根據(jù)國家藥監(jiān)局發(fā)布的《醫(yī)療器械注冊申報資料要求及說明》，具備電子數(shù)據(jù)交換、遠程控制或用戶訪問功能的獨立軟件和含有軟件組件的產(chǎn)品，是需要提交網(wǎng)絡(luò)安全研究資料的，那么這一資料具體應如何撰寫呢？本期文章我們根據(jù)北京市藥監(jiān)局發(fā)布的《醫(yī)療器械網(wǎng)絡(luò)安全注冊審查指導原則實施指南》，跟大家分享一下網(wǎng)絡(luò)安全注冊資料的相關(guān)內(nèi)容。

注冊申請人應結(jié)合醫(yī)療器械產(chǎn)品的預期用途、使用環(huán)境和核心功能以及預期相連設(shè)備或系統(tǒng)（例如：其它醫(yī)療器械、信息技術(shù)設(shè)備）的情況來確定醫(yī)療器械產(chǎn)品的網(wǎng)絡(luò)安全特性，提交網(wǎng)絡(luò)安全描述文檔。網(wǎng)絡(luò)安全描述文檔應描述醫(yī)療器械的基本信息、風險管理、驗證與確認以及維護計劃。

應描述醫(yī)療器械產(chǎn)品網(wǎng)絡(luò)安全相關(guān)的基本信息，這些信息包括：

網(wǎng)絡(luò)安全風險管理是指注冊申請人基于醫(yī)療器械產(chǎn)品的預期用途和使用場景進行網(wǎng)絡(luò)安全風險分析，評價并采取網(wǎng)絡(luò)安全風險控制手段確保產(chǎn)品的網(wǎng)絡(luò)安全能力。注冊申請人可對網(wǎng)絡(luò)安全采用醫(yī)療器械風險管理的方法（可參照GB/T 42062-2022《醫(yī)療器械 風險管理對醫(yī)療器械的應用》）對醫(yī)療器械網(wǎng)絡(luò)安全相關(guān)的風險進行分析、評價和控制，也可采用信息安全風險評估的方法（可參照GB/T 20984-2022《信息安全技術(shù) 信息安全風險評估方法》）進行評估，并進行風險控制。

如適用，醫(yī)療器械網(wǎng)絡(luò)安全風險管理應考慮對個人敏感信息的保護。對個人信息的處理，應遵循個人信息安全基本原則和相關(guān)的法律法規(guī)以及標準，如GB/T 35273-2020《信息安全技術(shù) 個人信息安全規(guī)范》。如有必要，應對個人信息進行匿名化或去標識化處理。

風險管理除了從網(wǎng)絡(luò)安全角度來考慮醫(yī)療器械的網(wǎng)絡(luò)安全能力外，還應根據(jù)醫(yī)療器械的預期用途考慮網(wǎng)絡(luò)安全風險對醫(yī)療器械的安全性和有效性的影響。

醫(yī)療器械網(wǎng)絡(luò)安全風險管理需要考慮整個醫(yī)療器械生命周期并適時更新。

（1）風險分析與評價

注冊申請人應對網(wǎng)絡(luò)安全管理活動進行策劃并制定網(wǎng)絡(luò)安全風險可接受性準則。注冊申請人應考慮網(wǎng)絡(luò)安全損害的嚴重度和網(wǎng)絡(luò)安全損害的發(fā)生概率并按照接受性準則決定是否需要降低風險。

① 網(wǎng)絡(luò)安全損害的嚴重度，例如：

② 網(wǎng)絡(luò)安全損害的發(fā)生概率，例如：

注：發(fā)生概率應和醫(yī)療器械具體情況相適應

（2）風險控制

根據(jù)風險評價結(jié)果需要降低風險時，注冊申請人應識別適當?shù)?strong style="margin: 0px; padding: 0px; outline: 0px; max-width: 100%; box-sizing: border-box !important; overflow-wrap: break-word !important;">風險控制措施，以把風險降低到可接受的水平。

↑ 風險分析、評價和風險控制措施記錄表

↑ 風險評估矩陣模型-初始風險分布

↑ 風險評估矩陣模型-采取風險控制措施后風險分布

注：表格中的數(shù)字僅作為舉例。采取風險控制措施后，剩余風險中不可接受風險數(shù)量為0。

注冊申請人應形成網(wǎng)絡(luò)安全風險管理報告，并完成風險管理過程的評審，確認綜合剩余風險是可接受的。

注冊申請人要持續(xù)關(guān)注醫(yī)療器械上市后與醫(yī)療器械相關(guān)的網(wǎng)絡(luò)安全風險，根據(jù)實際情況適時更新風險分析、評價和控制文件，如法規(guī)更新、不良事件報告等。

