IVD類設(shè)備軟件和網(wǎng)絡(luò)安全的安全性級別該如何考慮？

IVD（體外診斷）設(shè)備在現(xiàn)代醫(yī)療中扮演著極其重要的角色，它們的檢測結(jié)果直接影響醫(yī)生的診斷決策和患者的治療方案。而軟件作為這些設(shè)備的核心“大腦”，從樣本處理、數(shù)據(jù)分析到結(jié)果報告，幾乎貫穿整個檢測流程。網(wǎng)絡(luò)安全則關(guān)系到設(shè)備接入網(wǎng)絡(luò)后數(shù)據(jù)的保密性、完整性和可用性。因此，科學(xué)合理地確定軟件和網(wǎng)絡(luò)安全的安全性級別，是確保IVD設(shè)備安全有效、順利通過注冊審評的關(guān)鍵一步。這并非簡單的選擇題，而是需要結(jié)合設(shè)備的具體情況，依據(jù)法規(guī)要求進(jìn)行綜合判定。

軟件安全性級別的判定依據(jù)

軟件的安全性級別不是隨意定的，它直接關(guān)聯(lián)到軟件如果出了問題，可能對患者或使用者造成的潛在傷害有多大。這個判定主要看三個方面：軟件的預(yù)期用途是什么？它在什么使用場景下運(yùn)行？它承擔(dān)著哪些核心功能？

基于對潛在風(fēng)險的綜合評估，法規(guī)將軟件安全性級別明確分為三個等級：

1.輕微級別：這個級別意味著軟件基本不可能產(chǎn)生傷害。比如，一個僅用于記錄設(shè)備開關(guān)機(jī)時間或環(huán)境溫度的軟件模塊，即使出錯，也不太可能影響到診斷結(jié)果或患者安全。

2.中等級別：這個級別的軟件，有可能直接或間接導(dǎo)致一些輕微的、不嚴(yán)重的傷害。舉個例子，一個負(fù)責(zé)生成初步篩查報告的軟件，如果報告格式錯誤或部分非關(guān)鍵信息缺失（比如樣本接收時間記錄錯），雖然可能引起操作不便或需要重復(fù)檢測，但通常不會直接造成嚴(yán)重的健康后果。

3.嚴(yán)重級別：這是最高的風(fēng)險級別。意味著軟件如果失效或出錯，可能直接或間接導(dǎo)致患者嚴(yán)重傷害甚至死亡。這種情況通常出現(xiàn)在軟件直接控制診斷過程的核心環(huán)節(jié)或?qū)﹃P(guān)鍵診斷結(jié)果起決定性作用時。

所以，作為申請人（也就是設(shè)備制造商），您必須非常仔細(xì)地分析您的IVD設(shè)備具體是用來干什么的（預(yù)期用途），以及它一旦出問題，最壞的結(jié)果會是什么（可能導(dǎo)致的傷害）。只有把這些分析透了，才能準(zhǔn)確判斷出產(chǎn)品的整體風(fēng)險和與之對應(yīng)的軟件安全性級別。確定級別后，您就需要按照這個級別的要求，準(zhǔn)備和提交相應(yīng)的軟件研究資料給審評機(jī)構(gòu)。不同級別對軟件生命周期過程（需求、設(shè)計、驗證、確認(rèn)、缺陷管理、更新）的控制要求和文檔深度是不同的，級別越高，要求越嚴(yán)格。

網(wǎng)絡(luò)安全性級別的關(guān)聯(lián)與特殊性

設(shè)備聯(lián)網(wǎng)了，風(fēng)險又多了一個維度。那么，網(wǎng)絡(luò)安全的級別怎么定呢？它和軟件安全級別是什么關(guān)系？

通常情況下，法規(guī)給出的原則很清晰：IVD類設(shè)備的網(wǎng)絡(luò)安全性級別應(yīng)與其所屬設(shè)備的軟件安全性級別保持一致。這很好理解，因為網(wǎng)絡(luò)安全風(fēng)險本身就是軟件風(fēng)險的重要組成部分。軟件如果負(fù)責(zé)關(guān)鍵診斷功能（嚴(yán)重級別），那么保護(hù)這個軟件及其數(shù)據(jù)的網(wǎng)絡(luò)安全自然也需要對應(yīng)嚴(yán)重級別。

但是，事情總有例外。在特殊情形下，網(wǎng)絡(luò)安全的級別可以低于軟件的級別。請注意，這絕對不是常態(tài)，而是需要非常充分的理由。比如說，您的設(shè)備雖然軟件本身是嚴(yán)重級別（因為它控制著核心檢測流程），但您設(shè)計了一個物理隔離的網(wǎng)絡(luò)架構(gòu)，該設(shè)備運(yùn)行的網(wǎng)絡(luò)環(huán)境是絕對封閉、完全不與外部網(wǎng)絡(luò)（包括醫(yī)院內(nèi)網(wǎng)和互聯(lián)網(wǎng)）連接的專用網(wǎng)絡(luò)。同時，該網(wǎng)絡(luò)本身也采取了極高的物理和邏輯隔離措施。在這種情況下，來自外部網(wǎng)絡(luò)的攻擊風(fēng)險可能被極大降低，那么您有可能論證網(wǎng)絡(luò)安全的風(fēng)險級別低于軟件級別（比如降到中等）。但關(guān)鍵是，您必須在注冊資料中詳細(xì)、清晰地描述這個特殊的設(shè)計、實施情況和降低風(fēng)險的具體理由，并提供充分的證據(jù)支持。審評機(jī)構(gòu)會非常嚴(yán)格地審視這種“例外”情況。

