信息安全咨詢公司

信息安全技術(shù) 信息安全事件分類分級(jí)指南
1 范圍
本指導(dǎo)性技術(shù)文件為信息安全事件的分類分級(jí)提供指導(dǎo)，用于信息安全事件的防范與處置，為事前準(zhǔn)備、事中應(yīng)對(duì)、事后處理提供一個(gè)基礎(chǔ)指南，可供信息系統(tǒng)和基礎(chǔ)信息傳輸網(wǎng)絡(luò)的運(yùn)營(yíng)和使用單位以及信息安全主管部門參考使用。

2 術(shù)語(yǔ)和定義
下列術(shù)語(yǔ)和定義適用于本指導(dǎo)性技術(shù)文件。

2.1 信息系統(tǒng) information system
由計(jì)算機(jī)及其相關(guān)的和配套的設(shè)備、設(shè)施（含網(wǎng)絡(luò)）構(gòu)成的，按照一定的應(yīng)用目標(biāo)和規(guī)則對(duì)信息進(jìn) 行采集、加工、存儲(chǔ)、傳輸、檢索等處理的人機(jī)系統(tǒng)。

2.2 信息安全事件 information security incident
由于自然或者人為以及軟硬件本身缺陷或故障的原因，對(duì)信息系統(tǒng)造成危害，或?qū)ι鐣?huì)造成負(fù)面影 響的事件。

3 縮略語(yǔ)
下列縮略語(yǔ)適用于本指導(dǎo)性技術(shù)文件。
MI：有害程序事件（Malware Incidents）
CVI：計(jì)算機(jī)病毒事件（Computer Virus Incidents）
WI：蠕蟲(chóng)事件（Worms Incidents）
THI：特洛伊木馬事件（Trojan Horses Incidents）
BI：僵尸網(wǎng)絡(luò)事件（Botnets Incidents）
BAI：混合攻擊程序事件（Blended Attacks Incidents）
WBPI：網(wǎng)頁(yè)內(nèi)嵌惡意代碼事件（Web Browser Plug-Ins Incidents）
NAI：網(wǎng)絡(luò)攻擊事件（Network Attacks Incidents）
DOSAI：拒絕服務(wù)攻擊事件（Denial of Service Attacks Incidents）
BDAI：后門攻擊事件（Backdoor Attacks Incidents）
VAI：漏洞攻擊事件（Vulnerability Attacks Incidents）
NSEI：網(wǎng)絡(luò)掃描竊聽(tīng)事件（Network Scan & Eavesdropping Incidents）
PI：網(wǎng)絡(luò)釣魚(yú)事件（Phishing Incidents）
II：干擾事件（Interference Incidents）
IDI：信息破壞事件（Information Destroy Incidents）
IAI：信息篡改事件（Information Alteration Incidents）
IMI：信息假冒事件（Information Masquerading Incidents）
ILEI：信息泄漏事件（Information Leakage Incidents）
III：信息竊取事件（Information Interception Incidents）
ILOI：信息丟失事件（Information Loss Incidents）
ICSI：信息內(nèi)容安全事件（Information Content Security Incidents）
FF：設(shè)備設(shè)施故障（Facilities Faults）
SHF：軟硬件自身故障（Software and Hardware Faults）
PSFF：外圍保障設(shè)施故障（Periphery Safeguarding Facilities Faults）
MDA：人為破壞事故（Man-made Destroy Accidents）
DI：災(zāi)害性事件（Disaster Incidents）
OI：其他事件（Other Incidents）

4 信息安全事件分類

4.1 考慮要素與基本分類
信息安全事件可以是故意、過(guò)失或非人為原因引起的。
本指導(dǎo)性技術(shù)文件綜合考慮信息安全事件的 起因、表現(xiàn)、結(jié)果等，對(duì)信息安全事件進(jìn)行分類。
信息安全事件分為有害程序事件、網(wǎng)絡(luò)攻擊事件、信息破壞事件、信息內(nèi)容安全事件、設(shè)備設(shè)施故 障、災(zāi)害性事件和其他信息安全事件等7個(gè)基本分類，每個(gè)基本分類分別包括若干個(gè)子類。

4.2 事件分類

4.2.1 有害程序事件（MI）
有害程序事件是指蓄意制造、傳播有害程序，或是因受到有害程序的影響而導(dǎo)致的信息安全事件。
有害程序是指插入到信息系統(tǒng)中的一段程序，有害程序危害系統(tǒng)中數(shù)據(jù)、應(yīng)用程序或操作系統(tǒng)的保密性、 完整性或可用性，或影響信息系統(tǒng)的正常運(yùn)行。
有害程序事件包括計(jì)算機(jī)病毒事件、蠕蟲(chóng)事件、特洛伊木馬事件、僵尸網(wǎng)絡(luò)事件、混合攻擊程序事 件、網(wǎng)頁(yè)內(nèi)嵌惡意代碼事件和其它有害程序事件等7個(gè)子類，說(shuō)明如下：

a) 計(jì)算機(jī)病毒事件（CVI）
是指蓄意制造、傳播計(jì)算機(jī)病毒，或是因受到計(jì)算機(jī)病毒影響而導(dǎo)致 的信息安全事件。計(jì)算機(jī)病毒是指編制或者在計(jì)算機(jī)程序中插入的一組計(jì)算機(jī)指令或者程序代 碼，它可以破壞計(jì)算機(jī)功能或者毀壞數(shù)據(jù)，影響計(jì)算機(jī)使用，并能自我復(fù)制；

b) 蠕蟲(chóng)事件（WI）
是指蓄意制造、傳播蠕蟲(chóng)，或是因受到蠕蟲(chóng)影響而導(dǎo)致的信息安全事件。蠕 蟲(chóng)是指除計(jì)算機(jī)病毒以外，利用信息系統(tǒng)缺陷，通過(guò)網(wǎng)絡(luò)自動(dòng)復(fù)制并傳播的有害程序；

c) 特洛伊木馬事件（THI）
是指蓄意制造、傳播特洛伊木馬程序，或是因受到特洛伊木馬程序影 響而導(dǎo)致的信息安全事件。特洛伊木馬程序是指?jìng)窝b在信息系統(tǒng)中的一種有害程序，具有控制 該信息系統(tǒng)或進(jìn)行信息竊取等對(duì)該信息系統(tǒng)有害的功能；

d) 僵尸網(wǎng)絡(luò)事件（BI）
是指利用僵尸工具軟件，形成僵尸網(wǎng)絡(luò)而導(dǎo)致的信息安全事件。僵尸網(wǎng)絡(luò) 是指網(wǎng)絡(luò)上受到黑客集中控制的一群計(jì)算機(jī)，它可以被用于伺機(jī)發(fā)起網(wǎng)絡(luò)攻擊，進(jìn)行信息竊取 或傳播木馬、蠕蟲(chóng)等其他有害程序；

e) 混合攻擊程序事件（BAI）
是指蓄意制造、傳播混合攻擊程序，或是因受到混合攻擊程序影響 而導(dǎo)致的信息安全事件?；旌瞎舫绦蚴侵咐枚喾N方法傳播和感染其它系統(tǒng)的有害程序，可能兼有計(jì)算機(jī)病毒、蠕蟲(chóng)、木馬或僵尸網(wǎng)絡(luò)等多種特征?；旌瞎舫绦蚴录部梢允且幌盗杏泻Τ绦蚓C合作用的結(jié)果，例如一個(gè)計(jì)算機(jī)病毒或蠕蟲(chóng)在侵入系統(tǒng)后安裝木馬程序等；

f) 網(wǎng)頁(yè)內(nèi)嵌惡意代碼事件（WBPI）
是指蓄意制造、傳播網(wǎng)頁(yè)內(nèi)嵌惡意代碼，或是因受到網(wǎng)頁(yè)內(nèi) 嵌惡意代碼影響而導(dǎo)致的信息安全事件。網(wǎng)頁(yè)內(nèi)嵌惡意代碼是指內(nèi)嵌在網(wǎng)頁(yè)中，未經(jīng)允許由瀏 覽器執(zhí)行，影響信息系統(tǒng)正常運(yùn)行的有害程序；

g) 其它有害程序事件（OMI）
是指不能包含在以上6個(gè)子類之中的有害程序事件。

4.2.2 網(wǎng)絡(luò)攻擊事件（NAI）
網(wǎng)絡(luò)攻擊事件是指通過(guò)網(wǎng)絡(luò)或其他技術(shù)手段，利用信息系統(tǒng)的配置缺陷、協(xié)議缺陷、程序缺陷或使 用暴力攻擊對(duì)信息系統(tǒng)實(shí)施攻擊，并造成信息系統(tǒng)異?；?qū)π畔⑾到y(tǒng)當(dāng)前運(yùn)行造成潛在危害的信息安全事件。
網(wǎng)絡(luò)攻擊事件包括拒絕服務(wù)攻擊事件、后門攻擊事件、漏洞攻擊事件、網(wǎng)絡(luò)掃描竊聽(tīng)事件、網(wǎng)絡(luò)釣 魚(yú)事件、干擾事件和其他網(wǎng)絡(luò)攻擊事件等7個(gè)子類，說(shuō)明如下：

a) 拒絕服務(wù)攻擊事件（DOSAI）
是指利用信息系統(tǒng)缺陷、或通過(guò)暴力攻擊的手段，以大量消耗 信息系統(tǒng)的CPU、內(nèi)存、磁盤(pán)空間或網(wǎng)絡(luò)帶寬等資源，從而影響信息系統(tǒng)正常運(yùn)行為目的的 信息安全事件；

b) 后門攻擊事件（BDAI）
是指利用軟件系統(tǒng)、硬件系統(tǒng)設(shè)計(jì)過(guò)程中留下的后門或有害程序所設(shè) 置的后門而對(duì)信息系統(tǒng)實(shí)施的攻擊的信息安全事件；

c) 漏洞攻擊事件（VAI）
是指除拒絕服務(wù)攻擊事件和后門攻擊事件之外，利用信息系統(tǒng)配置缺陷、 協(xié)議缺陷、程序缺陷等漏洞，對(duì)信息系統(tǒng)實(shí)施攻擊的信息安全事件；

d) 網(wǎng)絡(luò)掃描竊聽(tīng)事件（NSEI）
是指利用網(wǎng)絡(luò)掃描或竊聽(tīng)軟件，獲取信息系統(tǒng)網(wǎng)絡(luò)配置、端口、 服務(wù)、存在的脆弱性等特征而導(dǎo)致的信息安全事件；

e) 網(wǎng)絡(luò)釣魚(yú)事件（PI）
是指利用欺騙性的計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)，使用戶泄漏重要信息而導(dǎo)致的信息安 全事件。例如，利用欺騙性電子郵件獲取用戶銀行帳號(hào)密碼等；

f) 干擾事件（II）
是指通過(guò)技術(shù)手段對(duì)網(wǎng)絡(luò)進(jìn)行干擾，或?qū)V播電視有線或無(wú)線傳輸網(wǎng)絡(luò)進(jìn)行插 播，對(duì)衛(wèi)星廣播電視信號(hào)非法攻擊等導(dǎo)致的信息安全事件；

g) 其他網(wǎng)絡(luò)攻擊事件（ONAI）
是指不能被包含在以上6個(gè)子類之中的網(wǎng)絡(luò)攻擊事件。

4.2.3 信息破壞事件（IDI）
信息破壞事件是指通過(guò)網(wǎng)絡(luò)或其他技術(shù)手段，造成信息系統(tǒng)中的信息被篡改、假冒、泄漏、竊取等 而導(dǎo)致的信息安全事件。
信息破壞事件包括信息篡改事件、信息假冒事件、信息泄漏事件、信息竊取事件、信息丟失事件和 其它信息破壞事件等6個(gè)子類，說(shuō)明如下：

a) 信息篡改事件（IAI）
是指未經(jīng)授權(quán)將信息系統(tǒng)中的信息更換為攻擊者所提供的信息而導(dǎo)致的信息安全事件，例如網(wǎng)頁(yè)篡改等導(dǎo)致的信息安全事件；

b) 信息假冒事件（IMI）
是指通過(guò)假冒他人信息系統(tǒng)收發(fā)信息而導(dǎo)致的信息安全事件，例如網(wǎng)頁(yè)假冒等導(dǎo)致的信息安全事件；

c) 信息泄漏事件（ILEI）
是指因誤操作、軟硬件缺陷或電磁泄漏等因素導(dǎo)致信息系統(tǒng)中的保密、 敏感、個(gè)人隱私等信息暴露于未經(jīng)授權(quán)者而導(dǎo)致的信息安全事件；

d) 信息竊取事件（III）
是指未經(jīng)授權(quán)用戶利用可能的技術(shù)手段惡意主動(dòng)獲取信息系統(tǒng)中信息而導(dǎo)致的信息安全事件；

e) 信息丟失事件（ILOI）
是指因誤操作、人為蓄意或軟硬件缺陷等因素導(dǎo)致信息系統(tǒng)中的信息丟失而導(dǎo)致的信息安全事件；

f) 其它信息破壞事件（OIDI）
是指不能被包含在以上5個(gè)子類之中的信息破壞事件。

4.2.4 信息內(nèi)容安全事件（ICSI）
信息內(nèi)容安全事件是指利用信息網(wǎng)絡(luò)發(fā)布、傳播危害國(guó)家安全、社會(huì)穩(wěn)定和公共利益的內(nèi)容的安全事件。
信息內(nèi)容安全事件包括以下4個(gè)子類，說(shuō)明如下：

a) 違反憲法和法律、行政法規(guī)的信息安全事件；

b) 針對(duì)社會(huì)事項(xiàng)進(jìn)行討論、評(píng)論形成網(wǎng)上敏感的輿論熱點(diǎn)，出現(xiàn)一定規(guī)模炒作的信息安全事件；

c) 組織串連、煽動(dòng)集會(huì)游行的信息安全事件；

d) 其他信息內(nèi)容安全事件等4個(gè)子類。

4.2.5 設(shè)備設(shè)施故障（FF）
設(shè)備設(shè)施故障是指由于信息系統(tǒng)自身故障或外圍保障設(shè)施故障而導(dǎo)致的信息安全事件，以及人為的使用非技術(shù)手段有意或無(wú)意的造成信息系統(tǒng)破壞而導(dǎo)致的信息安全事件。
設(shè)備設(shè)施故障包括軟硬件自身故障、外圍保障設(shè)施故障、人為破壞事故、和其它設(shè)備設(shè)施故障等4 個(gè)子類，說(shuō)明如下：

a) 軟硬件自身故障（SHF）
是指因信息系統(tǒng)中硬件設(shè)備的自然故障、軟硬件設(shè)計(jì)缺陷或者軟硬件運(yùn)行環(huán)境發(fā)生變化等而導(dǎo)致的信息安全事件；

b) 外圍保障設(shè)施故障（PSFF）
是指由于保障信息系統(tǒng)正常運(yùn)行所必須的外部設(shè)施出現(xiàn)故障而導(dǎo)致的信息安全事件，例如電力故障、外圍網(wǎng)絡(luò)故障等導(dǎo)致的信息安全事件；

c) 人為破壞事故（MDA）
是指人為蓄意的對(duì)保障信息系統(tǒng)正常運(yùn)行的硬件、軟件等實(shí)施竊取、破壞造成的信息安全事件；或由于人為的遺失、誤操作以及其他無(wú)意行為造成信息系統(tǒng)硬件、軟件等遭到破壞，影響信息系統(tǒng)正常運(yùn)行的信息安全事件；

d) 其它設(shè)備設(shè)施故障（IF-OT）
是指不能被包含在以上3個(gè)子類之中的設(shè)備設(shè)施故障而導(dǎo)致的信息安全事件。

4.2.6 災(zāi)害性事件（DI）
災(zāi)害性事件是指由于不可抗力對(duì)信息系統(tǒng)造成物理破壞而導(dǎo)致的信息安全事件。
災(zāi)害性事件包括水災(zāi)、臺(tái)風(fēng)、地震、雷擊、坍塌、火災(zāi)、恐怖襲擊、戰(zhàn)爭(zhēng)等導(dǎo)致的信息安全事件。

4.2.7 其他事件（OI）
其他事件類別是指不能歸為以上6個(gè)基本分類的信息安全事件。

5 信息安全事件分級(jí)

5.1 分級(jí)考慮要素

5.1.1 概述
對(duì)信息安全事件的分級(jí)主要考慮三個(gè)要素：信息系統(tǒng)的重要程度、系統(tǒng)損失和社會(huì)影響。

5.1.2 信息系統(tǒng)的重要程度
信息系統(tǒng)的重要程度主要考慮信息系統(tǒng)所承載的業(yè)務(wù)對(duì)國(guó)家安全、經(jīng)濟(jì)建設(shè)、社會(huì)生活的重要性以及業(yè)務(wù)對(duì)信息系統(tǒng)的依賴程度，劃分為特別重要信息系統(tǒng)、重要信息系統(tǒng)和一般信息系統(tǒng)。

5.1.3 系統(tǒng)損失
系統(tǒng)損失是指由于信息安全事件對(duì)信息系統(tǒng)的軟硬件、功能及數(shù)據(jù)的破壞，導(dǎo)致系統(tǒng)業(yè)務(wù)中斷，從而給事發(fā)組織所造成的損失，其大小主要考慮恢復(fù)系統(tǒng)正常運(yùn)行和消除安全事件負(fù)面影響所需付出的代價(jià)，劃分為特別嚴(yán)重的系統(tǒng)損失、嚴(yán)重的系統(tǒng)損失、較大的系統(tǒng)損失和較小的系統(tǒng)損失，說(shuō)明如下：

a) 特別嚴(yán)重的系統(tǒng)損失：造成系統(tǒng)大面積癱瘓，使其喪失業(yè)務(wù)處理能力，或系統(tǒng)關(guān)鍵數(shù)據(jù)的保密性、完整性、可用性遭到嚴(yán)重破壞，恢復(fù)系統(tǒng)正常運(yùn)行和消除安全事件負(fù)面影響所需付出的代價(jià)十分巨大，對(duì)于事發(fā)組織是不可承受的；

b) 嚴(yán)重的系統(tǒng)損失：造成系統(tǒng)長(zhǎng)時(shí)間中斷或局部癱瘓，使其業(yè)務(wù)處理能力受到極大影響，或系統(tǒng) 關(guān)鍵數(shù)據(jù)的保密性、完整性、可用性遭到破壞，恢復(fù)系統(tǒng)正常運(yùn)行和消除安全事件負(fù)面影響所 需付出的代價(jià)巨大，但對(duì)于事發(fā)組織是可承受的；

c) 較大的系統(tǒng)損失：造成系統(tǒng)中斷，明顯影響系統(tǒng)效率，使重要信息系統(tǒng)或一般信息系統(tǒng)業(yè)務(wù)處 理能力受到影響，或系統(tǒng)重要數(shù)據(jù)的保密性、完整性、可用性遭到破壞，恢復(fù)系統(tǒng)正常運(yùn)行和 消除安全事件負(fù)面影響所需付出的代價(jià)較大，但對(duì)于事發(fā)組織是完全可以承受的；

d) 較小的系統(tǒng)損失：造成系統(tǒng)短暫中斷，影響系統(tǒng)效率，使系統(tǒng)業(yè)務(wù)處理能力受到影響，或系統(tǒng) 重要數(shù)據(jù)的保密性、完整性、可用性遭到影響，恢復(fù)系統(tǒng)正常運(yùn)行和消除安全事件負(fù)面影響所需付出的代價(jià)較小。

5.1.4 社會(huì)影響
社會(huì)影響是指信息安全事件對(duì)社會(huì)所造成影響的范圍和程度，其大小主要考慮國(guó)家安全、社會(huì)秩序、經(jīng)濟(jì)建設(shè)和公眾利益等方面的影響，劃分為特別重大的社會(huì)影響、重大的社會(huì)影響、較大的社會(huì)影響和一般的社會(huì)影響，說(shuō)明如下：

a) 特別重大的社會(huì)影響：波及到一個(gè)或多個(gè)省市的大部分地區(qū)，極大威脅國(guó)家安全，引起社會(huì)動(dòng) 蕩，對(duì)經(jīng)濟(jì)建設(shè)有極其惡劣的負(fù)面影響，或者嚴(yán)重?fù)p害公眾利益；

b) 重大的社會(huì)影響：波及到一個(gè)或多個(gè)地市的大部分地區(qū)，威脅到國(guó)家安全，引起社會(huì)恐慌，對(duì) 經(jīng)濟(jì)建設(shè)有重大的負(fù)面影響，或者損害到公眾利益；

c) 較大的社會(huì)影響：波及到一個(gè)或多個(gè)地市的部分地區(qū)，可能影響到國(guó)家安全，擾亂社會(huì)秩序， 對(duì)經(jīng)濟(jì)建設(shè)有一定的負(fù)面影響，或者影響到公眾利益；

d) 一般的社會(huì)影響：波及到一個(gè)地市的部分地區(qū)，對(duì)國(guó)家安全、社會(huì)秩序、經(jīng)濟(jì)建設(shè)和公眾利益 基本沒(méi)有影響，但對(duì)個(gè)別公民、法人或其他組織的利益會(huì)造成損害。

5.2 事件分級(jí)

5.2.1 概述
根據(jù)信息安全事件的分級(jí)考慮要素，將信息安全事件劃分為四個(gè)級(jí)別：特別重大事件、重大事件、 較大事件和一般事件。

5.2.2 特別重大事件（Ⅰ級(jí)）
特別重大事件是指能夠?qū)е绿貏e嚴(yán)重影響或破壞的信息安全事件，包括以下情況：

a) 會(huì)使特別重要信息系統(tǒng)遭受特別嚴(yán)重的系統(tǒng)損失；

b) 產(chǎn)生特別重大的社會(huì)影響。

5.2.3 重大事件（Ⅱ級(jí)）
重大事件是指能夠?qū)е聡?yán)重影響或破壞的信息安全事件，包括以下情況：

a) 會(huì)使特別重要信息系統(tǒng)遭受嚴(yán)重的系統(tǒng)損失、或使重要信息系統(tǒng)遭受特別嚴(yán)重的系統(tǒng)損失；

b) 產(chǎn)生的重大的社會(huì)影響。

5.2.4 較大事件（Ⅲ級(jí)）
較大事件是指能夠?qū)е螺^嚴(yán)重影響或破壞的信息安全事件，包括以下情況：

a) 會(huì)使特別重要信息系統(tǒng)遭受較大的系統(tǒng)損失、或使重要信息系統(tǒng)遭受嚴(yán)重的系統(tǒng)損失、一般信息信息系統(tǒng)遭受特別嚴(yán)重的系統(tǒng)損失；

b) 產(chǎn)生較大的社會(huì)影響。

5.2.5 一般事件（Ⅳ級(jí)）
一般事件是指不滿足以上條件的信息安全事件，包括以下情況：

a) 會(huì)使特別重要信息系統(tǒng)遭受較小的系統(tǒng)損失、或使重要信息系統(tǒng)遭受較大的系統(tǒng)損失，一般信 息系統(tǒng)遭受嚴(yán)重或嚴(yán)重以下級(jí)別的系統(tǒng)損失；

b) 產(chǎn)生一般的社會(huì)影響。

The post 信息安全事件怎樣分類分級(jí) first appeared on ISO27001信息安全咨詢公司.

