案例：有源器械FDA网络安全方面的十大缺陷

RA小编辑

本文转载自 上海曼度医械咨询

有源医疗器械很多是在网络条件下使用的。自从2023年9月FDA发布网络安全的新版指南后， 对网络安全的要求显著增强了。
如何避免因网络安全问题而减慢 FDA 上市申请（510（k）、De Novo 或 PMA）的速度？您可以阅读FDA指导文件（或联系上海曼度医械咨询）。您也可以通过阅读本文来避免文中列出的 10 种常见网络安全缺陷。
本文将讨论在 FDA 发补信中出现的10个常见网络安全缺陷。它包括我们自己，同行， 和客户的例子，我们删除了专有详细信息，例如 K 号、页码和其他不相关的信息。
我们已经在多次向 FDA 提交的文件中看到了这些缺陷。如果您未能解决这些问题，可能会得到类似的结果。了解这些FDA的关注点， 您就有可能未雨绸缪，在 FDA 提出问题之前就解决这些问题。
常见缺陷举例
1.威胁建模和风险评估不足
FDA 最常见的缺陷之一与威胁建模和风险评估不完整或不充分有关。FDA 希望制造商考虑广泛的潜在威胁，并评估它们对器械安全性和有效性的影响。
FDA喜欢给出的一个典型缺陷可能是：“威胁模型和风险评估文档不完整，没有评估来自所有相关威胁源的风险。”
这些缺陷凸显了一个共同的模式：制造商通常关注明显或可能的威胁，而忽视了不太明显但可能重大的风险。
曼度建议：

• 执行全面的威胁建模，考虑外部攻击者、内部威胁。
  
• 使用 STRIDE 或 PASTA 等结构化方法。
  
  

• 
  
  
  

2.身份验证和授权控制不足
FDA 非常重视强大的身份验证和授权机制，以防止未经授权访问器械中的敏感数据。
这方面的一个常见缺陷是：“在器械中包括网络安全功能，包括授权控制;具体而言，制造商未能在适当的情况下采用分层授权模型，根据用户角色（例如，护理人员、系统管理员）或设备角色来区分权限。
这些缺陷反映了一种模式，即制造商可能会实施基本身份验证，但无法提供精细的、基于角色的访问控制。
曼度建议：

• 在适当的情况下实施多重身份验证。
  
• 开发具有明确定义的用户角色和权限的分层授权模型。
  
• 应用最低权限原则，以最大程度地减少帐户被盗用可能造成的损害。
  
  
  

3.弱加密和数据保护措施
数据保护是医疗器械安全的一个重要方面，FDA 会仔细审查器械中实施的加密和数据保护措施。
一个典型的FDA缺陷是：“未能确保安全地与器械之间传输数据，并在适当时使用加密方法，因为机密性控制不足可能会导致身份验证协议密钥、密码以及传输的信息泄露。”
制造商常常未能实施强加密或没有为他们选择的加密方法提供足够的理由。
曼度建议：

• 使用行业标准的加密算法和协议。
  
• 实施强大的密钥管理实践。
  
• 保护传输中的数据和静态数据。
  
  
  

4.更新和补丁管理不足
FDA 希望制造商在整个设备生命周期内拥有强大的流程来开发、测试和部署软件更新和安全补丁。
一个典型的缺陷可能是：“您没有提供足够的信息时间表来发布更新和补丁。”
这种缺陷常常出现在制造商未能提供有关其更新和补丁管理流程的详细信息时。
曼度建议：

• 制定全面的软件更新和补丁管理流程。
  
• 为开发和部署关键安全更新制定明确的时间表。
  
  

• 
  
  
  

5.日志记录和监控不足
FDA 希望设备具有强大的日志记录和监控功能，以检测和响应安全事件。
这方面的一个常见缺陷是：“目前尚不清楚该器械如何检测、监控、记录和/或提醒用户安全隐患。您列出了一些可以检测网络安全信号的一般方法，但是，您没有提供有关如何通过内部调查检测这些事件的具体信息。
这种缺陷常常出现在当制造商提供有关其日志记录和监控功能的模糊或不完整时。
曼度建议：

• 对安全相关事件实施全面日志记录。
  
• 制定明确的程序来监控日志和检测潜在的安全事件。
  
  

• 
  
  
  

6.停用程序不充分
FDA 希望制造商在软件生命周期结束时拥有安全的退役程序。
一个典型的缺陷可能是：“缺乏通过清理敏感、机密和专有数据来安全停用软件的信息。”
当制造商未能解决软件生命周期终止的安全影响时，通常会出现这种缺陷。
曼度建议：

• 制定全面的停用程序，以解决数据清理和安全处置硬件问题。
  
• 实施符合行业标准的安全数据擦除技术。
  
• 记录您的停用程序，包括验证数据清理成功的方法。
  
• 在网络安全规划中考虑整个设备生命周期，从初始部署到停用。
  
  

• 
  
  
  

7.网络安全测试不足
FDA 希望制造商进行全面的网络安全测试，以验证其安全控制的有效性。
这方面的一个常见缺陷是：“缺乏系统和严格的网络安全测试，包括代码分析、模糊测试、漏洞测试和渗透测试等技术。”
这种缺陷常出现在制造商仅依赖功能测试而未能实施全面的安全特定测试。
曼度建议：

• 制定全面的网络安全测试策略，其中包括一系列技术，例如代码分析、模糊测试和渗透测试。
  
• 将安全测试集成到整个开发过程中，而不仅仅是在最后。
  
• 使用自动化工具和手动测试方法来识别潜在的漏洞。
  
• 全面记录您的测试程序和结果。
  
  

