母親胎兒監(jiān)護儀通常由主機、超聲探頭、宮縮壓力傳感器及與之相連接的其他附件組成，供母親的心電、無創(chuàng)血壓、脈搏、血氧飽和度、體溫、呼吸、宮縮壓力以及胎兒心率、胎動監(jiān)測用，檢測胎兒心率采用超聲多普勒原理，可在圍產(chǎn)期對胎兒進行連續(xù)監(jiān)護，并在出現(xiàn)異常時及時提供報警信息。母親胎兒監(jiān)護儀在我國屬于第二類醫(yī)療器械注冊產(chǎn)品，本文以此產(chǎn)品為例，說說醫(yī)療器械網(wǎng)絡安全風險評估。
母親胎兒監(jiān)護儀通常由主機、超聲探頭、宮縮壓力傳感器及與之相連接的其他附件（心電導聯(lián)、無創(chuàng)血壓袖套、脈搏氧飽和度傳感器、體溫傳感器等）組成，供母親的心電、無創(chuàng)血壓、脈搏、血氧飽和度、體溫、呼吸、宮縮壓力以及胎兒心率、胎動監(jiān)測用，檢測胎兒心率采用超聲多普勒原理，可在圍產(chǎn)期對胎兒進行連續(xù)監(jiān)護，并在出現(xiàn)異常時及時提供報警信息。母親胎兒監(jiān)護儀在我國屬于第二類醫(yī)療器械注冊產(chǎn)品，本文以此產(chǎn)品為例，說說醫(yī)療器械網(wǎng)絡安全風險評估。
一、母親胎兒監(jiān)護儀簡介
母親胎兒監(jiān)護儀通常由主機、超聲探頭、宮縮壓力傳感器及與之相連接的其他附件（心電導聯(lián)、無創(chuàng)血壓袖套、脈搏氧飽和度傳感器、體溫傳感器等）組成，供母親的心電、無創(chuàng)血壓、脈搏、血氧飽和度、體溫、呼吸、宮縮壓力以及胎兒心率、胎動監(jiān)測用，檢測胎兒心率采用超聲多普勒原理，可在圍產(chǎn)期對胎兒進行連續(xù)監(jiān)護，并在出現(xiàn)異常時及時提供報警信息。
隨著網(wǎng)絡技術發(fā)展，為了提高醫(yī)院產(chǎn)科的工作效率與質(zhì)量，方便醫(yī)院同時對多個孕婦進行監(jiān)護，越來越多母親胎兒監(jiān)護儀能通過網(wǎng)絡鏈接到醫(yī)院中央監(jiān)護工作站，將監(jiān)測到的患者生理數(shù)據(jù)傳輸?shù)焦ぷ髡痉奖慵泄芾?。中央監(jiān)護工作站利用獨特的聯(lián)網(wǎng)技術，負責收集、處理、分析和輸出來自多個床位的監(jiān)護信息，同時對多個患者進行監(jiān)護，為醫(yī)護人員提供了大大的便利。但同時，由于鏈入網(wǎng)絡，也增加了由于網(wǎng)絡入侵而導致數(shù)據(jù)丟失、數(shù)據(jù)被惡意篡改、患者隱私泄漏的風險，產(chǎn)品開發(fā)商與使用者須了解產(chǎn)品的這些風險，共同進行防護。
二、母親胎兒監(jiān)護儀網(wǎng)絡安全風險及控制措施
2.1硬件資源
硬件固件作為信息的載體，若存在質(zhì)量問題，會為數(shù)據(jù)的存儲、傳輸帶來風險。常見風險有：①設備故障。如無線超聲探頭硬件損壞，將直接影響胎兒心率的測量和與主機之間的通信。應嚴格管控物料采購，保證關鍵元器件的質(zhì)量。②電磁泄漏。網(wǎng)絡端口、傳輸線路都有可能因為屏蔽不嚴而造成電磁泄漏，從而影響數(shù)據(jù)傳輸。應做好相關屏蔽和防輻射工作。③電池損耗。如無線超聲探頭一般采用內(nèi)部電池供電，若電池耗盡，直接導致設備不能工作，影響數(shù)據(jù)傳輸。可設置低電量提醒功能來提醒用戶及時更換電池或設備。
2.2網(wǎng)絡入侵
醫(yī)療器械相關數(shù)據(jù)包括健康數(shù)據(jù)與設備數(shù)據(jù)，母親胎兒監(jiān)護儀可以通過有線或無線網(wǎng)絡將患者信息和生理參數(shù)數(shù)據(jù)傳輸給中央監(jiān)護系統(tǒng)或者手機App等移動設備。在進行網(wǎng)絡傳輸時，很可能遭到竊聽、篡改、竊取等惡意入侵。
