2025年6月27日，美国食品药品监督管理局（FDA）发布了指南文件《医疗器械中的网络安全：质量体系考量和上市前提交内容》。这份指南是对2024年3月13日发布的草案的选定更新，并取代了2023年9月27日发布的同名文件。指南本身不设立任何权利，对FDA或公众不具有约束力，制造商可以使用替代方法，只要其符合适用的法规和法律要求。但是，针对“网络设备”（Cyber Devices）的特定要求是强制性的。这是因为《2022年食品和药品综合改革法案》（FDORA）第3305节于2022年12月29日生效，在《联邦食品、药品和化妆品法》（FD&C Act）中新增了第524B节“确保医疗器械的网络安全”。自2023年3月29日起，对于“网络设备”的上市前提交，赞助商（通常是制造商）必须提供信息，以确保设备符合第524B(b)节的网络安全要求。因此，这份指南旨在帮助制造商满足FD&C Act第524B节的相关强制性义务。

一、为何网络安全如此重要

日益增长的威胁：随着无线、互联网和网络连接能力的日益普及，以及医疗器械相关健康信息频繁的电子交换，对强大的网络安全控制的需求变得前所未有的重要。网络事件已导致医疗设备和医院网络无法运行，扰乱了美国乃至全球的患者护理服务。

潜在的患者危害：网络事件和漏洞利用可能导致患者因临床危害而受到伤害，例如诊断和/或治疗的延迟。单个设备现在是更大医疗设备系统的一部分，如医疗设施网络、其他设备和软件更新服务器等，缺乏足够的网络安全考虑可能损害设备的安全性或有效性。

共享责任：医疗器械网络安全是医疗器械系统使用环境中所有相关方（包括医疗设施、患者、医疗保健提供者和制造商）的共同责任。

指南的演变：鉴于快速变化的网络安全环境、对新兴威胁的理解增加以及在产品生命周期（TPLC）中部署缓解措施的必要性，FDA更新了此指南，取代了2014年的版本，并补充了2016年的《上市后网络安全指南》和《器械软件功能上市前提交内容》指南。

强制性要求引入：FDORA法案新增的FD&C Act第524B节，对网络设备（Cyber Devices）设定了明确的上市前提交要求，包括提供监控、识别和处理上市后网络安全漏洞的计划，设计、开发和维护提供合理网络安全保障的流程和程序，以及提供软件物料清单（SBOM）。

二、适用范围与“网络设备”定义

广泛适用性：本指南适用于所有具有网络安全考量的设备，包括但不限于包含设备软件功能或包含软件（包括固件）或可编程逻辑的设备，不限于网络连接或具有其他连接功能的设备。

提交类型：适用于向CDRH或CBER提交的各类上市前提交类型，包括510(k)、De Novo、PMA及其补充、PDP、IDE、HDE、BLA和IND提交。即使是不需要上市前提交的设备（如510(k)豁免设备），其建议也适用。

组合产品：也适用于组合产品（如药物-设备、生物制剂-设备）中具有网络安全考量的设备组成部分。

“网络设备”的关键定义：FD&C Act第524B(c)节将“网络设备”定义为同时满足以下所有标准的设备：

1.包含由赞助商验证、安装或授权的作为设备或在设备中的软件。这包括固件或可编程逻辑中的软件。

2.具有连接互联网的能力：这包括设备能够通过任何方式（包括在评估设备威胁面和使用环境中的任何点）连接到互联网，无论这种连接是否由赞助商有意为之。例如，网络、服务器或云服务提供商连接、射频通信（如Wi-Fi、蓝牙）、磁感应通信，以及能够连接互联网的硬件连接器（如USB、以太网、串口）。

3.包含任何经赞助商验证、安装或授权的可能容易受到网络安全威胁的技术特性

三、一般原则：网络安全融入设备全生命周期

网络安全是设备安全和质量体系法规的一部分：设备制造商必须建立并遵循质量体系（QS regulation，21 CFR Part 820）以确保产品持续符合要求和规范。网络安全是设计控制（21 CFR 820.30(a)）中软件验证和风险分析（21 CFR 820.30(g)）的关键要素。