確定了網(wǎng)絡(luò)安全的級別后，您就需要按照這個級別來準(zhǔn)備網(wǎng)絡(luò)安全的研究資料。這包括網(wǎng)絡(luò)安全的需求規(guī)范、架構(gòu)設(shè)計、風(fēng)險分析（威脅建模）、驗證測試、漏洞管理計劃等。

網(wǎng)絡(luò)安全漏洞評估的級別要求

說到網(wǎng)絡(luò)安全，就繞不開漏洞問題。設(shè)備上市前，必須對其網(wǎng)絡(luò)安全漏洞進(jìn)行全面評估。這個評估的要求，直接取決于您設(shè)備的網(wǎng)絡(luò)安全性級別：

1.無論哪個級別，都需要進(jìn)行漏洞評估。但具體要求不同。

2.特別是對于被定為網(wǎng)絡(luò)安全嚴(yán)重級別的設(shè)備，要求是最高的。您不能僅僅提供一個自己做的漏洞掃描報告（自評報告）就完事。法規(guī)明確要求，除了自評報告，您還必須提交一份由具備相關(guān)資質(zhì)的獨立網(wǎng)絡(luò)安全評估機(jī)構(gòu)出具的正式的網(wǎng)絡(luò)安全漏洞評估報告。

3.這份第三方報告非常關(guān)鍵，它需要客觀、深入地評估設(shè)備已知的漏洞及其潛在影響。更重要的是，報告必須明確指出所有已知但尚未修復(fù)的漏洞（即剩余漏洞）的具體維護(hù)方案。這個方案要詳細(xì)說明如何持續(xù)監(jiān)控這些漏洞、如何評估新出現(xiàn)的漏洞、修復(fù)漏洞的流程和時間框架、以及如何將修復(fù)方案安全地推送給用戶（如軟件更新）。最終目標(biāo)，是要讓審評機(jī)構(gòu)和您自己都確信，綜合考慮了所有措施后，設(shè)備的綜合剩余風(fēng)險處于可接受的水平。

IVD類設(shè)備安全性級別判定要點總結(jié)

軟件安全性級別可結(jié)合軟件的預(yù)期用途、使用場景、核心功能進(jìn)行綜合判定。軟件安全性級別基于軟件風(fēng)險程度分為輕微、中等、嚴(yán)重三個級別，其中輕微級別即軟件不可能產(chǎn)生傷害，中等級別即軟件可能直接或間接產(chǎn)生輕微（不嚴(yán)重）傷害，嚴(yán)重級別即軟件可能直接或間接產(chǎn)生嚴(yán)重傷害或?qū)е滤劳?。申請人需結(jié)合IVD類設(shè)備的具體預(yù)期用途及可能導(dǎo)致的傷害綜合判定產(chǎn)品風(fēng)險和軟件安全性級別，按照相應(yīng)的軟件安全性級別提交軟件研究資料。

通常情形下，IVD類設(shè)備的網(wǎng)絡(luò)安全性級別與所屬設(shè)備的軟件安全性級別相同；特殊情形下，網(wǎng)絡(luò)安全的安全性級別可低于軟件的安全性級別，此時需要詳細(xì)描述具體理由。申請人應(yīng)當(dāng)按照相應(yīng)的級別提供網(wǎng)絡(luò)安全研究資料。在漏洞評估方面，網(wǎng)絡(luò)安全嚴(yán)重級別除了應(yīng)提供網(wǎng)絡(luò)安全漏洞自評報告，還應(yīng)提供有資質(zhì)的網(wǎng)絡(luò)安全評估機(jī)構(gòu)出具的網(wǎng)絡(luò)安全漏洞評估報告，明確已知剩余漏洞的維護(hù)方案，確保產(chǎn)品綜合剩余風(fēng)險均可接受。

IVD類設(shè)備安全性級別舉例：預(yù)期用于胎兒染色體非整倍體篩查、腫瘤基因伴隨診斷檢測的基因測序儀類產(chǎn)品；預(yù)期用于血型檢測及交叉配血等的儀器設(shè)備產(chǎn)品，其給出的輔助診斷結(jié)果有可能導(dǎo)致嚴(yán)重傷害或死亡，其軟件應(yīng)被視為嚴(yán)重級別。預(yù)期用于病原體基因檢測和人類基因突變檢測的PCR分析儀類產(chǎn)品，其軟件應(yīng)不低于中等級別。