医疗器械网络信息安全基本要求DB32／T 3769-2020.pdf

ICS 35.240.99 R 10 DB32 江苏省 地 方 标 准 DB32/T 3769 2020 医 疗器械 网络 信息安 全 基 本要求 Basic requirements of information security of medical devices 2020-04-08 发布 2020-05-15 实施 江 苏 省 市 场 监 督 管 理 局 发布 DB32/T 3769-2020 I 目 次 目 次.I 前 言.II 1 范围.3 2 规 范性 引用 文件.3 3 术 语和 定义.3 4 日 志审 计.5 5 授 权访 问管 理.6 6 非 授权 访问 管理.7 7 数 据安 全保 护.7 8 随 附文 件对 用户 管理 产 品信息 安全 说明 的要 求.7 9 产 品设 计文 档.8 附录 A.9 参考文 献.10 DB32/T 3769-2020 II 前 言 本标准 按照GB/T 1.1-2009 给出的 规则 起草。本标准 由 江 苏省 药品 监督 管理局 提出 并归 口。本标准 起草 单位：江 苏省 医疗器 械检 验所、南 京凌 凯威软 件有 限公 司。本标准 起草 人员：刘 茹、张宜川、耿 恺频、刘 颖、丁楠、鲍远 兵、胡济 民、李宁、张超、蒲璐。DB32/T 3769-2020 3 医 疗器械 网络信息 安全基 本要求 1 范围 本标准 规定 了 医 疗器 械网络 信息 安全 的基 本 要 求。本标准 适用于 具有 网络连 接功能 以进行 电子 数据交 换或远 程控制 的 医 疗器械 产品，其中网 络包 括 无线、有 线网 络，电 子数 据 交换包 括单 向、双向 数据 传输，远程 控制 包括 实时、非实 时控 制。也 适用 于采用存储 媒介 以进 行电 子数 据交换 的医 疗器 械 产品，其 中 存储 媒介 包括 但不 限于 光 盘、移动 硬盘 和U 盘。2 规 范性 引用 文件 下列文 件对 于本 文件 的应 用是必 不可 少的。凡 是注 日 期的引 用文 件，仅注 日期 的 版本适 用于 本文 件。凡是不 注日 期的 引用 文件，其最 新版 本（包括 所有 的修改 单）适用 于本 文件。GB/T 25000.10-2016 系统 与软件工程 系统与软件质量要求和评价（SQuaRE）第10 部分：系统与软件质 量模 型 GB/T 25000.51-2016 系 统 与软件 工程 系 统与 软件 质 量要求 和评 价（SQuaRE）第51部 分：就绪 可用软件 产品（RUSP）的 质 量要求 和测 试细 则 GB/T 25069-2010 信息 安 全技术 术语 GB/T 29246-2017 信息 技 术 安 全技 术信 息安 全管 理 体系 概述 和词 汇 GB/T 35273-2017 信息 安 全技术 个人 信息 安全 规范 YY/T 0316-2016 医疗 器械 风险 管理 对医 疗器 械的 应 用 3 术 语和 定义 3.1 接口 electronic interface 就本标准而言，接 口是 指系统之间相互作用 和/或 相互通信的媒介，从 而允许系统之间进行信息交换。它 包括 连接 类型(如USB 端 口、无线 连接)和 信息 内容。它是 医疗 设备 与其 他设备 或其 他医 疗设 备 之间交换 和使 用信 息的 媒介。3.2 产品敏感 信息 product sensitive information 产品敏 感数 据是 指 可 以影 响产品 信息 安全 的任 何重 要 数据。注：包括 但不 限于 密码、密钥、随机 数生 成器 的种 子、身 份验 证数 据、设备 控制信 息等。3.3 访问权限 access permission 访问权 限，是根 据在 各种 预 定义的 组中 用户 的身 份标 识及其 成员 身份 来限 制访 问某些 信息 项或 某 些控制的 机制。