DB32-T 3769-2020醫(yī)療器械網(wǎng)絡(luò)信息安全基本要求

DB32醫(yī)療器械網(wǎng)絡(luò)信息安全基本要求Basicrequirementsofinformationsecurityofmedicaldevices江蘇省市場(chǎng)監(jiān)督管理局發(fā)布I I II 3 3 3 5 6 7 7 7 8 9 103醫(yī)療器械網(wǎng)絡(luò)信息安全基本要求本標(biāo)準(zhǔn)適用于具有網(wǎng)絡(luò)連接功能以進(jìn)行電子數(shù)據(jù)交換或遠(yuǎn)程控制的醫(yī)療器械產(chǎn)品，其中網(wǎng)絡(luò)包括無(wú)用存儲(chǔ)媒介以進(jìn)行電子數(shù)據(jù)交換的醫(yī)療器械產(chǎn)品，其中存儲(chǔ)媒介包括但不限于光盤(pán)、移動(dòng)硬盤(pán)和U盤(pán)。GB/T25000.10-2016系統(tǒng)與軟件工程系統(tǒng)與軟件質(zhì)量要求和評(píng)價(jià)（SQuaRE）第10部分：系統(tǒng)與YY/T0316-2016醫(yī)療器械風(fēng)險(xiǎn)管理對(duì)醫(yī)療器械的應(yīng)用接口electronicint換。它包括連接類(lèi)型(如USB端口、無(wú)線(xiàn)連接)和信息內(nèi)產(chǎn)品敏感信息productsensitiveinform產(chǎn)品敏感數(shù)據(jù)是指可以影響產(chǎn)品信息安全的任何重要訪(fǎng)問(wèn)權(quán)限accesspermis4在上市和/或投入服務(wù)前。對(duì)醫(yī)療器械的設(shè)計(jì)、制造、包裝或作標(biāo)記、系統(tǒng)的裝配或者改裝醫(yī)療器械負(fù)有責(zé)任地自然人或法人，不管上述工作是由他自己或由第三方代其完個(gè)人敏感信息personalsensitiveinformation一種保證數(shù)據(jù)處理系統(tǒng)的資源只能由被授權(quán)主體按授權(quán)方式進(jìn)行5信息對(duì)未授權(quán)的個(gè)人、實(shí)體或過(guò)程不可用或不泄露的信息安全informationsecu通過(guò)對(duì)個(gè)人信息的技術(shù)處理，使其在不借助額外信息的情況最小特定權(quán)限minimumpri主體的訪(fǎng)問(wèn)權(quán)限的最低限度，即僅執(zhí)行授權(quán)活動(dòng)所必需的4.1醫(yī)療器械應(yīng)具有信息安全日志記錄功4.2醫(yī)療器械信息安全日志中應(yīng)包含充分信息，達(dá)到可核查性和抗抵賴(lài)性要求。通過(guò)觸發(fā)信息安全相關(guān)事件，用戶(hù)正常操作或異常操作來(lái)驗(yàn)證有無(wú)相關(guān)日志；通過(guò)審核日志內(nèi)容6b）醫(yī)療器械提供的認(rèn)證錯(cuò)誤信息不允許列舉有效憑證；c）醫(yī)療器械密碼需滿(mǎn)足長(zhǎng)度、復(fù)雜度、更新頻率等注：復(fù)雜度是特殊字符、大小寫(xiě)字母、數(shù)字等選項(xiàng)的組合。更新頻率可d）醫(yī)療器械應(yīng)當(dāng)對(duì)字典攻擊和暴力破解做出相注：硬編碼密碼是指無(wú)法通過(guò)軟件功能修改5.4對(duì)于使用基于角色訪(fǎng)問(wèn)的醫(yī)療器和密鑰等。且醫(yī)療器械應(yīng)具有推薦更改系統(tǒng)默認(rèn)值的指76.1醫(yī)療器械不應(yīng)開(kāi)放與預(yù)期用途無(wú)基本功能和數(shù)據(jù)的可得性。無(wú)效或意外輸入包含但不限于以下6.3醫(yī)療器械應(yīng)具有訪(fǎng)問(wèn)控制能力，非授權(quán)用戶(hù)不能訪(fǎng)問(wèn)未授權(quán)的醫(yī)療器械功能和資7.1醫(yī)療器械應(yīng)具備數(shù)據(jù)備份和恢復(fù)功能，當(dāng)存儲(chǔ)空間不足時(shí)注：指明數(shù)據(jù)備份由操作系統(tǒng)的功能來(lái)執(zhí)行也是可接7.2醫(yī)療器械應(yīng)確保在任何接口之間傳輸數(shù)據(jù)的完7.3醫(yī)療器械應(yīng)確保由產(chǎn)品生成、儲(chǔ)存、使用或傳輸?shù)拿舾袛?shù)據(jù)的保密性。醫(yī)療器械應(yīng)使用可靠的安注：敏感數(shù)據(jù)包含個(gè)人敏感信息和產(chǎn)品敏感信息；安全機(jī)制可能為公認(rèn)的加密算法、數(shù)字證書(shū)等。8隨附文件對(duì)用戶(hù)管理產(chǎn)品信息安全說(shuō)8.1制造商應(yīng)提供醫(yī)療器械中使用的主要軟件組件的版88.3隨附文件中應(yīng)包含該醫(yī)療器械對(duì)預(yù)期使用場(chǎng)景建議的軟硬件配置和運(yùn)行環(huán)境的詳細(xì)說(shuō)明。8.5隨附文件應(yīng)包含醫(yī)療器械接口的詳b）所有本地接口；8.6隨附文件應(yīng)包含對(duì)醫(yī)療器械信息安全相關(guān)事件的說(shuō)9產(chǎn)品設(shè)計(jì)文檔9.1制造商應(yīng)提供該醫(yī)療器械的信息安全9.2產(chǎn)品應(yīng)遵從4.2~4.5節(jié)所提到的所有風(fēng)險(xiǎn)控制方式，如果制造商9ABCDEUSBUSB2.0USB2.0或USB3.1FG[4]UL2900-2-1OutlineofInvestigationforSoftwareCybersecurityPart2-1:ParticularRequirementsforNetworkConnectableComponentsofHe[5]IEC80001-1:2010,Appli[6]IEC/TR80001-2-1:2012,Applicadevices-Part2-1:Step-by-stepriskmanagementofmedicalIT-networks-Prac[7]IEC/TR80001-2-2:2012,Applicationofriskmanagemendevice