软件网络安全更新内容/软件网络安全设计-0基础信息安全记录贴

软件网络安全更新内容/软件网络安全设计-0基础信息安全记录贴

图源FDA官网

2023年9月27日，FDA发布医疗器械网络安全指南，重点介绍质量体系考虑因素和上市前提交的内容。该指南取代2014年10月2日发布的《医疗器械网络安全管理上市前提交文件的内容。

伴随着无线、互联网和网络连接功能、便携式媒体的日益集成，以及医疗设备相关健康信息和其他信息的频繁电子交换，对确保医疗设备安全性和有效性的强大网络安全控制的需求变得更加重要。

该指南文件指出：对于在本指南首次发布时，以及在本指南初次发布后提交的申请，FDA打算与此类上市前提交的制造商合作，作为FDA审查过程的一部分。（其意味着将会按照此网络安全指南的要求来提供/补充网络安全相关信息。）

本指南旨在补充上市后网络安全指南、包含现成(OTS)软件的网络医疗器械的网络安全指南、器械软件上市前提交的内容指南。（该指南大体上与2023年3月发布的最终指南“医疗器械网络安全的原则和实践“中的”医疗器械市场前考虑因素“的部分建议保持一致或扩展。）

该指南针对以下问题做出重点说明：

1. 网络安全是设备安全和质量体系法规的一部分

2.使用SPDF管理网络风险。（本指南要求为了考虑医疗设备中的网络安全风险，应在设备运行的较大系统的背景下评估每个设备的安全和安保风险。安全风险管理应该是制造商整个质量体系的一个组成部分，并在整个TPLC中加以解决）

3.FDA建议上市前提交的SBOM文件包括设备制造商开发的组件和第三方组件等。

4.网络安全测试

关于网络安全测试，在这里跟大家详细说明一下：

网络安全测试

与产品开发的其他领域一样，测试用于证明设计控制的有效性。虽然软件开发和网络安全是密切相关的学科，但网络安全控制需要在标准软件验证和验证活动之外进行测试，以证明控制在适当的安全环境中的有效性，从而证明设备具有合理的安全性和有效性保证。

根据21 CFR 820.30(f)，制造商必须建立和维护验证器械设计的程序。此种验证应确认设计输出符合设计输入要求。根据21 CFR 820.30(g)，制造商必须建立和维护验证其器械设计的程序。设计确认应包括软件确认和风险分析。FDA建议，验证和确认包括制造商对医疗器械系统的网络安全进行的充分测试，制造商通过该测试验证和验证其输入和输出。

安全测试文件和任何相关的报告或评估应在上市前提交。FDA建议在提交中考虑包括以下类型的检测:

A.安全需求：

1.应提供每个设计输入要求已成功实施的证据。

2.制造商应提供其边界分析的证据和边界假设的基本原理。

B.威胁缓解：

1.制造商应提供测试的详细信息和证据，证明根据全球系统中提供的威胁模型、多患者伤害、可更新性和可补丁性，以及安全用例视图采取了有效的风险控制措施

2.制造商应确保每项网络安全风险控制的充分性(例如，执行指定安全政策时的安全有效性、最大交通条件下的性能、稳定性和可靠性，视情况而定)。

C.漏洞测试(如ANSI/ISA 62443-4- 1的章节9.4),制造商应提供以下测试和分析的细节和证据:

1.滥用或误用情况，畸形和意外的输入：

1)稳健性

2)模糊测试

3)攻击面分析;

4)漏洞链;

5)对已知漏洞扫描进行封闭测试;

6)二进制可执行文件的软件组合分析;

7)静态和动态代码分析，包括测试“硬编码”的默认凭据，这些凭据很容易猜到，也很容易被破坏。

2.渗透测试：

应通过专注于发现和利用产品中的安全漏洞的测试，识别和描述与安全相关的问题;应提供渗透测试报告，并包括以下内容:

1)测试人员的独立性和技术专长;

2)测试持续时间;

3）采用的测试方法;

4）测试结果、发现和观察结果;

设备制造商应在测试报告中说明由谁执行测试(例如，独立的内部测试人员，外部测试人员)以及负责测试器械的人员与负责设计器械的开发人员的独立程度。在某些情况下，可能需要使用第三方来确保两组之间适当的独立水平，以便在测试期间暴露的漏洞或其他问题得到适当的处理。

如需第三方检测报告，制造商需提供第三方检测报告原件。对于所有测试，制造商应提供他们对任何发现的评估，包括不实施或推迟任何发现到未来发布的理由。

对于将在未来版本中解决的问题(例如，推迟对未来软件版本的补救，因为当前风险已被评估为可接受)，上市前提交的文件应包含这些版本的计划。这样的计划应该包括未来软件版本将解决的漏洞，发布的预期时间表，在此期间发布的器械是否会收到这些更新，以及更新到达器械需要多长时间。有很多权威的安全测试资源可以部分地完成上面提到的测试

FDA建议在整个SPDF中进行网络安全测试。开发早期的安全测试可以确保安全问题在影响发布时间表之前得到解决，并且可以防止重新设计或重新设计器械的需要。发布后，应根据风险定期进行网络安全测试(例如，每年一次)，以确保在潜在漏洞被利用之前识别并解决这些漏洞。

小易有话说

FDA通过制定网络安全保护措施，要求设备必须符合网络安全标准并具有网络安全保护系统，以保护医疗器械系统及个人数据及敏感信息的安全。而作为企业方来说，在上市前应做好产品的网络安全测试和验证。

~

网络安全学习，我们一起交流

~