医疗器械网络安全能力详解及自评（二）

在上一期《医疗器械网络安全能力详解及自评（一）》中介绍了自动注销（ALOF）、审核控制（AUDT）、授权（AUTH）、网络安全特征配置（CNFS）、网络安全补丁升级（CSUP）5项网络安全能力及其可参考文献。本期我们将继续为大家分享后续5项医疗器械网络安全能力。

6.数据去标识化与匿名化（DIDT）：产品直接去除、匿名化数据所含个人信息的能力

Ø 设备(应用软件或附加工具)能够直接删除能够识别患者的信息。

Ø 在运回工厂前进行数据清洗;架构设计允许远程服务，但不需要健康数据访问/暴露

在MDS2 (HN 1-2003)中的评估要素：

6	数据去识别化与匿名化（DIDT）
	器械直接删除允许识别个人身份的信息的能力。
6-1	器械是否提供了对私人数据进行去识别化处理的完整功能？

7.数据备份与灾难恢复（DTBK）：产品的数据、硬件或软件受到损坏或破坏后恢复的能力。

Ø 确保医疗服务机构在数据、硬件、软件遭到损坏或者破坏后仍能继续服务

注：本项不适用于某些小型、低成本的医疗器械；也不适用于某些具有能力采集新一轮数据的医疗器械（如：无线网络的短暂断开导致心率数据的短暂丢失）

在MDS²(HN 1-2003)中的评估要素：

7	数据备份与灾难恢复（DTBK）
	器械数据、硬件或软件损坏或破坏后恢复的能力。
7-1	器械是否具有完整的数据备份功能（即：备份到远程存储库或磁带、磁盘等可移动介质）？

8.紧急访问（EMRG）：产品在预期紧急情况下允许用户访问和使用的能力。

Ø 在紧急情况下，临床用户可以在不适用个人ID或者未经授权的情况下访问健康数据

Ø 紧急访问应可被检测、记录和报告。理想情况下，包括以某种方式立即通知系统管理员或医务人员(除了审核记录外)。

Ø 紧急访问仍可能要求用户登记自我声明（未经认证）的用户身份

在MDS²(HN 1-2003)中的评估要素：

8	紧急访问（EMRG）
	器械用户在需要立即访问存储的私人数据的紧急情况下访问私人数据的能力。
8-1	器械是否具有紧急访问（“打碎玻璃”）功能？

9.数据完整性与真实性（IGAU）：产品确保数据未以非授权方式更改且来自创建者或提供者的能力。

Ø 保证健康数据来源可靠，不会在未经授权的情况下被篡改或毁坏，确保数据的完整性

在MDS²(HN 1-2003)中的评估要素：

9	数据完整性与真实性（IGAU）
	器械如何保证器械处理的数据没有被擅自更改或销毁，而是由原创者进行相关操作。
9-1	器械是否通过隐式或显式错误检测/纠正技术保证存储数据的完整性？

10.恶意软件探测与防护（MLDP）：产品有效探测、阻止恶意软件的能力。

Ø 产品满足监管、医疗服务提供方和使用者的要求，有效地防护、探测和去除恶意软件

Ø 由于恶意软件会不断更新，因此操作系统和应用程序要及时打补丁

在MDS²(HN 1-2003)中的评估要素：

10	恶意软件探测与防护（MLDP）
	器械有效预防、检测和删除恶意软件的能力。
10-1	器械是否支持使用反恶意软件的软件（或其他反恶意软件机制）？
	10-1.1	用户是否可以独立地重新配置反恶意软件设置？
	10-1.2	器械用户界面是否会出现恶意软件检测通知？
	10-1.3	检测到恶意软件后，是否只有制造商授权的人员才能修复系统？
10-2	器械所有者是否可以安装或更新杀毒软件？
10-3	器械所有者/操作员是否可以（从技术上/物理上）对制造商安装的杀毒软件的病毒定义进行更新？

医疗器械数据安全是医疗器械网络安全的核心，企业在设计产品时要保持医疗器械相关数据的保密性、完整性和可得性。其中数据主要包括标明生理、心理健康状况，涉及患者隐私信息的私人数据和用于监视、控制设备运行或用于设备维护保养等描述设备运行状况的数据。企业还应保证医疗器械对网络安全威胁应当具备相应识别、防护能力。在医疗器械全生命周期过程中保证其安全性和有效性。

参考资料：

（1）IECTR 80001-2-2:2012, Application of risk management for IT-networks incorporating medical devices - Part 2-2: Guidance for the disclosure and communication of medical device security needs, risks and controls

（2）Manufacturer Disclosure Statement for Medical Deceive Security-MDS²

（3）T/ZMDS 20003-2019 医疗器械网络安全风险控制医疗器械网络安全能力信息

扫描下方的二维码订阅“CIRS医械合规动态”！实时传递最新医疗器械监管法规动态，分享医疗器械注册成功经验及经典案例跟踪医疗器械最新产品安全与法规监管动态，获得最新一手资讯。

医疗器械

① 凡本网注明"稿件来源：“杭州瑞旭科技集团有限公司"的所有文字、图片和音视频稿件，版权均属杭州瑞旭科技集团有限公司所有，任何媒体、网站或个人未经本网协议授权不得转载、链接、转贴或以其他方式复制发表。已经本网协议授权的媒体、网站，在下载使用时必须注明"稿件来源：杭州瑞旭科技集团有限公司"，违者本网将依法追究责任。

② 本网未注明"稿件来源：杭州瑞旭科技集团有限公司 "的文/图等稿件均为转载稿，本网转载出于传递更多信息之目的，并不意味着赞同其观点或证实其内容的真实性。如其他媒体、网站或个人从本网下载使用，必须保留本网注明的"稿件来源"，并自负版权等法律责任。如擅自篡改为"稿件来源：杭州瑞旭科技集团有限公司"，本网将依法追究责任。如对稿件内容有疑议，请及时与我们联系。

③ 如本网转载稿涉及版权等问题，请作者在两周内速来电或来函与杭州瑞旭科技集团有限公司联系。