请选择 进入手机版 | 继续访问电脑版
查看: 3020|回复: 0

医疗器械的网络安全——“熟悉的生面孔”

[复制链接]
发表于 2020-5-19 10:41:52 | 显示全部楼层 |阅读模式
本文转载自“启升咨询”

前言
在信息化高速发展的今天,我们大家的日常生活离不开网络。与家人朋友联系离不开手机;办公需要网络收发邮件;就连看电视现在也都要看网络电视。所以对于“网络安全”这个词,大家应该是不陌生的。举个最常见的例子——电脑的杀毒软件。在网络刚刚普及的时候,曾经的瑞星、卡巴斯基这些杀毒软件都是收费的,杀毒软件作为保障网络安全的措施,我们都再熟悉不过了。
那为什么说医疗器械的网络安全是“生面孔”呢?那是因为作为医疗器械的网络安全而言,我们平时日常生活中很少会涉及到,而且对医疗器械网络安全的监管要求也来得比较晚,所以称之为生面孔。

今天我就来跟大家一起了解医疗器械的网络安全,将从三个方面说起:

一. 什么是医疗器械网络安全
二. 如何保证医疗器械的网络安全
三. 相关标准



什么是医疗器械网络安全
网络安全

我们先来了解“网络安全”的定义。网络安全(Network Security)包含网络设备安全、网络信息安全、网络软件安全,是指网络系统的硬件、软件及其系统中的数据受到保护,不因偶然的或者恶意的原因而遭受到破坏、更改、泄露,系统连续可靠正常地运行,网络服务不中断。
医疗器械网络安全

医疗器械网络安全是指保持医疗器械相关数据的保密性(confidentiality)、完整性(integrity)和可得性(availability)。
  • 保密性:指数据不能被未授权的个人、实体利用或知悉的特性,即医疗器械相关数据仅可由授权用户在授权时间以授权方式进行访问;


  • 完整性:指保护数据准确和完整的特性,即医疗器械相关数据是准确和完整的,且未被篡改;


  • 可得性:指根据授权个人、实体的要求可访问和使用的特性,即医疗器械相关数据能以预期方式适时进行访问和使用。

此外,医疗器械网络安全特性还包括真实性(authenticity)、可核查性(accountability)、抗抵赖(non-repudiation)和可靠性(reliability)等特性。
举个例子,就拿心脏起搏器为例

植入式心脏起搏器,其导线被引导到心房心肌之上,为患者的心脏提供电脉冲刺激。但是,由于每个患者的情况都有不同,甚至同一名患者的心脏状况也会随着时间而变化,因此,现代心脏起搏器都是可以根据具体情况而设置的,这就要用到编程器了。编程器可以通过无线电波与病人体内的起搏器实现通讯,在不进行手术的情况下可以调整起搏器的设置。
心脏起搏器的通讯编程机制:

  • 1,4,5为编程器和App
  • 2为通讯棒
  • 3为病人体内的起搏器
  • 6为无线电波的示意。


其中,2通讯棒和3病人体内的起搏器是网络设备、6无线电波是网络信息、1,4,5编程器和App是网络软件。
心脏起搏器的网络安全的三个主要特性:

保密性——编程器和起搏器的数据不能被未授权的人利用,否则会危害到使用者的人身安全。

完整性——编程器与起搏器之间的数据传输要准确和完整,不能被篡改。

可得性——当需要用到起搏器和编程器时,被授权使用的人要能用得上。
大家都知道,起搏器是一个风险非常高的医疗器械,它任何一个部件都与使用者的生命息息相关。但是,研究人员发现通讯编程机制存在大量的安全隐患。

这是几年前的一则新闻,当时研究人员发现,虽然美国市场上的四大起搏器商家都声称其编程器是受到“严格控制”的设备,但事实上这些设备在网上随处可得。他们在网上买了几个设备,价格从15美元至3000美元不等。

在这些编程器上,研究人员一共发现了8000多个已知安全漏洞。已知的意思是这些漏洞之前已被发现,并应该被厂家通过软件升级补上。是的,四大心脏起搏器品牌的编程器都含有大量的漏洞。这意味着,在心脏起搏器的生态系统里,“打补丁”是个基本不存在的概念。
编程器是心脏起搏器的网络软件,却存在如此多的漏洞,这些可能对所有的网络安全特性都会有影响。由此可见,如果不重视医疗器械的网络安全,对于使用者来说是无法接受的。


如何保证医疗器械的网络安全
药监局于2017年发布了《医疗器械网络安全注册技术审查指导原则》,这个指导原则是作为2015年发布的《医疗器械软件注册技术审查指导原则》的补充,要求企业在医疗器械产品全生命周期过程中持续关注网络安全问题,包括医疗器械产品的设计开发、生产、分销、部署和维护。
指导文件要我们根据产品的特性,在器械的全生命周期过程中对网络安全做全面的考量,具体有哪些考量,我们下期再细聊。



相关标准
要做好医疗器械的网络安全,我们可以参照相关的标准。除了前面所说的指导原则,还有美国FDA的指南文件、IEC80001系列标准,以及信息安全领域 IEC 27000系列标准,这是专门为信息安全开发的管理体系标准——信息安全管理体系information security management system,简称ISMS。这些标准,我们国内也等同转化了。比如《GB/T 29246-2017  信息技术 安全技术 信息安全管理体系 概述和词汇》就是等同转化的《IEC/ISO 27000:2016》
这些标准,我们后面也会陆续给大家介绍大体的内容。


结语
今天的微课就分享到这里,感谢大家的收看和收听。本期是网络安全的第一期,欢迎大家持续关注我们。谢谢大家!

本帖子中包含更多资源

您需要 登录 才可以下载或查看,没有帐号?立即注册

x
回复

使用道具 举报

您需要登录后才可以回帖 登录 | 立即注册

本版积分规则


快速回复 返回顶部 返回列表