一、医疗设备网络安全风险
在生产环节，由于医疗设备均内置系统软件和应用软件,系统版本多种多样,包括安卓、Linux、嵌入式Windows等,由于设备厂商存在重功能、轻安全的商业理念,导致医疗设备在生产端无法拥有完备的安全防护能力,使其进入应用后很容易遭受攻击。在使用环节，医疗机构使用医疗设备过程中普遍存在的弱口令、设备无间断运转、频繁插拔U盘以及设备操作系统版本滞后等因素,易引发感染勒索病毒的风险。在维护环节，大型医疗设备厂商一般会提供全球运维服务，如境外运维厂商的运维云平台遭受外部攻击或内部泄密,或者由于运维厂商自身弱密码认证等原因,设备均可能被入侵,导致患者敏感数据泄露。
二、网络安全风险维护建议
一是强化顶层设计，推进行业法规及标准落地。将《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》提出的网络和数据安全要求与行业实际结合,加快建立专项法规与行业标准同步发展的医疗设备网络安全管理体系。二是严格准入门槛。积极推进医疗设备网络安全检测和认证,针对医疗设备、配套软件、远程数据采集服务器3个信息实体,建立详实、可操作的测试标准,并在医疗设备上市审批前委托具有设备测试专业资质的机构开展测评工作,将网络安全纳入审核门槛。三是统筹安全规划。医疗机构通过加强组织建设、完善管理体系、强化技术防护、提升人员意识等手段贯彻落实医疗设备网络安全风险控制措施。
（摘录：中国数字医学）
////////////////////////////////////专家点评////////////////////////////////////
方钟辉，安徽省胸科医院信息中心高级工程师，安徽省医院协会信息管理专业委员会委员，安徽省预防医学会卫生健康信息专业委员会委员，安徽省科技成果转化促进会智慧健康专业委员会常委。
医疗设备全生命周期网络安全的管理是一项系统性、全面性的工作，涵盖了从设备的招标采购、安装使用维护，到设备报废的整个周期。中国医学科学院阜外医院通过医疗设备全生命周期网络安全管理研究，强化顶层设计、统筹安全规划，建立跨部门、跨职能的医疗设备管理流程，对医疗设备的网络安全进行全方位管理，打破医疗设备网络安全管理孤岛。采购部门强化网络安全违约管理,明确生产商和运维服务商的网络安全责任；设备运维部门落实医疗设备准入、远程运维授权与审计、定期网络安全评估和风险识别、移机、报废处置等关键环节的网络安全控制和数据保护；信息管理部门动态管理医疗设备IP 的准入、异动和注销,闭环管理医疗设备网络异常数据,及时识别并控制风险。搭建一个较为完整的医疗设备网络安全防护框架,增强医疗设备的网络安全性,共同构建医疗设备网络安全生态，更好地保障患者的身体健康和生命安全。