國(guó)市監(jiān)認(rèn)證規(guī)〔2023〕3號(hào)

各省、自治區(qū)、直轄市和新疆生產(chǎn)建設(shè)兵團(tuán)市場(chǎng)監(jiān)管局（廳、委）、黨委網(wǎng)信辦、工業(yè)和信息化主管部門、公安廳（局），各省、自治區(qū)、直轄市通信管理局，各有關(guān)單位：

為推進(jìn)網(wǎng)絡(luò)安全服務(wù)認(rèn)證體系建設(shè)，提升網(wǎng)絡(luò)安全服務(wù)機(jī)構(gòu)能力水平和服務(wù)質(zhì)量，根據(jù)《網(wǎng)絡(luò)安全法》《認(rèn)證認(rèn)可條例》，市場(chǎng)監(jiān)管總局、中央網(wǎng)信辦、工業(yè)和信息化部、公安部就開(kāi)展國(guó)家統(tǒng)一推行的網(wǎng)絡(luò)安全服務(wù)認(rèn)證工作提出以下意見(jiàn)。

一、網(wǎng)絡(luò)安全服務(wù)認(rèn)證工作堅(jiān)持“統(tǒng)一管理、共同實(shí)施、統(tǒng)一標(biāo)準(zhǔn)、規(guī)范有序”的基本原則。市場(chǎng)監(jiān)管總局、中央網(wǎng)信辦、工業(yè)和信息化部、公安部根據(jù)職責(zé)，加強(qiáng)認(rèn)證工作的組織實(shí)施和監(jiān)督管理，鼓勵(lì)網(wǎng)絡(luò)運(yùn)營(yíng)者等廣泛采信網(wǎng)絡(luò)安全服務(wù)認(rèn)證結(jié)果，促進(jìn)網(wǎng)絡(luò)安全服務(wù)產(chǎn)業(yè)健康有序發(fā)展。

二、網(wǎng)絡(luò)安全服務(wù)認(rèn)證目錄由市場(chǎng)監(jiān)管總局會(huì)同中央網(wǎng)信辦、工業(yè)和信息化部、公安部根據(jù)市場(chǎng)需求和產(chǎn)業(yè)發(fā)展?fàn)顩r確定并適時(shí)調(diào)整，現(xiàn)階段包括檢測(cè)評(píng)估、安全運(yùn)維、安全咨詢和等級(jí)保護(hù)測(cè)評(píng)等服務(wù)類別。認(rèn)證規(guī)則和認(rèn)證標(biāo)志由市場(chǎng)監(jiān)管總局征求中央網(wǎng)信辦、工業(yè)和信息化部、公安部意見(jiàn)后另行制定發(fā)布。

三、市場(chǎng)監(jiān)管總局、中央網(wǎng)信辦、工業(yè)和信息化部、公安部聯(lián)合組建由政府部門、科研機(jī)構(gòu)、認(rèn)證機(jī)構(gòu)、標(biāo)準(zhǔn)化機(jī)構(gòu)、網(wǎng)絡(luò)安全服務(wù)機(jī)構(gòu)和用戶等相關(guān)方參與的網(wǎng)絡(luò)安全服務(wù)認(rèn)證技術(shù)委員會(huì)，協(xié)調(diào)解決認(rèn)證體系建設(shè)和實(shí)施過(guò)程中出現(xiàn)的技術(shù)問(wèn)題，研究提出認(rèn)證目錄、認(rèn)證規(guī)則編寫(xiě)修訂工作建議等。

四、從事網(wǎng)絡(luò)安全服務(wù)認(rèn)證活動(dòng)的認(rèn)證機(jī)構(gòu)應(yīng)當(dāng)依法設(shè)立，符合《認(rèn)證認(rèn)可條例》《認(rèn)證機(jī)構(gòu)管理辦法》規(guī)定的基本條件，具備從事網(wǎng)絡(luò)安全服務(wù)認(rèn)證活動(dòng)的專業(yè)能力，并經(jīng)市場(chǎng)監(jiān)管總局根據(jù)各部門職責(zé)征求中央網(wǎng)信辦、工業(yè)和信息化部、公安部意見(jiàn)后批準(zhǔn)取得資質(zhì)。

五、網(wǎng)絡(luò)安全服務(wù)認(rèn)證機(jī)構(gòu)應(yīng)當(dāng)根據(jù)認(rèn)證委托人提出的認(rèn)證委托，按照網(wǎng)絡(luò)安全服務(wù)認(rèn)證基本規(guī)范、認(rèn)證規(guī)則開(kāi)展認(rèn)證工作，建立可追溯工作機(jī)制對(duì)認(rèn)證全過(guò)程完整記錄。

六、網(wǎng)絡(luò)安全服務(wù)認(rèn)證機(jī)構(gòu)應(yīng)當(dāng)公開(kāi)認(rèn)證收費(fèi)標(biāo)準(zhǔn)和認(rèn)證證書(shū)有效、暫停、注銷或者撤銷等狀態(tài)，并按照有關(guān)規(guī)定報(bào)送網(wǎng)絡(luò)安全服務(wù)認(rèn)證實(shí)施情況及認(rèn)證證書(shū)信息。

七、通過(guò)認(rèn)證的網(wǎng)絡(luò)安全服務(wù)機(jī)構(gòu)應(yīng)當(dāng)按照有關(guān)法律法規(guī)、標(biāo)準(zhǔn)規(guī)范等開(kāi)展網(wǎng)絡(luò)安全服務(wù)工作，確保持續(xù)符合認(rèn)證要求。

八、市場(chǎng)監(jiān)管部門負(fù)責(zé)對(duì)網(wǎng)絡(luò)安全服務(wù)認(rèn)證機(jī)構(gòu)、認(rèn)證活動(dòng)和認(rèn)證結(jié)果進(jìn)行監(jiān)督管理，依法查處認(rèn)證違法行為。

九、網(wǎng)信部門、工業(yè)和信息化部門、公安部門依據(jù)各自職責(zé)，推動(dòng)認(rèn)證結(jié)果采信應(yīng)用，加強(qiáng)網(wǎng)絡(luò)安全服務(wù)監(jiān)督管理，促進(jìn)網(wǎng)絡(luò)安全服務(wù)產(chǎn)業(yè)發(fā)展，依法查處有關(guān)違法行為。

國(guó)家市場(chǎng)監(jiān)督管理總局

中央網(wǎng)絡(luò)安全和信息化委員會(huì)辦公室

工業(yè)和信息化部

公安部

2023年3月15日

The post 開(kāi)展網(wǎng)絡(luò)安全服務(wù)認(rèn)證工作的實(shí)施意見(jiàn) first appeared on ISO27001信息安全咨詢公司.

企業(yè)是重要的市場(chǎng)主體，合規(guī)是其自覺(jué)履行義務(wù)的管理方式，是實(shí)現(xiàn)高質(zhì)量發(fā)展的本質(zhì)要求，也是實(shí)現(xiàn)可持續(xù)發(fā)展的重要基石與現(xiàn)實(shí)需要。深圳近年來(lái)緊緊圍繞建設(shè)中國(guó)特色社會(huì)主義先行示范區(qū)“法治城市示范”戰(zhàn)略定位，在全國(guó)率先提出“全面推進(jìn)合規(guī)建設(shè)”、打造“企業(yè)合規(guī)示范區(qū)”的目標(biāo)，系統(tǒng)性推進(jìn)合規(guī)體系建設(shè)，助推民營(yíng)經(jīng)濟(jì)持續(xù)蓬勃發(fā)展。

深圳是如何走出具有自身特色的合規(guī)建設(shè)法治化之路的？在推動(dòng)企業(yè)合規(guī)建設(shè)中還面臨哪些挑戰(zhàn)，如何破解？帶著這些問(wèn)題，經(jīng)濟(jì)日?qǐng)?bào)記者近日深入當(dāng)?shù)刈咴L調(diào)查。

創(chuàng)新形成合力

ISO37301認(rèn)證咨詢機(jī)構(gòu)

什么是企業(yè)合規(guī)？是指企業(yè)經(jīng)濟(jì)管理行為和員工履職行為符合國(guó)家法律法規(guī)、監(jiān)管規(guī)定、行業(yè)準(zhǔn)則和國(guó)際條約、規(guī)則，以及公司章程、相關(guān)規(guī)章制度等要求。過(guò)去，深圳企業(yè)普遍存在缺乏合規(guī)文化建設(shè)、合規(guī)流程制度不完善、合規(guī)專業(yè)能力弱、子公司管理難度大等問(wèn)題。此外，深圳民營(yíng)經(jīng)濟(jì)發(fā)達(dá)，廣大中小微企業(yè)難有人力物力深入開(kāi)展合規(guī)管理工作。

為此，深圳以問(wèn)題為導(dǎo)向，從頂層設(shè)計(jì)推動(dòng)體制機(jī)制創(chuàng)新，邁出合規(guī)體系建設(shè)的第一步。2020年10月29日，《深圳經(jīng)濟(jì)特區(qū)優(yōu)化營(yíng)商環(huán)境條例》通過(guò)，明確提出推進(jìn)市場(chǎng)主體合規(guī)建設(shè)；此后，《關(guān)于推進(jìn)城市合規(guī)體系建設(shè)的指導(dǎo)意見(jiàn)（征求意見(jiàn)稿）》《企業(yè)合規(guī)管理體系（征求意見(jiàn)稿）》相繼出臺(tái)，從政府合規(guī)、企業(yè)合規(guī)、行業(yè)合規(guī)、涉外合規(guī)等多個(gè)方面，全方位、多維度、系統(tǒng)性地持續(xù)推進(jìn)企業(yè)合規(guī)建設(shè)。

2019年5月，寶安區(qū)作為深圳首個(gè)企業(yè)合規(guī)建設(shè)示范區(qū)，被確定為全國(guó)首個(gè)信用標(biāo)準(zhǔn)化建設(shè)試點(diǎn)，并于2020年3月列入全國(guó)6個(gè)企業(yè)合規(guī)改革首期試點(diǎn)基層單位之一。2020年10月，當(dāng)?shù)芈氏韧瞥觥叭嵝詧?zhí)法8條”，切實(shí)保護(hù)企業(yè)市場(chǎng)主體地位。2021年3月，《寶安區(qū)推動(dòng)企業(yè)合規(guī)建設(shè) 優(yōu)化法治化營(yíng)商環(huán)境工作方案》正式印發(fā)，目標(biāo)是到2022年，區(qū)重點(diǎn)企業(yè)合規(guī)建設(shè)基本實(shí)現(xiàn)全覆蓋，形成一批可復(fù)制可推廣的經(jīng)驗(yàn)做法，初步建成全國(guó)企業(yè)合規(guī)建設(shè)示范區(qū)。

作為深圳產(chǎn)業(yè)大區(qū)，寶安區(qū)具有合規(guī)體系建設(shè)的迫切現(xiàn)實(shí)需求?！叭欢?，寶安的上市企業(yè)目前只有68家，占比較低。如何助力大多數(shù)企業(yè)走向更為有序的發(fā)展階段？又由誰(shuí)來(lái)主導(dǎo)、誰(shuí)來(lái)引導(dǎo)？是寶安面臨的現(xiàn)實(shí)課題。”深圳市寶安區(qū)司法局黨組書(shū)記、局長(zhǎng)詹文烈告訴記者，寶安因事而謀、高位推動(dòng)，由區(qū)主要領(lǐng)導(dǎo)親自設(shè)計(jì)改革路徑，區(qū)分管領(lǐng)導(dǎo)統(tǒng)籌力推，牽頭制定方案，并創(chuàng)新工作舉措，堅(jiān)持通過(guò)合規(guī)建設(shè)這個(gè)“小切口”實(shí)現(xiàn)優(yōu)化營(yíng)商環(huán)境“大改革”，切實(shí)把保護(hù)市場(chǎng)主體工作落到實(shí)處。他們還以企業(yè)服務(wù)為中心，從過(guò)去的保姆式服務(wù)轉(zhuǎn)變?yōu)楸＝∈椒?wù)；并引進(jìn)全國(guó)合規(guī)專家，深挖本地合規(guī)人才，打造高層次合規(guī)法律服務(wù)團(tuán)隊(duì)，以此更公正、權(quán)威、專業(yè)地為企業(yè)解決合規(guī)難題。

該如何讓合規(guī)形成合力？合規(guī)是一個(gè)龐大體系，不可能一蹴而就。寶安區(qū)堅(jiān)持守正創(chuàng)新，圍繞企業(yè)需求建立起專項(xiàng)合規(guī)體系，率先提出了刑事合規(guī)、行政合規(guī)、信用合規(guī)、行業(yè)合規(guī)及廉潔合規(guī)“五位一體”的合規(guī)建設(shè)體系。一方面，從政務(wù)服務(wù)、信用建設(shè)、合規(guī)激勵(lì)等入手，為企業(yè)培養(yǎng)合規(guī)發(fā)展意識(shí)；另一方面，從健全合規(guī)管理體系入手，持續(xù)優(yōu)化營(yíng)商環(huán)境，助力企業(yè)輕裝上陣。

“合規(guī)體系建設(shè)涉及的監(jiān)管執(zhí)法部門十分繁雜。從寶安的經(jīng)驗(yàn)來(lái)看，找準(zhǔn)合規(guī)建設(shè)的抓手，建立起一套行之有效的保障支撐體系尤為關(guān)鍵?！闭参牧艺f(shuō)，寶安區(qū)目前已構(gòu)建起“六個(gè)一”支撐體系，并成立了區(qū)級(jí)促進(jìn)企業(yè)合規(guī)建設(shè)委員會(huì)，確定了涵蓋行政執(zhí)法部門在內(nèi)的35家成員單位，通過(guò)明確各自相關(guān)工作職責(zé)與制度形成合力。

“在引導(dǎo)推動(dòng)企業(yè)合規(guī)的同時(shí)，政府部門的監(jiān)管執(zhí)法同樣也要合規(guī)?！闭参牧冶硎荆瑢毎矃^(qū)正探索行政合規(guī)模式，從企業(yè)與政府兩端雙管齊下，在建立違法容錯(cuò)機(jī)制促進(jìn)企業(yè)合規(guī)的同時(shí)，持續(xù)優(yōu)化規(guī)范行政執(zhí)法行為，建立行刑銜接機(jī)制，強(qiáng)化政府合規(guī)，目前已分批推出行政執(zhí)法自由裁量權(quán)“三個(gè)清單”，制定合規(guī)指引420項(xiàng)。截至今年三季度，寶安區(qū)通過(guò)適時(shí)采取糾錯(cuò)執(zhí)法、分類處置違法行為等措施，減輕、從輕、不予處罰案件219宗，減免金額6500多萬(wàn)元，為企業(yè)后續(xù)健康穩(wěn)定發(fā)展奠定基礎(chǔ)。

激活發(fā)展勢(shì)能

企業(yè)合規(guī)建設(shè)是一個(gè)他律與自律融合發(fā)展、協(xié)同并進(jìn)的過(guò)程?！霸缙冢瑏?lái)自外部的監(jiān)管要求是企業(yè)合規(guī)建設(shè)的原動(dòng)力，不斷強(qiáng)化法治手段是主要抓手。如今，我國(guó)已進(jìn)入高質(zhì)量發(fā)展的新階段，企業(yè)合規(guī)不再是簡(jiǎn)單的依法合規(guī)，而是更高層面的文化與商業(yè)文明的追求?！北本┬率兰o(jì)跨國(guó)公司研究所所長(zhǎng)王志樂(lè)表示，必須引導(dǎo)企業(yè)由被動(dòng)合規(guī)轉(zhuǎn)化為主動(dòng)合規(guī)，推動(dòng)企業(yè)在合法經(jīng)營(yíng)基礎(chǔ)上，將外在規(guī)則內(nèi)化成企業(yè)內(nèi)部規(guī)章，并將其上升至企業(yè)文化、企業(yè)價(jià)值觀層面，形成企業(yè)發(fā)展軟實(shí)力。

如何推動(dòng)企業(yè)從“要我合規(guī)”到“我要合規(guī)”？2020年12月，深圳海關(guān)企業(yè)規(guī)范管理示范基地暨稽查核查實(shí)訓(xùn)示范基地在寶安區(qū)正式啟用。法治視頻展示、互動(dòng)交流、智能答疑……記者在充滿科技感的現(xiàn)場(chǎng)看到，以可視化交互設(shè)計(jì)、人工智能、VR實(shí)景教學(xué)等現(xiàn)代載體為依托，該示范基地能為企業(yè)提供完整的精準(zhǔn)式、沉浸式和融合式管理示范。

“結(jié)合深圳關(guān)區(qū)各類產(chǎn)業(yè)基礎(chǔ)特點(diǎn)，這一基地聚焦服務(wù)于高端制造、高精尖科技、新興業(yè)態(tài)3類產(chǎn)業(yè)集群，創(chuàng)新建立起‘全景還原企業(yè)生產(chǎn)經(jīng)營(yíng)場(chǎng)所、全程模擬海關(guān)稽核查作業(yè)流程、全面考評(píng)配合針對(duì)性指導(dǎo)’三位一體的實(shí)訓(xùn)體系，推動(dòng)企業(yè)不斷提升自律合規(guī)意識(shí)和優(yōu)化內(nèi)控管理水平?！鄙钲诤ｊP(guān)企業(yè)管理和稽查處副處長(zhǎng)王志文告訴記者，基地啟用近兩年來(lái)，已為700余家企業(yè)提供合規(guī)管理培訓(xùn)，引導(dǎo)企業(yè)規(guī)范生產(chǎn)經(jīng)營(yíng)、重視信用管理建設(shè)，助力更多守法企業(yè)獲得高級(jí)認(rèn)證企業(yè)資質(zhì)，享受優(yōu)惠通關(guān)便利。目前，深圳關(guān)區(qū)AEO認(rèn)證企業(yè)達(dá)390家，在全國(guó)名列前茅。

