新闻动态

FDA管上市前安全设计，CISA管上市后事件响应，两边都要合规缺一不可。本文完整梳理FDA（FD&C Act §524B）和CISA（CIRCIA 2022）双重监管格局：两者定位/法律依据/核心要求/违规后果全对比，CIRCIA 31.6万实体覆盖范围、72小时事件报告/24小时勒索报告双死线、2026年5月最终规则时间轴，以及Stryker事件威胁情报案例、厂商FDA+CISA+双鹰整合三维行动清单、四大认知误区和"三同时"合规原则。

FDA推荐SPDF作为满足QMSR网络安全要求的方式，给出5个参考框架：IEC 81001-5-1、ANSI/ISA 62443-4-1、JSP2、AAMI TIR57和ANSI/AAMI SW96。本文完整横向对比5大框架的定位/适用对象/难度/FDA认可状态，提供按现有体系/目标市场/资源条件三张决策表，讲清楚框架能否混用、如何在eSTAR中说明框架选择，以及四大翻车问题和SPDF选择自检清单。

你的医疗设备里60%-80%的代码来自第三方，但FDA态度明确：不管代码是谁写的，只要用进了你的设备，你就是最终责任人。本文拆解URGENT/11、SweynTooth、Ripple20、Log4Shell等真实案例，讲清楚全流程供应链管控四步（选型/使用/响应/兜底）、如何在eSTAR威胁模型/SBOM三件套/上市后计划/标签合规四类附件中体现，以及三大翻车场景和供应链安全红黑榜。

每一个互操作接口都是潜在的攻击入口。2026版指南Section V.A.3专门讲互操作性安全考虑：五大风险（信任边界扩大/协议漏洞/传输中篡改/依赖链攻击/非预期接口滥用）、FDA三条核心要求（接口纳入威胁建模/安全不阻碍互操作/标准协议上可能需额外控制）、如何落实到威胁模型/风险评估/架构视图/安全控制/标签5个附件，以及红黑榜和三大翻车场景。

以为交个SBOM和风险评估就差不多了？eSTAR网安模块实际有超过11个附件等着你，分属4大模块：风险管理（8个附件：安全风险管理报告/威胁模型/风险评估/SBOM三件套/未解决异常/指标）、架构与控制（安全控制报告+4张架构视图）、测试验证（含5类测试）、上市后与标签（标签合规+管理计划）。本文从全局视角拆解所有附件的内容、关联、准备优先级，以及5个最容易遗漏或出错的附件。

以前设备改版，网络安全材料要交多少没有标准答案，很多人为保险全套重交。eSTAR v5.6引入设备修改简化工作流：一个决策点（修改是否影响网络安全）决定两条文档路径——路径A（影响安全→全套14+附件）和路径B（不影响安全→精简6附件）。本文手把手讲清楚如何判断走哪条路、每条路该交什么、四大翻车场景的正确做法，以及三步走总结。

产品还没上市，上市后的事等上市了再说？FDA的逻辑恰恰相反：必须在上市前就证明你有能力在上市后管好安全。eSTAR独立附件Cybersecurity Management Plan、2026版指南Section VI.B明确9大要素：负责人员与组织架构、漏洞监控来源与方法、严重等级评估准则、补丁开发发布流程、补丁部署机制与预估时长、CVD协调漏洞披露（法定要求）、用户沟通机制、定期安全测试计划、计划更新机制。本文逐项拆解，给出三大翻车问题的正确做法。

标签不就是说明书吗？在说明书里加一段安全注意事项还不够吗？FDA 2026版指南Section VI.A用了整节来讲标签要求——标签是厂商和用户之间的"风险交接单"，也是风险转移的核心载体。eSTAR独立标签合规附件要涵盖9类信息：安全配置说明、端口清单、基础设施要求、SBOM获取方式、更新说明、事件响应指导、备份恢复、停止支持声明、安全报废。本文逐类拆解内容要求，并给出红黑榜和四大翻车问题。