DB32/T 3769-2020 4 3.4 随附文件 accompanying documents 随同医 疗器 械的，为 医疗 器 械安装、使 用和 维护 的责 任 方提供 信息 以及 为操 作者 或使用 者提 供信 息，特别是 关于 安全 信息 的文 件 YY/T 0316-2016，定义2.1 3.5 制造商 manufacturer 在上市和/或投入服务前。对医疗器械的设计、制造、包装或作标记、系统的装配或者改装医疗器械负有 责任 地自 然人 或法 人，不 管上 述工 作是 由他 自己或 由第 三方 代其 完成。YY/T 0316-2016，定义2.8 3.6 个人敏感信息 personal sensitive information 一旦泄 露、非 法提 供或 滥 用可能 危害 人身 和财 产安 全，极易 导致 个人 名誉、身 心健康 受到 损害 或歧视性待 遇等 的个 人信 息。注：个人 敏感 信息 包括 身 份证件 号码、个人 生物 识 别信息、银行 账号、通信 记 录和内 容、财 产信 息、征信信 息、行踪 轨迹、住 宿信息、健 康生 理信 息、交易信 息、14 岁以 下（含）儿童 的个 人信 息等。GB/T 35273-2017，定义 3.2 3.7 访问控制 access control 一种保 证数 据处 理系 统的 资源只 能由 被授 权主 体按 授权方 式进 行访 问的 手段。GB/T 25069-2010，定 义2.2.1.42 3.8 完整性 integrity 准确和 完 备 的特 性。GB/T 29246-2017，定义 2.40 3.9 真实性 authenticity 确保主 体或 资源 的身 份正 是所声 称的 特性。真 实性 适用于 用户、进 程、系统 和信息 之类 的实 体。GB/T 25069-2010，定义2.1.69 3.10 抗抵赖 non-repudiation 证明某 一动 作或 事件 已经 发生的 能力，以 使事 后不 能否认 这一 动作 或事 件。GB/T 25069-2010，定义2.1.17 3.11 可核查性 accountability 确保可 将一 个实 体的 行动 唯一地 追踪 到此 实体 的特 性。GB/T 25069-2010，定义2.1.18 DB32/T 3769-2020 5 3.12 保密性 confidentiality 信息 对 未授 权的 个人、实 体 或过 程不 可用 或不 泄露 的特性。GB/T 29246-2017，定义2.12 3.13 可得性 已授权 实体 一旦 需要 就可 访问和 使用 的数 据和 资源 的特性。注：改写 自GB/T 25069-2010，定义2.1.20 可用 性 3.14 信息 安全 information security 对信息 的保 密性、完 整性、和可 得性 的保 持。注：另 外，也可 包括 诸如 真实性、可 核查 性、抗抵 赖等其 他特 性。GB/T 29246-2017，定义2.33 3.15 去标识化 de-identification 通过对 个人 信息 的技 术处 理，使 其在 不借 助额 外信 息的情 况下，无 法识 别个 人信息 主体 的过 程。注：去 标识 化建 立在 个体 基础之 上，保留 了个 体颗 粒度，采用 假名、加 密、哈希函 数等 技术 手 段 替代对个 人信 息的 标识。GB/T 35273-2017，定义 3.14 3.16 最小特定权限 minimum privilege 主体的 访问 权限 的最 低限 度，即 仅执 行授 权活 动所 必需的 那些 权利。GB/T 25069-2010，定 义 2.2.1.142 4 日 志审 计 4.1 医疗 器械 应具有 信息 安全日志 记录 功能。4.2 医疗 器械 信息 安全 日 志中应 包含 充分 信息，达到 可核 查性 和 抗 抵赖 性要求。4.3 医 疗器 械 应将 与信息 安全相 关的日 志存 储在非 易失性 存储器 中，且不允 许非 授 权用户 删除 或更 改它们。通过触 发信息 安全 相关事 件，用 户正常 操作 或异常 操作来 验证有 无相 关日志；通过 审核日 志 内 容（如：用户标 识、操作时 间、来 源、行 为等 信息）来验证 日志描 述是 否清晰 明了；通过对 日志 存 储记录或 文件 进行 攻击，验 证日志 存储 的安 全性。