醫療器械網絡安全能力詳解及自評（二） - 行業新聞 - 醫療器械

在上一期《醫療器械網絡安全能力詳解及自評（一）》中介紹了自動注銷（ALOF）、審核控制（AUDT）、授權（AUTH）、網絡安全特征配置（CNFS）、網絡安全補丁升級（CSUP）5項網絡安全能力及其可參考文獻。本期我們將繼續為大家分享后續5項醫療器械網絡安全能力。

6.數據去標識化與匿名化（DIDT）：產品直接去除、匿名化數據所含個人信息的能力

Ø 設備(應用軟件或附加工具)能夠直接刪除能夠識別患者的信息。

Ø 在運回工廠前進行數據清洗;架構設計允許遠程服務，但不需要健康數據訪問/暴露

在MDS2 (HN 1-2003)中的評估要素：

6	數據去識別化與匿名化（DIDT）
	器械直接刪除允許識別個人身份的信息的能力。
6-1	器械是否提供了對私人數據進行去識別化處理的完整功能？

7.數據備份與災難恢復（DTBK）：產品的數據、硬件或軟件受到損壞或破壞后恢復的能力。

Ø 確保醫療服務機構在數據、硬件、軟件遭到損壞或者破壞后仍能繼續服務

注：本項不適用于某些小型、低成本的醫療器械；也不適用于某些具有能力采集新一輪數據的醫療器械（如：無線網絡的短暫斷開導致心率數據的短暫丟失）

在MDS²(HN 1-2003)中的評估要素：

7	數據備份與災難恢復（DTBK）
	器械數據、硬件或軟件損壞或破壞后恢復的能力。
7-1	器械是否具有完整的數據備份功能（即：備份到遠程存儲庫或磁帶、磁盤等可移動介質）？

8.緊急訪問（EMRG）：產品在預期緊急情況下允許用戶訪問和使用的能力。

Ø 在緊急情況下，臨床用戶可以在不適用個人ID或者未經授權的情況下訪問健康數據

Ø 緊急訪問應可被檢測、記錄和報告。理想情況下，包括以某種方式立即通知系統管理員或醫務人員(除了審核記錄外)。

Ø 緊急訪問仍可能要求用戶登記自我聲明（未經認證）的用戶身份

在MDS²(HN 1-2003)中的評估要素：

8	緊急訪問（EMRG）
	器械用戶在需要立即訪問存儲的私人數據的緊急情況下訪問私人數據的能力。
8-1	器械是否具有緊急訪問（“打碎玻璃”）功能？

9.數據完整性與真實性（IGAU）：產品確保數據未以非授權方式更改且來自創建者或提供者的能力。

Ø 保證健康數據來源可靠，不會在未經授權的情況下被篡改或毀壞，確保數據的完整性

在MDS²(HN 1-2003)中的評估要素：

9	數據完整性與真實性（IGAU）
	器械如何保證器械處理的數據沒有被擅自更改或銷毀，而是由原創者進行相關操作。
9-1	器械是否通過隱式或顯式錯誤檢測/糾正技術保證存儲數據的完整性？

10.惡意軟件探測與防護（MLDP）：產品有效探測、阻止惡意軟件的能力。

Ø 產品滿足監管、醫療服務提供方和使用者的要求，有效地防護、探測和去除惡意軟件

Ø 由于惡意軟件會不斷更新，因此操作系統和應用程序要及時打補丁

在MDS²(HN 1-2003)中的評估要素：

10	惡意軟件探測與防護（MLDP）
	器械有效預防、檢測和刪除惡意軟件的能力。
10-1	器械是否支持使用反惡意軟件的軟件（或其他反惡意軟件機制）？
	10-1.1	用戶是否可以獨立地重新配置反惡意軟件設置？
	10-1.2	器械用戶界面是否會出現惡意軟件檢測通知？
	10-1.3	檢測到惡意軟件后，是否只有制造商授權的人員才能修復系統？
10-2	器械所有者是否可以安裝或更新殺毒軟件？
10-3	器械所有者/操作員是否可以（從技術上/物理上）對制造商安裝的殺毒軟件的病毒定義進行更新？

醫療器械數據安全是醫療器械網絡安全的核心，企業在設計產品時要保持醫療器械相關數據的保密性、完整性和可得性。其中數據主要包括標明生理、心理健康狀況，涉及患者隱私信息的私人數據和用于監視、控制設備運行或用于設備維護保養等描述設備運行狀況的數據。企業還應保證醫療器械對網絡安全威脅應當具備相應識別、防護能力。在醫療器械全生命周期過程中保證其安全性和有效性。

參考資料：

（1）IECTR 80001-2-2:2012, Application of risk management for IT-networks incorporating medical devices - Part 2-2: Guidance for the disclosure and communication of medical device security needs, risks and controls

（2）Manufacturer Disclosure Statement for Medical Deceive Security-MDS²

（3）T/ZMDS 20003-2019 醫療器械網絡安全風險控制醫療器械網絡安全能力信息

掃描下方的二維碼訂閱“CIRS醫械合規動態”！實時傳遞最新醫療器械監管法規動態，分享醫療器械注冊成功經驗及經典案例跟蹤醫療器械最新產品安全與法規監管動態，獲得最新一手資訊。

醫療器械

① 凡本網注明"稿件來源：“杭州瑞旭科技集團有限公司"的所有文字、圖片和音視頻稿件，版權均屬杭州瑞旭科技集團有限公司所有，任何媒體、網站或個人未經本網協議授權不得轉載、鏈接、轉貼或以其他方式復制發表。已經本網協議授權的媒體、網站，在下載使用時必須注明"稿件來源：杭州瑞旭科技集團有限公司"，違者本網將依法追究責任。

② 本網未注明"稿件來源：杭州瑞旭科技集團有限公司 "的文/圖等稿件均為轉載稿，本網轉載出于傳遞更多信息之目的，并不意味著贊同其觀點或證實其內容的真實性。如其他媒體、網站或個人從本網下載使用，必須保留本網注明的"稿件來源"，并自負版權等法律責任。如擅自篡改為"稿件來源：杭州瑞旭科技集團有限公司"，本網將依法追究責任。如對稿件內容有疑議，請及時與我們聯系。

③ 如本網轉載稿涉及版權等問題，請作者在兩周內速來電或來函與杭州瑞旭科技集團有限公司聯系。