網(wǎng)絡(luò)安全驗證和確認活動的目的是確定風險管理中采用的網(wǎng)絡(luò)安全控制手段均已得到正確的實施，確保醫(yī)療器械產(chǎn)品的網(wǎng)絡(luò)安全需求（例如保密性、完整性、可得性等特性）均已得到滿足。

對于現(xiàn)成軟件，注冊申請人應在網(wǎng)絡(luò)安全風險分析過程中將其作為醫(yī)療器械的一部分進行充分的網(wǎng)絡(luò)安全評估，并在醫(yī)療器械的網(wǎng)絡(luò)安全能力配置中予以綜合考慮。

注冊申請人應在醫(yī)療器械產(chǎn)品研制過程中進行網(wǎng)絡(luò)安全的驗證與確認活動，通過分析、測試、評估、審查等手段，確保醫(yī)療器械產(chǎn)品的網(wǎng)絡(luò)安全需求得到滿足。網(wǎng)絡(luò)安全驗證與確認活動可以參考附錄中的19項網(wǎng)絡(luò)安全能力應用參考，應根據(jù)醫(yī)療器械的預期用途、使用方式和風險評估綜合考慮每項網(wǎng)絡(luò)安全能力的驗證。

（1）應確保在醫(yī)療器械產(chǎn)品的需求、設(shè)計、測試以及風險管理各個階段考慮并落實網(wǎng)絡(luò)安全需求，并且保證網(wǎng)絡(luò)安全需求規(guī)范、設(shè)計規(guī)范、測試以及風險管理的一致性和完整性。

（2）應針對醫(yī)療器械產(chǎn)品進行網(wǎng)絡(luò)安全測試驗證，確保所有網(wǎng)絡(luò)安全風險控制措施都得到正確的實施。

① 應對網(wǎng)絡(luò)安全測試活動進行合理的策劃，包括確定測試的內(nèi)容（包括醫(yī)療器械需求中要求配置的網(wǎng)絡(luò)安全能力）、測試人員和相應的職責、測試所需的環(huán)境、測試的技術(shù)和方法（如漏洞測試、惡意軟件測試、缺陷輸入測試、結(jié)構(gòu)化滲透測試等）、異常處理方式、測試通過的準則、測試所需的資源以及測試進度安排等。

② 應根據(jù)測試計劃的安排設(shè)計測試用例，并按照測試用例的要求執(zhí)行測試活動，記錄原始測試結(jié)果，確保測試過程的可追溯性。對于安全軟件，注冊申請人應針對不同的軟件、硬件運行平臺，進行兼容性測試；如醫(yī)療器械采用標準傳輸協(xié)議或存儲格式，應進行審查或測試驗證其對相關(guān)標準的符合性；如醫(yī)療器械采用自定義的傳輸協(xié)議和存儲格式，應進行完整性測試驗證。

③ 應對測試結(jié)果進行分析和評價，確保測試活動的有效性，并對測試遺留的問題進行評價。

注冊申請人應將醫(yī)療器械網(wǎng)絡(luò)安全驗證與確認活動的結(jié)果以文檔的方式進行記錄，確保網(wǎng)絡(luò)安全驗證與確認活動的可追溯性。

（1）應以文檔的形式記錄醫(yī)療器械網(wǎng)絡(luò)安全需求規(guī)范、設(shè)計規(guī)范、測試以及風險管理的追溯性關(guān)系。

（2）應對網(wǎng)絡(luò)安全測試策劃活動進行記錄并形成網(wǎng)絡(luò)安全測試計劃文檔。

（3）應對網(wǎng)絡(luò)安全測試執(zhí)行過程、測試結(jié)果以及測試結(jié)果的分析評估進行記錄，形成網(wǎng)絡(luò)安全測試報告。

（4）對于安全軟件，注冊申請人可將兼容性測試結(jié)果進行單獨文檔記錄，并形成兼容性測試報告。

（5）對于采用標準傳輸協(xié)議或存儲格式的醫(yī)療器械，注冊申請人應記錄標準符合性審查結(jié)果；對于采用自定義的傳輸協(xié)議和存儲格式的醫(yī)療器械，注冊申請人應對完整性測試結(jié)果進行記錄并形成完整性測試報告。

