1. 联网医疗设备安全形势与零信任工程导入
医疗设备正在从“床边孤岛”变成“网络终端”。一台监护仪、输液泵、影像设备或可穿戴传感器，只要接入医院网络、厂商远程运维通道或云端平台，就不再只是临床工具，而是一个拥有身份、接口、数据和访问路径的计算节点。攻击面因此发生结构性变化：过去风险集中在物理接触和单机故障，如今风险沿着网络连接、账号权限、固件更新、远程维护和第三方集成扩散。理解这一变化，是零信任身份与访问工程在医疗场景落地的起点。
攻击面为何被放大
联网医疗设备的特殊性在于，它同时承载三类资产：患者生命体征数据、设备控制指令、以及设备自身的身份凭证。任何一类被篡改或窃取，后果都不同于普通IT终端。常见攻击面可归纳为四条链路：
- 设备接入链路：设备通过有线、Wi-Fi、蓝牙或蜂窝网络接入，若使用默认口令、静态密钥或未绑定证书，攻击者可伪装成合法设备接入。
- 远程运维链路：厂商工程师通过VPN、跳板机或云平台远程排障，权限往往过大且难以审计，一旦账号泄露即可横向移动。
- 数据交换链路：设备与HIS、PACS、EMR、物联网平台之间传输数据，接口若缺乏双向认证和最小权限，数据可被窃听或注入。
- 供应链与更新链路：固件、补丁、配置包从厂商到设备之间若缺少签名校验，恶意固件可长期潜伏。
这四条链路并非孤立。攻击者常以低权限设备为跳板，利用设备间隐式信任，逐步接近核心系统。传统“边界防护+静态授权”的假设——内网可信、外网不可信——在设备移动、远程运维和云化部署面前已经失效。
典型安全事件与监管压力
近年来公开披露的医疗设备安全事件反复验证了上述风险。例如，某类输液泵因默认口令和未加密通信被远程篡改输注速率；某影像归档系统因未修复的已知漏洞导致患者影像数据被批量导出；某厂商远程维护通道因共享账号被入侵，攻击者借此进入多家医院内网。这些事件的共同点不是“设备太旧”，而是身份不可信、权限无边界、访问无持续验证。
监管层面，等保2.0、医疗器械网络安全注册审查指导原则、数据安全法与个人信息保护法，以及医院信息互联互通测评，都对设备身份、访问控制、审计追溯提出了明确要求。监管关注的核心问题可以概括为：谁在访问、访问什么、凭什么访问、访问是否持续合规。这正是零信任要回答的问题。
零信任身份与访问工程的目标与范围
零信任不是单一产品，而是一套以“永不默认信任、持续验证、最小权限”为原则的工程体系。在医疗设备场景中，其目标可具体化为四点：
- 设备身份可信：每台设备拥有唯一、可验证、可轮换的身份凭证，拒绝默认口令和共享密钥。
- 访问主体可信：人、设备、服务、应用在每次访问时都经过身份认证与上下文评估。
- 权限最小且动态：按角色、时间、位置、设备状态授予最小权限，异常时自动降权或阻断。
- 全程可审计：身份、访问、数据流、策略变更均留痕，支持追溯与合规举证。
工程范围覆盖设备侧、网络侧、平台侧和运维侧：设备侧负责身份注入与可信启动；网络侧负责微隔离与流量控制；平台侧负责策略决策与持续评估；运维侧负责远程访问的强认证与审计。四者通过统一身份平面和策略引擎协同，形成可落地的零信任架构。
从原则到工程：一个可操作的判断路径
零信任落地不能停留在口号。对一台新接入的联网输液泵，工程上可按以下判断路径推进：设备是否具备唯一身份凭证；接入网络时是否经过双向认证；访问HIS或物联网平台时是否按最小权限授权；远程运维是否经过强认证并全程录屏审计；固件更新是否校验签名。任一环节缺失，都应视为风险点并纳入整改清单。