DB32/T 3769-2020 6 5 授 权访 问管 理 5.1 接口 访 问服务 应当 要 求用户 在访问 前进 行身份 认证。远程访 问时，如涉 及可能 影响或 改变 产品 信息安全 的操 作，应要 求用 户再次 进行 身份 认证。注：不涉 及 可 能影 响或 改 变产品 信息 安全 的操 作 且 不涉及 敏感 信息（个人 敏 感信息 和产 品敏 感信息）传输的产 品，可使 用未 经身 份 认证 的访 问。5.2 为 防止 永久 授 权，医 疗器械 的用户 授权 服务应 当实现 会话超 时注销 或其 他 等效 功能。会话 超时 时间应是 可配 置的。5.3 对于 使用 用户 名和 密 码进行 用户 认证 的产 品：a）医 疗器 械 密 码的 存储 应 有防止 信息 泄露 措施；b）医 疗器 械 提 供的 认证 错 误信息 不允 许列举 有效 凭证；c）医 疗器 械 密 码需 满足 长 度、复 杂度、更 新频 率等 特性要 求；注：复 杂度 是特 殊字 符、大小写 字母、数 字等 选项 的组合。更 新频 率可 配置。d）医 疗器 械 应 当对 字典 攻 击和暴 力破 解做 出相 应的 防护；e）医 疗器 械 不 应含 有硬 编 码密码；注：硬 编码 密码 是指 无法 通过软 件功 能修 改的 密码。f）医疗 器械 应具有 管 理有 效用户 列表 的功 能。5.4 对于 使用 基于 角色 访 问的 医 疗器 械：a）应 清楚 地记 录所 有已 存 在的角 色及 其相 关的 权限；b）应 设置 拥有 管理 产品 专 有权限 的“管理 员”或“系统”角色，这 样的 权限 不应授 予其 他角 色；c）应 能够 对进 行身 份认 证 的每个 帐号 执行 最小 特定 权限原 则。5.5 在 医疗 器械使用 之前，医疗 器械 需 要改 变任何 在 医疗 器械 安 全中 起作用 的系统 默认值，比 如密 码和密钥 等。且医 疗器 械 应 具有推 荐更 改系 统默 认值 的 指导 说明。DB32/T 3769-2020 7 6 非 授权 访问 管理 6.1 医疗 器械 不应 开放 与 预期用 途无 关的 端口。6.2 当 医疗 器械 的 接口 出 现无效 或意外 的输 入时，医疗器 械 应能 继续 按预期 运行，并保障 医疗 器械 的基本功能 和 数据 的 可 得性。无效 或意 外输 入包含 但 不限于 以下 内容：a）参 数类 型或 长度 异常；b）特 殊字 符或 其它 特殊 语 句；c）非 法文 件。6.3 医疗 器械 应具有 访问 控制能力，非授权 用 户不 能访问 未授 权 的 医疗 器械 功能和 资源。7 数 据安 全保 护 7.1 医疗 器械 应具 备数 据 备份 和 恢复 功能，当 存储 空间不足 时 有相 应提 示。注：指 明数 据备 份由 操作 系统的 功能 来执 行也 是可 接受的。7.2 医疗 器械 应确 保在 任 何 接口 之间 传输 数据 的 完 整性 和 真实 性。7.3 医 疗器 械 应确 保由 产 品生成、储存、使 用或传输 的敏 感数据 的 保 密性。医疗器 械 应使 用可靠 的 安全机制 来保证 敏 感数 据 的 保密性 或去 标识 化。注：敏 感数 据包含 个 人敏 感信息 和产 品敏 感信息；安全机 制 可 能为 公认 的加 密算法、数 字证 书等。8 随 附文 件 对 用户 管理 产品 信息 安全 说明 的要 求 8.1 制造 商 应 提供 医疗 器 械 中使 用的 主要 软件 组件 的版本。DB32/T 3769-2020 8 8.2 随 附文 件 中应包 含对 医疗器 械 使用 场景 的详细 说明，及该使 用场景 下针 对 网络 连接功能 的 注意 事项。注：使 用场 景可 能是 医院、家庭、公 共场 所等。8.3 随附 文件 中应包 含 该 医疗器 械 对 预期 使用 场景 建议 的 软硬 件配 置和 运行 环境的 详细 说明。8.4 随附 文件 应包 含对 访 问权限 的说 明。