请了第三方做了渗透测试，FDA还说不够？自己安全团队测了也写得很详细，为什么FDA质疑独立性？其实答案就在2026版指南Section V.C里——FDA对渗透测试报告提出了5个明确要素：测试方独立性和专业能力、测试范围、测试周期、测试方法、测试结果发现和观察。缺一个就可能被退回。本文逐条手把手拆解每个要素该怎么写，并给出五大翻车场景的正确做法。

功能测试做得再充分，也替代不了安全测试——FDA 2026版指南Section V.C把这一点说得非常直白。eSTAR的Cybersecurity Testing Report要求五类独立测试：安全需求测试、威胁缓解测试、漏洞测试（含模糊测试/静态分析/动态分析）、渗透测试（五个必填项）、边界分析。本文逐类拆解每类测试的目的、方法、常见错误，并给出四个最容易翻车的测试报告问题及正确做法。

90%厂商严重低估的安全控制——事件检测与日志。很多厂商只记录开关机和登录，日志存本地自动覆盖，无时间同步，日志被删也无人知。FDA审评员评价：这日志等于没记。2026版指南Appendix 1.F明确指出——制造商应对所有设备考虑完整的事件日志能力。本文用"黑匣子"类比，讲清楚FDA要求的五大类日志事件、日志技术要求（防篡改/时间戳/标准格式）、告警机制，以及四个最容易翻车的日志问题。

上一篇用红黑榜盘点了eSTAR八大类安全控制，今天深度拆解最基础也最容易翻车的两类——认证和授权。硬编码密码、默认密码不强制修改、CRC代替认证、会话永不超时、权限检查只在客户端做……这些都是FDA 2026版指南Appendix 1.A和1.B里明确点名的"一票否决"硬伤。本文逐条过一遍认证黑榜/红榜、授权黑榜/红榜、角色权限矩阵示例及完整自检清单，帮你在退卡之前把坑全填上。

在eSTAR网络安全模块的Cybersecurity Controls Report里，FDA审评员最爱逐条核对八大类安全控制的实现情况。很多厂商写"我们有加密"就完了，什么算法、密钥长度、管理方式全没说，结果直接被标注"不充分，补充材料"。2026版指南Appendix 1把这八类控制要求写得极为具体：认证、授权、加密、完整性、保密性、事件日志、弹性恢复、固件更新。本文用红黑榜方式逐类拆解，什么该做、什么绝对不能做，一次讲透。

上一篇深度拆解了多患者伤害视图，今天聊另一张容易被低估的架构视图——可更新性和可修补性视图。真实案例：US Radiology因设备EOL补丁延迟11个月被罚45万美元；Medtronic CVE-2020-27252允许未签名固件上传；Baxter呼吸机固件更新缺少完整性校验可被推送恶意固件。补丁开发得再快，送不到设备上或送错了，一切都是白搭。本文基于2026版指南Section V.B.2.c，手把手讲清楚端到端更新五阶段、五大翻车问题及自检清单。

上一篇我们讲了eSTAR要求的四张安全架构视图全景，今天深度拆解最容易被忽视但FDA最看重的一张——多患者伤害视图。2017年WannaCry攻击致英国NHS 81家医院瘫痪，近2万手术被取消，揭示了一个残酷现实：单台设备被攻破不可怕，可怕的是一个漏洞瘫痪整个病区。本文手把手讲清楚多患者伤害视图的四大攻击场景分析、必填信息、常见翻车问题及自检清单。

很多厂商把平时设计的系统架构图贴上去，结果FDA退回：请补充全局系统视图、多患者伤害视图、可更新性视图和安全用例视图。你以为交一张图就够了，其实FDA要的是四张！2026版指南Section V.B.2和Appendix 2把每一张视图的要求写得明明白白。本文手把手拆解这4张安全架构视图分别画什么、必须包含哪些元素、常见错误vs正确做法，附完整提交自查清单，避开架构视图的高频退卷坑。