• 
  
  
  

8.标签和用户指南不足
FDA 希望制造商提供清晰全面的网络安全标签和用户指南，以确保用户可以安全地操作软件。
这方面的一个常见缺陷是：
“您没有提供网络安全标签，请提供以下内容：

• 器械上可用的所有接口和通信协议的描述。
  
• 有关如何维护网络安全以及如何更新固件/软件的说明。
  
• 用户或用户设施为确保安全使用而应采取或实施的任何安全措施的说明。
  
• 通知用户任何可能被有意禁用并因此对用户不可用的网络或连接依赖关系。
  
• 对可检测到的网络安全事件的描述，以及如何通知用户此类事件的描述。
  
• 包括有关在检测到或怀疑网络安全事件时用户应采取哪些操作的说明（即事件响应计划）。
  
  

• 
  
  
  

这一缺陷凸显了在设备标签和用户文档中提供全面网络安全信息的需求。
曼度建议：

• 制定清晰详细的网络安全标签，以解决 FDA 缺陷中提到的所有要点。
  
• 提供用户说明，以维护网络安全和应用更新。
  
• 清楚地传达用户应采取的任何安全措施。
  
• 记录所有设备接口、通信协议和网络依赖关系。
  
• 提供有关识别和响应潜在网络安全事件的指导。
  
  

• 
  
  
  

9.未解决的异常
FDA 希望制造商仔细评估和记录任何未解决的软件异常，包括它们对器械安全的潜在影响。
这方面的一个典型缺陷可能是：“网络安全风险评估不完整，因为未解决的异常没有作为风险评估的一部分评估网络安全影响。”
这种缺陷凸显了考虑所有软件异常的安全影响的必要性，即使是那些看起来主要本质上是影响产品功能的异常。
曼度建议：

• 维护所有未解决的软件异常的完整列表。
  
• 对每个未解决的异常进行全面的安全风险评估。
  
• 记录每个异常对器械安全性和功能的潜在影响。
  
• 针对任何构成安全风险的异常情况制定并记录缓解策略。
  
• 为已上市设备中仍未解决的任何异常提供明确的理由。
  
  

• 
  
  

10.对 AI/ML 算法的考虑不足
对于采用人工智能 （AI） 或机器学习 （ML） 算法的产品，FDA 希望对这些组件进行全面验证和记录。
这方面的一个缺陷实例是：“您正在寻求使用机器学习算法作为其关键功能一部分的设备许可。您提供了性能数据的总结。但是，此总结不包含有关深度学习算法验证的详细信息。
这一缺陷凸显了对医疗器械中的 AI/ML 组件进行详细验证的必要性”。
曼度建议：

• 提供设备中使用的任何 AI/ML 算法的详细说明。
  
• 记录用于这些算法的训练数据，包括其大小、多样性和质量。
  
• 描述用于评估算法性能的验证方法和指标。
  
• 说明您如何解决 AI/ML 算法中的潜在偏差。
  
• 提供有关如何将 AI/ML 组件集成到整体设备功能和安全架构中的清晰文档。
  
  

关键要点

1.全面的威胁建模：进行全面的威胁建模，考虑所有潜在风险源.

2.强大的身份验证和授权：实施强大的多层身份验证和授权控制，包括多因素身份验证和基于角色的访问控制（RBAC）。

3.强大的加密实践：使用行业标准加密算法和协议来保护传输中和静态的数据保护。根据您设备的风险状况证明您的选择是合理的。

4.详细的软件物料清单（SBOM）：维护并提供全面的 SBOM，其中包括所有软件组件。在整个设备生命周期内保持本文档更新。

5.严格的网络安全测试：执行并记录全面的网络安全测试，包括静态和动态代码分析、模糊测试、漏洞扫描和渗透测试。

6.有效的更新和补丁管理：制定并记录强大的流程，以便及时开发、测试和部署软件更新和安全补丁。

7.全面的日志记录和监控：实施全面的日志记录和监控功能，以检测、提醒和响应潜在的安全事件。

8.AI/ML 算法验证：对于包含 AI 或 ML 的设备，请提供有关算法验证、训练数据和解决潜在偏差措施的详细文档。

9.生命周期管理：从初始设计到退役的整个设备生命周期中考虑网络安全，并记录每个阶段的方法。

10.清晰的用户指南：提供全面、用户友好的网络安全标签和说明，以确保用户可以安全地操作设备并适当地响应安全事件。

11.持续的网络安全管理：为持续的网络安全管理制定并记录稳健的计划，包括漏洞监控、事件响应和协调披露程序。

12.透明的文件：在您的 FDA 提交中提供所有网络安全措施、风险评估和缓解策略的清晰、详细的文件。透明度是审核流程成功的关键。

结论
了解 FDA 对医疗器械的网络安全要求可能具有挑战性，但了解常见的缺陷项和最佳实践可以大大简化这一过程。通过采取全面、主动的网络安全方法（从威胁建模和风险评估到持续管理和事件响应），制造商不仅可以满足监管要求，还可以构建真正安全的器械来保护患者的安全和隐私。

网络安全不是一次性的工作，而是一个持续的过程，需要时刻保持警惕和适应。随时了解不断变化的威胁和监管期望，并准备好不断改进您的网络安全实践。通过这样做，您将有能力驾驭医疗器械网络安全的复杂形势，并与FDA和最终用户建立信任。