安全产品开发框架（SPDF）：SPDF是一套旨在减少产品在整个生命周期中漏洞数量和严重性的流程，是满足QS法规要求的一种方法。FDA鼓励制造商使用SPDF，并可与其他现有框架（如JSP2, IEC 81001-5-1, ANSI/ISA 62443-4-1）集成。

安全设计（Designing for Security）：FDA将根据以下安全目标评估设备网络安全，并建议上市前提交中包含如何将这些目标整合到设备设计中的信息：

  • 真实性（Authenticity），包括完整性（integrity）

  • 授权（Authorization）

  • 可用性（Availability）

  • 保密性（Confidentiality）

  • 安全及时更新和修补能力（Secure and timely updatability and patchability）

这些目标的实现程度取决于设备预期用途、可预见误用、电子数据接口、使用环境、漏洞风险、漏洞可利用性以及患者伤害风险。设备应从设计之初就考虑安全性（secure by design），将已知漏洞或弱网络安全控制视为可预见的故障模式。

透明度（Transparency）：

缺乏关键网络安全信息（如设备集成信息、维护信息）可能影响设备安全性和有效性。制造商应在设备标签中包含这些信息，以帮助用户了解设备的网络弹性、面临的威胁以及如何预防或缓解这些威胁。

提交文档（Submission Documentation）：

设备网络安全设计和文档应根据设备的网络安全风险进行扩展。提交文档旨在支持FDA对设备安全性和有效性的评估。对于“网络设备”，部分推荐信息将有助于制造商满足FD&C Act第524B节的强制性要求。

四、使用SPDF管理网络安全风险

SPDF是确保医疗设备安全有效（同时具有可信赖性和弹性）的关键框架。

1.安全风险管理（Security Risk Management）：

与安全风险管理的区别：网络安全风险管理与ISO 14971中描述的安全风险管理有所不同。安全风险管理侧重于物理伤害，而网络安全风险管理可能包括导致间接或直接患者伤害的风险。网络安全风险评估侧重于“可利用性”（exploitability），即威胁利用设备和/或系统中存在的漏洞的能力，而不是事件发生的概率。

综合性评估：制造商应进行安全风险评估（security risk assessment），以全面识别和管理患者安全风险。对于已知漏洞，应将其视为可预见的风险进行评估。

风险转移：当无法进行全面设计缓解时，应考虑补偿性控制或将风险转移给用户/操作员，但这必须在所有相关风险信息已知、评估并适当传达给用户之后。

文档：建议制造商生成安全风险管理计划和报告（如AAMI TIR57和ANSI/AAMI SW96所述），并包含在上市前提交中。报告应总结风险评估方法、残余风险结论、风险缓解活动，并提供威胁建模、网络安全风险评估、SBOM和测试文档之间的可追溯性。

威胁建模（Threat Modeling）：用于识别医疗设备系统中的安全目标、风险和漏洞，并定义对策。应在整个设计过程中执行，并包括医疗设备系统的所有元素。应识别系统风险和缓解措施，声明对使用环境的假设，并捕获供应链、制造、部署、互操作性、维护/更新和退役活动引入的网络安全风险。

网络安全风险评估（Cybersecurity Risk Assessment）：评估识别出的风险和控制措施的残余风险。应捕捉威胁模型中识别的风险和控制措施。对于CISA已知被利用漏洞目录中的漏洞，应将其从设备设计中排除。

互操作性考量（Interoperability Considerations）：评估端到端医疗设备系统的网络安全时，互操作性是重要考量。制造商应评估与互操作性能力相关的网络安全风险和控制。

第三方软件组件（Third-Party Software Components）：设备通常包含第三方软件组件（如OTS和开源软件）。所有软件都应进行网络安全风险评估，并记录在案。制造商应建立并维护设备源代码的保管控制（如源代码托管或备份）。

软件物料清单（SBOM）：对于网络设备是强制要求的。SBOM有助于管理整个软件堆栈中存在的网络安全风险，应包含制造商开发的组件和第三方组件，以及其上游软件依赖项。应提供符合NTIA最低要素的机器可读SBOM，并包含每个软件组件的软件支持级别和支持终止日期。对于已知漏洞，应提供安全风险评估和适用的风险控制细节。

