一、法規(guī)鐵律：無漏洞掃描=注冊(cè)“一票否決”
核心依據(jù)：“中高風(fēng)險(xiǎn)醫(yī)療器械注冊(cè)時(shí)，必須提交網(wǎng)絡(luò)安全漏洞評(píng)估報(bào)告” ——《醫(yī)療器械網(wǎng)絡(luò)安全注冊(cè)審查指導(dǎo)原則（2022年修訂版）》第6.2條
分級(jí)管理要求：
嚴(yán)重級(jí)（如ECMO、起搏器）：強(qiáng)制第三方漏洞評(píng)估報(bào)告 + 持續(xù)維護(hù)方案
中等級(jí)：自評(píng)報(bào)告 + 掃描工具證明（建議第三方復(fù)核）
輕微級(jí)：公布漏洞總數(shù)及剩余風(fēng)險(xiǎn)
注：生命支持類設(shè)備自動(dòng)歸類嚴(yán)重級(jí)
二、4類必掃設(shè)備清單（附真實(shí)案例）
1. 聯(lián)網(wǎng)設(shè)備：數(shù)據(jù)交換的“高危區(qū)”
典型設(shè)備：
遠(yuǎn)程心電監(jiān)護(hù)儀（實(shí)時(shí)傳輸患者數(shù)據(jù)）
云影像系統(tǒng)（DICOM協(xié)議傳輸CT/MRI）
無線輸注泵（藍(lán)牙控制藥量）
風(fēng)險(xiǎn)案例：
某心電圖機(jī)因未加密傳輸，致患者隱私數(shù)據(jù)被中間人截獲
某內(nèi)窺鏡系統(tǒng)因開放公網(wǎng)調(diào)試端口，遭勒索病毒入侵
2. 嵌入式固件設(shè)備：隱蔽漏洞高發(fā)區(qū)
高危目標(biāo)：呼吸機(jī)控制模塊、透析機(jī)Linux內(nèi)核、麻醉機(jī)RTOS系統(tǒng)
掃描難點(diǎn)：需逆向工程分析固件，檢測(cè)未公開漏洞（如硬編碼密碼）
案例：某輸液泵固件存在默認(rèn)密碼admin/123456，可遠(yuǎn)程操控給藥速率
3. “偽單機(jī)”設(shè)備：接口成安全短板
隱蔽風(fēng)險(xiǎn)場(chǎng)景：
基因測(cè)序儀（USB導(dǎo)出數(shù)據(jù)）
生化分析儀（串口調(diào)試協(xié)議）
攻擊路徑：帶病毒U盤感染設(shè)備 → 竊取敏感健康數(shù)據(jù)
4. 第三方組件依賴系統(tǒng)：供應(yīng)鏈風(fēng)險(xiǎn)放大
高危組件及漏洞：
后果：某LIS系統(tǒng)未修復(fù)Redis漏洞，致百萬份檢驗(yàn)報(bào)告泄露
免檢項(xiàng)：純機(jī)械器械（如手術(shù)鉗、機(jī)械血壓計(jì)）
三、漏洞類型及整改方法例舉
既然軟件漏洞數(shù)量如此之多，如何對(duì)發(fā)現(xiàn)的漏洞進(jìn)行整改修復(fù)也是醫(yī)療器械企業(yè)特別關(guān)注的。因此，我們對(duì)于醫(yī)療器械在網(wǎng)絡(luò)安全漏洞掃描中常見的漏洞及整改修復(fù)方法進(jìn)行了整理，具體如下表所示：
四、對(duì)于研發(fā)的建議
避免軟件在漏洞掃描中出現(xiàn)嚴(yán)重問題，對(duì)于研發(fā)人員的建議如下：
1.需要開發(fā)人員在軟件開發(fā)策劃設(shè)計(jì)時(shí)對(duì)開發(fā)工具和現(xiàn)成軟件進(jìn)行調(diào)研，查看是否存在漏洞，盡可能使用最新的操作系統(tǒng)版本且實(shí)時(shí)對(duì)系統(tǒng)進(jìn)行補(bǔ)丁修復(fù)。
2.系統(tǒng)關(guān)閉不使用的TCP/UDP端口、遠(yuǎn)程服務(wù)訪問端口等。
3.如果使用到數(shù)據(jù)庫（如：MySQL、Redis），保證數(shù)據(jù)庫版本是最新的或是已升級(jí)補(bǔ)丁的，如果是漏掃后發(fā)現(xiàn)數(shù)據(jù)庫漏洞，后期整改難度比較大。
4.強(qiáng)烈建議到專業(yè)的第三方檢測(cè)評(píng)估機(jī)構(gòu)進(jìn)行漏洞掃描，可以在發(fā)現(xiàn)漏洞的同時(shí)更有能力幫助企業(yè)提供整改方案，確保產(chǎn)品網(wǎng)絡(luò)安全的合規(guī)性。
五、2025年高頻漏洞整改清單
成功案例：某設(shè)備廠商通過系統(tǒng)加固，將漏洞數(shù)從125個(gè)降至9個(gè)
結(jié)語：
安全是底線，合規(guī)是起點(diǎn)
在日益強(qiáng)化的監(jiān)管要求與網(wǎng)絡(luò)安全挑戰(zhàn)下，對(duì)聯(lián)網(wǎng)或含軟件的醫(yī)療器械實(shí)施全生命周期漏洞掃描，已成為制造商與醫(yī)療機(jī)構(gòu)的合規(guī)必選項(xiàng)。執(zhí)行中需采用醫(yī)療專用工具，深度融入風(fēng)險(xiǎn)管理流程，并將患者安全及臨床業(yè)務(wù)連續(xù)性置于絕對(duì)優(yōu)先級(jí)。
京公網(wǎng)安備11010802046783號(hào)
