IMDRF/CYBER WG/N60FINAL:2020 医疗器械网络安全的原则和实践

应考虑该设备如何与其他设备或网络接口通讯

应考虑可验证所有输入（不只是外部）的设计功能，
并考虑与仅支持不太安全的通信的设备和环境的通信，

应考虑如何确保与设备之间的数据传输安全，
以防止未经授权的访问，修改或重放。

应考虑存储在设备上或从设备传输的安全相关数据，是否需要某种级别的保护

应考虑是否需要采取机密性风险控制措施，来保护通信协议中的消息控制/排序字段，或防止损害加密密钥材料。

应评估系统级体系结构，以确定是否需要设计确保数据不可否认性的功能

应考虑设备完整性的风险

应考虑使用诸如反恶意软件之类的控件来防止病毒、间谍软件、勒索软件、
以及在设备上执行的其他形式的恶意代码。

应考虑用户访问控制，以验证谁可以使用该设备，或允许将特权授予不同的用户角色，或在紧急情况下允许用户访问。

此外，不应在设备和客户之间共享相同的凭据。

应建立并传达用于实施和部署定期更新的过程

应考虑如何更新或控制操作系统软件，第三方软件或开源软件

应计划如何响应超出其控制范围的软件更新或过时的操作环境

应考虑如何更新设备，以防止新发现的网络安全漏洞。例如，可以考虑更新是需要用户干预还是由设备启动，以及如何验证更新以确保对设备的安全性和性能没有不利影响。

应考虑采取控制措施，以防止未经授权的人员访问设备。

应考虑允许设备检测，抵抗，响应并从网络安全攻击中恢复的设计功能，以保持其基本性能。

制造商应在整个产品生命周期中考虑网络安全风险，威胁和控制。

如果适用，则可以将网络安全要求与特定设备的网络安全威胁和漏洞交叉引用，
前提是这些要求可以缓解已确定的危害。

威胁建模是用于识别，枚举和缓解设备和系统中潜在威胁所带来的风险的过程。

在生成威胁模型和根据OWASP的指导时，
设备制造商应考虑回答与网络安全有关的四个基本问题：

在确定，威胁建模期间，可能出问题的地方时，
制造商应考虑软件和硬件的意外或恶意配置错误

威胁建模包括对风险的考虑，包括但不限于与供应链（例如，系统组件），设计，生产，部署（例如，进入医院环境）和维护有关的风险。
此外，创建足够详细的系统图有助于理解如何将网络安全设计元素合并到设备中，从而进一步帮助进行威胁建模。

在设计和开发中发现的已知常见漏洞和暴露（CVE）
应该使用一致的漏洞评分方法进行分析和评估。

CVSS介绍

其他评分系统（仅供参考）

a.与适用于预期使用环境的建议网络安全控制相关的，设备说明和产品规格

b.有关备份和还原功能，以及重新获得配置的过程的说明。 

c.预期将接收和/或发送数据的网络端口和其他接口的列表，
以及端口功能的描述，
以及端口是传入还是传出的

d.面向最终用户的、足够详细的，系统图

a.针对用户的支持基础架构要求的特定指南，
以便设备可以按预期运行。

b.使用安全配置对设备进行或可以对其进行加固的说明。

c.在适当的地方，允许安全网络（连接）部署和服务的技术说明，
以及关于用户如何在检测到网络安全漏洞或事件后做出响应的说明。

d.在可行的情况下，当检测到异常情况（即安全事件）时，
设备或支持系统将如何通知用户的说明。

e.对经过身份验证的特权用户，保留和恢复设备配置的方法的说明。

f.适用时，安全风险和安全配置或使用环境更改的后果-授权用户从制造商下载和安装更新的系统过程的说明。

g.有关设备网络安全支持终止的信息（如果已知）（请参阅第6.6节，旧版医疗设备）。

h.软件物料清单（SBOM），用于通知和支持操作员有关医疗设备中包含的商业，开源或现成软件组件的网络安全性。

a.测试方法、结果和结论；

b.安全风险、安全控制和测试之间的可追溯性矩阵，以验证这些控制；

c. 任何标准和SOP/文档的引用。

与医疗设备安全性相关的信息的主要接收者，并且经常参与信息传播。

应旨在建立鼓励及时披露与医疗设备网络安全有关的信息的流程，
包括在监管机构之间共享信息，以促进全球协调响应。

无论漏洞信息来自何处，都应识别、评估和共享漏洞信息。
鼓励制造商共享任何有助于监管机构管理期望并促进监管要求的信息

应旨在同步分发受影响产品的所有监管机构的通知，以确保全球一致的信息，
并在适当时确保全球一致的响应。

应该以通俗易懂的语言为目标用户提供适当的阅读水平，以传达有关医疗设备网络安全漏洞和威胁的可行信息。
这可能需要包括有关与部署更新或补偿在更新可用之前所需的控制相关的临床收益和风险的信息。

