美国FDA发布《医疗器械的网络安全》最终版

2023年9月27日，FDA发布了题为《医疗器械的网络安全》的最终指南：《质量体系考虑因素和上市前提交内容》的最终指南。

该最终指南更新了2022年4月8日发布的同名指南草案，并取代了该机构2014年发布的最终指南《医疗器械网络安全管理的上市前提交内容》。虽然新的最终指南与2022年4月的草案基本相似，但它就开展网络安全风险评估、互操作性考虑因素以及向FDA提交的上市前材料中应包含的文件提供了更详细的建议。

最终指南还依据新的法定授权，明确授权FDA：

（1）要求在提交"网络器械"的医疗器械中提供网络安全信息；

（2）要求制造商采取某些行动，以证明此类器械和相关系统具有"网络安全"的合理保证。新的法律条款还规定，不遵守FDA网络安全要求属于被禁止的行为。有了这一新的法律授权，政府将能够对违反FDA网络安全要求的行为进行刑事起诉，或对不合规的公司实施禁制令，包括器械上市后未能维持合理防范网络安全威胁的流程。

FDA对网络安全的关注

随着医疗器械与无线、互联网和网络连接系统以及便携式存储的集成度越来越高，FDA越来越关注因网络安全控制不够健全而对医疗器械的安全性和有效性造成的风险。

FDA在其最新定稿的指南中指出，"网络事故已导致医疗器械和医院网络无法运行，扰乱了病人护理的提供"。这份最新定稿的指南包含了一些建议，旨在补充之前的两份指南，分别题为：包含现成(OTS)软件的联网医疗器械的网络安全和器械软件功能的上市前提交内容。

新的法定权限

最终指南还介绍了FDA的新法定权力。作为2023年综合拨款法案的一部分，《食品和药品综合改革法案》（FoodandDrugOmnibusReformAct，简称FDORA）于2022年12月29日签署成为法律。该法案第3305节纳入了之前提出的《PATCH法案》的内容，要求提交医疗器械上市前申请（即PMA、510(k)或重新提交）的人员提供FDA可能要求的信息，以确保该器械符合法规中列出的网络安全要求。

本规定所涵盖的申请的发起人必须：

1.提交一份计划，以监控、识别和处理上市后的网络安全漏洞和利用；

2.设计、开发和维护流程和程序，合理保证器械和相关系统的"网络安全"，并提供器械和相关系统上市后的更新和补丁，以解决某些网络安全漏洞；

3.提供软件材料清单，包括商业、开源和现成的软件组件；

4.遵守FDA可能通过法规要求的其他要求，以合理保证器械及相关系统的网络安全。

FDORA将这一新的法律授权限制在一个新定义的"网络器械"类别中，其定义为以下器械：

1.包括经上市前申请的验证、安装或授权作为器械或器械中的软件；

2.具有连接互联网的能力；

3.包含经赞助商验证、安装或授权的任何可能易受网络安全威胁的技术特征；

4.此外，法律修正案还新增了一项禁止行为，禁止"不遵守第524B(b)(2)条（与确保器械网络安全有关）规定的任何要求"。这一新条款使政府能够对违反网络安全要求的行为提起刑事诉讼，或对违规公司实施禁制令。

虽然这些新要求本应在法律通过90天后生效，即2023年3月29日生效，但FDA在法律规定生效当天发布了一份指南，澄清FDA在2023年10月1日之前不会对缺乏所需网络安全信息的上市前提交材料发出"拒绝接受"通知。

最终指南

虽然新指南在结构和内容上与之前的版本相似，但它在原有的安全风险管理部分增加了两个新的实质性小节，一个新的附录确定了建议纳入上市前申请的具体文件要素也适用于IDE申请，以及一些在之前版本中没有出现的网络安全术语的定义。

