美国FDA发布医疗装置网络安全准则草案
美国食品暨药物管理局（Food and Drug Administration，FDA）上周发布了医疗装置上市后的网络安全管理安全准则草案，以确保医疗装置整个生命周期的安全状态。
该准则主要是用来建议医疗装置制造商所应采取的措施，以用来解决网络安全的风险，保护病患的安全与公共健康，包括在医疗装置进入市场之后还能持续监控、辨识及修补这些装置的安全漏洞。
FDA表示，医疗装置的网络安全威胁愈来愈受重视，骇客所开采的网络安全漏洞也对医疗装置的安全性及有效性带来风险，虽然制造商可在产品设计时就嵌入各种安全控制，但制造商也应负起维护装置安全的责任，确保医疗装置整个生命周期的安全。
FDA科学暨策略合作伙伴副主任Suzanne Schwartz表示，所有的医疗装置都内建了软件，同时连结到医院与医疗照护组织，此次的准则草案是希望制造商能够在产品上市后仍持续监控及解决网络安全问题，以防病患遭受网络威胁。
该草案建议制造商提出主动方案来评估网络安全漏洞，并进行资讯分享，同时建立系统化及结构化的网络安全风险管理方案。
资安业者TrapX在去年曾出版医疗装置的绑架分析报告，指出医疗装置为医院网络链中最脆弱的一环，且个人健康保险凭证的资讯在黑市价格可能是信用卡的20倍，导致医疗装置已成为骇客攻击的主要目标。
医疗装置通常执行封闭、老旧且缺乏更新的操作系统，而FDA亦规定医院不得擅自开启系统或在装置上安装第三方软件，若骇客绕过防火墙及防毒软件以在装置上嵌入恶意程式，通常只能仰赖制造商来解决。TrapX断言大部分的医院皆已受到恶意程式的感染，而且已经年累月却未曾被发现，建议医院要求制造商提供装置的侦测、治理与更新服务。
医疗装置的安全性议题逐渐获得关注，去年有两名资安工程师在网络上搜寻到数百个可公开存取的医疗系统，其中一个医疗系统的服务器上存有6.8万个医疗装置的详细资讯，这两名工程师还建立了10台伪装成医疗系统的电脑，总计遭受299次的恶意程式攻击与24次的漏洞攻击。
