3. 医疗器械网络安全风险管理与ISO 14971融合
ISO 14971 是医疗器械风险管理的通用框架，它要求制造商在器械全生命周期内识别危害、估计和评价风险、实施控制并评价剩余风险。网络安全风险并不会脱离这一框架独立存在：一台输液泵被远程篡改流速，本质上仍是“能量或物质非预期释放”这一危害路径的数字化变体。因此，网络安全风险管理应当嵌入 ISO 14971 的既有流程，而不是另起一套并行体系。本节围绕资产识别、威胁建模、脆弱性评估、风险控制与剩余风险评价五个环节，说明如何把网络安全要素映射到 ISO 14971 的语言和证据链中。
一、从资产识别开始：把“安全目标”落到具体对象
ISO 14971 从“预期用途”和“合理可预见的误用”出发界定风险边界；网络安全则从“需要保护的资产”出发。两者结合的第一步，是识别器械中与安全相关的资产。资产不只是数据，还包括：控制算法与参数、固件与配置、通信接口与协议栈、身份凭证与密钥、日志与审计记录、以及器械所依赖的外部服务（如远程会诊平台、云升级服务）。
资产识别应回答三个问题：该资产被破坏后，是否可能导致患者伤害？它承载哪些安全相关功能？它通过什么接口与外界交互？例如，某胰岛素泵的资产清单可包括：基础率配置表（完整性受损→过量输注）、蓝牙/BLE 配对密钥（机密性受损→未授权控制）、固件镜像（真实性受损→植入恶意逻辑）、历史输注日志（可用性受损→临床决策依据缺失）。这一步的产出是“安全相关资产清单”，并标注每个资产的 CIA（机密性、完整性、可用性）属性优先级——注意，医疗器械中完整性通常优先于机密性，因为被篡改的治疗参数比被读取的参数更直接威胁患者。
二、威胁建模：把攻击者行为映射为危害场景
威胁建模的目标不是穷举所有攻击，而是识别“可能触发危害的威胁路径”。常用方法是先建立数据流图（DFD），标出外部实体、处理过程、数据存储和数据流，再用 STRIDE 对每个元素提问：是否存在仿冒、篡改、否认、信息泄露、拒绝服务、权限提升的可能。
在医疗器械语境下，威胁建模需要额外关注“安全相关功能”的调用链。例如，远程控制指令从移动 App 经网关到达泵体，若网关未做指令来源校验，攻击者可伪造“临时大剂量”指令。此时威胁不是抽象的“仿冒”，而是具体危害场景：未授权的大剂量输注 → 患者低血糖 → 伤害。威胁建模的输出应是一组“威胁—危害”对应关系，并标注触发前提（如需要物理接触、需要邻近无线、需要已入侵医院网络）。
三、脆弱性评估：从“已知弱点”到“可利用性判断”
脆弱性是资产中可能被威胁利用的弱点。评估时不能只看“有没有漏洞”，而要看“该漏洞在器械的预期使用环境中是否可被利用，以及利用后是否影响安全相关功能”。常见来源包括：软件物料清单（SBOM）与第三方组件 CVE、渗透测试报告、厂商安全公告、以及设计评审中发现的架构缺陷。
以某型号输液泵为例，假设其 BLE 通信使用固定配对码“000000”。这是一个脆弱性，但风险高低取决于使用环境：若器械仅用于家庭、且攻击者需在 10 米内，可能性中等；若用于医院病房，攻击者可伪装成护士站设备，可能性升高。因此脆弱性评估必须与“使用环境假设”绑定，并在风险管理文档中记录这些假设。评估输出通常包括：脆弱性描述、关联威胁、可利用性评分（如 CVSS 环境分）、受影响的资产与安全功能。
四、风险控制措施：按 ISO 14971 优先级落地
ISO 14971 要求风险控制按“设计固有安全 → 防护措施 → 安全信息”的优先级实施。网络安全控制同样遵循这一顺序：
- 设计固有安全：让系统在架构上就不易被攻破。例如，治疗参数写入必须经过双通道校验；固件采用安全启动，未签名镜像无法运行；通信采用双向认证而非仅口令。
- 防护措施：在既有架构上增加安全机制。例如，BLE 配对使用带外确认；远程指令增加时间戳与序列号防重放；审计日志写入只追加存储并定期上传。
- 安全信息：通过说明书告知用户网络隔离要求、默认口令修改、异常行为上报途径。这是最后一道防线，不能替代前两类控制。
每项控制措施都应可追溯到具体威胁与脆弱性，并明确验证方式：签名固件可通过“尝试刷入未签名镜像应被拒绝”来验证；配对认证可通过“使用错误配对码应无法建立连接”来验证。控制措施实施后，需要重新估计风险，形成“控制前—控制后”的对照记录。
五、剩余风险评价：接受、迭代还是放弃
剩余风险是控制措施实施后仍然存在的风险。ISO 14971 要求对剩余风险进行评价，判断其是否可接受；若不可接受，则回到控制措施迭代。网络安全剩余风险的评价需要特别关注“未知威胁”和“环境变化”：今天可接受的剩余风险，可能因为新披露的 CVE 或医院网络架构变化而变得不可接受。因此，剩余风险评价不是一次性动作，而应纳入上市后监控：通过威胁情报、漏洞扫描、现场事件报告持续更新风险档案。
把网络安全融入 ISO 14971，关键不是新增一套术语，而是让每个网络安全活动都能回答同一个问题：它如何降低患者伤害的可能性或严重度？资产识别确定保护对象，威胁建模建立攻击到危害的路径，脆弱性评估判断路径是否可被利用，风险控制按优先级切断路径，剩余风险评价决定是否放行并持续监控。这条链条闭合，网络安全风险管理才真正成为医疗器械风险管理的一部分，而不是附加的合规文档。