FDA网络安全--风险管理报告

2025年6月27日，FDA发布最新《医疗器械网络安全：质量体系考虑因素和上市前提交内容》指南，新指南强调风险管理报告的重要性，

同时器械制造商需通过SPDF框架来确保设备安全并保护患者数据。同时在最新版的eSTAR（新旧版本此处提交内容和要求未发生改变）的Risk Management - Report提交要求中指出，安全风险管理报告应包含如下内容：

①　与网络安全风险相关的风险分析、缓解措施以及设计考量因素。

②　一份关于安全风险与安全控制措施之间对应关系的矩阵表。

③　对已记录的安全控制措施的验证报告的可追溯性检查。

④　关于安全更新/补丁的提供时间及方式的说明，以及关于采取哪些措施以确保设备不会感染恶意软件的说明。

⑤　概述风险评估的方法和流程。

⑥　详细阐述安全风险评估得出的剩余风险结论。

⑦　详细说明作为制造商风险管理体系的一部分所开展的风险缓解活动，并且在威胁模型、网络安全风险评估、软件依赖项清单、测试文档以及其他相关的网络安全风险管理文档之间建立可追溯性。

此处在提交实务中常见的发补项如下：

You provided a cybersecurity risk management report in your submission. However, the report provided:

a. Indicates that you do not have a separate, parallel, and interconnected security risk management process from your safety risk management process.

You should conduct both a safety risk assessment and a separate, accompanying security risk assessment to ensure a more comprehensive identification and management of patient safety risks.

b. Does not summarize the outcome and your assessment of the following documentation elements:

i. System threat modeling

ii. Cybersecurity risk assessment

iii. Software Bill of Materials (SBOM)

发补项a分析

a. Indicates that you do not have a separate, parallel, and interconnected security risk management process from your safety risk management process.

You should conduct both a safety risk assessment and a separate, accompanying security risk assessment to ensure a more comprehensive identification and management of patient safety risks.

译文：表明您没有与安全风险管理流程相分离、并行且相互关联的独立的安全风险管理流程。您应当同时开展安全风险评估以及单独的、伴随的安全风险评估，以确保更全面地识别和管理患者安全风险。

发补原因:在《医疗器械网络安全：质量体系考虑因素和上市前提交内容》指南V.A章节Security Risk Management中，指出网络安全风险管理与ISO 14971 中描述的安全风险管理不同，主要区别在于可能造成伤害的范围和因素不同。

指南原文如下：

Performing security risk management is distinct from performing safety risk management as

described in ISO 14971. The distinction in the performance of these processes is due to the fact

that in the security context versus the safety context, the scope of possible harm and the risk

assessment factors may be different.

整改措施：

区分好网络安全风险管理流程和ISO 14971的安全风险管理流程，并进行说明。

发补项b分析

b. Does not summarize the outcome and your assessment of the following documentation elements:

i. System threat modeling

ii. Cybersecurity risk assessment

iii. Software Bill of Materials (SBOM)

译文：

b. 未对以下文档要素的成果及您的评估进行总结：

i. 系统威胁建模

ii. 网络安全风险评估

iii. 软件物料清单（SBOM）

发补原因:

报告中缺少对应的元素和结果总结。