近日，FDA发布了更新版的医疗设备网络安全区域事件准备和响应手册，即Medical Device Cybersecurity Regional Incident Preparedness and Response Playbook，这是FDA与MITRE合作完成的，其目的是为了帮助医疗保健服务机构（HDO）准备网络安全事件的资源。这个手册侧重于对影响医疗设备功能的医疗设备网络安全问题的准备和响应。

同时，也发布了手册的更短的一个版本，即Playbook Quick Start Companion Guide ，这个更短的手册版本讨论了医护机构为建立医疗设备事件响应程序时开始做的准备和活动。

这则手册为医疗服务组织和其他利益相关方规划和响应医疗设备网络安全事件、确保设备有效性和保护患者安全概述了一个框架。

手册更新的相关背景

医疗保健机构知道如何准备和应对自然灾害。然而，它在处理网络安全事件，尤其是涉及医疗设备的事件方面准备不足。2017年的WannaCry勒索软件攻击凸显了更强大的网络安全准备的必要性，以执行增强、有效、实时的响应，实现临床操作的连续性。作为回应，FDA要求MITRE开发第一版手册，并于2018年出版。

这以后，医疗保健和公共卫生部门继续经历越来越多的网络事件: 从2020年年中到2021年，82%的医疗保健系统报告了网络事件，其中34%涉及勒索软件。此外，网络事件变得越来越复杂，包括供应链泄露和涉及云服务基础架构的事件。

由于这些网络事件经常影响多种医疗设备和IT系统，它们导致了大范围的中断，需要数周或数月才能完全恢复。FDA认为更新手册以反映这些发展趋势是有价值的，并再次委托MITRE与利益相关方联系，以确定自最初发布手册以来的差距、挑战和额外资源。

该手册概述了医院和其他医疗保健机构如何制定网络安全准备和响应框架。它补充了现有的HDO应急管理和/或事件响应能力，为医疗设备网络安全事件提供了区域准备和响应建议。修订版包括更明确地与医院事件指挥系统保持一致，以管理复杂事故，考虑网络事故期间常见的广泛影响和长时间停机，并提供了一个资源附录。

那么这则手册和医疗设备制造商（MDM）有什么关联呢？

制造商是医疗器械事故响应过程中的关键合作伙伴。MDM对设备组件和组成的了解，以及验证漏洞、评估设备入侵和/或危害以及制定缓解措施的能力，对于将HDO恢复到完全功能能力至关重要。在某些情况下，设备维护合同可能会限制HDO干预，并使其完全依赖MDM（或其他维护承包商）进行任何所需的设备更改。在其他情况下，如果嵌入式设备组件包含或导致漏洞，则可能需要咨询第三方供应商。

例如：

1、在HDO采购医疗设备过程中，制造商通常需要参与以下活动：

1）参与HDO网络安全演练中

将制造商纳入区域医疗设备网络安全演练中，为HDO和MDM提供了建立HDO-制造商关系、定义各方角色和责任以及更好地理解设备事件期间所需的协调努力的机会。例如需要共享：

– 事件的范围、严重程度和对设备功能、临床护理和患者安全的影响（最初和发展阶段）（HDO）；

– 可采取行动的产品特定信息，以确保及时响应（制造商）；

– 有形补丁/修复程序，以遏制和消除威胁（制造商）；以及

– 定期状态沟通（HDO/制造商）。

与HDO一起参与网络安全演练中还可以帮助制造商开发和完善自己的内部事件管理流程。

2）提供软件材料清单（SBoM）

使HDO能够识别和解决易受攻击的设备组件。这些信息在制定事件响应计划中很有价值，因为它可以在组织的设备库存中进行分类和优先排序，有助于在发生事件时更快、更集中地做出反应。

【软件材料清单SBoM知识普及】

软件材料清单SBoM，其英文全称是Software Bill of Materials，可以帮助管理整个软件堆栈中存在的网络安全风险。稳健的SBoM包括设备制造商开发的组件和第三方组件（包括购买/许可的软件和开源软件），以及专有、购买/许可和开源软件所需/依赖的上游软件依赖性。SBoM通过提供一种机制来识别软件组件中可能受到漏洞影响的设备，从而有助于促进风险管理过程，无论是在开发期间（当软件被选为组件时）还是在产品投入市场后。

由于漏洞管理是设备安全风险管理过程的关键部分，因此SBoM或同等功能应作为设备配置管理的一部分进行维护，并定期更新以反映市场上设备软件的任何变化，并应支持21 CFR 820.30（j）（设计历史文件）和820.181（设计主记录）文件。

3）明确漏洞管理的职责

这将可能使HDO能够降低新发现漏洞的风险，包括告知漏洞修补过程，哪些是由客户管理，哪些是由制造商现场管理，哪些可以由制造商远程管理，并及时通知新发现的漏洞，以及提供网络安全文档，如产品网络安全白皮书。

4）在响应和恢复过程中提供支持的承诺

这将有助于HDO在事件期间做出更快速的响应。制造商的支持可能包括取证活动、重新安装设备或提供租借系统。

5）及时通知网络安全事件

及时通知其基础设施发生的可能影响HDO临床操作的成功的网络安全事件，包括通知时限、如何提供信息以及缓解和继续操作的建议。

2、在网络安全事件响应过程中，制造商扮演着重要的角色：

医疗器械网络事件的沟通通常涉及不同的外部利益相关者，如下图所示。

制造商在事件响应过程中的交互活动包括：1）网络安全事件通知；2）设备不良事件报告（如适用）；3）自愿召回。