如何建設(shè)形成具有廣泛社會(huì)共識(shí)的信用合規(guī)體系？2020年以來(lái)，寶安區(qū)率先在全國(guó)推進(jìn)社會(huì)信用標(biāo)準(zhǔn)化建設(shè)，推行企業(yè)信用分級(jí)分類監(jiān)管，探索公共信用評(píng)價(jià)與行業(yè)信用評(píng)價(jià)共享互認(rèn)機(jī)制，針對(duì)在區(qū)內(nèi)依法登記注冊(cè)且同時(shí)獲得海關(guān)高級(jí)認(rèn)證、納稅信用A級(jí)納稅人、寶安區(qū)公共信用綜合評(píng)價(jià)A級(jí)的企業(yè)展開(kāi)“3A信用企業(yè)”評(píng)選和聯(lián)合激勵(lì)。目前，寶安區(qū)已完成全區(qū)85萬(wàn)多家商事主體的公共信用評(píng)級(jí)工作，首批58家“3A”信用企業(yè)名單正式發(fā)布，并評(píng)選出20多家誠(chéng)信合規(guī)示范企業(yè)（園區(qū)）。

“‘3A’信用企業(yè)評(píng)選不僅是對(duì)企業(yè)誠(chéng)信經(jīng)營(yíng)的一種認(rèn)證，還能有效激活企業(yè)合規(guī)發(fā)展勢(shì)能?！睋?jù)深圳市寶安區(qū)稅務(wù)局納稅服務(wù)科科長(zhǎng)陳曉星介紹，對(duì)于獲得“3A”信用認(rèn)證的企業(yè)，稅務(wù)部門將提供包括“現(xiàn)場(chǎng)辦稅免預(yù)約”“出口退（免）稅專崗直聯(lián)”等個(gè)性化稅收服務(wù)；并將信用等級(jí)評(píng)定納入每季度的專項(xiàng)工作中，推動(dòng)企業(yè)誠(chéng)信經(jīng)營(yíng)。

隨著合規(guī)建設(shè)走實(shí)向深，為企業(yè)發(fā)展壯大提供了有力支撐。“自2018年公司獲得AEO高級(jí)認(rèn)證資質(zhì)以來(lái)，不僅享受到海關(guān)的通關(guān)便利，對(duì)企業(yè)的合規(guī)管理也有很大幫助?！鄙钲谑猩盥?lián)電路有限公司是一家國(guó)家級(jí)高新技術(shù)企業(yè)，銷售覆蓋全球多個(gè)國(guó)家和地區(qū)。該公司報(bào)關(guān)部經(jīng)理程春艷說(shuō)，通過(guò)對(duì)標(biāo)AEO認(rèn)證標(biāo)準(zhǔn)，企業(yè)的內(nèi)部管理水平和風(fēng)險(xiǎn)防范能力有了質(zhì)的飛躍，各種業(yè)務(wù)流程也更加科學(xué)高效?！巴ㄟ^(guò)強(qiáng)化內(nèi)部管理、持續(xù)改善進(jìn)出口貿(mào)易安全和管理體系，我們獲得了更多貿(mào)易伙伴的商業(yè)選擇和信任，企業(yè)品牌全球知名度和影響力持續(xù)提升；憑借獲評(píng)為‘3A’信用企業(yè)，還進(jìn)一步享受到了地方政府優(yōu)先辦理、綠色通道等9大方面的聯(lián)合激勵(lì)措施?！背檀浩G說(shuō)，今年1月至9月，公司進(jìn)出口額達(dá)4.59億元，同比增長(zhǎng)48%。

協(xié)同走向縱深

有了頂層設(shè)計(jì)，如何讓各項(xiàng)體制機(jī)制發(fā)揮實(shí)效，讓合規(guī)建設(shè)觸達(dá)各市場(chǎng)主體？各類行業(yè)組織成為其中不可或缺的橋梁與紐帶。“作為企業(yè)合規(guī)建設(shè)的重要一環(huán)，我們正探索建立‘行業(yè)自治+行業(yè)合規(guī)’雙重服務(wù)模式。”寶安區(qū)企業(yè)服務(wù)中心副主任何進(jìn)軍介紹。

智能制造業(yè)是寶安區(qū)產(chǎn)業(yè)發(fā)展的重點(diǎn)領(lǐng)域。知識(shí)產(chǎn)權(quán)保護(hù)是最常面臨的企業(yè)合規(guī)難題。“我們大多數(shù)智能制造業(yè)企業(yè)都是技術(shù)研發(fā)型中小微企業(yè)，亟需提升知識(shí)產(chǎn)權(quán)全方位、全鏈條的合規(guī)保護(hù)能力。”據(jù)深圳市寶安區(qū)智能制造行業(yè)協(xié)會(huì)會(huì)長(zhǎng)陳焱告介紹，近年來(lái)，他們已成立了知識(shí)產(chǎn)權(quán)保護(hù)工作站，并聯(lián)合律師事務(wù)所、保險(xiǎn)機(jī)構(gòu)等搭建多方共維的知識(shí)產(chǎn)權(quán)保護(hù)平臺(tái)深入開(kāi)展相關(guān)工作，為企業(yè)創(chuàng)新發(fā)展保駕護(hù)航；還依托大族激光等龍頭企業(yè)，以“大手拉小手”的形式傳遞合規(guī)管理經(jīng)驗(yàn)，引導(dǎo)企業(yè)逐步完善合規(guī)體系，為企業(yè)國(guó)際化發(fā)展提供助力。

上市公司雖然對(duì)合規(guī)有著天然需求，但合規(guī)建設(shè)能力仍有待加強(qiáng)?！皩?duì)于‘走出去’的上市企業(yè)而言，合規(guī)不是單純的合法即可，而需懂得當(dāng)?shù)氐男袠I(yè)規(guī)則、人文風(fēng)情、民俗習(xí)慣等。如部分企業(yè)在東南亞地區(qū)建廠時(shí)，往往因不了解當(dāng)?shù)赜霉?、土地?guī)劃等細(xì)節(jié)問(wèn)題造成項(xiàng)目受阻。作為服務(wù)企業(yè)的平臺(tái)與橋梁，協(xié)會(huì)會(huì)給予專項(xiàng)幫扶，助力企業(yè)海外項(xiàng)目推進(jìn)。”深圳市寶安區(qū)上市企業(yè)協(xié)會(huì)秘書(shū)長(zhǎng)劉英說(shuō)。

“合規(guī)體系建設(shè)非一日之功，是一場(chǎng)動(dòng)態(tài)演進(jìn)的‘持久戰(zhàn)’?！眲⒂⒈硎?，合規(guī)屬于“一把手”工程，在企業(yè)領(lǐng)導(dǎo)者支持與認(rèn)可下推動(dòng)企業(yè)合規(guī)才有意義。短期來(lái)看，時(shí)間、資金、精力成本的投入必不可少，但長(zhǎng)遠(yuǎn)來(lái)看，合規(guī)建設(shè)能夠幫助企業(yè)規(guī)避很多風(fēng)險(xiǎn)，節(jié)省相應(yīng)的成本。

早在2019年，鑫榮懋果業(yè)科技集團(tuán)股份有限公司就著手企業(yè)合規(guī)管理體系建設(shè)的探索。“我們將合規(guī)建設(shè)作為戰(zhàn)略性、全局性、制度性的決策部署，現(xiàn)已由上至下建立起了合規(guī)管理的三道防線；建立起從預(yù)防、控制、監(jiān)督、問(wèn)責(zé)到持續(xù)優(yōu)化的合規(guī)風(fēng)險(xiǎn)管理閉環(huán)，為‘合規(guī)風(fēng)險(xiǎn)’搭建了一條‘護(hù)城河’?！宾螛s懋公司合規(guī)總監(jiān)袁媛說(shuō)，“合規(guī)最大的益處是能幫助企業(yè)把風(fēng)險(xiǎn)前置。雖然短期內(nèi)影響不明顯，但隨著合規(guī)體系不斷完善，能很好防范風(fēng)險(xiǎn)的同時(shí)優(yōu)化工作管理流程，最終實(shí)現(xiàn)降本增效?！痹诤弦?guī)助力下，該公司業(yè)務(wù)持續(xù)增長(zhǎng)，2021年?duì)I收過(guò)百億元。

“合規(guī)本質(zhì)上是管理，其特點(diǎn)是全員、全流程、常態(tài)化。”王志樂(lè)認(rèn)為，從目前企業(yè)風(fēng)險(xiǎn)問(wèn)題分析來(lái)看，基本都可歸結(jié)于違規(guī)層面。因此，合規(guī)應(yīng)當(dāng)滲透企業(yè)管理的每一個(gè)細(xì)枝末節(jié)，通過(guò)管理將合規(guī)這一法治層面的目標(biāo)轉(zhuǎn)化為日常可控、全員參與的可持續(xù)活動(dòng)。

“目前，寶安區(qū)依托‘企業(yè)服務(wù)云課堂’‘企業(yè)合規(guī)培訓(xùn)基地’等平臺(tái)，實(shí)現(xiàn)合規(guī)培訓(xùn)的全覆蓋、廣受惠，今年就已開(kāi)展10場(chǎng)合規(guī)培訓(xùn)，服務(wù)企業(yè)1204家。”何進(jìn)軍表示，接下來(lái)，寶安區(qū)將繼續(xù)加大企業(yè)合規(guī)建設(shè)力度，并持續(xù)加強(qiáng)部門溝通協(xié)作，提升合規(guī)工作專業(yè)度，拓展企業(yè)合規(guī)適用范圍，探索制定企業(yè)合規(guī)指導(dǎo)意見(jiàn)，營(yíng)造法治化營(yíng)商環(huán)境。

合規(guī)體系建設(shè)的持續(xù)完善為區(qū)域經(jīng)濟(jì)發(fā)展提供了強(qiáng)勁動(dòng)力。今年1月至10月，深圳規(guī)上工業(yè)增加值同比增長(zhǎng)6.2%。今年1月至9月，寶安區(qū)經(jīng)濟(jì)亦逐季劃出上揚(yáng)曲線，實(shí)現(xiàn)GDP3279億元，同比增長(zhǎng)3%；規(guī)上工業(yè)總產(chǎn)值達(dá)6913.01億元，規(guī)上工業(yè)增加值達(dá)1579.00億元，同比增長(zhǎng)6.4%，總量均位居深圳市第一。 （經(jīng)濟(jì)日?qǐng)?bào)記者 楊陽(yáng)騰）

The post 企業(yè)合規(guī)體系如何構(gòu)建——深圳市寶安區(qū)打造企業(yè)合規(guī)示范區(qū)調(diào)查 first appeared on ISO27001信息安全咨詢公司.

《中央企業(yè)合規(guī)管理指引（試行）》的通知

國(guó)資發(fā)法規(guī)〔2018〕106號(hào)

各中央企業(yè)：

為推動(dòng)中央企業(yè)全面加強(qiáng)合規(guī)管理，加快提升依法合規(guī)經(jīng)營(yíng)管理水平，著力打造法治央企，保障企業(yè)持續(xù)健康發(fā)展，我委制定了《中央企業(yè)合規(guī)管理指引（試行）》，現(xiàn)印發(fā)給你們。請(qǐng)遵照?qǐng)?zhí)行。工作中的情況和問(wèn)題請(qǐng)及時(shí)反饋。

國(guó)　資　委

2018年11月2日

ISO37301認(rèn)證咨詢機(jī)構(gòu)

中央企業(yè)合規(guī)管理指引（試行）

第一章　總　　則

第一條　為推動(dòng)中央企業(yè)全面加強(qiáng)合規(guī)管理，加快提升依法合規(guī)經(jīng)營(yíng)管理水平，著力打造法治央企，保障企業(yè)持續(xù)健康發(fā)展，根據(jù)《中華人民共和國(guó)公司法》、《中華人民共和國(guó)企業(yè)國(guó)有資產(chǎn)法》等有關(guān)法律法規(guī)規(guī)定，制定本指引。

第二條　本指引所稱中央企業(yè)，是指國(guó)務(wù)院國(guó)有資產(chǎn)監(jiān)督管理委員會(huì)（以下簡(jiǎn)稱國(guó)資委）履行出資人職責(zé)的國(guó)家出資企業(yè)。

本指引所稱合規(guī)，是指中央企業(yè)及其員工的經(jīng)營(yíng)管理行為符合法律法規(guī)、監(jiān)管規(guī)定、行業(yè)準(zhǔn)則和企業(yè)章程、規(guī)章制度以及國(guó)際條約、規(guī)則等要求。

本指引所稱合規(guī)風(fēng)險(xiǎn)，是指中央企業(yè)及其員工因不合規(guī)行為，引發(fā)法律責(zé)任、受到相關(guān)處罰、造成經(jīng)濟(jì)或聲譽(yù)損失以及其他負(fù)面影響的可能性。

本指引所稱合規(guī)管理，是指以有效防控合規(guī)風(fēng)險(xiǎn)為目的，以企業(yè)和員工經(jīng)營(yíng)管理行為為對(duì)象，開(kāi)展包括制度制定、風(fēng)險(xiǎn)識(shí)別、合規(guī)審查、風(fēng)險(xiǎn)應(yīng)對(duì)、責(zé)任追究、考核評(píng)價(jià)、合規(guī)培訓(xùn)等有組織、有計(jì)劃的管理活動(dòng)。

第三條　國(guó)資委負(fù)責(zé)指導(dǎo)監(jiān)督中央企業(yè)合規(guī)管理工作。

第四條　中央企業(yè)應(yīng)當(dāng)按照以下原則加快建立健全合規(guī)管理體系：

（一）全面覆蓋。堅(jiān)持將合規(guī)要求覆蓋各業(yè)務(wù)領(lǐng)域、各部門、各級(jí)子企業(yè)和分支機(jī)構(gòu)、全體員工，貫穿決策、執(zhí)行、監(jiān)督全流程。

（二）強(qiáng)化責(zé)任。把加強(qiáng)合規(guī)管理作為企業(yè)主要負(fù)責(zé)人履行推進(jìn)法治建設(shè)第一責(zé)任人職責(zé)的重要內(nèi)容。建立全員合規(guī)責(zé)任制，明確管理人員和各崗位員工的合規(guī)責(zé)任并督促有效落實(shí)。

（三）協(xié)同聯(lián)動(dòng)。推動(dòng)合規(guī)管理與法律風(fēng)險(xiǎn)防范、監(jiān)察、審計(jì)、內(nèi)控、風(fēng)險(xiǎn)管理等工作相統(tǒng)籌、相銜接，確保合規(guī)管理體系有效運(yùn)行。

（四）客觀獨(dú)立。嚴(yán)格依照法律法規(guī)等規(guī)定對(duì)企業(yè)和員工行為進(jìn)行客觀評(píng)價(jià)和處理。合規(guī)管理牽頭部門獨(dú)立履行職責(zé)，不受其他部門和人員的干涉。

第二章　合規(guī)管理職責(zé)

第五條　董事會(huì)的合規(guī)管理職責(zé)主要包括：

（一）批準(zhǔn)企業(yè)合規(guī)管理戰(zhàn)略規(guī)劃、基本制度和年度報(bào)告；

（二）推動(dòng)完善合規(guī)管理體系；

（三）決定合規(guī)管理負(fù)責(zé)人的任免；

（四）決定合規(guī)管理牽頭部門的設(shè)置和職能；

（五）研究決定合規(guī)管理有關(guān)重大事項(xiàng)；

（六）按照權(quán)限決定有關(guān)違規(guī)人員的處理事項(xiàng)。

第六條　監(jiān)事會(huì)的合規(guī)管理職責(zé)主要包括：

（一）監(jiān)督董事會(huì)的決策與流程是否合規(guī)；

（二）監(jiān)督董事和高級(jí)管理人員合規(guī)管理職責(zé)履行情況；

（三）對(duì)引發(fā)重大合規(guī)風(fēng)險(xiǎn)負(fù)有主要責(zé)任的董事、高級(jí)管理人員提出罷免建議；

（四）向董事會(huì)提出撤換公司合規(guī)管理負(fù)責(zé)人的建議。

第七條　經(jīng)理層的合規(guī)管理職責(zé)主要包括：

（一）根據(jù)董事會(huì)決定，建立健全合規(guī)管理組織架構(gòu)；

（二）批準(zhǔn)合規(guī)管理具體制度規(guī)定；

（三）批準(zhǔn)合規(guī)管理計(jì)劃，采取措施確保合規(guī)制度得到有效執(zhí)行；

（四）明確合規(guī)管理流程，確保合規(guī)要求融入業(yè)務(wù)領(lǐng)域；

（五）及時(shí)制止并糾正不合規(guī)的經(jīng)營(yíng)行為，按照權(quán)限對(duì)違規(guī)人員進(jìn)行責(zé)任追究或提出處理建議；

（六）經(jīng)董事會(huì)授權(quán)的其他事項(xiàng)。

第八條　中央企業(yè)設(shè)立合規(guī)委員會(huì)，與企業(yè)法治建設(shè)領(lǐng)導(dǎo)小組或風(fēng)險(xiǎn)控制委員會(huì)等合署，承擔(dān)合規(guī)管理的組織領(lǐng)導(dǎo)和統(tǒng)籌協(xié)調(diào)工作，定期召開(kāi)會(huì)議，研究決定合規(guī)管理重大事項(xiàng)或提出意見(jiàn)建議，指導(dǎo)、監(jiān)督和評(píng)價(jià)合規(guī)管理工作。

第九條　中央企業(yè)相關(guān)負(fù)責(zé)人或總法律顧問(wèn)擔(dān)任合規(guī)管理負(fù)責(zé)人，主要職責(zé)包括：

（一）組織制訂合規(guī)管理戰(zhàn)略規(guī)劃；

（二）參與企業(yè)重大決策并提出合規(guī)意見(jiàn)；

（三）領(lǐng)導(dǎo)合規(guī)管理牽頭部門開(kāi)展工作；

（四）向董事會(huì)和總經(jīng)理匯報(bào)合規(guī)管理重大事項(xiàng)；

（五）組織起草合規(guī)管理年度報(bào)告。

第十條　法律事務(wù)機(jī)構(gòu)或其他相關(guān)機(jī)構(gòu)為合規(guī)管理牽頭部門，組織、協(xié)調(diào)和監(jiān)督合規(guī)管理工作，為其他部門提供合規(guī)支持，主要職責(zé)包括：

（一）研究起草合規(guī)管理計(jì)劃、基本制度和具體制度規(guī)定；

（二）持續(xù)關(guān)注法律法規(guī)等規(guī)則變化，組織開(kāi)展合規(guī)風(fēng)險(xiǎn)識(shí)別和預(yù)警，參與企業(yè)重大事項(xiàng)合規(guī)審查和風(fēng)險(xiǎn)應(yīng)對(duì)；

（三）組織開(kāi)展合規(guī)檢查與考核，對(duì)制度和流程進(jìn)行合規(guī)性評(píng)價(jià)，督促違規(guī)整改和持續(xù)改進(jìn)；

（四）指導(dǎo)所屬單位合規(guī)管理工作；

（五）受理職責(zé)范圍內(nèi)的違規(guī)舉報(bào)，組織或參與對(duì)違規(guī)事件的調(diào)查，并提出處理建議；

（六）組織或協(xié)助業(yè)務(wù)部門、人事部門開(kāi)展合規(guī)培訓(xùn)。

第十一條　業(yè)務(wù)部門負(fù)責(zé)本領(lǐng)域的日常合規(guī)管理工作，按照合規(guī)要求完善業(yè)務(wù)管理制度和流程，主動(dòng)開(kāi)展合規(guī)風(fēng)險(xiǎn)識(shí)別和隱患排查，發(fā)布合規(guī)預(yù)警，組織合規(guī)審查，及時(shí)向合規(guī)管理牽頭部門通報(bào)風(fēng)險(xiǎn)事項(xiàng)，妥善應(yīng)對(duì)合規(guī)風(fēng)險(xiǎn)事件，做好本領(lǐng)域合規(guī)培訓(xùn)和商業(yè)伙伴合規(guī)調(diào)查等工作，組織或配合進(jìn)行違規(guī)問(wèn)題調(diào)查并及時(shí)整改。