未解决异常的安全评估（Security Assessment of Unresolved Anomalies）：在开发或测试过程中发现的可能具有安全隐患的异常应进行安全影响评估，并考虑其可能存在的通用缺陷枚举（CWE）类别。

产品生命周期（TPLC）网络安全风险管理：制造商应有适当的资源在整个设备生命周期中识别、评估和缓解网络安全漏洞。建议制造商跟踪和记录以下措施和指标，并在上市前提交中提供：已识别漏洞的修补百分比、从漏洞识别到修补的时长、从更新或修补可用到现场设备完成实施的时长。

2.安全架构（Security Architecture）：

安全架构定义了系统及其所有端到端的连接，包含证明风险已得到充分控制的信息。

安全目标与控制：设备设计应包含网络安全控制的设计输入。一套足够的安全控制应包括：认证、授权、密码学、代码/数据/执行完整性、保密性、事件检测和日志记录、弹性和恢复、固件和软件更新能力。这些控制的具体建议在附录1中详细说明。

安全架构视图（Security Architecture Views）：上市前提交中应包含以下架构视图，以说明网络安全风险控制如何应用于医疗设备系统：

全球系统视图（Global System View）：描述整体医疗设备系统，包括设备本身以及所有内部和外部连接，如软件更新基础设施、医疗设施网络影响、中间连接、云连接和患者家庭网络影响。

多患者危害视图（Multi-Patient Harm View）：当设备连接到网络或互联网时，存在多个设备同时受损的可能性，从而对多个患者造成严重影响。此视图应描述设备如何防御和/或响应可能对多患者造成危害的攻击。

可更新性/可修补性视图（Updatability and Patchability View）：描述软件更新和补丁如何提供给设备的端到端过程。

安全用例视图（Security Use Case View(s)）：应包括所有可能因安全漏洞影响设备安全或有效性的医疗设备系统功能。

这些视图应包含图表和解释性文本，提供足够详细的信息，以理解医疗设备系统资产如何在相关实施细节中协同工作。

3.网络安全测试（Cybersecurity Testing）：

网络安全控制需要进行超出标准软件验证和确认活动的测试，以证明其在适当安全上下文中的有效性。

推荐的测试类型：

安全要求测试：验证每个设计输入要求是否成功实施。

威胁缓解测试：证明风险控制措施的有效性，并确保每个网络安全风险控制的充分性。

漏洞测试：包括滥用或误用情况、畸形和意外输入、鲁棒性、模糊测试、攻击面分析、漏洞链、已知漏洞扫描的黑盒测试、二进制可执行文件的软件组成分析、静态和动态代码分析（包括硬编码、默认、易猜测凭证）。

渗透测试：识别和描述通过发现和利用产品中的安全漏洞而产生的安全相关问题。测试报告应包括测试人员独立性、范围、时长、方法和结果。

测试应在SPDF的整个过程中进行。

五、网络安全透明度

网络安全透明度对于确保设备和系统的安全有效使用和集成至关重要。

标签建议：设备标签应包含相关安全信息，以帮助用户管理网络安全风险和确保设备的持续安全有效使用。这包括设备说明和推荐的网络安全控制、网络端口列表、基础设施要求、SBOM（应以机器可读格式提供并持续更新）、制造商授权软件和固件的下载程序说明、异常检测响应、关键功能保护、备份和恢复功能、安全配置说明、法证证据捕获以及设备终止支持/生命周期的信息。

网络安全管理计划：FDA建议制造商建立计划，以识别并向相关方传达设备发布后发现的漏洞。对于网络设备，这是FD&C Act第524B(b)(1)节的强制性要求。该计划应包括负责人员、监控和识别漏洞的来源/方法/频率（如研究人员、NIST国家漏洞数据库、第三方软件制造商）、CISA已知被利用漏洞目录中的漏洞处理、定期安全测试、补丁开发和发布时间表、更新流程、修补能力、协调漏洞披露流程以及向客户沟通即将进行的修复和更新的方式。

