醫療器械網絡安全能力詳解及自評（四） - 行業新聞 - 醫療器械

通過前幾期的分享，相信大家已經對醫療器械網絡安全能力有了一定的了解。本期將為大家繼續講解剩余4項以及MDS2 (HN 1-2003)中的第20項其他安全注意事項（OTHR）。往期內容詳見醫療器械網絡安全能力詳解及自評（一）、醫療器械網絡安全能力詳解及自評（二）、醫療器械網絡安全能力詳解及自評（三）。

16.網絡安全使用指導（SGUD）：產品為用戶提供網絡安全使用指導的能力。

Ø 為系統的操作者和管理員提供安全指南

在MDS²(HN 1-2003)中的評估要素：

16	安全指導（SGUD）
	為系統操作員和管理員以及制造商銷售和服務提供安全指導。
16-1	是否為器械用戶提供了安全相關功能文件？
16-2	是否有器械/介質消毒說明（即：有關如何永久刪除個人或其他敏感數據的說明）？

17.數據存儲保密性與完整性（STCF）：產品確保未授權訪問不會損壞存儲媒介所存數據保密性和完整性的能力。

Ø 醫療器械制造商建立技術控制措施，以減少存儲在產品或可移動介質上的健康數據的完整性和保密性受到損害的可能性。

在MDS²(HN 1-2003)中的評估要素：

17	數據存儲保密性與完整性（STCF）
	器械保證未經授權訪問不會損害存儲在器械或可移動介質上的私人數據的完整性和機密性的能力。
17-1	器械是否可以加密靜態數據？

18.數據傳輸保密性（TXCF）：產品確保數據傳輸保密性的能力。

Ø 為滿足相關法規和標準的要求，制造商應采取措施，使得在經過認證的節點間傳輸健康數據時，保證數據的保密性，以便與在相對開放的網絡和/或/相對嚴苛的保密的環境中進行健康數據的可靠傳輸。

19.數據傳輸完整性（TXIG）：產品確保數據傳輸完整性的能力。

Ø 醫療器械保證傳輸過程中數據的完整性，以便與在相對開放的網絡和/或/相對嚴苛的保密的環境中進行健康數據的傳輸。

19	傳輸完整性（TXIG）
	器械保證傳輸的私人數據完整性的能力。
19-1	器械是否支持旨在保證在傳輸過程中數據不被修改的任何機制？（如果是，請在注釋部分中說明如何實現。）

在IEC80001-2-2中有19項網絡安全能力。但在我國的《醫療器械網絡安全注冊審查指導原則》（修訂版）中還額外提出來三項：遠程訪問與控制（RMOT）、連通性（CONN）和現成軟件清單（SBOM）。目前還未有文獻對這三項內容有更進一步的解釋。不過私認為MDS2 (HN 1-2003)中第20項其他安全注意事項（OTHR）的細則內容與遠程訪問與控制（RMOT）能力可以基本等同。

遠程訪問與控制（RMOT）：產品確保用戶遠程訪問與控制（含遠程維護與升級）的網絡安全的能力

在MDS2 (HN 1-2003)中的評估要素

20	其他安全注意事項（OTHR）
	有關醫療器械安全的其他安全注意事項/說明。
20-1	是否可以遠程檢修器械？
20-2	器械是否可以限制對特定設備或用戶或網絡位置（例如：特定的IP地址）的遠程訪問/從特定設備或用戶或網絡位置遠程訪問？
	20-2.1	是否可以將器械配置為要求本地用戶接受或啟動遠程訪問？

至此，醫療器械網絡安全能力已介紹完畢，其主要包括對網絡安全威脅的識別、防護、探測、響應、恢復的能力。對于特定醫療器械產品，需結合產品具體情況補充其他網絡安全能力要求。企業在設計產品時要根據產品本身的預期用途、使用場景和核心功能等設定相應的網絡安全措施，想要了解更多有關軟件方面的資訊，可關注我們下方的公眾號也可與我們取得聯系。

參考資料：

（1）IECTR 80001-2-2:2012, Application of risk management for IT-networks incorporating medical devices - Part 2-2: Guidance for the disclosure and communication of medical device security needs, risks and controls

（2）Manufacturer Disclosure Statement for Medical Deceive Security-MDS²

（3）T/ZMDS 20003-2019 醫療器械網絡安全風險控制醫療器械網絡安全能力信息

掃描下方的二維碼訂閱“CIRS醫械合規動態”！實時傳遞最新醫療器械監管法規動態，分享醫療器械注冊成功經驗及經典案例跟蹤醫療器械最新產品安全與法規監管動態，獲得最新一手資訊。

醫療器械

① 凡本網注明"稿件來源：“杭州瑞旭科技集團有限公司"的所有文字、圖片和音視頻稿件，版權均屬杭州瑞旭科技集團有限公司所有，任何媒體、網站或個人未經本網協議授權不得轉載、鏈接、轉貼或以其他方式復制發表。已經本網協議授權的媒體、網站，在下載使用時必須注明"稿件來源：杭州瑞旭科技集團有限公司"，違者本網將依法追究責任。

② 本網未注明"稿件來源：杭州瑞旭科技集團有限公司 "的文/圖等稿件均為轉載稿，本網轉載出于傳遞更多信息之目的，并不意味著贊同其觀點或證實其內容的真實性。如其他媒體、網站或個人從本網下載使用，必須保留本網注明的"稿件來源"，并自負版權等法律責任。如擅自篡改為"稿件來源：杭州瑞旭科技集團有限公司"，本網將依法追究責任。如對稿件內容有疑議，請及時與我們聯系。

③ 如本網轉載稿涉及版權等問題，請作者在兩周內速來電或來函與杭州瑞旭科技集團有限公司聯系。