医械资质百问百答
医疗器械软件
联网医疗器械注册资料要注意什么？
先说结论：联网功能不是在注册资料中加一张网络拓扑图就结束。企业要说清网络为哪项医疗功能服务，传输什么数据，谁可以访问或控制，依赖哪些外部系统，以及在断网、延迟、攻击、服务器失效或升级失败时如何维持安全。网络安全、软件生存周期和医疗器械风险管理应是同一条证据链。
先画清产品、网络和数据边界
- 设备、应用程序、网关、服务器、云平台、医院系统、第三方接口和维护终端；
- 有线、无线、蓝牙、移动网络、存储介质和其他数据交换方式；
- 患者身份、测量、图像、报警、配置、日志、软件包和远程指令等数据流；
- 每条数据流的来源、去向、方向、协议、触发条件、保存位置和使用目的；
- 哪些系统由注册人控制，哪些由用户、医院或第三方维护，各自责任如何验证。
网络是基本性能的一部分吗
应逐项分析网络中断、数据错误、延迟、丢包、重复、乱序或未授权指令对诊断、监测、治疗、报警、趋势、记录和远程支持的影响。如果联网只是辅助功能，说明书和界面不应让用户把它当成主要报警或唯一数据通道。如果联网是基本性能的一部分，则网络条件、性能指标、异常处理和用户责任必须有明确验证。
网络安全风险要覆盖什么
- 资产、网络接口、账号、证书、密钥、第三方软件和已知漏洞清单；
- 身份认证、最小权限、会话、密码恢复、远程访问、维护和默认账号管理；
- 数据传输和存储的保密性、完整性、可得性与必要的签名、校验或加密；
- 日志、时间同步、异常检测、报警、备份、恢复和证据保留；
- 漏洞监测、安全更新、补丁兼容、事件响应、风险信息发布和遗留设备处理。
断网和异常怎么设计
应预先定义断网时哪些本地功能继续，哪些功能禁止，是否需要缓存，何时告警，重连后怎样补传、去重、校验顺序和合并冲突。设备不应将过期数据当作实时数据，也不应在服务器未确认时给用户“已上传”的假象。如果远程控制失败，本地优先级、安全停机和人工接管必须明确。
注册资料要形成哪些证据
- 系统和网络架构、数据流、接口清单、资产清单和软件版本基线；
- 网络安全风险分析、控制措施、可追溯性和剩余风险评价；
- 身份、权限、数据保护、异常网络、漏洞、更新、恢复和渗透等适用验证；
- 用户部署要求、网络最小性能、防火墙或端口、时间源、账号和应急响应说明；
- 上市后漏洞、事件、第三方组件、补丁和外部环境变化的监测计划。
常见错误
- 只描述医疗数据隐私，不分析攻击对治疗、报警和设备可用性的影响。
- 把医院网络、云服务和第三方软件的责任全部写给用户，本产品不做容错。
- 有远程访问但没有最小权限、审计日志、会话限制和紧急关闭机制。
- 只验证正常网络，不测延迟、丢包、重连、服务器失效和升级中断。
数据导出见医疗器械数据导出功能需要验证吗；数据丢包见联网医疗设备数据丢包怎么评估；时间同步见医疗设备和软件时间同步怎么验证；升级失败见医疗设备远程升级失败怎么控制。
法规与技术依据
具体研究资料深度应根据产品网络功能、安全性级别、数据类型、外部环境和风险判定，不能用一份通用网络安全报告覆盖所有产品。