監(jiān)察、審計(jì)、法律、內(nèi)控、風(fēng)險(xiǎn)管理、安全生產(chǎn)、質(zhì)量環(huán)保等相關(guān)部門，在職權(quán)范圍內(nèi)履行合規(guī)管理職責(zé)。

第三章　合規(guī)管理重點(diǎn)

第十二條　中央企業(yè)應(yīng)當(dāng)根據(jù)外部環(huán)境變化，結(jié)合自身實(shí)際，在全面推進(jìn)合規(guī)管理的基礎(chǔ)上，突出重點(diǎn)領(lǐng)域、重點(diǎn)環(huán)節(jié)和重點(diǎn)人員，切實(shí)防范合規(guī)風(fēng)險(xiǎn)。

第十三條　加強(qiáng)對(duì)以下重點(diǎn)領(lǐng)域的合規(guī)管理：

（一）市場(chǎng)交易。完善交易管理制度，嚴(yán)格履行決策批準(zhǔn)程序，建立健全自律誠(chéng)信體系，突出反商業(yè)賄賂、反壟斷、反不正當(dāng)競(jìng)爭(zhēng)，規(guī)范資產(chǎn)交易、招投標(biāo)等活動(dòng)。

（二）安全環(huán)保。嚴(yán)格執(zhí)行國(guó)家安全生產(chǎn)、環(huán)境保護(hù)法律法規(guī)，完善企業(yè)生產(chǎn)規(guī)范和安全環(huán)保制度，加強(qiáng)監(jiān)督檢查，及時(shí)發(fā)現(xiàn)并整改違規(guī)問(wèn)題。

（三）產(chǎn)品質(zhì)量。完善質(zhì)量體系，加強(qiáng)過(guò)程控制，嚴(yán)把各環(huán)節(jié)質(zhì)量關(guān)，提供優(yōu)質(zhì)產(chǎn)品和服務(wù)。

（四）勞動(dòng)用工。嚴(yán)格遵守勞動(dòng)法律法規(guī)，健全完善勞動(dòng)合同管理制度，規(guī)范勞動(dòng)合同簽訂、履行、變更和解除，切實(shí)維護(hù)勞動(dòng)者合法權(quán)益。

（五）財(cái)務(wù)稅收。健全完善財(cái)務(wù)內(nèi)部控制體系，嚴(yán)格執(zhí)行財(cái)務(wù)事項(xiàng)操作和審批流程，嚴(yán)守財(cái)經(jīng)紀(jì)律，強(qiáng)化依法納稅意識(shí)，嚴(yán)格遵守稅收法律政策。

（六）知識(shí)產(chǎn)權(quán)。及時(shí)申請(qǐng)注冊(cè)知識(shí)產(chǎn)權(quán)成果，規(guī)范實(shí)施許可和轉(zhuǎn)讓，加強(qiáng)對(duì)商業(yè)秘密和商標(biāo)的保護(hù)，依法規(guī)范使用他人知識(shí)產(chǎn)權(quán)，防止侵權(quán)行為。

（七）商業(yè)伙伴。對(duì)重要商業(yè)伙伴開(kāi)展合規(guī)調(diào)查，通過(guò)簽訂合規(guī)協(xié)議、要求作出合規(guī)承諾等方式促進(jìn)商業(yè)伙伴行為合規(guī)。

（八）其他需要重點(diǎn)關(guān)注的領(lǐng)域。

第十四條　加強(qiáng)對(duì)以下重點(diǎn)環(huán)節(jié)的合規(guī)管理：

（一）制度制定環(huán)節(jié)。強(qiáng)化對(duì)規(guī)章制度、改革方案等重要文件的合規(guī)審查，確保符合法律法規(guī)、監(jiān)管規(guī)定等要求。

（二）經(jīng)營(yíng)決策環(huán)節(jié)。嚴(yán)格落實(shí)“三重一大”決策制度，細(xì)化各層級(jí)決策事項(xiàng)和權(quán)限，加強(qiáng)對(duì)決策事項(xiàng)的合規(guī)論證把關(guān)，保障決策依法合規(guī)。

（三）生產(chǎn)運(yùn)營(yíng)環(huán)節(jié)。嚴(yán)格執(zhí)行合規(guī)制度，加強(qiáng)對(duì)重點(diǎn)流程的監(jiān)督檢查，確保生產(chǎn)經(jīng)營(yíng)過(guò)程中照章辦事、按章操作。

（四）其他需要重點(diǎn)關(guān)注的環(huán)節(jié)。

第十五條　加強(qiáng)對(duì)以下重點(diǎn)人員的合規(guī)管理：

（一）管理人員。促進(jìn)管理人員切實(shí)提高合規(guī)意識(shí)，帶頭依法依規(guī)開(kāi)展經(jīng)營(yíng)管理活動(dòng)，認(rèn)真履行承擔(dān)的合規(guī)管理職責(zé)，強(qiáng)化考核與監(jiān)督問(wèn)責(zé)。

（二）重要風(fēng)險(xiǎn)崗位人員。根據(jù)合規(guī)風(fēng)險(xiǎn)評(píng)估情況明確界定重要風(fēng)險(xiǎn)崗位，有針對(duì)性加大培訓(xùn)力度，使重要風(fēng)險(xiǎn)崗位人員熟悉并嚴(yán)格遵守業(yè)務(wù)涉及的各項(xiàng)規(guī)定，加強(qiáng)監(jiān)督檢查和違規(guī)行為追責(zé)。

（三）海外人員。將合規(guī)培訓(xùn)作為海外人員任職、上崗的必備條件，確保遵守我國(guó)和所在國(guó)法律法規(guī)等相關(guān)規(guī)定。

（四）其他需要重點(diǎn)關(guān)注的人員。

第十六條　強(qiáng)化海外投資經(jīng)營(yíng)行為的合規(guī)管理：

（一）深入研究投資所在國(guó)法律法規(guī)及相關(guān)國(guó)際規(guī)則，全面掌握禁止性規(guī)定，明確海外投資經(jīng)營(yíng)行為的紅線、底線。

（二）健全海外合規(guī)經(jīng)營(yíng)的制度、體系、流程，重視開(kāi)展項(xiàng)目的合規(guī)論證和盡職調(diào)查，依法加強(qiáng)對(duì)境外機(jī)構(gòu)的管控，規(guī)范經(jīng)營(yíng)管理行為。

（三）定期排查梳理海外投資經(jīng)營(yíng)業(yè)務(wù)的風(fēng)險(xiǎn)狀況，重點(diǎn)關(guān)注重大決策、重大合同、大額資金管控和境外子企業(yè)公司治理等方面存在的合規(guī)風(fēng)險(xiǎn)，妥善處理、及時(shí)報(bào)告，防止擴(kuò)大蔓延。

第四章　合規(guī)管理運(yùn)行

第十七條　建立健全合規(guī)管理制度，制定全員普遍遵守的合規(guī)行為規(guī)范，針對(duì)重點(diǎn)領(lǐng)域制定專項(xiàng)合規(guī)管理制度，并根據(jù)法律法規(guī)變化和監(jiān)管動(dòng)態(tài)，及時(shí)將外部有關(guān)合規(guī)要求轉(zhuǎn)化為內(nèi)部規(guī)章制度。

第十八條　建立合規(guī)風(fēng)險(xiǎn)識(shí)別預(yù)警機(jī)制，全面系統(tǒng)梳理經(jīng)營(yíng)管理活動(dòng)中存在的合規(guī)風(fēng)險(xiǎn)，對(duì)風(fēng)險(xiǎn)發(fā)生的可能性、影響程度、潛在后果等進(jìn)行系統(tǒng)分析，對(duì)于典型性、普遍性和可能產(chǎn)生較嚴(yán)重后果的風(fēng)險(xiǎn)及時(shí)發(fā)布預(yù)警。

第十九條　加強(qiáng)合規(guī)風(fēng)險(xiǎn)應(yīng)對(duì)，針對(duì)發(fā)現(xiàn)的風(fēng)險(xiǎn)制定預(yù)案，采取有效措施，及時(shí)應(yīng)對(duì)處置。對(duì)于重大合規(guī)風(fēng)險(xiǎn)事件，合規(guī)委員會(huì)統(tǒng)籌領(lǐng)導(dǎo)，合規(guī)管理負(fù)責(zé)人牽頭，相關(guān)部門協(xié)同配合，最大限度化解風(fēng)險(xiǎn)、降低損失。

第二十條　建立健全合規(guī)審查機(jī)制，將合規(guī)審查作為規(guī)章制度制定、重大事項(xiàng)決策、重要合同簽訂、重大項(xiàng)目運(yùn)營(yíng)等經(jīng)營(yíng)管理行為的必經(jīng)程序，及時(shí)對(duì)不合規(guī)的內(nèi)容提出修改建議，未經(jīng)合規(guī)審查不得實(shí)施。

第二十一條　強(qiáng)化違規(guī)問(wèn)責(zé)，完善違規(guī)行為處罰機(jī)制，明晰違規(guī)責(zé)任范圍，細(xì)化懲處標(biāo)準(zhǔn)。暢通舉報(bào)渠道，針對(duì)反映的問(wèn)題和線索，及時(shí)開(kāi)展調(diào)查，嚴(yán)肅追究違規(guī)人員責(zé)任。

第二十二條　開(kāi)展合規(guī)管理評(píng)估，定期對(duì)合規(guī)管理體系的有效性進(jìn)行分析，對(duì)重大或反復(fù)出現(xiàn)的合規(guī)風(fēng)險(xiǎn)和違規(guī)問(wèn)題，深入查找根源，完善相關(guān)制度，堵塞管理漏洞，強(qiáng)化過(guò)程管控，持續(xù)改進(jìn)提升。

第五章　合規(guī)管理保障

第二十三條　加強(qiáng)合規(guī)考核評(píng)價(jià)，把合規(guī)經(jīng)營(yíng)管理情況納入對(duì)各部門和所屬企業(yè)負(fù)責(zé)人的年度綜合考核，細(xì)化評(píng)價(jià)指標(biāo)。對(duì)所屬單位和員工合規(guī)職責(zé)履行情況進(jìn)行評(píng)價(jià)，并將結(jié)果作為員工考核、干部任用、評(píng)先選優(yōu)等工作的重要依據(jù)。

第二十四條　強(qiáng)化合規(guī)管理信息化建設(shè)，通過(guò)信息化手段優(yōu)化管理流程，記錄和保存相關(guān)信息。運(yùn)用大數(shù)據(jù)等工具，加強(qiáng)對(duì)經(jīng)營(yíng)管理行為依法合規(guī)情況的實(shí)時(shí)在線監(jiān)控和風(fēng)險(xiǎn)分析，實(shí)現(xiàn)信息集成與共享。

第二十五條　建立專業(yè)化、高素質(zhì)的合規(guī)管理隊(duì)伍，根據(jù)業(yè)務(wù)規(guī)模、合規(guī)風(fēng)險(xiǎn)水平等因素配備合規(guī)管理人員，持續(xù)加強(qiáng)業(yè)務(wù)培訓(xùn)，提升隊(duì)伍能力水平。

海外經(jīng)營(yíng)重要地區(qū)、重點(diǎn)項(xiàng)目應(yīng)當(dāng)明確合規(guī)管理機(jī)構(gòu)或配備專職人員，切實(shí)防范合規(guī)風(fēng)險(xiǎn)。

第二十六條　重視合規(guī)培訓(xùn)，結(jié)合法治宣傳教育，建立制度化、常態(tài)化培訓(xùn)機(jī)制，確保員工理解、遵循企業(yè)合規(guī)目標(biāo)和要求。

第二十七條　積極培育合規(guī)文化，通過(guò)制定發(fā)放合規(guī)手冊(cè)、簽訂合規(guī)承諾書(shū)等方式，強(qiáng)化全員安全、質(zhì)量、誠(chéng)信和廉潔等意識(shí)，樹(shù)立依法合規(guī)、守法誠(chéng)信的價(jià)值觀，筑牢合規(guī)經(jīng)營(yíng)的思想基礎(chǔ)。

第二十八條　建立合規(guī)報(bào)告制度，發(fā)生較大合規(guī)風(fēng)險(xiǎn)事件，合規(guī)管理牽頭部門和相關(guān)部門應(yīng)當(dāng)及時(shí)向合規(guī)管理負(fù)責(zé)人、分管領(lǐng)導(dǎo)報(bào)告。重大合規(guī)風(fēng)險(xiǎn)事件應(yīng)當(dāng)向國(guó)資委和有關(guān)部門報(bào)告。

合規(guī)管理牽頭部門于每年年底全面總結(jié)合規(guī)管理工作情況，起草年度報(bào)告，經(jīng)董事會(huì)審議通過(guò)后及時(shí)報(bào)送國(guó)資委。

第六章　附　　則

第二十九條　中央企業(yè)根據(jù)本指引，結(jié)合實(shí)際制定合規(guī)管理實(shí)施細(xì)則。

地方國(guó)有資產(chǎn)監(jiān)督管理機(jī)構(gòu)可以參照本指引，積極推進(jìn)所出資企業(yè)合規(guī)管理工作。

第三十條　本指引由國(guó)資委負(fù)責(zé)解釋。

第三十一條　本指引自公布之日起施行。

The post 國(guó)資委關(guān)于印發(fā)《中央企業(yè)合規(guī)管理指引（試行）》的通知 first appeared on ISO27001信息安全咨詢公司.

ISO27001認(rèn)證

進(jìn)中。在此信函中我們向您介紹換版相關(guān)的信息，以及在換版過(guò)程中賽寶認(rèn)證中心能提供的服務(wù)。
注：已獲得ISO/IEC 27001：2013認(rèn)證的客戶（包括其他機(jī)構(gòu)注冊(cè)的客戶）本信函稱為已認(rèn)證注冊(cè)客戶；還未獲得ISO/IEC 27001認(rèn)證的客戶本信函稱為新客戶。

標(biāo)準(zhǔn)修訂的主要變化
按照ISO組織的規(guī)則，所有ISO標(biāo)準(zhǔn)都需要定期評(píng)估其適用性，這是為了與變化的相關(guān)方期望和新的技術(shù)水平保持一致。
本次新標(biāo)準(zhǔn)的修訂主要變化包括：
1
附錄A引用了ISO/IEC 27002:2022中的控制，其中包括控制標(biāo)題和控制信息；
2
對(duì)第6.1.3 c）條的注釋進(jìn)行了編輯性修改，包括刪除控制目標(biāo)，并使用“信息安全控制”代替“控制”；
3
重新組織第6.1.3 d）條的措辭，以消除潛在的歧義。

標(biāo)準(zhǔn)換版的時(shí)間軸和里程碑
國(guó)際認(rèn)可論壇（IAF）于2022年8月發(fā)布強(qiáng)制性文件IAF MD26:2023《ISO/IEC 27001:2022轉(zhuǎn)換要求》（第2版）規(guī)定了ISO/IEC 27001:2022的轉(zhuǎn)換要求。該要求規(guī)定ISO/IEC 27001:2022的轉(zhuǎn)換期為3年，即ISO/IEC 27001:2022發(fā)布月份最后一天起至2025年10月31日；在轉(zhuǎn)換期截止后，獲認(rèn)可的、依據(jù)ISO/IEC 27001:2013的認(rèn)證證書(shū)將過(guò)期失效或被撤銷。

國(guó)家認(rèn)監(jiān)委（CNCA）于2015年9月28日發(fā)布2015年第30號(hào)公告——《國(guó)家認(rèn)監(jiān)委關(guān)于管理體系認(rèn)證標(biāo)準(zhǔn)換版工作安排的公告》。公告中明確了在等同采用國(guó)際標(biāo)準(zhǔn)的管理體系認(rèn)證領(lǐng)域中，在國(guó)際標(biāo)準(zhǔn)發(fā)布后新版國(guó)家標(biāo)準(zhǔn)發(fā)布前的時(shí)期內(nèi)依據(jù)國(guó)際標(biāo)準(zhǔn)開(kāi)展認(rèn)證及相關(guān)工作的安排。

國(guó)家認(rèn)可委（CNAS）已發(fā)布CNAS-EC-066:2022《關(guān)于ISO/IEC 27001:2022認(rèn)證標(biāo)準(zhǔn)換版的認(rèn)可轉(zhuǎn)換說(shuō)明》（2023第一次修訂版）。

結(jié)合以上規(guī)定，賽寶認(rèn)證中心將開(kāi)展ISO/IEC 27001:2022認(rèn)證標(biāo)準(zhǔn)轉(zhuǎn)換活動(dòng)，關(guān)鍵時(shí)間節(jié)點(diǎn)如下：

2022年10月25日 ISO/IEC 27001:2022 正式發(fā)布，進(jìn)入3年版本轉(zhuǎn)換過(guò)渡期，在過(guò)渡期內(nèi)2013版與2022版并存。
2022年11月1日 開(kāi)始正式受理已認(rèn)證注冊(cè)客戶的2022版換版申請(qǐng)，新客戶可選擇2013版或2022版進(jìn)行初次認(rèn)證。
2024年4月30日起 只依據(jù)2022版進(jìn)行初次認(rèn)證或再認(rèn)證。
2025年10月31日起 賽寶認(rèn)證中心發(fā)出的依據(jù)ISO/IEC 27001:2013的認(rèn)證證書(shū)將失效。
考慮到認(rèn)證流程要求，為審核文檔評(píng)審、不符合項(xiàng)整改、證書(shū)頒發(fā)等預(yù)留充足的時(shí)間，原則上已認(rèn)證注冊(cè)客戶的換版申請(qǐng)截止日為2025年7月31日。為了給換版審核預(yù)留充分的時(shí)間，避免您錯(cuò)過(guò)換版最后期限，賽寶認(rèn)證中心建議您至少提前換版申請(qǐng)截止日一年（即2024年10月31日前）進(jìn)行換版申請(qǐng)。

企業(yè)換版準(zhǔn)備
賽寶認(rèn)證中心建議您及早采取行動(dòng)，以便順利完成換版，這些行動(dòng)可能包括：

1
理解新標(biāo)準(zhǔn)的要求，參加新標(biāo)準(zhǔn)培訓(xùn)：學(xué)習(xí)并理解新標(biāo)準(zhǔn)要求是換版工作的開(kāi)始。為了幫助您理解新標(biāo)準(zhǔn)，您可以聯(lián)絡(luò)賽寶認(rèn)證中心參加新標(biāo)準(zhǔn)的培訓(xùn)課程；
2
進(jìn)行差距分析，策劃換版變更，制定換版計(jì)劃：對(duì)目前體系與新標(biāo)準(zhǔn)的差距進(jìn)行評(píng)估，列出其在策劃、實(shí)施、文件、記錄和人員能力等各方面的差距。針對(duì)每項(xiàng)差距安排計(jì)劃，包括職責(zé)分派、預(yù)期輸出、任務(wù)時(shí)間要求等；
3
執(zhí)行換版計(jì)劃，新標(biāo)準(zhǔn)實(shí)施：執(zhí)行換版計(jì)劃的安排，注意每項(xiàng)計(jì)劃所需的資源、時(shí)間等會(huì)有所差異。如一些重大變化（組織環(huán)境、風(fēng)險(xiǎn)管理、管理體系整合等）需要企業(yè)給予更多投入，包括高層更加緊密的參與，更多知識(shí)的擴(kuò)展等。在完成換版策劃的各項(xiàng)計(jì)劃后，管理體系按新標(biāo)準(zhǔn)要求運(yùn)行實(shí)施；
4
內(nèi)部評(píng)估：在管理體系按照新標(biāo)準(zhǔn)運(yùn)行后，建議您安排適當(dāng)?shù)膬?nèi)審和管理評(píng)審，對(duì)新標(biāo)準(zhǔn)實(shí)施的有效性進(jìn)行評(píng)估，以確保換版工作的順利完成；
5
申請(qǐng)換版審核：準(zhǔn)備就緒之后，您可以聯(lián)絡(luò)賽寶認(rèn)證中心開(kāi)始相應(yīng)的換版工作。