8.5 随附 文件 应包 含 医 疗 器械接口 的 详细 说明：a）所 有远 程接口；b）所 有本 地接口；c）所 有无 线接口。8.6 随附 文件 应包 含对 医 疗器械 信息 安全 相关 事件 的说明。注：信息 安全 相关 事件 可 以是 成 功的 登录 或失 败的 登录、用 户身 份认 证凭 证 的变更、有效 用户 帐户列表的 更改、配 置的 修改 保存、核心 业务 事件 的触 发、成 功的 和不 成功 的软 件更新 等。8.7 制造 商 应 识别 医疗 器 械 中的 个人 敏感 信息 并记 录 在 随 附文 件中。9 产品 设计 文档 9.1 制 造商 应提 供 该 医疗 器械 的 信息 安全 风险 分析 文档。9.2 产 品应遵 从 4.24.5 节 所提到 的所 有风 险控 制方式，如 果 制 造商 选择 不遵 守其中 一个 或多 个风 险 控制，那 么 制 造商 应在 医疗 器械 信 息安 全 风 险分 析文档 中记 录并 证明 这一 点。DB32/T 3769-2020 9 附 录 A（资料 性附 录）物理拓 扑示 例 A.1 物 理拓 扑示例 图一：物理 拓扑 示例 图 A.2 接 口说 明示例 编号 接口类型 传输协议 接口用途 A RJ45 HL7 或 DICOM 通过 DICOM 协 议传 输医 学影像 B 蓝牙模 块 蓝牙 4.0 通过蓝 牙协 议传 输 血 氧数 据 C WIFI 模块 SOAP 或 FTPS 发送和 接 受 xxxx 数据 D 串口 RS232/RS485 MODBUS 发送和 接 受 xxxx 数据 E USB USB2.0 或 USB3.1 拷贝 xxxx 数据 F 4G 模块 HTTPS 或 FTP 通过 HTTPS 协 议加 密传 输 通信数 据 G 表一：接口 说明 示例 表 DB32/T 3769-2020 10 参 考 文 献 1 中华 人民 共和 国网 络安 全法（中华 人民 共和 国主 席令第 五十 三号）2 医疗 器械 网络 安全 注册 技术审 查指 导原 则 3 UL 2900-1 Standard for Safety Software Cybersecurity for Network-Connectable Products,Part 1:General Requirements 4 UL 2900-2-1 Outline of Investigation for Software Cybersecurity for Network-Connectable Products,Part 2-1:Particular Requirements for Network Connectable Components of Healthcare Systems 5 IEC80001-1:2010,Application of risk management for IT-networks incorporating medical devices-Part 1:Roles,responsibilities and activities 6 IEC/TR 80001-2-1:2012,Application of risk management for IT-networks incorporating medical devices-Part 2-1:Step-by-step risk management of medical IT-networks-Practical applications and examples 7 IEC/TR 80001-2-2:2012,Application of risk management for IT-networks incorporating medical devices-Part 2-2:Guidance for the disclosure and communication of medical device security needs,risks and controls