4. 医疗器械漏洞管理流程框架
医疗器械漏洞管理与通用IT漏洞管理最大的区别在于：漏洞的最终风险不只落在数据上，还可能落在患者安全上。因此，流程框架不能只围绕“修得快”设计，而要围绕“判断准、处置稳、验证实、披露合规、监控不断”来设计。一个可落地的闭环流程通常包含六个环节：漏洞发现、评估、处置、验证、披露与持续监控。它们不是线性走完就结束，而是通过反馈回路不断回到起点，形成持续运转的闭环。
下面这张图给出了六环节闭环的整体结构，以及每个环节的关键输入、输出和回流关系。
一、漏洞发现：把“看不见的入口”变成可追踪的条目
漏洞发现不是等漏洞上门，而是主动建立发现渠道。对医疗器械而言，至少应覆盖四类来源：一是产品自身的软件物料清单（SBOM），用于识别使用了哪些开源组件及其版本；二是定期漏洞扫描与渗透测试，包括对设备固件、配套App、云服务和接口的测试；三是外部情报，如NVD的CVE、厂商安全通告、行业ISAC共享信息；四是临床与售后反馈，例如设备异常重启、通信中断、日志中的可疑行为。
发现环节的关键输出不是“一条消息”，而是一条可追踪的漏洞条目。条目至少应包含：漏洞标识（CVE或内部编号）、受影响产品与版本、组件名称与版本、发现来源、发现时间、初步描述、复现条件。例如，某输液泵使用OpenSSL 1.0.2k，SBOM比对发现该版本存在CVE-2022-0778（无限循环拒绝服务），此时应生成条目并标注“受影响型号：IP-200，固件版本：3.1.4及以下”。
二、评估：把技术漏洞翻译成患者风险
评估环节要回答两个问题：这个漏洞能不能被利用？一旦被利用，对患者和操作者会造成什么后果？通用CVSS分数只能作为输入之一，不能直接作为医疗器械的处置依据。建议采用“可利用性 × 安全影响”的二维判断。
可利用性考虑：攻击路径是否需要物理接触、是否需要认证、是否需要用户交互、网络暴露面大小。安全影响考虑：漏洞位于哪个功能模块，是否影响治疗参数、报警、剂量计算、数据完整性或设备可用性。例如，一个仅影响日志导出功能的漏洞，即使CVSS为7.5，其患者风险也可能低于一个CVSS为5.0但可篡改报警阈值的漏洞。
评估结果应落到明确的风险等级和处置时限。可参考如下分级：
| 风险等级 | 判断依据（示例） | 处置时限（示例） |
|---|---|---|
| 紧急 | 可远程利用且直接影响治疗/报警/剂量 | 24小时内启动缓解，7天内完成处置 |
| 高 | 可远程利用但仅影响非关键功能，或需认证但影响关键功能 | 7天内启动，30天内完成 |
| 中 | 需物理接触或高权限，影响有限 | 30天内启动，90天内完成 |
| 低 | 利用条件苛刻，无患者安全影响 | 纳入常规版本迭代 |
三、处置：在“修”与“稳”之间做工程取舍
医疗器械的处置往往不能简单“打补丁”。原因包括：补丁可能引入新的回归风险；设备可能已装机且无法停机；部分老旧设备根本不支持现场升级。因此，处置策略应分层设计：
- 补丁升级：适用于可现场或远程升级、且回归测试可控的产品。
- 缓解措施：如关闭非必要端口、增加网络隔离、限制访问权限、启用白名单通信。
- 补偿控制：如加强临床操作监控、增加人工核对步骤、调整报警策略。
- 召回或停用：当风险不可接受且无有效缓解时，按法规要求启动召回或现场安全纠正。
处置方案必须记录“为什么选它”，包括风险收益判断、对临床工作流的影响、对法规符合性的影响。例如，某型号监护仪存在远程拒绝服务漏洞，但该设备部署在独立VLAN且无远程访问需求，此时网络隔离加访问控制可能比紧急推送固件更稳妥。
四、验证：证明“修好了”而不是“改过了”
验证环节要同时覆盖技术有效性和临床安全性。技术验证包括：漏洞复现测试确认原攻击路径已失效；回归测试确认补丁未破坏原有功能；安全测试确认未引入新漏洞。临床验证则根据风险等级决定，高风险漏洞的处置通常需要临床工程师或医学部门确认设备在真实工作流中的表现。
验证不通过时，必须回流到处置环节重新选择方案，而不是“带病关闭”。验证通过后，应形成验证报告，记录测试用例、测试环境、测试结果、残留风险和结论。这份报告既是质量记录，也是后续披露和监管沟通的证据。
五、披露：在合规与透明之间把握节奏
披露不是简单发公告。医疗器械漏洞披露需要同时考虑监管要求、客户知情权和攻击窗口。一般原则是：先完成缓解或修复，再协调披露；若漏洞已被主动利用或存在紧急患者风险，则应提前向监管机构和关键客户预警。
披露内容应包括：漏洞描述、受影响产品和版本、风险等级、已采取的缓解措施、用户应执行的操作、获取修复的途径。披露渠道可包括监管报告、客户安全通告、厂商官网安全公告等。披露后应保留沟通记录，作为合规证据。
六、持续监控：让闭环真正“转起来”
持续监控是闭环的驱动力。它至少包括：对已披露漏洞的修复状态跟踪；对新CVE和厂商通告的持续比对；对现场设备日志和异常事件的监测；对威胁情报中新型攻击手法的关注。监控发现新证据时，应触发再评估，判断是否需要重新定级、重新处置或扩大披露范围。
为了让流程可执行，建议为每个漏洞条目维护状态字段：发现、评估中、处置中、验证中、已披露、监控中、已关闭。只有验证通过、披露完成且监控期内无新风险，才允许关闭。关闭后仍应保留记录，供后续审计和同类问题复盘使用。
综上，医疗器械漏洞管理流程框架的核心在于：以可追踪的漏洞条目为对象，以患者风险为评估尺度，以工程可行为处置约束，以验证证据为关闭条件，以披露合规为沟通边界，以持续监控为循环动力。只有这六个环节形成闭环，漏洞管理才能从“救火”走向“可控”。