換版方式和申請(qǐng)資料
圖片
換版流程圖
1
已認(rèn)證注冊(cè)客戶（下列三種方式選取一種)
監(jiān)督審核+換版審核 需提交包含2022版本換版申請(qǐng)的《信息安全管理體系認(rèn)證申請(qǐng)書(shū)》和申請(qǐng)表中提到的文件資料。
再認(rèn)證審核+換版審核 需提交包含2022版本換版申請(qǐng)的《信息安全管理體系認(rèn)證申請(qǐng)書(shū)》和申請(qǐng)表中提到的文件資料。
單獨(dú)換版審核 需提交包含2022版本換版申請(qǐng)的《信息安全管理體系認(rèn)證申請(qǐng)書(shū)》和申請(qǐng)表中提到的文件資料。
2
新客戶
認(rèn)證2013版 按2013版認(rèn)證申請(qǐng)流程和資料要求提交申請(qǐng)。在通過(guò)2013版認(rèn)證后，按照已認(rèn)證注冊(cè)客戶的要求進(jìn)行換版。
認(rèn)證2022版 需提交包含2022版本換版申請(qǐng)的《信息安全管理體系認(rèn)證申請(qǐng)書(shū)》和申請(qǐng)表中提到的文件資料。
注：換版申請(qǐng)請(qǐng)咨詢您的賽寶客戶經(jīng)理或撥打客服熱線（4008301909）
認(rèn)證證書(shū)
1
2024年4月30日之前新舊版本的證書(shū)均可頒發(fā)。2022年10月31日之后頒發(fā)的2013版證書(shū)有效期截止2025年10月31日（客戶在2025年10月31前完成轉(zhuǎn)版審核，可申請(qǐng)換發(fā)有效期自前一次頒證日期起三年有效期的證書(shū)（不適用于證書(shū)上的換證日期））；2022版證書(shū)有效期為頒證之日起3年；
2
2024年4月30日后初次認(rèn)證、再認(rèn)證只能頒發(fā)ISO/IEC 27001:2022版證書(shū)。

在您順利通過(guò)換版審核和評(píng)審合格后，賽寶將向您換發(fā)ISO/IEC 27001:2022證書(shū)。
注：在認(rèn)證標(biāo)準(zhǔn)轉(zhuǎn)換期間，帶CNAS或ANAB認(rèn)可標(biāo)識(shí)的、依據(jù)舊版認(rèn)證標(biāo)準(zhǔn)認(rèn)證證書(shū)仍可繼續(xù)使用。在本中心通過(guò)CNAS、ANAB認(rèn)可轉(zhuǎn)換評(píng)審后，通過(guò)內(nèi)部影響評(píng)估，可以給已經(jīng)通過(guò)換版認(rèn)證的企業(yè)換發(fā)帶有認(rèn)可標(biāo)識(shí)的新版證書(shū)。2025年10月31日起，依據(jù)ISO/IEC 27001：2013版標(biāo)準(zhǔn)的認(rèn)證證書(shū)將失效。

審核人日
本中心2022版標(biāo)準(zhǔn)的換版，原則上可以采取再認(rèn)證+換版、監(jiān)督+換版和單獨(dú)換版三種方式進(jìn)行。

1
若您選擇在再認(rèn)證或監(jiān)督審核時(shí)進(jìn)行換版審核以獲得新版證書(shū)，這需要增加額外的審核人天，額外的審核人天數(shù)根據(jù)企業(yè)規(guī)模、產(chǎn)品和服務(wù)類型、適用的法律法規(guī)的不同會(huì)有所增加。按照該企業(yè)初次審核標(biāo)準(zhǔn)人日的10%計(jì)算，最少不少于1人天?，F(xiàn)場(chǎng)審核時(shí)產(chǎn)生的差旅費(fèi)按照原合同要求執(zhí)行；
2
若您選擇單獨(dú)的換版審核，審核人天數(shù)根據(jù)企業(yè)規(guī)模、產(chǎn)品和服務(wù)類型、適用的法律法規(guī)的不同會(huì)有所增加。按照該企業(yè)初次審核標(biāo)準(zhǔn)人日的20%計(jì)算，最少不少于2人天。單獨(dú)換版時(shí)產(chǎn)生的差旅費(fèi)由企業(yè)負(fù)責(zé)。

注：具體審核人日請(qǐng)咨詢您的賽寶客戶經(jīng)理或撥打客服熱線（4008301909）

賽寶支持服務(wù)
感謝您選擇賽寶認(rèn)證中心為您提供第三方認(rèn)證服務(wù)。正是您的信任和支持幫助我們不斷成長(zhǎng)，優(yōu)秀的客戶群是我們最寶貴的資源。我們希望能在您企業(yè)的發(fā)展過(guò)程中繼續(xù)為您提供可信任的認(rèn)證服務(wù)，成為您可信賴的合作伙伴，見(jiàn)證雙方在新的發(fā)展形勢(shì)下的共同成長(zhǎng)。

賽寶認(rèn)證中心用心服務(wù)客戶，關(guān)注客戶的感受。面對(duì)這一次標(biāo)準(zhǔn)換版，我們可以為您提供關(guān)于新標(biāo)準(zhǔn)的培訓(xùn)服務(wù)。

請(qǐng)聯(lián)絡(luò)您的賽寶客戶經(jīng)理或撥打客服熱線（4008301909），我們將竭誠(chéng)為您提供全方位的認(rèn)證服務(wù)。

The post 賽寶認(rèn)證中心發(fā)布ISO/IEC 27001:2022換版通知 first appeared on ISO27001信息安全咨詢公司.

隨著該企業(yè)的數(shù)字化轉(zhuǎn)型，同時(shí)業(yè)務(wù)也開(kāi)始擴(kuò)展到國(guó)內(nèi)多個(gè)城市，分支機(jī)構(gòu)對(duì)業(yè)務(wù)的訪問(wèn)和安全需求隨之而來(lái)。同時(shí)，疫情導(dǎo)致的遠(yuǎn)程辦公常態(tài)化，諸多內(nèi)部員工采用遠(yuǎn)程訪問(wèn)的方式進(jìn)行業(yè)務(wù)操作。

在此背景下，給該企業(yè)安全帶來(lái)了雙重挑戰(zhàn)：
挑戰(zhàn) 1：業(yè)務(wù)和數(shù)據(jù)的訪問(wèn)者超出了企業(yè)的傳統(tǒng)邊界。分支機(jī)構(gòu)散布全國(guó)， 網(wǎng)絡(luò)、人員、設(shè)備都無(wú)法精確識(shí)別與控制。
挑戰(zhàn) 2：企業(yè)的業(yè)務(wù)和數(shù)據(jù)也超出了企業(yè)的認(rèn)知邊界。數(shù)據(jù)流向安全管理人員無(wú)法控制的范圍。

二、方案概述和應(yīng)用場(chǎng)景
以360連接云軟件定義邊界系統(tǒng)為核心，基于零信任架構(gòu)，遵循零信任核心理念。包含環(huán)境感知、可信控制器、可信代理網(wǎng)關(guān)三大組件，具備以身份為基礎(chǔ)、最小權(quán)限訪問(wèn)、業(yè)務(wù)隱藏、終端檢測(cè)評(píng)估、動(dòng)態(tài)授權(quán)控制等幾大核心能力。實(shí)現(xiàn)企業(yè)終端統(tǒng)一管理、用戶統(tǒng)一管理、應(yīng)用統(tǒng)一管理、策略統(tǒng)一管理、數(shù)據(jù)統(tǒng)一管理、安全統(tǒng)一管理。
圖片
圖1

三、優(yōu)勢(shì)特點(diǎn)和應(yīng)用價(jià)值
1.方案效果
1）企業(yè)用戶終端只能通過(guò)360安全瀏覽器進(jìn)行身份認(rèn)證，滿足企業(yè)“輕辦公”入口需求；
2）瀏覽器攜帶用戶身份通過(guò)可信網(wǎng)關(guān)進(jìn)行認(rèn)證并建立國(guó)密數(shù)據(jù)通道；
3）可信網(wǎng)關(guān)根據(jù)用戶權(quán)限鑒別開(kāi)放其身份可見(jiàn)的業(yè)務(wù)系統(tǒng)；
4）用戶瀏覽業(yè)務(wù)系統(tǒng)文件時(shí)實(shí)現(xiàn)了防復(fù)制、防截屏、防打印、防下載等數(shù)據(jù)安全能力；

2.方案價(jià)值
1）安全
| 端口隱藏，減少攻擊暴露面；
| 國(guó)密數(shù)據(jù)通道加持，安全可靠；
| 數(shù)據(jù)不落地有效防止人為泄露；

2）高效
| 全面支持 SSO 單點(diǎn)登錄，無(wú)需反復(fù)認(rèn)證；
| 不改變用戶使用習(xí)慣，打破無(wú)形的技術(shù)門檻；
| 統(tǒng)一用戶訪問(wèn)入口，規(guī)范用戶訪問(wèn)行為；

四、經(jīng)驗(yàn)總結(jié)
零信任的環(huán)境感知持續(xù)評(píng)估對(duì)后期運(yùn)維帶來(lái)挑戰(zhàn)：客戶原有VPN用戶認(rèn)證成功后后續(xù)再無(wú)安全動(dòng)作，零信任強(qiáng)調(diào)的持續(xù)感知會(huì)要求對(duì)訪問(wèn)終端的環(huán)境進(jìn)行持續(xù)的評(píng)估，發(fā)現(xiàn)安全風(fēng)險(xiǎn)后可動(dòng)態(tài)對(duì)訪問(wèn)進(jìn)行干預(yù)，這導(dǎo)致剛開(kāi)始推廣時(shí)，運(yùn)維管理員接到不少用戶咨詢?cè)L問(wèn)被干預(yù)的原因。建議在落地前整理對(duì)應(yīng)問(wèn)題解決FAQ，并通過(guò)企業(yè)內(nèi)部統(tǒng)一IT工作流進(jìn)行問(wèn)題上報(bào)/跟蹤/處理整體流程。

以上案例由CSA全球會(huì)員單位360提供

The post 【轉(zhuǎn)摘】CSA案例集11 | 360 零信任架構(gòu)的業(yè)務(wù)訪問(wèn)安全案例 first appeared on ISO27001信息安全咨詢公司.

據(jù)了解，DSMM認(rèn)證是國(guó)家認(rèn)證認(rèn)可監(jiān)督管理委員會(huì)依據(jù)《中華人民共和國(guó)認(rèn)證認(rèn)可條例》批準(zhǔn)，按照《信息安全技術(shù)數(shù)據(jù)安全能力成熟度模型》（GB/T 37988-2019）開(kāi)展的認(rèn)證。

GB/T 37988-2019是中國(guó)首部數(shù)據(jù)安全管理的國(guó)家標(biāo)準(zhǔn)，該標(biāo)準(zhǔn)自2020年3月1日開(kāi)始實(shí)施，用來(lái)衡量一個(gè)組織的數(shù)據(jù)安全能力成熟度水平，可以幫助行業(yè)、企業(yè)和組織發(fā)現(xiàn)數(shù)據(jù)安全能力短板。相關(guān)主管部門也可以依據(jù)標(biāo)準(zhǔn)開(kāi)展數(shù)據(jù)安全治理，提升區(qū)域的數(shù)據(jù)安全水平和競(jìng)爭(zhēng)力，促進(jìn)大數(shù)據(jù)產(chǎn)業(yè)及數(shù)字經(jīng)濟(jì)發(fā)展。

據(jù)介紹，數(shù)據(jù)安全認(rèn)證（貴州）有限公司成為中國(guó)首家DSMM認(rèn)證機(jī)構(gòu)，標(biāo)志著貴州省推動(dòng)大數(shù)據(jù)戰(zhàn)略行動(dòng)向縱深發(fā)展，以數(shù)據(jù)安全為引領(lǐng)的大數(shù)據(jù)產(chǎn)業(yè)邁上了高質(zhì)量發(fā)展的新臺(tái)階。

（責(zé)任編輯：佟明彪）

本文來(lái)源：中國(guó)質(zhì)量報(bào)

The post 中國(guó)首家數(shù)據(jù)安全能力成熟度模型（DSMM）認(rèn)證機(jī)構(gòu)成立 first appeared on ISO27001信息安全咨詢公司.

京藥監(jiān)發(fā)〔 2019〕164號(hào)

北京市藥品監(jiān)督管理局
關(guān)于醫(yī)療器械網(wǎng)絡(luò)安全審查指導(dǎo)原則實(shí)施指南
征求意見(jiàn)的通知
各有關(guān)單位：
為規(guī)范北京市第二類醫(yī)療器械產(chǎn)品注冊(cè)工作，根據(jù)原國(guó)家食品藥品監(jiān)督管理總局制定的《醫(yī)療器械網(wǎng)絡(luò)安全注冊(cè)技術(shù)審查指導(dǎo)原則》，北京市藥品監(jiān)督管理局組織制定了《醫(yī)療器械網(wǎng)絡(luò)安全審查指導(dǎo)原則實(shí)施指南》。本指南從網(wǎng)絡(luò)安全特性和網(wǎng)絡(luò)安全能力的角度出發(fā)，圍繞醫(yī)療器械申報(bào)資料及技術(shù)審評(píng)要求，為注冊(cè)申請(qǐng)人提交第二類醫(yī)療器械網(wǎng)絡(luò)安全相關(guān)注冊(cè)申報(bào)提供指導(dǎo)。現(xiàn)征求各有關(guān)單位意見(jiàn)，請(qǐng)各有關(guān)單位于2019年9月17日前將修改意見(jiàn)或建議反饋至我局醫(yī)療器械注冊(cè)管理處。
聯(lián)系人：趙娜；聯(lián)系電話：83979600；傳真：83560730；電子郵件：ylqxzcglc@yjj.beijing.gov.cn（郵件名稱請(qǐng)注明：醫(yī)療器械網(wǎng)絡(luò)安全審查指導(dǎo)原則實(shí)施指南反饋意見(jiàn)）；通信地址：北京市西城區(qū)棗林前街70號(hào)中環(huán)廣場(chǎng)A座1307房間，郵編100053。
附件：醫(yī)療器械網(wǎng)絡(luò)安全審查指導(dǎo)原則實(shí)施指南（征求意見(jiàn)稿）

