医疗器械网络安全：FDA SBOM与渗透测试强制要求（2026）

2025年6月27日，FDA发布《医疗器械网络安全：质量体系考量与上市前提交内容》最终指南，将网络安全要求从"推荐性指南"升级为强制性法规。这意味着：任何含有软件或具备网络连接能力的医疗器械，如果在510(k)、De Novo或PMA申请中未提交完整的网络安全文档，FDA将直接发出RTA（拒绝受理）通知。对于计划进入美国市场的中国医疗器械企业，网络安全已从"加分项"变为"准入门槛"。本文将系统解读FDA网络安全要求的核心内容、必备文档清单及合规策略。

一、FDA网络安全要求概述

1.1 从"建议"到"强制"的根本转变

RTA的影响：每次RTA平均造成约22个日历日的延误，严重拖慢产品上市进程。

1.2 "网络设备"的定义

根据FD&C Act第524B(c)节，网络设备（Cyber Device）是指同时满足以下三个条件的医疗器械：

1. 包含软件：经制造商验证、安装或授权的软件、固件或可编程逻辑

2. 具备连接能力：能够连接互联网（直接或间接）

3. 存在网络安全风险：包含可能易受网络安全威胁的技术特性

连接能力范围：

重要提示：即使设备设计用于隔离网络运行，只要具备连接能力即适用本要求。

1.3 适用范围

二、五大核心安全目标

FDA要求所有网络设备的设计必须确保以下五大安全目标：

2.1 真实性与完整性（Authenticity & Integrity）

含义：确保数据、设备和命令不被篡改或伪造

实施方法：

2.2 授权（Authorization）

含义：仅限授权用户访问设备功能

实施方法：

2.3 可用性（Availability）

含义：确保设备在攻击下仍能提供核心服务

实施方法：

2.4 保密性（Confidentiality）

含义：保护患者数据和系统配置免受未授权访问

实施方法：

2.5 安全及时的更新性（Updatability & Patchability）

含义：能够安全、快速地修补发现的漏洞

实施方法：

三、软件物料清单（SBOM）

3.1 什么是SBOM

SBOM（Software Bill of Materials，软件物料清单）是软件组件的完整、结构化清单，类似于食品配料表，详细列出设备中使用的所有软件组件。

3.2 FDA对SBOM的要求

格式要求：必须采用机器可读格式

内容要求：

3.3 SBOM生成工具推荐

3.4 SBOM生命周期管理

SBOM不是一次性文档，需要持续管理：

1. 开发阶段：生成初始SBOM

2. 提交阶段：随申请提交当前版本

3. 上市后：持续监测组件漏洞

4. 更新阶段：组件变更时更新SBOM

四、威胁建模要求

4.1 FDA对威胁建模的核心要求

系统性要求：

• 威胁建模必须贯穿整个设备生命周期

• 覆盖所有设备元素和系统交互

• 持续更新，非一次性活动

必须覆盖的场景：

4.2 STRIDE威胁分析框架

FDA推荐的STRIDE框架是最广泛使用的威胁建模方法：

4.3 威胁建模文档要求

必须包含的内容：

4.4 威胁建模工具

五、渗透测试要求

5.1 必须进行的测试类型

5.2 渗透测试报告要求

必须包含的内容：

重要要求：渗透测试必须由独立第三方执行，不可由开发团队自测。

5.3 相关标准框架

六、上市前提交文档清单

6.1 核心文档清单

必须提交的文档（缺少将导致RTA）：

6.2 安全架构文档要求

四个必须视图：

6.3 eSTAR电子提交要求

强制要求（2025年1月1日起）：

七、真实执法案例与启示

7.1 Abiomed（强生）召回案例

召回信息：

漏洞详情：

• 网络和物理访问相关的不可接受残余风险

• 攻击者可能操纵设备操作导致失控或意外停泵

• 可能导致生命危险、永久性损伤或死亡

FDA处置：

• 不要求设备返回

• 要求存储在安全网络环境中并禁用网络功能

• 截至召回时，尚无网络攻击或患者受伤报告

7.2 Contec CMS8000患者监护仪案例

FDA安全通告：2025年1月30日

CISA漏洞详情：

技术细节：

• 固件中存在硬编码可路由IP地址（202.114.4.119/120）

• 绕过设备网络设置

• 即使禁用也能启用网络接口

• 可向未知外部网络泄露患者信息

监管行动：

• FDA建议从网络中移除该设备

• CISA建议阻止特定IP地址

• 佛罗里达州总检察长启动调查

7.3 案例启示

八、中国企业合规检查清单