（例如临床医生，患者，护理人员和消费者）

通常是最终决定是否执行更新或其他更正。
因此，他们需要清晰而有意义的信息，以便可以做出明智的决定。

执法部门、国家安全部门和其他政府机构可能需要，
在政府各部门之间共享医疗设备网络安全威胁和漏洞信息，
以保护医疗保健和其他关键基础设施。

收集或共享信息或提供安全建议或专业知识的实体，也可以是安全信息和支持资源的重要来源。

可能是政府或私人组织。

a.有关受漏洞影响的产品及其受影响方式；

b.有关其他产品中使用的组件漏洞的信息；

c.有关可能影响医疗设备安全性的IT设备的信息；

d.有关利用代码攻击、潜在攻击和漏洞可用性的信息；

e.事件确认（例如，“您也看到吗？”）；

f.补丁和其他安全缓解措施（如补偿控件）的可用性；

g.关于使用和集成医疗设备作为临时措施的附加说明

还应包括可能减轻威胁的做法和方法

政府监管机构提供的CVD

漏洞数量不是制造商网络安全状况的指标，
而是其响应的一致性和及时性

监视网络安全信息源
识别和检测网络安全漏洞

CVD的实践（ISO/IEC 29147）

建立和交流漏洞获取和处理流程（ISO/IEC 30111）

漏洞评估

制定补救措施，或

制定漏洞缓解措施和/或补偿控制措施（包括建立报告部署失败和回滚更改的方法）

与监管机构合作（在需要时）

向利益相关者传达有关漏洞的描述

只要制造商对发现者做出响应，并且没有证据表明存在使用该漏洞的野蛮攻击，
那么CVD意味着该漏洞的发现者只有在修复或采取其他缓解措施后才披露它。

如果发现者在修复之前先披露了漏洞，则发现者和制造商至少应：
协调描述可能的缓解措施，使包括医疗保健提供者和/或患者在内的用户，处于最有权力的地位，以使安全可靠地操作其设备

ISO 14971实践应用于评估漏洞的网络安全风险，
然后，通过建立与风险管理相关的网络安全风险管理流程，
来确定制造商和监管机构对患者安全的影响。
然后，可以制定并商定在患者安全方面具有扎实基础的补救策略。
应该在监管机构和制造商之间共享信息

制造商还需要考虑其他利益相关者（不太清楚相关风险管理和相关法规）所感知的风险

是医疗设备供应链的关键部分，无论软硬件

第三方组件上市后影响医疗器械安全性，制造商需要管理此风险

制造商对第三方组件中漏洞的响应应与对第一方漏洞的响应相同

沟通应包括以下关键信息：

所有漏洞修复措施都应遵循以下原则：

当设备缺乏足够的基本或固有保护措施，并且更新不可行时，
应采用降低风险的替代方法作为补偿性控制措施

制造商应及早告知监管机构，

需要补救漏洞的全局协调策略

应建立可扩展的事件响应管理策略，根据其产品组合建立事件响应团队

所需的活动

参考标准：ISO/IEC 27035-1:2016

事件响应团队

提供制造商的联系信息

事件响应团队应尽可能快速地(考虑当地监管要求)向受事件影响的所有利益相关者提供更新

调查过程中发现犯罪活动应通知当地适用的执法机构

应联系CERT和ISAO，以就全球网络安全攻击和事件进行进一步的协调。

设计和开发期间就开始关注医疗设备网络安全。

1.医疗器械生命周期支持需考虑组成设备的软件和硬件；

为了提供全面支持，MDM应能从相应的软硬件供应商那里获得支持，
以解决质量、性能和安全问题的软件/固件更新

MDM应预见在整个使用过程中需要支持产品安全性和有效性的需求

MDM应考虑，在医疗保健提供商预计的设备使用期限内，第三方供应商对组件的支持可能终止，
这可能会对制造商支持设备安全运行的能力产生不利影响

2.在安全的开发框架下设计和开发设备，以最大程度地减少将来的陈旧设备数量。

1.监视医疗设备是否存在风险不​​可接受的漏洞，提供尽力而为的响应，并保持风险管理文件

2.清晰的传达关键生命周期里程碑，包括网络安全EOL，在这些时间点，客户责任应整合到沟通中

MDM发布的EOL之前，应持续提供与当前网络安全威胁相适应的支持

3.主动通知客户第三方供应商对设备组件的支持终止

4.通知客户，在网络安全EOS日期之前持续但有限的支持，超过该日期将作为陈旧设备不再支持。
客户沟通的时机应在接近EOL时进行，MDM应通知客户，EOL之后仍可提供的有限支持，并明确告知网络安全EOS日期
并将作为医疗保健提供商启用“设备停用/淘汰和业务连续性计划”的提前通知。
清晰地沟通有助于医疗保健组织了解其职责以及设备风险，以便他们可以计划设备的退役、更换以及相应的预算。 

1.继续传达网络安全EOS日期的时间表，以使客户有足够的时间准备EOS和相关的客户责任。

2.继续执行上述“支持阶段”的1.和3。

存在可用且成功部署的补偿控制措施，则不会被视为陈旧设备

从MDM到客户的全部责任转移。在此之后，用户不应期望获得任何级别的支持。