北京市藥品監(jiān)督管理局
2019年8月15日
醫(yī)療器械網(wǎng)絡(luò)安全審查指導(dǎo)原則實(shí)施指南
（征求意見(jiàn)稿）
目 錄
TOC o “1-3” h z u
本指導(dǎo)原則實(shí)施指南旨在指導(dǎo)注冊(cè)申請(qǐng)人提交第二類醫(yī)療器械網(wǎng)絡(luò)安全注冊(cè)申報(bào)資料，同時(shí)為第二類醫(yī)療器械網(wǎng)絡(luò)安全的技術(shù)審評(píng)提供參考。
本指導(dǎo)原則實(shí)施指南是對(duì)第二類醫(yī)療器械網(wǎng)絡(luò)安全一般性要求的細(xì)化和補(bǔ)充，注冊(cè)申請(qǐng)人應(yīng)根據(jù)醫(yī)療器械產(chǎn)品特性提交網(wǎng)絡(luò)安全注冊(cè)申報(bào)資料，注冊(cè)申請(qǐng)人也可采用其他滿足法規(guī)要求的替代方法，但應(yīng)提供詳盡的研究資料和驗(yàn)證資料。
本指導(dǎo)原則實(shí)施指南是對(duì)注冊(cè)申請(qǐng)人和審評(píng)人員的指導(dǎo)性文件，不包括審評(píng)審批所涉及的行政事項(xiàng)，亦不作為法規(guī)強(qiáng)制執(zhí)行，應(yīng)在遵循相關(guān)法規(guī)的前提下使用本指導(dǎo)原則實(shí)施指南。
本指導(dǎo)原則實(shí)施指南依據(jù)原國(guó)家食品藥品監(jiān)督管理總局發(fā)布的《醫(yī)療器械軟件注冊(cè)技術(shù)審查指導(dǎo)原則》和《醫(yī)療器械網(wǎng)絡(luò)安全注冊(cè)技術(shù)審查指導(dǎo)原則》編寫(xiě)，因而采用時(shí)應(yīng)結(jié)合以上注冊(cè)技術(shù)審查指導(dǎo)原則的相關(guān)要求使用。
本指導(dǎo)原則實(shí)施指南適用于具有網(wǎng)絡(luò)連接功能以進(jìn)行電子數(shù)據(jù)交換或遠(yuǎn)程控制的第二類醫(yī)療器械產(chǎn)品的注冊(cè)申報(bào)，其中網(wǎng)絡(luò)連接包括無(wú)線網(wǎng)絡(luò)連接和有線網(wǎng)絡(luò)連接，電子數(shù)據(jù)交換包括單向數(shù)據(jù)傳輸和雙向數(shù)據(jù)傳輸，遠(yuǎn)程控制包括實(shí)時(shí)控制和非實(shí)時(shí)控制。
同時(shí)，本指導(dǎo)原則實(shí)施指南也適用于采用存儲(chǔ)媒介以進(jìn)行電子數(shù)據(jù)交換的第二類醫(yī)療器械產(chǎn)品的注冊(cè)申報(bào)，其中存儲(chǔ)媒介包括但不限于光盤(pán)、移動(dòng)硬盤(pán)和U盤(pán)。
需要指出的是，本指導(dǎo)原則實(shí)施指南中所述的文件應(yīng)來(lái)源于產(chǎn)品的開(kāi)發(fā)過(guò)程。注冊(cè)申請(qǐng)人應(yīng)將網(wǎng)絡(luò)安全風(fēng)險(xiǎn)管理與質(zhì)量管理體系充分融合，在確保產(chǎn)品安全有效性的同時(shí)提高產(chǎn)品的網(wǎng)絡(luò)安全。
一、綜述
隨著網(wǎng)絡(luò)技術(shù)的發(fā)展，越來(lái)越多的醫(yī)療器械具備網(wǎng)絡(luò)連接功能以進(jìn)行電子數(shù)據(jù)交換或遠(yuǎn)程控制，這在提高醫(yī)療服務(wù)質(zhì)量與效率的同時(shí)也面臨著網(wǎng)絡(luò)攻擊的威脅。醫(yī)療器械網(wǎng)絡(luò)安全出現(xiàn)問(wèn)題不僅可能會(huì)侵犯患者隱私，而且可能會(huì)產(chǎn)生醫(yī)療器械非預(yù)期運(yùn)行的風(fēng)險(xiǎn)，導(dǎo)致患者或使用者受到傷害甚或死亡。因此，醫(yī)療器械網(wǎng)絡(luò)安全是醫(yī)療器械安全性和有效性的重要組成部分。
同時(shí)，對(duì)于接入計(jì)算機(jī)信息系統(tǒng)的醫(yī)療器械，注冊(cè)申請(qǐng)人應(yīng)考慮醫(yī)療器械的使用環(huán)境，對(duì)預(yù)期接入定級(jí)系統(tǒng)1 或非定級(jí)系統(tǒng)的醫(yī)療器械的網(wǎng)絡(luò)安全能力進(jìn)行合理的設(shè)計(jì)。注冊(cè)申請(qǐng)人還應(yīng)考慮國(guó)家對(duì)于網(wǎng)絡(luò)安全相關(guān)的法律法規(guī)和標(biāo)準(zhǔn)要求，特別是計(jì)算機(jī)信息系統(tǒng)安全保護(hù)方面的要求，如《中華人民共和國(guó)計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例》,《GB/T 22239-2019信息系統(tǒng)安全等級(jí)保護(hù)基本要求》,《GB/T 25070-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求》等法規(guī)和標(biāo)準(zhǔn)。
二、醫(yī)療器械的使用環(huán)境
醫(yī)療器械根據(jù)使用環(huán)境可以分為家用醫(yī)療器械和醫(yī)院用醫(yī)療器械，以及既可以在家庭使用也可以在醫(yī)院使用的醫(yī)療器械。根據(jù)接口的類型可以分為有線網(wǎng)絡(luò)連接、無(wú)線網(wǎng)絡(luò)連接和連接本地存儲(chǔ)媒介。根據(jù)所處的網(wǎng)絡(luò)環(huán)境又可分為無(wú)網(wǎng)絡(luò)環(huán)境（僅連接本地存儲(chǔ)媒介）、受控的網(wǎng)絡(luò)環(huán)境和開(kāi)放的網(wǎng)絡(luò)環(huán)境。注冊(cè)申請(qǐng)人應(yīng)根據(jù)不同的使用環(huán)境，識(shí)別網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，并采取相應(yīng)的網(wǎng)絡(luò)安全措施。
3？ 醫(yī)療器械的網(wǎng)絡(luò)安全
（1？ 醫(yī)療器械網(wǎng)絡(luò)安全基本要求
醫(yī)療器械網(wǎng)絡(luò)安全是指保持醫(yī)療器械相關(guān)數(shù)據(jù)的保密性、完整性、可得性、真實(shí)性、可核查性、抗抵賴性以及可靠性等特性。
1.保密性（confidentiality）
指數(shù)據(jù)不能被未授權(quán)的個(gè)人、實(shí)體利用或知悉的特性，即醫(yī)療器械相關(guān)數(shù)據(jù)僅可由授權(quán)用戶在授權(quán)時(shí)間以授權(quán)方式進(jìn)行訪問(wèn)。
2.完整性（integrity）
指保護(hù)數(shù)據(jù)準(zhǔn)確和完整的特性，即醫(yī)療器械相關(guān)數(shù)據(jù)是準(zhǔn)確和完整的，且未被篡改。
3.可得性（availability）
指根據(jù)授權(quán)個(gè)人、實(shí)體的要求可訪問(wèn)和使用的特性，即醫(yī)療器械相關(guān)數(shù)據(jù)能以預(yù)期方式適時(shí)進(jìn)行訪問(wèn)和使用。
4.真實(shí)性
一個(gè)實(shí)體是其所聲稱實(shí)體的特性，即醫(yī)療器械相關(guān)數(shù)據(jù)能夠體現(xiàn)真實(shí)的臨床狀態(tài)，包括生理狀態(tài)、操作狀態(tài)、設(shè)備狀態(tài)等。
5.可核查性
實(shí)體的一種特性,表征對(duì)自己的動(dòng)作和做出的決定負(fù)責(zé)，即醫(yī)療器械相關(guān)數(shù)據(jù)表征對(duì)相關(guān)臨床動(dòng)作和決定負(fù)責(zé)。
6.抗抵賴性
證明所聲稱事態(tài)或行為的發(fā)生及其發(fā)起實(shí)體的能力,以解決有關(guān)事態(tài)或行為發(fā)生與否以及事態(tài)中實(shí)體是否牽涉的爭(zhēng)端，即醫(yī)療器械相關(guān)數(shù)據(jù)可證明相關(guān)臨床事態(tài)和行為的發(fā)生及其發(fā)起的能力。
7.可靠性
與預(yù)期行為和結(jié)果一致的特性，即醫(yī)療器械相關(guān)數(shù)據(jù)與臨床的預(yù)期行為和結(jié)果一致。
（二）網(wǎng)絡(luò)安全能力
對(duì)醫(yī)療器械網(wǎng)絡(luò)安全的保障，是責(zé)任方、網(wǎng)絡(luò)設(shè)施提供方與醫(yī)療器械注冊(cè)申請(qǐng)人共同參與的結(jié)果。IEC 80001-2-22 以及MDS23 所識(shí)別的網(wǎng)絡(luò)安全能力，給醫(yī)療器械行業(yè)在考慮網(wǎng)絡(luò)安全風(fēng)險(xiǎn)控制的手段上，以現(xiàn)有技術(shù)水平而言，提供了一個(gè)被廣泛接受的切入點(diǎn)。
需要注意的是，注冊(cè)申請(qǐng)人對(duì)這些網(wǎng)絡(luò)安全能力進(jìn)行配置以配合責(zé)任方進(jìn)行網(wǎng)絡(luò)安全風(fēng)險(xiǎn)管理時(shí)，必須綜合考慮具體醫(yī)療器械的預(yù)期用途與使用場(chǎng)景。醫(yī)療器械的預(yù)期用途是對(duì)疾病的預(yù)防、診斷與治療，故而在權(quán)衡醫(yī)療器械的安全性、有效性以及數(shù)據(jù)安全時(shí)，仍然是以保證產(chǎn)品的安全性、有效性為首要任務(wù)。如在急救場(chǎng)景下要發(fā)揮醫(yī)療器械的有效性，可能不得不考慮對(duì)保密性的要求予以折衷。綜合考慮下來(lái)，最終的配置結(jié)果可能是大多數(shù)的醫(yī)療器械并不具備全部的網(wǎng)絡(luò)安全能力，這就需要醫(yī)療器械注冊(cè)申請(qǐng)人與責(zé)任方進(jìn)行良好的溝通，以實(shí)現(xiàn)最終醫(yī)療環(huán)境下的網(wǎng)絡(luò)安全。
以下列出了十九種醫(yī)療器械網(wǎng)絡(luò)安全能力，并依據(jù)有關(guān)標(biāo)準(zhǔn)，結(jié)合醫(yī)療器械的產(chǎn)品特點(diǎn)對(duì)其主要內(nèi)容進(jìn)行了描述，注冊(cè)申請(qǐng)人可根據(jù)醫(yī)療器械的產(chǎn)品特性考慮其網(wǎng)絡(luò)安全能力要求的適用性，應(yīng)根據(jù)器械的預(yù)期用途與使用方式綜合考慮此項(xiàng)能力的配置。
1.自動(dòng)登出能力 ALOF
無(wú)人值守的終端設(shè)備，存在被人進(jìn)行非授權(quán)的操作、顯示信息被非授權(quán)人員閱讀的風(fēng)險(xiǎn)。此項(xiàng)網(wǎng)絡(luò)安全能力確保器械在所設(shè)時(shí)段內(nèi)若未被用戶操作，則自動(dòng)進(jìn)入保護(hù)狀態(tài)，從而降低上述風(fēng)險(xiǎn)發(fā)生的概率。此項(xiàng)網(wǎng)絡(luò)安全能力，改善了器械的保密性與完整性，然而對(duì)器械的可得性會(huì)造成損害，應(yīng)結(jié)合器械的預(yù)期用途與使用場(chǎng)景，決定是否配置以及如何配置。如對(duì)急診用器械、長(zhǎng)期監(jiān)護(hù)用器械、用戶無(wú)需獲得授權(quán)的器械等可得性要求較高的器械。
2.審核控制能力AUDT
器械的網(wǎng)絡(luò)安全與器械的使用方式息息相關(guān)，不正確、非授權(quán)的使用會(huì)導(dǎo)致器械存在網(wǎng)絡(luò)安全方面的風(fēng)險(xiǎn)。對(duì)器械使用環(huán)節(jié)的關(guān)鍵信息予以記錄，本身屬于風(fēng)險(xiǎn)控制措施的一部分。此項(xiàng)能力的配置對(duì)網(wǎng)絡(luò)安全的保密性、完整性、可核查性均有提升，有利于對(duì)醫(yī)療器械使用記錄提供可追溯性檢測(cè)以及用于事后問(wèn)責(zé)調(diào)查和對(duì)風(fēng)險(xiǎn)的持續(xù)監(jiān)視，也為風(fēng)險(xiǎn)控制的應(yīng)急響應(yīng)提供輸入。
3.確定用戶權(quán)限的能力 AUTH
醫(yī)療器械的非授權(quán)使用，會(huì)導(dǎo)致多種危險(xiǎn)情況，確保醫(yī)療器械的使用者、管理者、維護(hù)者、擁有者得到合適的授權(quán)是重要的風(fēng)險(xiǎn)控制手段。用戶權(quán)限的管理可以提升保密性、完整性與可核查性，然而通常會(huì)導(dǎo)致可得性的損失。
4.網(wǎng)絡(luò)安全配置能力 CNFS
對(duì)器械網(wǎng)絡(luò)安全的保障是由責(zé)任方、使用者、網(wǎng)絡(luò)基礎(chǔ)設(shè)施供應(yīng)商、醫(yī)療器械注冊(cè)申請(qǐng)人多方共同參與的一項(xiàng)活動(dòng)。開(kāi)放網(wǎng)絡(luò)安全相關(guān)的配置有利于網(wǎng)絡(luò)安全在使用場(chǎng)景中的整體部署，但是另一方面器械在有意、無(wú)意情況下的配置錯(cuò)誤也可能導(dǎo)致不可接受的風(fēng)險(xiǎn)，此種情境是與系統(tǒng)的加固要求相矛盾的(SAHD)，應(yīng)根據(jù)器械的預(yù)期用途與使用方式綜合考慮此項(xiàng)能力的配置。
5.網(wǎng)絡(luò)安全升級(jí)能力 CSUP
器械以及器械所依賴的軟硬件環(huán)境，所面臨的威脅并不是一成不變的，作為風(fēng)險(xiǎn)控制手段，有必要對(duì)器械或器械的運(yùn)行環(huán)境予以修補(bǔ)以抵御新的網(wǎng)絡(luò)威脅。由于器械、運(yùn)行環(huán)境、所受威脅的狀況千差萬(wàn)別，部分修補(bǔ)可以由用戶自行升級(jí)完成；而部分修補(bǔ)，則可能需要注冊(cè)申請(qǐng)人的授權(quán)人員才能進(jìn)行。
6.健康數(shù)據(jù)去標(biāo)識(shí)化能力 DIDT
在醫(yī)療服務(wù)過(guò)程中產(chǎn)生的健康數(shù)據(jù)常常具有預(yù)防、診斷、治療之外的其它價(jià)值，比如科研、培訓(xùn)、不良事件追溯、設(shè)備維護(hù)等。健康數(shù)據(jù)若直接用于非醫(yī)療用途，則存在隱私數(shù)據(jù)保護(hù)方面的風(fēng)險(xiǎn)。數(shù)據(jù)交付之前，去除健康數(shù)據(jù)所附帶的身份信息，是提升保密性的重要手段。然而，去除標(biāo)志會(huì)破壞數(shù)據(jù)的可追溯性。
7.數(shù)據(jù)備份與災(zāi)難恢復(fù)能力 DTBK
健康數(shù)據(jù)在處理過(guò)程中面臨著數(shù)據(jù)被破壞甚至丟失的風(fēng)險(xiǎn)，保持?jǐn)?shù)據(jù)備份與災(zāi)難恢復(fù)的能力，可以提高數(shù)據(jù)的完整性與可得性。
8.緊急訪問(wèn)隱私數(shù)據(jù)的能力 EMRG
醫(yī)療器械是以提供預(yù)防、診斷、治療目的為核心屬性，部分情況下器械、數(shù)據(jù)的可得性受損會(huì)導(dǎo)致不可接受的風(fēng)險(xiǎn)。為器械配置被緊急訪問(wèn)的能力以及相應(yīng)的安全可控的緊急訪問(wèn)流程，對(duì)此項(xiàng)風(fēng)險(xiǎn)的控制至關(guān)重要。然而，配置被緊急訪問(wèn)的能力，常常會(huì)導(dǎo)致可得性之外的其它網(wǎng)絡(luò)安全特性受損，應(yīng)根據(jù)器械的預(yù)期用途與使用方式綜合考慮此項(xiàng)能力的配置。
9.數(shù)據(jù)完整性真實(shí)性確認(rèn)能力 IGAU
當(dāng)數(shù)據(jù)的完整性受損而導(dǎo)致不可接受的風(fēng)險(xiǎn)時(shí)，醫(yī)療器械具備此項(xiàng)能力可以確保健康數(shù)據(jù)的來(lái)源可靠且未經(jīng)篡改與破壞。
10.惡意軟件的防止、檢測(cè)與清除能力 MLDP
惡意軟件侵入醫(yī)療器械可能會(huì)導(dǎo)致不可接受的風(fēng)險(xiǎn)，此項(xiàng)能力可以對(duì)已知惡意軟件進(jìn)行探測(cè)、報(bào)告并防止其侵害。由于惡意軟件的產(chǎn)生難以預(yù)知，此項(xiàng)能力需要在器械的使用過(guò)程中不斷維護(hù)，必要時(shí)采取緊急措施。
11.通信對(duì)象、通信節(jié)點(diǎn)的身份驗(yàn)證能力 NAUT
器械若與未經(jīng)授權(quán)的通信節(jié)點(diǎn)進(jìn)行互操作，可能導(dǎo)致不可接受的風(fēng)險(xiǎn)。此項(xiàng)能力配合責(zé)任方的網(wǎng)絡(luò)安全策略可確保數(shù)據(jù)的發(fā)送方與接收方相互識(shí)別并被授權(quán)進(jìn)行數(shù)據(jù)傳輸。
12.驗(yàn)證合法用戶的能力 PAUT
有一部分器械并非開(kāi)放給所有的使用者，這部分器械如果被未獲授權(quán)的用戶使用，可能導(dǎo)致不可接受的風(fēng)險(xiǎn)。此項(xiàng)能力配合責(zé)任方的網(wǎng)絡(luò)安全策略，可確保器械的使用者是經(jīng)過(guò)授權(quán)認(rèn)證的。
13.物理保護(hù)能力 PLOK
醫(yī)療器械在物理上被進(jìn)入，會(huì)造成保密性與完整性的破壞，可能導(dǎo)致不可接受的風(fēng)險(xiǎn)。重點(diǎn)關(guān)注敏感信息的存儲(chǔ)介質(zhì)（可移動(dòng)介質(zhì)除外）是否不借助工具就能被取出。
14.第三方組件管理能力 RDMP
醫(yī)療器械可能用到第三方組件作為整體醫(yī)療器械的一部分，比如第三方的操作系統(tǒng)或數(shù)據(jù)庫(kù)等。責(zé)任方若對(duì)此類組件不知情，則不利于此類組件未來(lái)的網(wǎng)絡(luò)安全管理，也不利于未來(lái)網(wǎng)絡(luò)安全事件的責(zé)任劃分，可能導(dǎo)致不可接受的風(fēng)險(xiǎn)。
15.系統(tǒng)與應(yīng)用加固能力 SAHD
醫(yī)療器械中可能存在著與預(yù)期用途無(wú)關(guān)的配置，如某些非醫(yī)療預(yù)期用途的賬號(hào)、通信端口、共享文件、服務(wù)等。此類配置可能會(huì)成為網(wǎng)絡(luò)攻擊者所利用的通道，從而造成不可接受的風(fēng)險(xiǎn)，對(duì)這些配置予以關(guān)閉有利于降低風(fēng)險(xiǎn)發(fā)生的概率。
16.對(duì)操作者與管理員提供網(wǎng)絡(luò)安全指導(dǎo)的能力 SGUD
醫(yī)療器械的不當(dāng)使用可能在醫(yī)療器械網(wǎng)絡(luò)安全方面造成不可接受的風(fēng)險(xiǎn)，對(duì)使用者提供產(chǎn)品說(shuō)明、提供可索取的披露資料、予以培訓(xùn)等，均有利于降低使用者操作不當(dāng)?shù)娘L(fēng)險(xiǎn)。
17.存儲(chǔ)保密能力 STCF
健康數(shù)據(jù)的明文存儲(chǔ)有損于產(chǎn)品的保密性，對(duì)數(shù)據(jù)存儲(chǔ)予以加密有利于降低數(shù)據(jù)泄露相關(guān)的風(fēng)險(xiǎn)。值得指出，國(guó)家在市場(chǎng)監(jiān)督管理范疇之外，對(duì)商用密碼產(chǎn)品的科研、生產(chǎn)、銷售、使用等都有相應(yīng)的規(guī)定，對(duì)商用密碼的使用，也應(yīng)遵守市場(chǎng)監(jiān)督管理范疇之外的法律法規(guī)要求。
18.傳輸保密能力 TXCF
健康數(shù)據(jù)的明文傳輸有損于產(chǎn)品的保密性，對(duì)數(shù)據(jù)傳輸予以加密有利于降低數(shù)據(jù)泄露相關(guān)的風(fēng)險(xiǎn)。值得指出，國(guó)家在市場(chǎng)監(jiān)督管理范疇之外，對(duì)商用密碼產(chǎn)品的科研、生產(chǎn)、銷售、使用等都有相應(yīng)的規(guī)定，對(duì)商用密碼的使用，也應(yīng)遵守市場(chǎng)監(jiān)督管理范疇之外的法律法規(guī)要求。
19.保障數(shù)據(jù)傳輸完整性的能力 TXIG