8.1 网络设备识别

首先确认您的设备是否属于"网络设备"：

• 包含软件、固件或可编程逻辑

• 具备互联网连接能力（直接或间接）

• 具有可能受网络攻击影响的技术特性

如果以上任一条件成立，您的设备属于网络设备，必须符合FDA网络安全要求。

8.2 上市前提交准备

核心文档：

• 网络安全维护计划（含CVD程序）

• 安全开发过程描述（SPDF框架）

• 软件物料清单（SBOM，SPDX或CycloneDX格式）

• 已知漏洞分析报告

• 威胁建模报告（使用STRIDE等框架）

• 安全架构文档（四个视图）

• 渗透测试报告（独立第三方）

• 安全更新机制说明

8.3 五大安全目标实现

真实性与完整性：

• 实施数字签名

• 加密校验和验证

• 安全启动机制

• 代码完整性验证

• 物理防篡改措施

授权：

• 多因素认证（MFA）

• 基于角色的访问控制（RBAC）

• 最小权限原则实施

• 会话管理

可用性：

• 安全模式设计

• 冗余设计

• DoS防护机制

• 故障恢复程序

保密性：

• 数据加密（传输与存储）

• 访问日志记录

• 安全擦除功能

• 密钥管理

更新性：

• OTA更新机制

• 签名验证

• 版本回滚保护

• 用户更新通知机制

8.4 上市后维护

• 持续漏洞监测（关联NVD数据库）

• 定期安全测试

• 补丁响应程序

• 用户安全投诉反馈渠道

• 年度PMA报告（网络安全状态更新）

九、时间规划与成本估算

9.1 合规时间规划

9.2 成本估算

十、常见问题解答

Q1：我的设备不连接互联网，是否还需要符合网络安全要求？

需要评估。FDA的定义涵盖"间接连接"能力。如果设备有USB、串口等可能连接其他系统的接口，即使不直接联网，也可能被认定为网络设备。

Q2：SBOM必须包含开源组件吗？

必须。SBOM必须包含所有软件组件，包括商业、开源和自研代码。开源组件是漏洞的常见来源，必须纳入管理。

Q3：渗透测试可以自己内部做吗？

不可以。FDA明确要求渗透测试由独立第三方执行，以确保客观性。内部团队可以进行安全测试，但不能替代独立的渗透测试。

Q4：已经上市的设备需要补充网络安全文档吗？

取决于情况。已获510(k)准入的设备不受新规追溯性影响。但如果进行重大变更（包括网络安全相关的变更），需要提交新的510(k)并符合新要求。

Q5：中国测试实验室的渗透测试报告被FDA接受吗？

通常接受，但需确保：

1. 测试机构具有信息安全资质认证

2. 测试遵循国际标准方法论

3. 报告为英文版本

4. 测试者具有相关资质证明

Q6：网络安全合规的总费用大约是多少，需要多长时间准备？

网络安全合规的总费用通常在$40,000-$150,000之间，具体取决于产品复杂度。其中SBOM生成工具$0-$5,000、威胁建模$5,000-$20,000、第三方渗透测试$20,000-$80,000、安全顾问咨询$15,000-$50,000。时间方面，建议在提交510(k)前12-18个月开始建立安全开发框架（SPDF），提交前1-3个月完成独立渗透测试。提前规划是关键——临时补充网络安全文档往往导致质量不足和审查延误。

总结

FDA医疗器械网络安全要求已从"最佳实践"升级为"强制门槛"。对于中国医疗器械企业，核心要点如下：

1. 2025年最终指南具有法律效力：网络设备必须在上市前提交完整网络安全文档

2. 五大安全目标是设计原则：真实性、授权、可用性、保密性、更新性必须体现在产品设计中

3. SBOM和威胁建模是必备文档：缺失将导致RTA

4. 独立渗透测试是硬性要求：不可由内部团队替代

5. 合规成本需要提前规划：$40,000-$150,000的预算是常见范围

网络安全合规是一项系统工程，建议在产品设计阶段就纳入安全考量（Security by Design），而非在上市前临时补充。这不仅有助于通过FDA审查，更能为患者安全提供真正保障。

参考资料：

• FDA Cybersecurity in Medical Devices Guidance (2025)

• FD&C Act Section 524B

• CISA Known Exploited Vulnerabilities Catalog

• SPDX ISO/IEC 5962:2021

• OWASP CycloneDX

• AAMI TIR57:2016 Medical Device Security