如2022年指南草案所述，FDA建议实施和采用"安全产品开发框架"或"SPDF"，其定义为在整个器械生命周期中减少产品漏洞数量和严重性的一系列流程。与指南草案一样，SPDF预计将成为解决网络安全风险的关键结构，并应侧重于三大要素：安全风险管理、安全架构和网络安全测试。该指南还参考了IEC81001-5-1（健康软件参考标准），将其作为SPDF可以考虑的框架。FDA继续建议在上市前提交的文件中包括一份安全风险管理报告，以帮助证明器械的安全性和有效性。

新指南中更新的安全风险管理部分包含两个新的小节，第一个小节涉及"网络安全风险评估"。指南指出，网络安全风险难以预测，并认识到不可能根据历史数据或建模来评估和量化事件发生的可能性。因此，网络安全风险评估应侧重于器械或系统内存在的漏洞以及使用环境中可能存在的漏洞的可利用性。FDA建议，网络安全风险评估应包含从威胁模型中确定的风险和控制措施，还应包括用于对此类风险进行缓解前和缓解后评分的方法、相关的验收标准以及将安全风险转移到安全风险评估中的方法。该评估应包括在上市前提交的文件中。

风险管理部分还包含一个新的"互操作性考虑因素"部分，涉及互操作性功能可能产生的网络安全考虑因素，包括但不限于与以下器械的接口：

1.其他医疗器械和附件；

2.FDA题为"多功能器械产品"的指南中确定的"其他功能"：政策和考虑因素；

3.与医疗基础设施的互操作性；

4.通用计算平台。

该指南指出，适当实施网络安全控制措施将有助于确保安全有效地交换和使用信息，并建议器械制造商评估是否需要在蓝牙和网络协议等通用技术和通信协议下增加安全控制措施，以确保安全性和有效性。除了建议制造商参考其题为《可互操作医疗器械的设计考虑因素和上市前提交建议》的指南外，该指南还建议器械制造商考虑与互操作性功能相关的适当网络安全风险和控制措施，并确保将其记录在案。

最终指南的另一个重要补充是新的附录4，其中提供了一份FDA建议在上市前提交的文件清单。该清单还确定了哪些文件可能有助于提交，但并不特别建议在IDE申请中提交。例如，附录指出，指南中讨论的《网络安全风险管理报告》和《威胁模型》可能有助于在IDE中提交，但并非特别推荐。相比之下，"架构视图"和"标签"则被特别推荐在器械IDE中提交。

最终指南还在新的附录5中添加并定义了一些新的关键网络安全术语。虽然许多新增术语都是指南中的新术语，但它们改编自公认来源的现有定义，包括NIST、联合安全计划、ISO/IEC和CNSSI4009-2015。

器械制造商的责任状况

最终确定的指南反映了FDA对器械制造商在整个器械生命周期内防范网络安全风险的持续期望，包括应对随着器械老化和新的意外威胁出现而产生的风险。这些期望需要大量的资源来监控新的风险，并针对发现的漏洞开发新的缓解措施。重新设计旧器械以解决新的漏洞可能既有风险又昂贵。但是，让这些器械对新的黑客攻击方法不设防，风险更大。

随着重大数据泄露事件以及由此引发的国会调查和集体诉讼的不断发生，再加上司法部《虚假索赔法》（FalseClaimsAct）调查和和解中指控的未遵守由司法部《民事网络欺诈倡议》（CivilCyber-FraudInitiative）优先考虑的合同网络安全标准的行为，不认真对待网络安全威胁是不可取的。与不遵守食品及药物管理局网络安全要求相关的新的法定禁止行为的增加，在已有的重大民事责任风险之上又增加了刑事风险。不过，也许FDA的新授权和最终指南将为制造商提供一些保护，其形式是对可接受的风险程度有更明确的预期，以及该机构对制造商的网络安全控制、缓解措施和监控计划表示满意的印记，这些都将伴随着器械的许可或批准。即使在获得许可和批准时获得了机构满意的印章，器械制造商仍有责任证明，一旦器械上市，他们已采取适当措施监控和降低新出现的风险。在网络安全诉讼和执法的雷区不断扩大的过程中，记录这些努力将是公司最好的防御手段。