健康數(shù)據(jù)在傳輸過(guò)程中，數(shù)據(jù)可能受到無(wú)意的信道噪音干擾，也有可能受到惡意篡改，這都可能造成不可接受的風(fēng)險(xiǎn)。采用技術(shù)手段確保所接受到的數(shù)據(jù)與所發(fā)送出數(shù)據(jù)具有一致性，可以降低此類風(fēng)險(xiǎn)。
注冊(cè)申請(qǐng)人可以通過(guò)綜合考慮這19項(xiàng)網(wǎng)絡(luò)安全能力來(lái)提高產(chǎn)品的網(wǎng)絡(luò)安全特性。網(wǎng)絡(luò)安全能力與網(wǎng)絡(luò)安全特性之間的關(guān)系如下:
網(wǎng)絡(luò)安全特性
網(wǎng)絡(luò)安全能力
保密性
完整性
可得性
可靠性
ALOF 自動(dòng)登出能力
2
2
-1
–
AUDT審核控制能力
1
1
–
1
AUTH 確定用戶權(quán)限的能力
2
2
-1
1
CNFS 網(wǎng)絡(luò)安全配置能力
1
1
1
1
CSUP 網(wǎng)絡(luò)安全升級(jí)能力
1
1
1
–
DTBK數(shù)據(jù)備份與災(zāi)難恢復(fù)能力
–
1
2
–
EMRG 緊急訪問(wèn)隱私數(shù)據(jù)的能力
–
–
2
-1
DIDT 健康數(shù)據(jù)去標(biāo)識(shí)化能力
2
–
–
–
IGAU 數(shù)據(jù)完整性真實(shí)性確認(rèn)能力
–
2
–
2
STCF 存儲(chǔ)保密能力
2
–
–
–
MLDP 惡意軟件的防止、檢測(cè)與清除能力
1
1
1
–
NAUT 通信對(duì)象、通信節(jié)點(diǎn)的身份驗(yàn)證能力
1
–
–
1
PAUT 驗(yàn)證合法用戶的能力
1
–
–
2
PLOK 物理保護(hù)能力
1
1
1
–
SGUD 對(duì)操作者與管理員提供網(wǎng)絡(luò)安全指導(dǎo)的能力
1
1
1
1
SAHD 系統(tǒng)與應(yīng)用加固能力
1
1
1
–
RDMP 第三方組件管理能力
–
–
–
–
TXDF 傳輸保密能力
2
–
–
–
TXIG 保障數(shù)據(jù)傳輸完整性的能力
–
2
–
–
注：“2”指可以顯著提高此項(xiàng)網(wǎng)絡(luò)安全特性，“1”指可以提高此項(xiàng)網(wǎng)絡(luò)安全特性，“-”指基本不對(duì)此項(xiàng)網(wǎng)絡(luò)安全特性產(chǎn)生影響，“-1”指可以降低此項(xiàng)網(wǎng)絡(luò)安全特性。
（三）網(wǎng)絡(luò)安全的上市后監(jiān)管
1.網(wǎng)絡(luò)安全事件4
網(wǎng)絡(luò)安全事件分為有害程序事件、網(wǎng)絡(luò)攻擊事件、信息破壞事件、信息內(nèi)容安全事件、設(shè)備設(shè)施故障、災(zāi)害性事件和其他網(wǎng)絡(luò)安全事件等。網(wǎng)絡(luò)安全事件可能會(huì)造成醫(yī)療器械系統(tǒng)不能訪問(wèn)、醫(yī)療數(shù)據(jù)泄露或者篡改，進(jìn)而有可能導(dǎo)致病人受到嚴(yán)重傷害或死亡或病人的健康數(shù)據(jù)泄漏。
2.網(wǎng)絡(luò)安全事件的處置
醫(yī)療器械 注冊(cè)人應(yīng)建立產(chǎn)品上市后的網(wǎng)絡(luò)安全事件處置流程。 網(wǎng)絡(luò)安全事件發(fā)生后，醫(yī)療器械 注冊(cè)人 應(yīng) 能夠 及時(shí)有效地處理和管理安全事件 ，通常包括以下措施：
應(yīng)收集并確認(rèn) 受 網(wǎng)絡(luò)安全事故 影響的 客戶，識(shí)別網(wǎng)絡(luò)安全事件對(duì)相關(guān)系統(tǒng)帶來(lái)的風(fēng)險(xiǎn) ；
應(yīng)快速采取應(yīng)急對(duì)策，例如 ： 告知客戶斷開(kāi)網(wǎng)絡(luò)連接， 提供 臨時(shí)解決方案恢復(fù)系統(tǒng)至正常工作狀態(tài) 等；
應(yīng)對(duì)網(wǎng)絡(luò)安全事件的做出詳細(xì)的風(fēng)險(xiǎn)分析和評(píng)估 ；
應(yīng)提供經(jīng)過(guò)驗(yàn)證和確認(rèn)的解決措施，并告知客戶相關(guān)的更新信息。
注冊(cè)申請(qǐng)人應(yīng)建立相應(yīng)的組織以確保網(wǎng)絡(luò)安全事件處置流程得以實(shí)施。
3.網(wǎng)絡(luò)安全事件上報(bào)
當(dāng)下列網(wǎng)絡(luò)安全事件發(fā)生，醫(yī)療器械注冊(cè)人應(yīng)及時(shí)報(bào)送信息給監(jiān)管部門：
——病人受到嚴(yán)重傷害或者死亡；
——醫(yī)療器械注冊(cè)人提供的大量醫(yī)療器械系統(tǒng)不能訪問(wèn)；
——大量的病人健康數(shù)據(jù)泄露。
若涉及到病人受到嚴(yán)重傷害或者死亡的網(wǎng)絡(luò)安全事件，醫(yī)療器械注冊(cè)人應(yīng)按照醫(yī)療器械不良事件的相關(guān)規(guī)定上報(bào)。
4.涉及召回的網(wǎng)絡(luò)安全事件應(yīng)按照醫(yī)療器械召回的相關(guān)法規(guī)處理。
5.網(wǎng)絡(luò)安全更新的管理
網(wǎng)絡(luò)安全更新（包括自主開(kāi)發(fā)軟件和現(xiàn)成軟件）根據(jù)其對(duì)醫(yī)療器械的影響程度可分為以下兩類：
——重大網(wǎng)絡(luò)安全更新：影響到醫(yī)療器械的安全性或有效性的網(wǎng)絡(luò)安全更新；
——輕微網(wǎng)絡(luò)安全更新：不影響醫(yī)療器械的安全性與有效性的網(wǎng)絡(luò)安全更新，如常規(guī)安全補(bǔ)丁。
醫(yī)療器械產(chǎn)品發(fā)生重大網(wǎng)絡(luò)安全更新，應(yīng)進(jìn)行許可事項(xiàng)變更；而發(fā)生輕微網(wǎng)絡(luò)安全更新，注冊(cè)人應(yīng)通過(guò)質(zhì)量管理體系進(jìn)行控制，無(wú)需進(jìn)行注冊(cè)變更，待到下次注冊(cè)（注冊(cè)變更和延續(xù)注冊(cè)）時(shí)提交相應(yīng)注冊(cè)申報(bào)資料。醫(yī)療器械同時(shí)發(fā)生重大和輕微網(wǎng)絡(luò)安全更新，遵循風(fēng)險(xiǎn)從高原則應(yīng)進(jìn)行許可事項(xiàng)變更。
涉及召回的網(wǎng)絡(luò)安全更新應(yīng)按照醫(yī)療器械召回的相關(guān)法規(guī)處理，不屬于本指導(dǎo)原則討論范圍。
軟件版本命名規(guī)則應(yīng)考慮網(wǎng)絡(luò)安全更新的情況。
注冊(cè)申請(qǐng)人在提交注冊(cè)申報(bào)資料時(shí)，應(yīng)根據(jù)醫(yī)療器械網(wǎng)絡(luò)安全的具體情況提交網(wǎng)絡(luò)安全描述文檔或常規(guī)安全補(bǔ)丁描述文檔。網(wǎng)絡(luò)安全描述文檔適用于產(chǎn)品注冊(cè)、重大網(wǎng)絡(luò)安全更新，常規(guī)安全補(bǔ)丁描述文檔適用于輕微網(wǎng)絡(luò)安全更新。
4？ 網(wǎng)絡(luò)安全注冊(cè)資料
注冊(cè)申請(qǐng)人應(yīng)當(dāng)結(jié)合醫(yī)療器械產(chǎn)品的預(yù)期用途、使用環(huán)境和核心功能以及預(yù)期相連設(shè)備或系統(tǒng)（如其它醫(yī)療器械、信息技術(shù)設(shè)備）的情況來(lái)確定醫(yī)療器械產(chǎn)品的網(wǎng)絡(luò)安全特性，提交網(wǎng)絡(luò)安全描述文檔。網(wǎng)絡(luò)安全描述文檔應(yīng)描述醫(yī)療器械的基本信息、風(fēng)險(xiǎn)管理、驗(yàn)證與確認(rèn)和維護(hù)計(jì)劃。
（1？ 基本信息
應(yīng)描述醫(yī)療器械產(chǎn)品網(wǎng)絡(luò)安全相關(guān)的基本信息，這些信息包括：
1.醫(yī)療器械傳輸，存儲(chǔ)和處理的信息描述；
2.以上信息的類型：健康數(shù)據(jù)、設(shè)備數(shù)據(jù)；
3.以上信息交換的方向（單向、雙向）；
4.以上信息是否用于遠(yuǎn)程控制（實(shí)時(shí)、非實(shí)時(shí)）；
5.以上信息的用途：如臨床應(yīng)用、設(shè)備維護(hù)等；
6.以上信息的交換方式：網(wǎng)絡(luò)（無(wú)線網(wǎng)絡(luò)、有線網(wǎng)絡(luò)）及要求（如傳輸協(xié)議 （標(biāo)準(zhǔn)、自定義） 、接口、帶寬等），存儲(chǔ)媒介（如光盤(pán)、移動(dòng)硬盤(pán)、U盤(pán)等）及要求（如存儲(chǔ)格式（標(biāo)準(zhǔn)、自定義）、容量等）；對(duì)于專用無(wú)線設(shè)備（非通用信息技術(shù)設(shè)備），還應(yīng)提交符合無(wú)線電管理規(guī)定的證明材料；如涉及個(gè)人敏感數(shù)據(jù)，應(yīng)明確個(gè)人敏感數(shù)據(jù)的儲(chǔ)存和傳輸方式；
7.醫(yī)療器械包含的安全軟件：描述安全軟件（如殺毒軟件、防火墻等）的名稱、型號(hào)規(guī)格、完整版本、供應(yīng)商、運(yùn)行環(huán)境要求；
8.醫(yī)療器械包含的現(xiàn)成軟件： 描述現(xiàn)成軟件（包括應(yīng)用軟件、系統(tǒng)軟件、支持軟件）的名稱、型號(hào)規(guī)格、完整版本和供應(yīng)商 。
（二）風(fēng)險(xiǎn)管理
1.網(wǎng)絡(luò)安全風(fēng)險(xiǎn)管理概述
網(wǎng)絡(luò)安全風(fēng)險(xiǎn)管理是指注冊(cè)申請(qǐng)人基于醫(yī)療器械產(chǎn)品的預(yù)期用途和使用場(chǎng)景進(jìn)行網(wǎng)絡(luò)安全風(fēng)險(xiǎn)分析，評(píng)價(jià)并采取網(wǎng)絡(luò)安全風(fēng)險(xiǎn)控制手段確保產(chǎn)品的網(wǎng)絡(luò)安全能力。注冊(cè)申請(qǐng)人可對(duì)網(wǎng)絡(luò)安全采用醫(yī)療器械風(fēng)險(xiǎn)管理的方法（可參照《YY/T 0316 醫(yī)療器械 風(fēng)險(xiǎn)管理對(duì)醫(yī)療器械的應(yīng)用》）對(duì)產(chǎn)品網(wǎng)絡(luò)安全相關(guān)的風(fēng)險(xiǎn)進(jìn)行分析、評(píng)價(jià)和控制，也可采用信息安全網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估的方法（可參照《GB/T20984 信息安全技術(shù) 信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范》）進(jìn)行評(píng)估，并進(jìn)行風(fēng)險(xiǎn)控制。
如適用，醫(yī)療器械網(wǎng)絡(luò)安全風(fēng)險(xiǎn)管理應(yīng)考慮對(duì)個(gè)人敏感信息的保護(hù)。對(duì)個(gè)人信息的處理，應(yīng)遵循個(gè)人信息安全基本原則5 和相關(guān)的法律法規(guī)。如有必要，應(yīng)對(duì)個(gè)人信息進(jìn)行匿名化或去標(biāo)識(shí)化處理。
風(fēng)險(xiǎn)管理除了從網(wǎng)絡(luò)安全角度來(lái)考慮產(chǎn)品的網(wǎng)絡(luò)安全能力外，還應(yīng)當(dāng)根據(jù)醫(yī)療器械的預(yù)期用途考慮網(wǎng)絡(luò)安全風(fēng)險(xiǎn)對(duì)醫(yī)療器械的安全性和有效性的影響。
醫(yī)療器械產(chǎn)品網(wǎng)絡(luò)安全風(fēng)險(xiǎn)管理需要考慮醫(yī)療器械產(chǎn)品整個(gè)產(chǎn)品生命周期并作適時(shí)更新。
2.網(wǎng)絡(luò)安全風(fēng)險(xiǎn)管理過(guò)程
（1）風(fēng)險(xiǎn)分析與評(píng)價(jià)
注冊(cè)申請(qǐng)人應(yīng)對(duì)網(wǎng)絡(luò)安全管理活動(dòng)進(jìn)行策劃并制定網(wǎng)絡(luò)安全風(fēng)險(xiǎn)可接受性準(zhǔn)則。注冊(cè)申請(qǐng)人應(yīng)考慮網(wǎng)絡(luò)安全損害的嚴(yán)重度和網(wǎng)絡(luò)安全損害的發(fā)生概率并按照接受性準(zhǔn)則決定是否需要降低風(fēng)險(xiǎn)。
a？ 網(wǎng)絡(luò)安全損害的嚴(yán)重度，例如：
等級(jí)名稱
代碼
網(wǎng)絡(luò)安全損害的嚴(yán)重度
輕度
1
例如：輕微傷或者無(wú)須處理，少量設(shè)備數(shù)據(jù)泄露…
中度
2
例如：中等人身傷害需要專業(yè)醫(yī)治，有限的設(shè)備數(shù)據(jù)泄露…
嚴(yán)重
3
例如：一人重傷或者死亡，有限的病人數(shù)據(jù)泄露…
災(zāi)難
4
例如：多人重傷或者死亡，大規(guī)模病人數(shù)據(jù)泄露…
b？ 網(wǎng)絡(luò)安全損害的發(fā)生概率，例如：
等級(jí)名稱
代碼
網(wǎng)絡(luò)安全損害的發(fā)生概率
極少
1
<10 -3 　　非常少 　　2 　　10 -2 -10 -3 　　偶爾 　　3 　　10 -1 – 10 -2 　　有時(shí) 　　4 　　1 – 10 -1 　　經(jīng)常 　　5 　　>1
注：發(fā)生概率應(yīng)和醫(yī)療器械具體情況相適應(yīng)
（2）風(fēng)險(xiǎn)控制
根據(jù)風(fēng)險(xiǎn)評(píng)價(jià)結(jié)果需要降低風(fēng)險(xiǎn)時(shí)，注冊(cè)申請(qǐng)人應(yīng)當(dāng)識(shí)別適當(dāng)?shù)娘L(fēng)險(xiǎn)控制措施，以把風(fēng)險(xiǎn)降低到可接受的水平。
風(fēng)險(xiǎn)分析、評(píng)價(jià)和風(fēng)險(xiǎn)控制措施記錄表舉例
漏洞
威脅
描述
技術(shù)風(fēng)險(xiǎn)
系統(tǒng)設(shè)計(jì)，實(shí)施或操作和管理中的一系列條件，使其易受影響
有可能造成不良后果的來(lái)源。可以是作用物，人，事件或事物，動(dòng)機(jī)可以是有意的或無(wú)意的
原因，影響因素 描述風(fēng)險(xiǎn)場(chǎng)景，漏洞和緩解因素=漏洞+可利用性
初始風(fēng)險(xiǎn)
緩解措施
剩余技術(shù)風(fēng)險(xiǎn)
漏洞編號(hào)
漏洞描述
威脅描述
風(fēng)險(xiǎn)狀況
可能性
影響
風(fēng)險(xiǎn)
緩解措施
緩解措施編號(hào)
可能性
影響
風(fēng)險(xiǎn)
風(fēng)險(xiǎn)評(píng)估矩陣模型舉例
a？ 初始風(fēng)險(xiǎn)分布
概率
嚴(yán)重度
總計(jì)
4
3
2
1
災(zāi)難
嚴(yán)重
中度
輕度
經(jīng)常
5
0
0
0
0
0
有時(shí)
4
1
0
2
2
5
偶爾
3
0
2
4
1
7
非常少
2
0
0
0
3
3
極少
1
2
0
2
1
5
總計(jì)
3
2
8
7
20
b？ 措施后風(fēng)險(xiǎn)分布
概率
嚴(yán)重度
總計(jì)
4
3
2
1
災(zāi)難
嚴(yán)重
中度
輕度
經(jīng)常
5
0
0
0
0
0
有時(shí)
4
0
0
0
1
1
偶爾
3
0
1
2
1
4
非常少
2
0
0
0
3
3
極少
1
0
0
2
1
3
總計(jì)
0
1
4
6
11
（3）風(fēng)險(xiǎn)管理報(bào)告
注冊(cè)申請(qǐng)人應(yīng)形成網(wǎng)絡(luò)安全風(fēng)險(xiǎn)管理報(bào)告，并完成風(fēng)險(xiǎn)管理過(guò)程的評(píng)審，確認(rèn)綜合剩余風(fēng)險(xiǎn)是可接受的。
（4？ 關(guān)于上市后的風(fēng)險(xiǎn)
注冊(cè)人要持續(xù)關(guān)注產(chǎn)品上市后與產(chǎn)品相關(guān)的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，根據(jù)實(shí)際情況適時(shí)更新風(fēng)險(xiǎn)分析、評(píng)價(jià)和控制文件，如法規(guī)更新、不良事件報(bào)告等。
（三） 驗(yàn)證與確認(rèn)
（1）總體原則
網(wǎng)絡(luò)安全驗(yàn)證和確認(rèn)活動(dòng)的目的是確定風(fēng)險(xiǎn)管理中采用的網(wǎng)絡(luò)安全控制手段均已得到正確的實(shí)施，從而確保醫(yī)療器械產(chǎn)品的網(wǎng)絡(luò)安全需求（如保密性、完整性、可得性等特性）均已得到滿足。
對(duì)于現(xiàn)成軟件，注冊(cè)申請(qǐng)人應(yīng)當(dāng)在網(wǎng)絡(luò)安全風(fēng)險(xiǎn)分析過(guò)程中將其作為產(chǎn)品的一部分進(jìn)行充分的網(wǎng)絡(luò)安全評(píng)估，并在產(chǎn)品的網(wǎng)絡(luò)安全能力配置中予以綜合考慮。
（2）驗(yàn)證與確認(rèn)活動(dòng)
注冊(cè)申請(qǐng)人應(yīng)當(dāng)在醫(yī)療器械產(chǎn)品研制的全生命周期過(guò)程中進(jìn)行網(wǎng)絡(luò)安全的驗(yàn)證與確認(rèn)活動(dòng)，通過(guò)分析、測(cè)試、評(píng)估、審查等手段，確保醫(yī)療器械產(chǎn)品的網(wǎng)絡(luò)安全需求得到滿足。網(wǎng)絡(luò)安全驗(yàn)證與確認(rèn)活動(dòng)可以參考附錄中的19項(xiàng)網(wǎng)絡(luò)安全能力評(píng)價(jià)準(zhǔn)則。
A）應(yīng)當(dāng) 確保在醫(yī)療器械產(chǎn)品的需求、設(shè)計(jì)、測(cè)試以及風(fēng)險(xiǎn)管理各個(gè)階段考慮并落實(shí)網(wǎng)絡(luò)安全需求，并且保證網(wǎng)絡(luò)安全需求規(guī)范、設(shè)計(jì)規(guī)范、測(cè)試以及風(fēng)險(xiǎn)管理的一致性和完整性。
B）應(yīng)當(dāng)針對(duì)醫(yī)療器械產(chǎn)品進(jìn)行網(wǎng)絡(luò)安全測(cè)試驗(yàn)證，確保所有網(wǎng)絡(luò)安全風(fēng)險(xiǎn)控制措施都得到正確的實(shí)施。
a）應(yīng)對(duì)網(wǎng)絡(luò)安全測(cè)試活動(dòng)進(jìn)行合理的策劃，包括確定測(cè)試的內(nèi)容（包括產(chǎn)品需求中要求配置的網(wǎng)絡(luò)安全能力）、測(cè)試人員和相應(yīng)的職責(zé)、測(cè)試所需的環(huán)境、測(cè)試的技術(shù)和方法（如漏洞測(cè)試、惡意軟件測(cè)試、缺陷輸入測(cè)試、結(jié)構(gòu)化滲透測(cè)試）、異常處理方式、測(cè)試通過(guò)的準(zhǔn)則、測(cè)試所需的資源以及測(cè)試進(jìn)度安排等。
b）應(yīng)根據(jù)測(cè)試計(jì)劃的安排仔細(xì)設(shè)計(jì)測(cè)試用例，并按照測(cè)試用例的要求執(zhí)行測(cè)試活動(dòng)，如實(shí)記錄原始測(cè)試結(jié)果，確保測(cè)試過(guò)程的可追溯性。對(duì)于安全軟件，注冊(cè)申請(qǐng)人應(yīng)當(dāng)針對(duì)不同的軟件、硬件運(yùn)行平臺(tái)，進(jìn)行兼容性測(cè)試；如果產(chǎn)品采用標(biāo)準(zhǔn)傳輸協(xié)議或存儲(chǔ)格式，應(yīng)當(dāng)進(jìn)行審查或測(cè)試驗(yàn)證其對(duì)相關(guān)標(biāo)準(zhǔn)的符合性；如果產(chǎn)品采用自定義的傳輸協(xié)議和存儲(chǔ)格式，應(yīng)當(dāng)進(jìn)行完整性測(cè)試驗(yàn)證。
c？ 應(yīng)對(duì)測(cè)試結(jié)果進(jìn)行仔細(xì)的分析和評(píng)價(jià)，確保測(cè)試活動(dòng)的有效性，并對(duì)測(cè)試遺留的問(wèn)題進(jìn)行評(píng)價(jià)。
