安全問題。注冊申請人應(yīng)對已上市醫(yī)療器械產(chǎn)品進(jìn)行有效、及時并持續(xù)地網(wǎng)絡(luò)安全更新。

對于已發(fā)現(xiàn)的漏洞，應(yīng)分析漏洞的可被利用性，對病人傷害的嚴(yán)重程度以及病人信息泄露的可能性，注冊申請人應(yīng)決定該漏洞的風(fēng)險是可控還是處于失控狀態(tài)，制定相應(yīng)的解決措施修復(fù)該網(wǎng)絡(luò)漏洞。與網(wǎng)絡(luò)安全事件相關(guān)的網(wǎng)絡(luò)更新，需要重點分析其風(fēng)險和影響，及時有效地提供經(jīng)驗證的解決方案。

通常的網(wǎng)絡(luò)安全更新應(yīng)包括：

若在醫(yī)療器械產(chǎn)品中新的網(wǎng)絡(luò)安全設(shè)計是不可行的或者不能馬上實施，注冊申請人應(yīng)考慮使用網(wǎng)絡(luò)補償控制方案來減輕網(wǎng)絡(luò)漏洞風(fēng)險。

網(wǎng)絡(luò)補償控制是在缺乏有效網(wǎng)絡(luò)安全設(shè)計的前提下，提供補充性網(wǎng)絡(luò)防護(hù)措施。例如注冊申請人對醫(yī)療器械產(chǎn)品的網(wǎng)絡(luò)漏洞評估后，認(rèn)為對設(shè)備在未被授權(quán)的情況下進(jìn)行訪問極有可能影響設(shè)備的安全和基本性能，但是若該設(shè)備沒有連接到外部網(wǎng)絡(luò)（例如醫(yī)院網(wǎng)絡(luò)）或者使用路由器對連接進(jìn)行限定，則醫(yī)療器械仍然可以安全有效的工作。

對于預(yù)期接入網(wǎng)絡(luò)或與其它醫(yī)療器械進(jìn)行交互的醫(yī)療器械，其數(shù)據(jù)交換方式有兩種：網(wǎng)絡(luò)（包括有線網(wǎng)絡(luò)和無線網(wǎng)絡(luò)）或存儲媒介（如光盤、移動硬盤、U盤等）。

對于數(shù)據(jù)交換的接口，常見的有線接口包括USB、RS232、RS485、CAN、RJ45等。近些年，無線通訊被廣泛使用，例如藍(lán)牙、WiFi、Zigbee、RFID、各種蜂窩無線網(wǎng)絡(luò)等。對于有線接口，技術(shù)要求中應(yīng)明確連接接口的規(guī)格。有線網(wǎng)絡(luò)應(yīng)明確帶寬要求。對于無線網(wǎng)絡(luò)，應(yīng)描述網(wǎng)絡(luò)類型、制式、使用頻段、數(shù)據(jù)特性（如上/下行傳輸速率）等。

注冊申請人可以采用已經(jīng)標(biāo)準(zhǔn)化的醫(yī)用數(shù)據(jù)傳輸協(xié)議或存儲格式。常見的醫(yī)療器械傳輸協(xié)議如HL7、DICOM等，醫(yī)療器械存儲格式如EDF等。注冊申請人也可以使用通用的網(wǎng)絡(luò)傳輸協(xié)議如TCP/IP、UDP、HTTP、HTTPS等。注冊申請人在產(chǎn)品技術(shù)要求中，應(yīng)明確傳輸協(xié)議/存儲格式。對于已經(jīng)標(biāo)準(zhǔn)化的傳輸協(xié)議或存儲格式除了說明協(xié)議類型之外，還應(yīng)說明協(xié)議的版本，如果用于控制，還應(yīng)說明是否為實時控制。

對于注冊申請人自定義的數(shù)據(jù)傳輸協(xié)議或存儲格式，應(yīng)在隨機(jī)文件中描述或在產(chǎn)品技術(shù)要求中提供相應(yīng)的驗證方法。

醫(yī)療器械在執(zhí)行用戶訪問控制之前，應(yīng)完成對用戶身份的鑒別或認(rèn)證。認(rèn)證是系統(tǒng)驗證希望訪問系統(tǒng)的用戶身份的過程?；镜恼J(rèn)證技術(shù)包括數(shù)字簽名、消息認(rèn)證、數(shù)字摘要等。在產(chǎn)品技術(shù)要求中注冊申請人應(yīng)明確醫(yī)療器械所采用的用戶身份鑒別或認(rèn)證技術(shù)。