（6）可以對實時遠程控制功能醫(yī)療器械中關(guān)于遠程數(shù)據(jù)相關(guān)的測試進行單獨的文檔記錄，并形成相應的完整性和可得性測試報告。

在醫(yī)療器械產(chǎn)品上市后，注冊申請人應結(jié)合自身質(zhì)量管理體系要求，制定網(wǎng)絡(luò)安全維護流程，保證醫(yī)療器械的安全性和有效性。

網(wǎng)絡(luò)安全維護流程涉及到以下方面：

有關(guān)醫(yī)療器械產(chǎn)品中網(wǎng)絡(luò)漏洞的披露和處理，可參閱文獻《ISO/IEC 29147-2018 信息技術(shù) 安全技術(shù) 漏洞公告》和《ISO/IEC 30111-2013 信息技術(shù) 安全技術(shù) 漏洞處理流程》。

具備聯(lián)網(wǎng)功能的醫(yī)療器械產(chǎn)品面臨的網(wǎng)絡(luò)問題可能不斷變化，注冊申請人在醫(yī)療器械產(chǎn)品上市前難以解決所有的網(wǎng)絡(luò)安全問題。注冊申請人應對已上市醫(yī)療器械產(chǎn)品進行有效、及時并持續(xù)地網(wǎng)絡(luò)安全更新。

對于已發(fā)現(xiàn)的漏洞，應分析漏洞的可被利用性，對病人傷害的嚴重程度以及病人信息泄露的可能性，注冊申請人應決定該漏洞的風險是可控還是處于失控狀態(tài)，制定相應的解決措施修復該網(wǎng)絡(luò)漏洞。與網(wǎng)絡(luò)安全事件相關(guān)的網(wǎng)絡(luò)更新，需要重點分析其風險和影響，及時有效地提供經(jīng)驗證的解決方案。

通常的網(wǎng)絡(luò)安全更新應包括：

若在醫(yī)療器械產(chǎn)品中新的網(wǎng)絡(luò)安全設(shè)計是不可行的或者不能馬上實施，注冊申請人應考慮使用網(wǎng)絡(luò)補償控制方案來減輕網(wǎng)絡(luò)漏洞風險。

網(wǎng)絡(luò)補償控制是在缺乏有效網(wǎng)絡(luò)安全設(shè)計的前提下，提供補充性網(wǎng)絡(luò)防護措施。例如注冊申請人對醫(yī)療器械產(chǎn)品的網(wǎng)絡(luò)漏洞評估后，認為對設(shè)備在未被授權(quán)的情況下進行訪問極有可能影響設(shè)備的安全和基本性能，但是若該設(shè)備沒有連接到外部網(wǎng)絡(luò)（例如醫(yī)院網(wǎng)絡(luò)）或者使用路由器對連接進行限定，則醫(yī)療器械仍然可以安全有效的工作。

對于預期接入網(wǎng)絡(luò)或與其它醫(yī)療器械進行交互的醫(yī)療器械，其數(shù)據(jù)交換方式有兩種：網(wǎng)絡(luò)（包括有線網(wǎng)絡(luò)和無線網(wǎng)絡(luò)）或存儲媒介（如光盤、移動硬盤、U盤等）。

對于數(shù)據(jù)交換的接口，常見的有線接口包括USB、RS232、RS485、CAN、RJ45等。近些年，無線通訊被廣泛使用，例如藍牙、WiFi、Zigbee、RFID、各種蜂窩無線網(wǎng)絡(luò)等。對于有線接口，技術(shù)要求中應明確連接接口的規(guī)格。有線網(wǎng)絡(luò)應明確帶寬要求。對于無線網(wǎng)絡(luò)，應描述網(wǎng)絡(luò)類型、制式、使用頻段、數(shù)據(jù)特性（如上/下行傳輸速率）等。

注冊申請人可以采用已經(jīng)標準化的醫(yī)用數(shù)據(jù)傳輸協(xié)議或存儲格式。常見的醫(yī)療器械傳輸協(xié)議如HL7、DICOM等，醫(yī)療器械存儲格式如EDF等。注冊申請人也可以使用通用的網(wǎng)絡(luò)傳輸協(xié)議如TCP/IP、UDP、HTTP、HTTPS等。注冊申請人在產(chǎn)品技術(shù)要求中，應明確傳輸協(xié)議/存儲格式。對于已經(jīng)標準化的傳輸協(xié)議或存儲格式除了說明協(xié)議類型之外，還應說明協(xié)議的版本，如果用于控制，還應說明是否為實時控制。

