核心观点与关键数据
随着医疗技术和医疗设备的技术进步和日益互联，其面临的网络安全威胁也在增加，这些威胁可能危及患者健康、生命和隐私。美国政府在2022年12月通过一项法案，修订了《联邦食品、药品和化妆品法案》（FD&C法案），通过添加第524B条，赋予食品药品监督管理局（FDA）在网络安全方面的法定权力和职责。
第524B条与医疗设备网络安全
第524B条要求国家医疗设备制造商在提交上市前批准的设备应用时，必须包含确保其网络设备满足网络安全要求的信息。该要求于2023年逐步实施，现已全面生效。
网络安全对医疗设备的重要性
许多新型医疗技术和设备现在通过无线通信连接到计算机网络或互联网，这使得患者和设备数据可以在医生和医疗机构之间传输，但也使这些设备容易受到计算机黑客攻击，从而对患者健康和隐私构成威胁，甚至影响医疗机构和其他患者。例如，植入式心脏复律除颤器（ICD）可以通过小型计算机编程器连接，并无线传输数据，但这也使其容易受到网络攻击，可能危及患者健康。
第524B条要求
FDA要求网络设备制造商在其上市前提交中证明其设备满足网络安全要求，具体包括：
- 提交一个计划，以监控、识别和合理时间内解决上市后网络安全漏洞和利用，包括协调漏洞披露和相关程序。
- 设计、开发和维护流程和程序，以确保设备和相关系统是网络安全的，并提供上市后设备和相关系统的更新和补丁。
- 提供软件物料清单（SBOM），包括商业、开源和现成软件组件。
相关法规和标准
医疗设备制造商在实施设备网络安全功能时需要考虑以下七个法规和标准：
- IEC 62304：医疗设备软件：软件生命周期流程
- IEC 82304：健康软件：产品安全的一般要求
- IEC 62366：医疗设备软件：将可用性工程应用于医疗设备
- ISO 14971：医疗设备：将风险管理应用于医疗设备
- IEC 80001-1：将风险管理应用于包含医疗设备的IT网络，第1部分：在连接医疗设备或连接健康软件的实施和使用中实现安全、有效性和安全性
- 21 CFR 820：质量体系法规 820.30(g)：设计控制：设计验证
- AAMI TIR57：医疗设备安全原则：风险管理
网络安全的一般原则和框架
医疗设备制造商应在设备的设计和开发过程中解决网络安全问题。FDA认为，医疗设备安全是各利益相关方（包括医疗机构、患者、提供者和医疗设备制造商）的共同责任。
NIST网络安全框架
FDA建议根据NIST网络安全框架的核心功能来处理网络安全：
- 识别：开发对管理网络安全风险的理解，以系统、人员、资产、数据和能力为基础。
- 保护：开发和实施适当的保护措施，以确保关键服务的交付。
- 检测：开发和实施适当的活动，以识别网络安全事件的发生。
- 响应：开发和实施适当的活动，以对检测到的网络安全事件采取行动。
- 恢复：开发和实施适当的活动，以维护恢复计划，并恢复因网络安全事件受损的任何能力或服务。
上市前网络安全文件
FDA要求医疗设备制造商在产品开发和持续运营中采用强大的网络安全方法和工具。为了证明他们遵循了这些协议，申请人制造商必须开发和完成以下主题的文件：
- 威胁建模
- 网络安全漏洞和风险评估
- 网络安全控制
- 可追溯性矩阵
- 持续支持计划
- 无恶意软件出货计划
- 网络安全标签
FDA第524B条要求的具体行动
FDA第524B条要求医疗设备制造商在其新设备的上市前申请中展示以下行动：
- 监控：设备制造商应有一个监控漏洞的过程。
- 设计：他们应设计安全的设备。
- 补丁：需要一个常规的补丁计划，作为产品生命周期管理的一部分。
- 披露：应有一个协调漏洞披露的过程。
- SBOM（CBOM）：设备应作为网络安全物料清单的一部分具有软件物料清单。
网络安全关注的增加
随着医疗设施和医疗设备面临日益频繁和严重的黑客攻击、病毒和勒索软件威胁，FDA和医疗设备公司已增加对网络安全的关注和优先级，并在设备设计、开发、流程、运营和更新中实施强大的安全措施。FDA在网络安全方面的作用正在演变，其网络安全权力现在与设备的安全性和有效性评估相关，并发布了上市前网络安全指南。设备制造商的角色也在变化，他们现在必须详细说明如何提供补丁，作为产品生命周期管理的一部分，以及在记录安全性和基本性能不受已知漏洞影响的同时。