用戶訪問控制策略對醫(yī)療器械的保密性、完整性起直接的作用，是對越權(quán)使用資源的防御措施，是網(wǎng)絡(luò)安全的重要組成部分。醫(yī)療器械的使用者應(yīng)依據(jù)訪問控制策略來限制對數(shù)據(jù)和系統(tǒng)功能的訪問。用戶訪問控制的種類早期分為自主訪問控制（DAC）和強(qiáng)制訪問控制（MAC），但隨著計算機(jī)和網(wǎng)絡(luò)技術(shù)的發(fā)展，又出現(xiàn)了基于角色的訪問控制（RBAC）、基于任務(wù)的訪問控制（TBAC）、以及基于屬性、上下文、信譽等的訪問控制模型。隨著系統(tǒng)的復(fù)雜度變高，一個系統(tǒng)中也可以融合多種訪問控制策略。在產(chǎn)品技術(shù)要求中，注冊申請人應(yīng)明確醫(yī)療器械執(zhí)行的用戶訪問控制的方法、用戶類型及權(quán)限。

預(yù)期接入計算機(jī)網(wǎng)絡(luò)或與其它醫(yī)療器械進(jìn)行交互的醫(yī)療器械具有復(fù)雜的運行環(huán)境與技術(shù)生態(tài)系統(tǒng)。例如：復(fù)雜的信息基礎(chǔ)設(shè)施（如硬件、軟件、網(wǎng)絡(luò)、其他系統(tǒng)和數(shù)據(jù)接口等），參與開發(fā)、實施、臨床使用所涉及的眾多的人員、組織和機(jī)構(gòu)。醫(yī)療器械生命周期不僅包含設(shè)計、開發(fā)、也包括實施和臨床使用，其中包含醫(yī)療器械的采購、安裝、配置、數(shù)據(jù)集成或遷移、工作流實現(xiàn)與優(yōu)化、培訓(xùn)、使用與維護(hù)、退市等環(huán)節(jié)。

一般情況下，注冊申請人只涉及醫(yī)療器械的設(shè)計與開發(fā)過程，而后期的實施與臨床使用等環(huán)節(jié)的網(wǎng)絡(luò)安全可能由另外的組織和機(jī)構(gòu)來負(fù)責(zé)。注冊申請人應(yīng)在說明書或其他文檔中提供在實施與臨床使用環(huán)節(jié)中所需要的必要信息，如運行環(huán)境、接口與訪問控制、安全軟件及軟件更新等，以保證在實施與臨床使用環(huán)節(jié)的網(wǎng)絡(luò)安全。

如適用，注冊申請人在說明書中應(yīng)明確醫(yī)療器械的運行環(huán)境，包括硬件配置、軟件環(huán)境和網(wǎng)絡(luò)條件。硬件配置應(yīng)明確醫(yī)療器械安全運行所需要的最低硬件資源配置要求，如CPU、內(nèi)存、存儲與顯示要求等。軟件環(huán)境應(yīng)明確要求醫(yī)療器械運行所需要的操作系統(tǒng)等。網(wǎng)絡(luò)條件應(yīng)明確醫(yī)療器械運行所需要的網(wǎng)絡(luò)類型、帶寬等。

如適用，注冊申請人在說明書中應(yīng)描述接口與訪問控制，以滿足醫(yī)療器械實施與臨床使用過程中的要求。對于接口的描述，應(yīng)能夠滿足醫(yī)療器械與網(wǎng)絡(luò)、或其它設(shè)備的安全連接。對于訪問控制的描述，應(yīng)能指導(dǎo)使用者安全使用系統(tǒng)提供的訪問控制策略并集成到工作流程中。

在資源允許的情況下，醫(yī)療器械可使用一些安全軟件來提高醫(yī)療器械的網(wǎng)絡(luò)安全特性。這些安全軟件包括但不限于防火墻、殺毒軟件、反流氓軟件、工具軟件等。如適用，注冊申請人應(yīng)在說明書中明確這些軟件的名稱、版本等信息。

如適用，注冊申請人應(yīng)在說明書中明確軟件環(huán)境與安全軟件的更新需求，更新的來源、執(zhí)行的步驟等。