對于注冊申請人自定義的數(shù)據(jù)傳輸協(xié)議或存儲格式，應在隨機文件中描述或在產(chǎn)品技術(shù)要求中提供相應的驗證方法。

醫(yī)療器械在執(zhí)行用戶訪問控制之前，應完成對用戶身份的鑒別或認證。認證是系統(tǒng)驗證希望訪問系統(tǒng)的用戶身份的過程。基本的認證技術(shù)包括數(shù)字簽名、消息認證、數(shù)字摘要等。在產(chǎn)品技術(shù)要求中注冊申請人應明確醫(yī)療器械所采用的用戶身份鑒別或認證技術(shù)。

用戶訪問控制策略對醫(yī)療器械的保密性、完整性起直接的作用，是對越權(quán)使用資源的防御措施，是網(wǎng)絡(luò)安全的重要組成部分。醫(yī)療器械的使用者應依據(jù)訪問控制策略來限制對數(shù)據(jù)和系統(tǒng)功能的訪問。用戶訪問控制的種類早期分為自主訪問控制（DAC）和強制訪問控制（MAC），但隨著計算機和網(wǎng)絡(luò)技術(shù)的發(fā)展，又出現(xiàn)了基于角色的訪問控制（RBAC）、基于任務(wù)的訪問控制（TBAC）、以及基于屬性、上下文、信譽等的訪問控制模型。隨著系統(tǒng)的復雜度變高，一個系統(tǒng)中也可以融合多種訪問控制策略。在產(chǎn)品技術(shù)要求中，注冊申請人應明確醫(yī)療器械執(zhí)行的用戶訪問控制的方法、用戶類型及權(quán)限。

預期接入計算機網(wǎng)絡(luò)或與其它醫(yī)療器械進行交互的醫(yī)療器械具有復雜的運行環(huán)境與技術(shù)生態(tài)系統(tǒng)。例如：復雜的信息基礎(chǔ)設(shè)施（如硬件、軟件、網(wǎng)絡(luò)、其他系統(tǒng)和數(shù)據(jù)接口等），參與開發(fā)、實施、臨床使用所涉及的眾多的人員、組織和機構(gòu)。醫(yī)療器械生命周期不僅包含設(shè)計、開發(fā)、也包括實施和臨床使用，其中包含醫(yī)療器械的采購、安裝、配置、數(shù)據(jù)集成或遷移、工作流實現(xiàn)與優(yōu)化、培訓、使用與維護、退市等環(huán)節(jié)。

一般情況下，注冊申請人只涉及醫(yī)療器械的設(shè)計與開發(fā)過程，而后期的實施與臨床使用等環(huán)節(jié)的網(wǎng)絡(luò)安全可能由另外的組織和機構(gòu)來負責。注冊申請人應在說明書或其他文檔中提供在實施與臨床使用環(huán)節(jié)中所需要的必要信息，如運行環(huán)境、接口與訪問控制、安全軟件及軟件更新等，以保證在實施與臨床使用環(huán)節(jié)的網(wǎng)絡(luò)安全。

如適用，注冊申請人在說明書中應明確醫(yī)療器械的運行環(huán)境，包括硬件配置、軟件環(huán)境和網(wǎng)絡(luò)條件。硬件配置應明確醫(yī)療器械安全運行所需要的最低硬件資源配置要求，如CPU、內(nèi)存、存儲與顯示要求等。軟件環(huán)境應明確要求醫(yī)療器械運行所需要的操作系統(tǒng)等。網(wǎng)絡(luò)條件應明確醫(yī)療器械運行所需要的網(wǎng)絡(luò)類型、帶寬等。

如適用，注冊申請人在說明書中應描述接口與訪問控制，以滿足醫(yī)療器械實施與臨床使用過程中的要求。對于接口的描述，應能夠滿足醫(yī)療器械與網(wǎng)絡(luò)、或其它設(shè)備的安全連接。對于訪問控制的描述，應能指導使用者安全使用系統(tǒng)提供的訪問控制策略并集成到工作流程中。

在資源允許的情況下，醫(yī)療器械可使用一些安全軟件來提高醫(yī)療器械的網(wǎng)絡(luò)安全特性。這些安全軟件包括但不限于防火墻、殺毒軟件、反流氓軟件、工具軟件等。如適用，注冊申請人應在說明書中明確這些軟件的名稱、版本等信息。

如適用，注冊申請人應在說明書中明確軟件環(huán)境與安全軟件的更新需求，更新的來源、執(zhí)行的步驟等。