软件开发哪有不留Bug的，但FDA要的不是口头解释"影响不大"，而是一份正式的、从网络安全视角撰写的评估报告。2026版指南Section V.A.5专门讲了这一条，eSTAR里也有对应的独立附件。本文拆解未解决异常评估报告的核心要求：功能视角vs安全视角的本质差异、五个安全评估维度（外部触发性/CWE匹配/安全关键功能影响/漏洞链串联/可利用性随时间变化）、风险等级判定矩阵，以及三个高频翻车问题的正确写法。

你设备里60%~80%的代码是第三方或开源组件，一旦出了漏洞，很多厂商的心态是找社区、找厂商。但FDA态度非常明确——你是医疗器械制造商，你负全责。2026版指南Section V.A.4将这条写死。本文一次性讲透：3大甩锅话术为什么FDA不接受、供应链选型安全检查清单、第三方停止支持的应对策略矩阵、自动化漏洞监控工具链、标签披露要求，以及FDA审评员最可能问的3个灵魂拷问正确回答思路。

很多厂商觉得SBOM就是列个软件清单，Excel一拉交上去完事，结果eSTAR被打回来。FDA 2026版指南Section V.A.4加上FD&C法案Section 524B(b)(3)双重要求，SBOM交不齐不是写得不好，而是根本不合规！本文一次性讲透eSTAR要提交的三份SBOM相关材料：SBOM本体（机器可读格式要求）、SBOM支持报告（组件存活状态）、软件组件风险管理报告（漏洞评估与处置），附完整提交自查清单，帮你一次过关。

90%的厂家提交eSTAR时，Cybersecurity Metrics这一栏要么空着要么填N/A，审评员直接判定不合格。FDA 2026版指南Section V.A.6明确：上市前就要提交指标数据，PMA产品还要年报持续汇报！本文手把手讲清3个核心指标（漏洞修复率、漏洞响应时长、补丁部署时长）的定义、计算方法、常见翻车案例，附上市前和PMA年报两套填写模板，并解析TPLC全生命周期的指标管理思路。

从ISO 14971转过来的RA最容易踩的坑——用频率思维评估网络安全风险等级。FDA 2026版指南Section V.A.2明确：安全威胁是人为故意的，没法用历史数据预测概率！本文一次性讲清Safety vs Security评估逻辑的本质差异、CVSS v3.1可利用性评分维度详解、CISA KEV高危漏洞目录的合规要求，以及单个漏洞风险评估的正确写法，帮你避开最高频的退卷坑。

eSTAR风险管理模块中有一个专门附件叫Threat Model，FDA 2026版指南Section V.A.1用整节篇幅阐述相关要求。现实中很多厂家提交的威胁模型FDA看一眼就想打回，核心问题就是没有明确说明采用了什么方法论。本文详细解析三大退卷理由、五种主流方法论对比、合格威胁模型必须覆盖的5个维度，以及威胁模型与架构视图的关系，帮你一次性通过技术筛选。

很多RA/QA同行习惯直接把ISO 14971安全风险管理报告改一改就上传eSTAR，但FDA 2026版新指南明确强调Safety Risk Management和Security Risk Management是两套完全独立的流程。本文手把手拆解这份报告的6大撰写要点，帮你避开让审评员直接点"技术筛选搁置"的高频坑。

紧接网络安全风险评估，SBOM（软件物料清单）及其相关信息已成为eSTAR提交中又一"高频发补雷区"。如何在首次提交就避开SBOM相关的审评"深坑"，确保高效合规？本文系统拆解eSTAR对SBOM的核心提交要点，深度剖析审评中常见的发补问题与避坑策略。SBOM应涵盖设备制造商开发的组件以及第三方组件，包括购买/授权的软件和开源软件，以及专有软件、购买/授权软件和开源软件所依赖的上游软件组件。常见发补项：使用了不再维护的开源软件或操作系统（如Android 5.0-11.0、iOS 10.0-14.0不再受支持），不支持的操作系统可能暴露于网络安全漏洞中，对设备及其连接的网络造成不可接受的风险。整改措施：升级操作系统/开源组件/软件版本至最新版本或厂商仍在维护的版本，做好变更记录和测试验证；无法升级的情况下，检索NVD、CVE、EXP等漏洞库，针对每个漏洞进行风险评估（推荐CVSS v4打分），提出缓解措施，更新未解决异常报告和用户手册。

