ICS1104001

CCSC.30.

中華人民共和國醫藥行業標準

YY/T1843—2022

醫用電氣設備網絡安全基本要求

Basicrequirementsofcybersecurityformedicalelectricalequipment

2022-05-18發布2023-06-01實施

國家藥品監督管理局發布

YY/T1843—2022

目次

前言

…………………………Ⅰ

引言

…………………………Ⅱ

范圍

1………………………1

規范性引用文件

2…………………………1

術語和定義

3………………1

通用要求

4…………………5

試驗方法

5…………………11

附錄規范性網絡安全能力測試過程的要求

A()………12

附錄資料性本文件與其他文件的關聯

B()……………14

附錄資料性特定條款的指南和原理說明

C()…………15

附錄資料性本文件關于個人敏感數據的考量

D()……………………20

參考文獻

……………………21

YY/T1843—2022

前言

本文件按照標準化工作導則第部分標準化文件的結構和起草規則的規定

GB/T1.1—2020《1:》

起草

。

請注意本文件的某些內容可能涉及專利本文件的發布機構不承擔識別專利的責任

。。

本文件由國家藥品監督管理局提出

。

本文件由全國醫用電器標準化技術委員會歸口

(SAC/TC10)。

本文件起草單位上海市醫療器械檢測所國家藥品監督管理局醫療器械技術審評中心國家計算

:、、

機網絡應急技術處理協調中心中國食品藥品檢定研究院江蘇省醫療器械檢測所蘇州美華認證

、、、UL

有限公司深圳邁瑞生物醫療電子股份有限公司東軟醫療系統股份有限公司深圳市理邦精密儀器股

、、、

份有限公司北京怡和嘉業醫療科技股份有限公司飛利浦中國投資有限公司上海西門子醫療器械

、、()、

有限公司通用電氣醫療系統貿易發展上海有限公司美敦力上海管理有限公司

、()、()。

本文件主要起草人劉重生彭亮邢瀟王晨希劉茹張波陶華馬銳兵陳勇強陳蓓諶達宇

:、、、、、、、、、、、

曹景泰秦川夏偉杰

、、。

Ⅰ

YY/T1843—2022

引言

隨著醫療應用場景的不斷拓展以及網絡技術的快速發展和互聯網應用的普遍化醫療器械越來越

,,

多地進行著不同目的不同類型的數據交換在提高診療效率提升數據分析能力的同時也出現了諸如

、,,,

患者信息泄露健康數據被篡改未授權修改治療參數以勒索或其他非法目的為目標的惡意攻擊或數

、、、

據竊取等情況發生

。

在這樣的背景下當下的醫療器械不論是單機使用還是在個域網局域網或廣域網中使用其網絡

,,、,

安全能力對于醫療器械的安全性有效性則變得至關重要而網絡安全從廣義來說凡是涉及醫用電

、。,,

氣設備醫用電氣系統及相關醫療器械軟件產品的信息的保密性完整性可得性等相關技術和理論都

、、、

是其范疇之內的

。

雖然從保障網絡安全的責任角度講在使用環境中維系一個網絡的網絡安全是多方責任但

,,IT,

對制造商來說有義務識別產品本身可能遇到的網絡安全相關的風險并予以識別和分析進而在設計

,,、

開發的過程中實現對應的風險控制措施本文件則將對醫用電氣設備醫用電氣系統或醫療器械軟件

。、

產品在本文件中產品一般指醫用電氣設備醫用電氣系統或醫療器械軟件產品的網絡安全能力提

(,“”、)

出基本要求并規范了驗證過程見附錄以驗證制造商對產品網絡安全相關風險的風險控制措施的

(A),

實現情況

。

考慮到目前制造商在識別網絡安全風險時普遍會參考對于風險識別的維度

IEC/TR80001-2-2,,

本文件中也一定程度上參考了因此本文件和是有一定關聯性

IEC/TR80001-2-2,IEC/TR80001-2-2

的為了描述這種關聯性本文件列出了本文件與該文件相關條款之間的對應關系見附錄

。,(B)。

星號*作為標題的第一個字符段落或表格標題的開頭表示在附錄中有與該項目相關的指南

()、,C

或原理說明

。

Ⅱ

YY/T1843—2022

醫用電氣設備網絡安全基本要求

1*范圍

本文件規定了醫用電氣設備醫用電氣系統及醫療器械軟件的網絡安全基本要求

、。

本文件適用于有用戶訪問電子數據交換或遠程控制功能的醫用電氣設備醫用電氣系統及醫療器

、、

械軟件

。

2規范性引用文件

本文件沒有規范性引用文件

。

3術語和定義

下列術語和定義適用于本文件

。

31

.

安全性safety

不會對人員財產或環境造成不可接受的風險

、。

來源有修改

[:ISO/IECGUIDE51:2014,3.14,]

32

.

保密性confidentiality

信息對未授權的個人實體或過程不可用或不泄露的特性

、。

來源

[:GB/T29246—2017,2.12]

33

.

惡意軟件malware

設計為惡意破壞正常功能收集敏感數據和或訪問其他連接系統的軟件

,/