美国食品药品监督管理局（FDA）加强医疗设备网络安全框架

随着美国食品药品监督管理局（FDA）网络安全团队庆祝其成立十周年，该机构强调了其保护医疗设备免受可能影响患者安全和设备有效性的数字威胁的持续承诺。FDA将医疗设备网络安全定义为防止未经授权访问、修改或滥用存储在医疗设备中或在医疗设备之间传输的信息的主动过程。

监管指南的演变

FDA于2025年6月27日发布了题为“医疗设备中的网络安全：质量体系考虑因素和上市前提交内容”的最终指南。该文件取代了2023年的指南，并增加了一个专门章节（第七节），涉及该机构关于《联邦食品、药品和化妆品法案》（FD&C Act）第524B条关于网络设备规定的建议。此举旨在将网络安全融入设备设计的早期阶段，以确保整个产品生命周期（TPLC）的安全。

为什么此消息很重要？

这些更新的重要性在于对联网医疗设备的依赖日益增加，这使得它们容易受到可能导致服务中断或敏感数据泄露的攻击。通过与MITRE等技术机构合作，FDA正在开发诸如“软件物料清单”（SBOM）等标准，以确保数据的一致性，并促进对可能缺乏现代安全更新的遗留设备（Legacy Devices）进行风险管理。

风险管理与警报

当在特定设备中发现漏洞时，该机构会继续发布定期安全警报，例如针对Contec和Epsimed公司的患者监护仪，或美敦力（Medtronic）的胰岛素泵。FDA强调，这些警报旨在指导医疗机构采取即时预防措施，以降低未经授权访问的风险。该机构还鼓励制造商和用户定期查阅更新后的指导文件，以确保符合最新的数字安全标准。