常見風險有：①用戶密碼被獲取。涉及到患者信息的軟件一般有設置用戶訪問控制，在用戶注冊、登錄中央監(jiān)護系統(tǒng)軟件或者App軟件時，密碼可能通過網(wǎng)絡、界面被獲取，而導致患者隱私信息和健康數(shù)據(jù)泄漏。可以通過將用戶登錄界面密碼輸入的部分設計為輸入密碼隱藏，用戶注冊信息經(jīng)本地加密后通過密文傳輸并在數(shù)據(jù)庫中以密文形式存放等措施，來保護用戶密碼不被竊取。用戶也可以通過以設置復雜密碼的形式來減少密碼被盜風險。②未經(jīng)授權設備接入系統(tǒng)。偽裝的設備或程序可能通過網(wǎng)絡惡意接入系統(tǒng)，給設備發(fā)送錯誤指令，例如停止對某床位的監(jiān)護，導致該床患者未能被及時監(jiān)護可能引發(fā)醫(yī)療事故。控制措施：使系統(tǒng)與設備的通迅通過私有協(xié)議完成，必須完成協(xié)議規(guī)定的交互邏輯，方可允許設備鏈接。③數(shù)據(jù)被竊取。網(wǎng)絡傳輸?shù)臄?shù)據(jù)可能被惡意竊取，導致患者信息、健康數(shù)據(jù)泄漏，例如有的母親胎兒監(jiān)護儀將數(shù)據(jù)無線傳輸給手機App，傳輸過程被第三方非法獲取。控制措施：數(shù)據(jù)傳輸中，健康數(shù)據(jù)和患者敏感數(shù)據(jù)加密后在網(wǎng)絡上傳和存儲。④數(shù)據(jù)完整性被破壞。網(wǎng)絡傳輸?shù)臄?shù)據(jù)可能被第三方通過特殊工具篡改，當母親胎兒監(jiān)護儀通過有線或者無線向中央監(jiān)護系統(tǒng)或者手機App發(fā)送數(shù)據(jù)時，第三方截取數(shù)據(jù)篡改后再發(fā)送到接收端，使監(jiān)護人員得到錯誤的數(shù)據(jù)，不能準確地進行監(jiān)護而對患者造成傷害。控制措施：系統(tǒng)數(shù)據(jù)協(xié)議使用檢驗來判斷數(shù)據(jù)完整性，通訊雙方對收到的報文進行協(xié)議格式、規(guī)則的一致性核對，對一致性核對或者校驗錯誤的報文一律丟棄，并提醒用戶檢查。
2.3軟件系統(tǒng)
軟件漏洞：中央監(jiān)護系統(tǒng)軟件或手機App存在安全漏洞，或者軟件所運行系統(tǒng)存在漏洞，設備很容易受到攻擊，影響系統(tǒng)的正常運行，可能導致患者數(shù)據(jù)丟失。控制措施：設置防火墻，定期進行漏洞掃描。
惡意軟件：互聯(lián)網(wǎng)紛繁復雜，當中央監(jiān)護系統(tǒng)或手機遭到病毒、木馬、蠕蟲等惡意軟件攻擊，將導致整個系統(tǒng)癱瘓，可能導致患者數(shù)據(jù)丟失。控制措施：安裝防病毒軟件，經(jīng)常對系統(tǒng)進行殺毒，不要安裝一些來源不明的軟件，將數(shù)據(jù)進行存儲備份。
軟件更新失?。?/span>當中央監(jiān)護系統(tǒng)軟件或手機App在通過網(wǎng)絡更新時，如果升級包受到惡意軟件攻擊，導致更新失敗或?qū)\行環(huán)境造成損害。控制措施：所有升級包進行校驗，校驗失敗時安裝自動中斷，并提醒用戶升級包可能存在安全隱患，App軟件更新指定用戶到主流的應用市場更新軟件。
2.4云服務
母親胎兒監(jiān)護儀將數(shù)據(jù)傳輸?shù)绞謾CApp，為了方便數(shù)據(jù)存儲與管理，有的手機App有云服務功能，儲存患者數(shù)據(jù)。第三方用戶可能未經(jīng)授權登錄云服務臺，對配置進行惡意更改，云服務也可能受到惡意攻擊，導致大量患者信息或者健康數(shù)據(jù)泄漏。控制措施：云服務控制臺通過賬號設置手機綁定，憑密碼登錄的同時還需要手機驗證才能通過，否則無法登錄。通過控制臺程序設置安全組策略，啟用專用VPC，必要時購買云盾服務，通過多種手段來抵御互聯(lián)網(wǎng)不明的惡意攻擊。
2.5 U盤、移動硬盤
患者的健康數(shù)據(jù)可能通過U盤或者移動硬盤進行轉移或儲存，若U盤或者移動硬盤中毒，將通過網(wǎng)絡接口將病毒傳入系統(tǒng)，從而影響系統(tǒng)正常運行或者數(shù)據(jù)丟失。控制措施：確保所用存儲設備經(jīng)過殺毒軟件全盤掃描，且無安全威脅時方可拷貝。
網(wǎng)絡安全威脅無處不在，本文以母親胎兒監(jiān)護儀為例，列舉了部分網(wǎng)絡安全風險，并不是全部的風險都被識別。為了保障醫(yī)療器械的安全有效使用，醫(yī)療器械的網(wǎng)絡安全需要醫(yī)療器械注冊申請人、用戶和信息技術服務商的共同努力和通力合作才能得以保障。