六、网络设备（Cyber Devices）的强制性合规要求

这是指南最核心的部分，明确了FDORA法案赋予FDA的强制性权力。

合规主体： 任何提交510(k)、PMA、PDP、De Novo或HDE等上市前申请的“网络设备”制造商（或提交人）。

第524B节的文档要求：

1.计划和程序（Section 524B(b)(1)）：要求提交计划，以监控、识别并及时处理上市后网络安全漏洞和利用，包括协调漏洞披露及相关程序。

该计划应描述开发和发布更新和补丁的时间表，包括：

常规周期：针对“已知不可接受的漏洞”（known unacceptable vulnerabilities），应在合理正当的常规周期内提供更新和补丁。

紧急周期：针对“可能导致无法控制风险的关键漏洞”（critical vulnerabilities that could cause uncontrolled risks），应尽快在非周期性（out of cycle）提供更新和补丁。

制造商还应预期并对这些计划进行适当更新，并在整个产品生命周期中维护相关文档（如威胁建模、网络安全风险评估）。

2.设计、开发和维护流程和程序，以提供合理的网络安全保障（Section 524B(b)(2)）：制造商必须“设计、开发和维护流程和程序，以提供合理的网络安全保障，确保设备和相关系统网络安全”。FDA认为“相关系统”包括制造商控制的元素，如其他设备、执行“其他功能”的软件、软件/固件更新服务器以及与医疗设施网络的连接。本指南中识别并总结在附录4中的文档建议，旨在帮助制造商证明其符合此要求。

3.软件物料清单（SBOM）（Section 524B(b)(3)）：要求制造商提供SBOM，包括商业、开源和现成软件组件。建议SBOM包含指南第V.A.4.b节推荐的信息。

修改（Modifications）： 对“网络设备”进行的修改如果需要新的上市前提交，也必须符合第524B节的要求。提交的信息量取决于修改是否会影响网络安全。即使是不影响网络安全的修改，也可能需要提供第524B(b)(1)要求的计划摘要（如果已提供过）以及对第524B(b)(2)和524B(b)(3)要求的简化信息。

网络安全合理保障： FDA将“合理的网络安全保障”视为其对设备安全性和有效性判断的一部分。这与FDA对510(k)、PMA、PDP、De Novo和HDE等上市前途径的审查相关。

七、附录内容概览

附录1：安全控制类别和相关建议：详细描述了指南第V.B.1节中引入的八类安全控制（认证、授权、密码学、代码/数据/执行完整性、保密性、事件检测和日志记录、弹性和恢复、固件和软件更新）以及具体的实施建议和常见陷阱规避。

附录2：安全架构流的提交文档：提供了在上市前提交中提供安全架构视图的详细信息，包括图表类型（数据流图、状态图等）和架构视图应包含的信息细节（如资产、通信路径、协议、访问控制模型、密码学方法、凭证管理、身份管理等）。

附录3：研究性器械豁免（IDE）提交文档：识别了提交IDE申请时建议提交的部分网络安全文档，以平衡创新和安全。包括知情同意书中包含网络安全风险、全球/多患者/可更新性/可修补性视图、具安全风险功能的用例视图、SBOM以及通用标签信息。

附录4：通用上市前提交文档元素和风险衡量：总结了指南中识别出的上市前提交的特定文档元素、其对应的指南章节以及是否建议用于IDE提交，并强调文档广度应随网络安全风险水平而扩展。

附录5：术语：为本指南目的定义的术语列表，有助于理解指南中的关键概念。

总之，这份FDA指南虽然其本身作为“指南”是非强制性的，但它详细阐述了制造商如何满足《联邦食品、药品和化妆品法》（FD&C Act）第524B节中对“网络设备”的强制性网络安全要求。对于网络安全研究者而言，理解其核心在于：

  • 网络安全已被视为医疗器械安全和有效性的固有组成部分。
  • 建立和实施一个全面的“安全产品开发框架”（SPDF）是核心方法。
  • 风险管理和设计控制中必须明确融入网络安全考量，并与安全风险管理区分开来。
  • 透明度至关重要，特别是通过详细的设备标签和SBOM。
  • “网络设备”的上市前提交必须包含详细的网络安全计划、流程和SBOM，并且这些是法律强制要求的。

这份指南为医疗器械制造商提供了明确的路径，以确保其产品在设计、开发、部署和维护的整个生命周期中都具有强大的网络安全韧性，从而最大程度地保护患者安全。

声明：本文来自清华大学智能法治研究院，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。