1. 医疗器械网络安全体系工程导论
医疗器械网络安全体系工程，研究的不是“给设备装一个杀毒软件”这样的单点问题，而是把网络安全作为与电气安全、生物相容性、软件质量同等重要的工程属性，贯穿医疗器械从概念、设计、生产、上市到退役的全过程。它要回答三个层次的问题：是什么——医疗器械网络安全保护的是患者安全与基本性能，而不仅是数据机密性；应该做什么——法规要求制造商建立上市前与上市后一体的安全能力；实际怎么做——把威胁建模、安全需求、验证测试、漏洞响应落到具体的产品与流程中。
一、课程目标与核心概念
本课程的目标是让学员能够以体系工程的方法，把分散的安全活动组织成可追溯、可验证、可持续运行的工程体系。学完后应能：识别器械的资产与信任边界，建立安全需求与风险控制的对应关系，设计覆盖全生命周期的安全活动，并能在上市后对漏洞与安全事件做出合规响应。
几个核心概念需要先厘清。资产是器械中具有价值的对象，例如患者数据、治疗参数、控制指令、固件、密钥与诊断接口。威胁是可能对资产造成损害的潜在原因，如未授权访问、恶意固件刷写、拒绝服务。脆弱性是资产或系统中可被威胁利用的弱点，如默认口令、未加密的调试端口、缺少完整性校验。风险则由威胁利用脆弱性造成伤害的可能性和严重度共同决定。需要特别强调：在医疗器械语境下，风险的终点是对患者或操作者的伤害，以及器械基本性能的丧失，而不是单纯的信息泄露。因此，一个只影响数据保密性、不影响治疗功能的漏洞，与一个能篡改输注速率的漏洞，其风险等级完全不同。
另一个关键概念是信任边界。器械往往通过无线、网络、USB、服务接口与外部交互，每一条跨越边界的通路都是攻击面。体系工程要求明确每条边界上“谁可以访问什么、以什么方式、在什么条件下”，并据此布置认证、加密、审计与隔离措施。
二、法规背景：从“可选”到“强制”
医疗器械网络安全的法规环境已从建议性走向强制性。国际上，美国 FDA 在上市前审查中要求提交网络安全资料，涵盖威胁建模、安全需求、架构图、漏洞测试与上市后管理计划；欧盟 MDR 将信息安全纳入风险管理与软件生命周期要求，并强调与 GDPR 的衔接；IEC 81001-5-1 专门规定健康软件的安全活动，IEC 62304 规定医疗器械软件生命周期过程，ISO 14971 提供风险管理框架，IEC 62443 系列则提供工业与物联网环境下的安全要求。国内，《医疗器械网络安全注册审查指导原则》要求注册申报时提交网络安全性描述、风险分析、验证与确认资料，并明确上市后漏洞响应义务。
这些要求的共同逻辑是：安全不是一次性认证，而是持续承诺。制造商不仅要证明产品上市时是安全的，还要证明在预期使用期限内能够持续识别、评估和修复安全问题。这就把网络安全从研发部门的局部工作，提升为覆盖质量、法规、售后、供应链的组织级能力。
三、体系工程视角与全生命周期框架
体系工程视角强调三点：其一，整体性——安全活动必须与风险管理、软件工程、质量管理体系融合，而不是另起一套流程；其二，可追溯性——从资产到威胁、从威胁到安全需求、从需求到测试用例、从测试到放行结论，形成双向可追溯链；其三，闭环性——上市后监测到的漏洞与事件必须反馈回设计与生产环节，驱动改进。
下图给出医疗器械网络安全全生命周期框架，横向为阶段，纵向为贯穿性活动，并标出关键交付物与反馈路径。
框架的读法是：上方六个阶段是时间轴，中间蓝色带是贯穿所有阶段的活动，下方是支撑要素，虚线箭头表示上市后信息必须回流到设计开发。任何一环缺失，体系都会出现断点。例如，若没有资产清单，威胁建模就无从下手；若没有需求到测试的可追溯性，就无法向监管证明安全控制确实有效。
四、一个可操作的起步示例
以一个联网输液泵为例，说明如何把上述框架落到具体工作。假设该泵通过 Wi-Fi 接入医院网络，支持远程查看输注状态和下发速率调整指令，使用默认管理员账户，固件通过 USB 升级且未做签名校验。
第一步，建立资产清单：患者姓名与输注记录、输注速率与剂量参数、控制指令通道、固件镜像、管理员凭据、Wi-Fi 通信模块。第二步，识别信任边界：泵与医院网络之间、泵与 USB 升级介质之间、泵与远程管理终端之间。第三步，做威胁建模：攻击者若接入同一网络，可能利用默认口令登录并篡改速率；若获得 USB 接触，可能刷入恶意固件。第四步，导出安全需求：强制首次登录修改口令并限制失败次数；远程指令必须双向认证并加密；固件升级必须验证数字签名；关键操作写入审计日志。第五步，验证：用漏洞扫描确认无默认口令与已知高危端口，用渗透测试尝试越权改速率，用篡改固件包验证签名校验是否拒绝加载。第六步，上市后：订阅组件漏洞公告，建立漏洞评估与补丁发布流程，并在说明书中告知用户网络隔离与口令管理要求。
需要提醒的是，医疗器械网络安全没有“绝对安全”，只有“风险可接受且持续受控”。体系工程的价值，正在于把这种受控状态变成可计划、可执行、可审计、可改进的常规工程活动，而不是依赖个别专家的临时判断。