在竞争激烈的医疗器械行业中，科学家和工程师们不断挑战极限，创造出创新的医疗器械，包括独立器械。随着美国FDA对法规进行修改，从根本上重新定义了这些器械的网络安全认知和管理，医疗技术安全领域也在迅速发展。

前提：您提交的 FDA 文件

假设您正在开发一款独立的医疗器械（如美容激光器），该器械没有无线更新或外部端口，不存储患者数据，并通过 RfID 对耗材进行身份验证。由于没有网络，您相信它的网络安全性，因此向 FDA 提交了 510(k) 申请，声称由于没有现成的软件，因此不存在攻击面，也不需要软件物料清单 (SBOM)。

FDA 回复

收到 FDA 的拒绝接受 (RTA) 信，您感到非常震惊。FDA 质疑您在网络安全文件中的断言，质疑没有网络连接就等于没有攻击面的假设。FDA 怎么会提出质疑呢？您的器械没有任何网络连接，似乎不会受到攻击。仔细阅读 FDA 的信件后，您发现了他们的坚持"We need assurance that risks associated with foreseeable misuse are effectively mitigated."。他们要求开发和记录一个全面的威胁模型，以预测使用者和临床医生无意和恶意的篡改，从而可能危及系统内的安全控制。他们强调需要进行与AAMI TIR57 一致的安全风险评估。

FDA 认可的标准和指南

美国FDA已承认并将 AAMI SW96:2023、AAMI TIR57:2016 和 AAMI TIR97:2019 等基本行业标准纳入其监管框架。这些标准囊括了医疗器械网络安全的重要方面，为整个产品生命周期的风险管理提供了全面指导。此外，美国FDA还发布了最终文件，即 "Cybersecurity in Medical Devices:Quality System Considerations and Content of Premarket Submissions” and “Cybersecurity in Medical Devices: Refuse to Accept Policy for Cyber Devices and Related Systems Under Section 524B of the FD&C Act."。这些文件是制造商在质量体系考虑因素和提交内容方面的重要指南，强调了上市前提交和拒绝接受政策中的网络安全问题。

此外，立法举措（尤其是第 524B 条和相关法案）对上市前和上市后安全风险管理计划和流程提出了严格要求。这一立法转变更加强调了在医疗器械的整个生命周期内采取全面的风险缓解策略。此外，一项行政命令强制要求包括医疗器械在内的关键基础设施实体公开披露全面的 SBOM。该命令旨在提高确保关键基础设施安全的透明度和问责制，强制制造商披露软件组件和依赖关系。

FDA 网络安全卓越中心

FDA 成立了专门的网络安全卓越中心，这标志着 FDA 致力于加强医疗器械（包括独立器械和联网设备）的网络安全措施。这一举措包括为每份申请指派网络安全审核员。这些审核员对提交的材料进行细致的评估，严格审核是否符合公认标准中规定的安全风险管理最佳实践。

了解并满足 FDA 的期望

美国FDA的修订指南强调对整个器械生命周期--从采购和制造到产品使用和最终处置--进行全面评估。值得注意的是，FDA希望制造商能够预测并解决授权用户和未授权用户可预见的滥用问题。修订后的威胁模型要求对所有有价值的内部资产进行评估，包括内部 IO 端口，包括制造和现场服务访问中的端口。此外，评估必须解决使用非品牌或假冒耗材的潜在风险，认识到这不仅对公司收入，而且对患者、操作者和旁观者的安全都有重大影响。

上市后义务和战略

FDA 对上市后监控的关注要求采取全面的策略。制造商必须积极监控网络投诉，并及时处理有关设备软件的新漏洞披露。此外，制造商还需要制定及时更新软件的有力计划，以减轻新出现的威胁和漏洞。

为确保合规性并强化安全措施，必须对质量管理体系进行细致的评估。制定并实施全面的上市前和上市后安全风险管理流程，并辅以详细的模板、工作指导和协议。

确保开发过程安全

实施安全的软件开发框架，确保在整个产品开发生命周期中遵守最佳实践。持续培训和更新员工，监督第三方供应商遵守安全要求，并确保定期更新工具链。在整个开发生命周期采用静态分析和自动测试，包括对外部接口进行持续渗透和模糊测试，以确保持续的安全稳健性。

代码完整性和安全风险管理

保护代码至关重要。保护代码签名密钥，在开发和测试阶段使用自签名证书，并确保构建服务器只生成和签署发布的可执行文件。同样重要的是整合机制，及时撤销受损的证书/私钥并部署新的证书/私钥。

认真执行安全风险管理标准操作程序和工作指南。在设计历史档案（DHF）中提供客观证据，证明程序的执行情况。即使是非联网设备，也不能接受过于单薄的文档。每个标有 "不适用"的项目都应附有合理的理由。

虽然独立医疗器械的安全风险管理工件比网络设备要少，但您需要执行程序并提供证据，从而得出结论，并将其纳入安全风险管理报告。

本文由广州佳誉医疗器械有限公司/佛山浩扬医疗器械有限公司联合编辑