2025年6月27日，FDA发布最新版《医疗器械网络安全：质量体系考虑因素和上市前提交内容》指南，标志着对医疗器械网络安全监管要求的持续强化。在eSTAR提交实践中，网络安全风险评估（Cybersecurity Risk Assessment）已成为当前最高频的发补项。本文系统梳理eSTAR在该部分的核心提交要点，包括与通用安全风险管理体系分离、覆盖整个产品生命周期（TPLC）、提供风险评估评分方法与接受标准、将已知漏洞作为可预见风险处理。重点解析FDA明确禁止使用"概率方式"（probabilistic manner）评估网络安全风险发生的可能性（likelihood）的原因：网络安全事件高度不可预测、攻击行为源于人类主观意图无法用历史数据建模、概率评估法无法量化恶意行为者的动机资源与能力。提供整改措施：采用基于威胁的风险评估方法（Threat-Based Approach）、使用CVSS v3/v4对已知漏洞进行量化评估。

在FDA的eSTAR网络安全提交中，未解决异常（Unresolved Anomalies）的评估已成为高频发补点。威胁建模识别出的高危攻击路径、SBOM溯源发现的未修复漏洞，这些必须申报的未解决异常，如何向FDA证明其残余风险可控？本文深入解析FDA指导文件"器械软件功能的上市前提交内容"中关于未解决异常的要求，包括未解决异常的定义（内部测试缺陷、未关闭CVE、第三方组件漏洞、威胁建模发现的弱点）、常见发补项分析（缺少异常评估报告、未提供声明文件和证据）、整改措施（提供未解决异常清单、风险评估分析、风险缓解措施或接受理由、版本更新修复计划）。基于威胁的风险评估与SBOM的交叉验证，是界定未解决异常的核心依据。文章提供了详细的发补原因分析和整改方法，帮助企业顺利通过FDA网络安全审查。

美国食品药品监督管理局（FDA）于2025年6月27日推出最终版"医疗器械网络安全：质量体系注意事项和上市前提交内容"指南。该指南更新了2023年9月27日发布的版本，并最终确定了2024年3月13日发布的指南草案。指南提供了FDA关于网络安全器械设计、标签以及上市前提交文件的建议，并确定了FDA认为网络设备支持《联邦食品、药品和化妆品法案》（FD&C法案）新修正案规定的确保设备网络安全义务所必需的信息。虽然在2025年才正式定稿，但实际上自2023年9月份之后就已经开始落地执行。本次主要更新内容集中在VII. Cyber Device章节，对Cybersecurity in Medical Devices FAQs中的模糊问题进行了解释和补充说明。相较于2023版指南，在提交内容要求方面未增加新的变动，详细的提交文件清单可见eSTAR中的网络安全模块。

医疗器械制造商在同时申报FDA和欧盟MDR认证时，面临网络安全文档要求的关键差异。FDA强调网络安全作为独立的质量体系和上市前评估要素，要求提交SBOM（软件物料清单）和独立的网络安全管理计划；而欧盟MDR将网络安全整合到技术文档的GSPR（一般安全与性能要求）中，由公告机构审查。本文深入解析两地监管定位、文档结构、SBOM要求、隐私保护、技术标准等五大关键差异点，并提供高效双报策略：通过核心文档复用（威胁模型、漏洞评估等可节省60%以上工作量）、SBOM深度应用、隐私优先设计（以GDPR为基准）、动态监控闭环等方法，实现一次投入、两套合规，帮助企业在控制成本的同时高效打通欧美市场准入。