（3）驗(yàn)證與確認(rèn)記錄
注冊(cè)申請(qǐng)人應(yīng)當(dāng)將醫(yī)療器械網(wǎng)絡(luò)安全驗(yàn)證與確認(rèn)活動(dòng)的結(jié)果以文檔的方式進(jìn)行記錄，確保網(wǎng)絡(luò)安全驗(yàn)證與確認(rèn)活動(dòng)的可追溯性。
1）應(yīng)當(dāng)以文檔的形式記錄醫(yī)療器械網(wǎng)絡(luò)安全需求規(guī)范、設(shè)計(jì)規(guī)范、測(cè)試以及風(fēng)險(xiǎn)管理的追溯性關(guān)系。
2）應(yīng)當(dāng)對(duì)網(wǎng)絡(luò)安全測(cè)試策劃活動(dòng)進(jìn)行記錄并形成網(wǎng)絡(luò)安全測(cè)試計(jì)劃文檔。
3）應(yīng)當(dāng)對(duì)網(wǎng)絡(luò)安全測(cè)試執(zhí)行過(guò)程、測(cè)試結(jié)果以及測(cè)試結(jié)果的分析評(píng)估進(jìn)行記錄，形成網(wǎng)絡(luò)安全測(cè)試報(bào)告。
4）對(duì)于安全軟件，注冊(cè)申請(qǐng)人應(yīng)將兼容性測(cè)試結(jié)果進(jìn)行單獨(dú)文檔記錄，并形成兼容性測(cè)試報(bào)告。
5）對(duì)于采用標(biāo)準(zhǔn)傳輸協(xié)議或存儲(chǔ)格式的產(chǎn)品，注冊(cè)申請(qǐng)人應(yīng)當(dāng)記錄標(biāo)準(zhǔn)符合性審查結(jié)果；對(duì)于采用自定義的傳輸協(xié)議和存儲(chǔ)格式的產(chǎn)品，注冊(cè)申請(qǐng)人應(yīng)當(dāng)對(duì)完整性測(cè)試結(jié)果進(jìn)行記錄并形成完整性測(cè)試報(bào)告。
6）可以對(duì)實(shí)時(shí)遠(yuǎn)程程控功能的產(chǎn)品中關(guān)于遠(yuǎn)程數(shù)據(jù)相關(guān)的測(cè)試進(jìn)行單獨(dú)的文檔記錄，并形成相應(yīng)的完整性和可得性測(cè)試報(bào)告。
（四）維護(hù)計(jì)劃
（1）維護(hù)流程
在醫(yī)療器械產(chǎn)品上市后，注冊(cè)人應(yīng)結(jié)合自身質(zhì)量管理體系要求，制定網(wǎng)絡(luò)安全維護(hù)流程，保證醫(yī)療器械產(chǎn)品的安全性和有效性。
網(wǎng)絡(luò)安全維護(hù)流程涉及到以下方面：
1）監(jiān)控網(wǎng)絡(luò)安全信息源（包括第三方軟件組件）以識(shí)別和檢測(cè)網(wǎng)絡(luò)漏洞；
2）了解、檢測(cè)可能發(fā)生的漏洞，評(píng)估其風(fēng)險(xiǎn)影響；
3）與設(shè)備的安全和基本性能有關(guān)的網(wǎng)絡(luò)安全問(wèn)題，特別是網(wǎng)絡(luò)安全事件相關(guān)的問(wèn)題，重點(diǎn)分析其風(fēng)險(xiǎn)和影響，制定減輕策略，使得醫(yī)療器械產(chǎn)品及時(shí)得到保護(hù)和恢復(fù)；
4）用于修補(bǔ)漏洞的軟件更新和補(bǔ)丁程序，需要進(jìn)行驗(yàn)證和確認(rèn)，包括第三方軟件組件的漏洞修復(fù)（例如，操作系統(tǒng)，安全軟件等）；
5）盡早地部署軟件網(wǎng)絡(luò)安全更新程序至客戶站點(diǎn)，并告知客戶相關(guān)更新內(nèi)容。
有關(guān)醫(yī)療器械產(chǎn)品中網(wǎng)絡(luò)漏洞的披露和處理，可參閱文獻(xiàn)ISO/IEC 291476 和ISO/IEC 301117 。
（2）網(wǎng)絡(luò)安全更新
具備聯(lián)網(wǎng)功能的醫(yī)療器械產(chǎn)品面臨的網(wǎng)絡(luò)問(wèn)題可能不斷變化，注冊(cè)申請(qǐng)人在產(chǎn)品上市前難以解決所有的網(wǎng)絡(luò)安全問(wèn)題。醫(yī)療器械注冊(cè)人應(yīng)對(duì)已上市產(chǎn)品進(jìn)行有效、及時(shí)并持續(xù)地網(wǎng)絡(luò)安全更新。
對(duì)于已發(fā)現(xiàn)的漏洞，應(yīng)分析漏洞的可被利用性，對(duì)病人傷害的嚴(yán)重程度以及病人信息泄露的可能性，醫(yī)療器械注冊(cè)人應(yīng)決定該漏洞的風(fēng)險(xiǎn)是可控還是處于失控狀態(tài)，制定相應(yīng)的解決措施修復(fù)該網(wǎng)絡(luò)漏洞。與網(wǎng)絡(luò)安全事件相關(guān)的網(wǎng)絡(luò)更新，需要重點(diǎn)分析其風(fēng)險(xiǎn)和影響，及時(shí)有效地提供經(jīng)驗(yàn)證的解決方案。
通常的網(wǎng)絡(luò)安全更新應(yīng)包括：
1）自研軟件的漏洞安全更新；
2）第三方軟件（包括操作系統(tǒng)等）的漏洞安全更新；
3）安全軟件（如殺毒軟件等）的病毒掃描引擎的更新。
若在醫(yī)療器械產(chǎn)品中新的網(wǎng)絡(luò)安全設(shè)計(jì)是不可行的或者不能馬上實(shí)施，注冊(cè)人應(yīng)考慮使用網(wǎng)絡(luò)補(bǔ)償控制方案來(lái)減輕網(wǎng)絡(luò)漏洞風(fēng)險(xiǎn)。
網(wǎng)絡(luò)補(bǔ)償控制是在缺乏有效網(wǎng)絡(luò)安全設(shè)計(jì)的前提下，提供補(bǔ)充性網(wǎng)絡(luò)防護(hù)措施。例如注冊(cè)申請(qǐng)人對(duì)醫(yī)療器械產(chǎn)品的網(wǎng)絡(luò)漏洞評(píng)估后，認(rèn)為對(duì)設(shè)備未被授權(quán)的情況下進(jìn)行訪問(wèn)極有可能影響設(shè)備的安全和基本性能，但是若該設(shè)備沒(méi)有連接到外部網(wǎng)絡(luò)(例如，醫(yī)院網(wǎng)絡(luò))或者使用路由器對(duì)連接進(jìn)行限定，則醫(yī)療器械仍然可以安全有效的工作。
（五） 產(chǎn)品技術(shù)要求
1.數(shù)據(jù)接口
對(duì)于預(yù)期接入IT-網(wǎng)絡(luò)或與其它醫(yī)療器械進(jìn)行交互的 醫(yī)療器械，其數(shù)據(jù)交換方式有兩種：網(wǎng)絡(luò)（包括有線網(wǎng)絡(luò)和無(wú)線網(wǎng)絡(luò)）或存儲(chǔ)媒介（如光盤(pán)、移動(dòng)硬盤(pán)、U盤(pán)等）。
對(duì)于數(shù)據(jù)交換的接口，常見(jiàn)的有線接口如USB、RS232、RS485、CAN、RJ45等。近些年，無(wú)線通訊被廣泛使用，如藍(lán)牙、WiFi、Zigbee、RFID、各種蜂窩無(wú)線網(wǎng)絡(luò)等。對(duì)于有線接口，技術(shù)要求中應(yīng)明確連接接口的規(guī)格，有線網(wǎng)絡(luò)要明確帶寬要求。對(duì)于無(wú)線網(wǎng)絡(luò)，應(yīng)描述網(wǎng)絡(luò)類型 或 制式、使用頻段、數(shù)據(jù)特性（例如上下行傳輸速率）等。
注冊(cè)申請(qǐng)人可以采用已經(jīng)標(biāo)準(zhǔn)化的數(shù)據(jù)傳輸協(xié)議或存儲(chǔ)格式。醫(yī)療器械常用的傳輸協(xié)議如HL7、DICOM，存儲(chǔ)格式如EDF等。注冊(cè)申請(qǐng)人也可以使用通用的網(wǎng)絡(luò)傳輸協(xié)議如TCP/IP、UDP、HTTP、HTTPS等。注冊(cè)申請(qǐng)人在產(chǎn)品技術(shù)要求中，應(yīng)明確傳輸協(xié)議/存儲(chǔ)格式。對(duì)于已經(jīng)標(biāo)準(zhǔn)化的傳輸協(xié)議或存儲(chǔ)格式除了說(shuō)明協(xié)議類型之外，還應(yīng)說(shuō)明協(xié)議的版本，如果對(duì)設(shè)備進(jìn)行控制，應(yīng)說(shuō)明是否為實(shí)時(shí)控制。
對(duì)于注冊(cè)申請(qǐng)人自定義的數(shù)據(jù)傳輸協(xié)議或存儲(chǔ)格式，應(yīng)在隨機(jī)文件中描述或在產(chǎn)品技術(shù)要求中提供相應(yīng)的驗(yàn)證方法。
2.用戶訪問(wèn)控制
醫(yī)療器械在執(zhí)行用戶訪問(wèn)控制之前，應(yīng)完成對(duì)用戶身份的鑒別或認(rèn)證。認(rèn)證是系統(tǒng)驗(yàn)證希望訪問(wèn)系統(tǒng)的用戶身份的過(guò)程?；镜恼J(rèn)證技術(shù)包括數(shù)字簽名、消息認(rèn)證、數(shù)字摘要和簡(jiǎn)單的身份認(rèn)證等。在產(chǎn)品技術(shù)要求中醫(yī)療器械注冊(cè)申請(qǐng)人應(yīng)明確醫(yī)療器械所采用的用戶身份簽別技術(shù)。
用戶訪問(wèn)控制策略對(duì)醫(yī)療器械的保密性、完整性起直接的作用，是對(duì)越權(quán)使用資源的防御措施，是網(wǎng)絡(luò)安全的重要組成部分。醫(yī)療器械的使用者應(yīng)依據(jù)訪問(wèn)控制策略來(lái)限制對(duì)數(shù)據(jù)和系統(tǒng)功能的訪問(wèn)。用戶訪問(wèn)控制的種類早期分為自主訪問(wèn)控制（DAC）和強(qiáng)制訪問(wèn)控制（MAC），但隨著計(jì)算機(jī)和網(wǎng)絡(luò)技術(shù)的發(fā)展，又出現(xiàn)了基于角色的訪問(wèn)控制（RBAC）、基于任務(wù)的訪問(wèn)控制（TBAC）、以及基于屬性、上下文、信譽(yù)等等的訪問(wèn)控制模型。隨著系統(tǒng)的復(fù)雜度變高，一個(gè)系統(tǒng)中也可以融合多種訪問(wèn)控制策略。在產(chǎn)品技術(shù)要求中，醫(yī)療器械注冊(cè)申請(qǐng)人應(yīng)明確醫(yī)療器械執(zhí)行的用戶訪問(wèn)控制的方法、用戶類型及權(quán)限。
（六） 說(shuō)明書(shū)
預(yù)期接入網(wǎng)絡(luò)或與其它醫(yī)療器械進(jìn)行交互的 醫(yī)療器械具有更復(fù)雜的運(yùn)行環(huán)境與技術(shù)生態(tài)系統(tǒng)，例如：復(fù)雜的信息與技術(shù)基礎(chǔ)設(shè)施（例如硬件、軟件、網(wǎng)絡(luò)、其他系統(tǒng)和數(shù)據(jù)接口等），眾多的參與開(kāi)發(fā)、實(shí)施、使用所涉及的人員、組織和服務(wù)機(jī)構(gòu)。預(yù)期接入網(wǎng)絡(luò)的醫(yī)療器械生命周期不僅包含設(shè)計(jì)與開(kāi)發(fā)、也應(yīng)包含實(shí)施與臨床使用，包括涉及醫(yī)療器械的采購(gòu)、安裝、配置、數(shù)據(jù)集成或遷移、工作流實(shí)現(xiàn)與優(yōu)化、培訓(xùn)、使用與維護(hù)、退市等各種環(huán)節(jié)。
一般情況下，醫(yī)療器械注冊(cè)申請(qǐng)人只涉及醫(yī)療器械的設(shè)計(jì)與開(kāi)發(fā)過(guò)程，而后期的實(shí)施與臨床使用等環(huán)節(jié)的網(wǎng)絡(luò)安全由另外的組織來(lái)負(fù)責(zé)。注冊(cè)申請(qǐng)人雖無(wú)法保證整個(gè)醫(yī)療器械生命周期的網(wǎng)絡(luò)安全，但應(yīng)在說(shuō)明書(shū)或其他文檔中提供在實(shí)施與臨床使用環(huán)節(jié)中所需要的必要信息，如運(yùn)行環(huán)境、接口與訪問(wèn)控制、安全軟件及軟件更新等，以保證在實(shí)施與臨床使用環(huán)節(jié)的網(wǎng)絡(luò)安全。
1.運(yùn)行環(huán)境
如適用，注冊(cè)申請(qǐng)人在說(shuō)明書(shū)中應(yīng)明確醫(yī)療器械的運(yùn)行環(huán)境，包括硬件配置、軟件環(huán)境和網(wǎng)絡(luò)條件。硬件配置應(yīng)明確醫(yī)療器械安全運(yùn)行所需要的最低硬件資源配置要求，比如CPU、內(nèi)存、存儲(chǔ)與顯示要求等。軟件環(huán)境應(yīng)明確要求醫(yī)療器械運(yùn)行所需要的操作系統(tǒng)等。網(wǎng)絡(luò)條件應(yīng)明確醫(yī)療器械運(yùn)行所需要的網(wǎng)絡(luò)類型、帶寬等。
2. 接口與訪問(wèn)控制
如適用，注冊(cè)申請(qǐng)人在說(shuō)明書(shū)中應(yīng)描述接口與訪問(wèn)控制，以滿足醫(yī)療器械實(shí)施與臨床使用過(guò)程中的要求。對(duì)于接口的描述，應(yīng)能夠滿足醫(yī)療器械與網(wǎng)絡(luò)、或其它設(shè)備的安全連接。對(duì)于訪問(wèn)控制的描述，應(yīng)能指導(dǎo)使用者安全使用系統(tǒng)提供的訪問(wèn)控制策略并集成到工作流程中。
3.安全軟件
在資源允許的情況下，醫(yī)療器械可使用一些安全軟件來(lái)提高產(chǎn)品的網(wǎng)絡(luò)安全特性。這些安全軟件包括但不限于防火墻、殺毒軟件、反流氓軟件、工具軟件等。如適用，注冊(cè)申請(qǐng)人應(yīng)在說(shuō)明書(shū)中明確這些軟件的名稱、版本等信息。
4.軟件更新
如適用，注冊(cè)申請(qǐng)人應(yīng)在說(shuō)明書(shū)中明確軟件環(huán)境與安全軟件的更新需求，更新的來(lái)源、執(zhí)行的步驟等。
附錄
19項(xiàng)網(wǎng)絡(luò)安全能力評(píng)價(jià)準(zhǔn)則
1.自動(dòng)登出能力（Automatic logoff–ALOF）
注冊(cè)申請(qǐng)人應(yīng)考慮，未授權(quán)的用戶不能在無(wú)人值守的工作區(qū)訪問(wèn)健康數(shù)據(jù)，授權(quán)用戶會(huì)話需要在預(yù)先設(shè)置的一段時(shí)間后自動(dòng)終止或鎖定；自動(dòng)注銷需要包括清除所有顯示器上的健康數(shù)據(jù)；本地授權(quán)的IT管理員需要能夠禁用該功能并設(shè)置過(guò)期時(shí)間(包括屏幕保護(hù)程序)；當(dāng)短時(shí)間內(nèi)(例如15秒到幾分鐘)沒(méi)有按下鍵時(shí)，可以調(diào)用此對(duì)健康數(shù)據(jù)顯示清除；臨床用戶不應(yīng)因自動(dòng)下線而丟失未提交的工作，這是可取的。應(yīng)根據(jù)器械的預(yù)期用途、使用方式和風(fēng)險(xiǎn)評(píng)估綜合考慮此項(xiàng)能力的驗(yàn)證。
2.審核控制能力（Audit controls–AUDT）
注冊(cè)申請(qǐng)人應(yīng)考慮，通過(guò)在設(shè)備上創(chuàng)建審計(jì)跟蹤來(lái)跟蹤系統(tǒng)和健康數(shù)據(jù)訪問(wèn)、修改或刪除，從而記錄和檢查系統(tǒng)活動(dòng)的能力。支持將日志記錄信息作為獨(dú)立存儲(chǔ)庫(kù)(在其自己的文件系統(tǒng)中記錄審計(jì)文件)使用。使用適當(dāng)?shù)膶徲?jì)審查工具支持審計(jì)創(chuàng)建和維護(hù)，確保審核資料的安全(特別是在這些資料本身含有個(gè)人資料的情況下)，并確保無(wú)法編輯或刪除審計(jì)數(shù)據(jù)。審計(jì)數(shù)據(jù)可能包含個(gè)人數(shù)據(jù)和/或健康數(shù)據(jù)，所有處理(例如存取、儲(chǔ)存和轉(zhuǎn)移)都應(yīng)該有適當(dāng)?shù)目刂啤?yīng)根據(jù)器械的預(yù)期用途、使用方式和風(fēng)險(xiǎn)評(píng)估綜合考慮此項(xiàng)能力的驗(yàn)證。
3.確定用戶權(quán)限的能力（Authorization–AUTH）
注冊(cè)申請(qǐng)人應(yīng)基于經(jīng)過(guò)身份驗(yàn)證的單個(gè)用戶進(jìn)行標(biāo)識(shí)，授權(quán)功能允許每個(gè)用戶僅有訪問(wèn)已批準(zhǔn)的數(shù)據(jù)權(quán)利，并僅在設(shè)備上執(zhí)行已批準(zhǔn)的功能。授權(quán)用戶包括注冊(cè)申請(qǐng)人安全控制人員和該策略定義的服務(wù)人員。醫(yī)療器械通常支持基于許可的系統(tǒng)，提供對(duì)注冊(cè)申請(qǐng)人安全控制人員中個(gè)人角色(基于角色的訪問(wèn)控制)適當(dāng)?shù)南到y(tǒng)功能和數(shù)據(jù)的訪問(wèn)。例如：
1）操作者可使用所有適當(dāng)?shù)脑O(shè)備功能(例如監(jiān)察或掃描病人)執(zhí)行指定的工作。
2）質(zhì)量人員(如醫(yī)學(xué)物理學(xué)家)可以從事所有適當(dāng)?shù)馁|(zhì)量和保證測(cè)試活動(dòng)。
3）服務(wù)人員可以以支持預(yù)防性維護(hù)、問(wèn)題調(diào)查和問(wèn)題消除活動(dòng)的方式訪問(wèn)系統(tǒng)。
4）授權(quán)允許注冊(cè)申請(qǐng)人在有效交付醫(yī)療保健機(jī)構(gòu)的同時(shí)：①維護(hù)系統(tǒng)和數(shù)據(jù)安全；②遵循適當(dāng)?shù)臄?shù)據(jù)訪問(wèn)最小化原則。授權(quán)可以在本地或注冊(cè)申請(qǐng)人范圍內(nèi)管理(例如通過(guò)集中目錄)。
注:如果預(yù)期使用不允許登錄和注銷設(shè)備所需的時(shí)間(例如高吞吐量使用)，則本地IT策略可以允許減少授權(quán)控制，假定受控制和受限制的物理訪問(wèn)是否足夠。
應(yīng)根據(jù)器械預(yù)期用途、使用方式和風(fēng)險(xiǎn)評(píng)估綜合考慮此項(xiàng)能力的驗(yàn)證。
4.網(wǎng)絡(luò)安全配置能力（Configuration of security features–CNFS）
注冊(cè)申請(qǐng)人應(yīng)考慮，本地授權(quán)的IT管理員能夠選擇使用產(chǎn)品安全功能還是不使用產(chǎn)品安全功能。這需要考慮網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估內(nèi)容，可以包括與安全能力控制交互的特權(quán)管理方面。應(yīng)根據(jù)器械的預(yù)期用途、使用方式和風(fēng)險(xiǎn)評(píng)估綜合考慮此項(xiàng)能力的驗(yàn)證。
5.網(wǎng)絡(luò)安全升級(jí)能力（Cyber security product upgrades–CSUP）
注冊(cè)申請(qǐng)人應(yīng)按照規(guī)定，盡快在醫(yī)療產(chǎn)品上安裝第三方安全補(bǔ)丁: 根據(jù)客觀的、權(quán)威的、文檔化的漏洞風(fēng)險(xiǎn)評(píng)估，優(yōu)先考慮解決高風(fēng)險(xiǎn)漏洞的補(bǔ)丁。要求醫(yī)療產(chǎn)品供應(yīng)商和醫(yī)療服務(wù)提供商確保其產(chǎn)品持續(xù)安全和有效的臨床功能。了解本地醫(yī)療器械法規(guī)。進(jìn)行充分的測(cè)試，以發(fā)現(xiàn)對(duì)醫(yī)療產(chǎn)品(性能或功能)可能危及患者的任何意外副作用。注冊(cè)申請(qǐng)人需要提供關(guān)于評(píng)估/驗(yàn)證補(bǔ)丁的主動(dòng)信息。應(yīng)根據(jù)器械的預(yù)期用途、使用方式和風(fēng)險(xiǎn)評(píng)估綜合考慮此項(xiàng)能力的驗(yàn)證。
6.健康數(shù)據(jù)去標(biāo)識(shí)化能力（HEALTH DATA de-identification–DIDT）
注冊(cè)申請(qǐng)人應(yīng)考慮，臨床用戶、服務(wù)工程師和營(yíng)銷人員能夠在不需要患者身份的信息的情況下去識(shí)別敏感數(shù)據(jù)。應(yīng)根據(jù)器械的預(yù)期用途、使用方式和風(fēng)險(xiǎn)評(píng)估綜合考慮此項(xiàng)能力的驗(yàn)證。
7.數(shù)據(jù)備份與災(zāi)難恢復(fù)能力（Data backup and disaster recovery–DTBK）
注冊(cè)申請(qǐng)人應(yīng)合理保證在系統(tǒng)故障或損壞后，可以恢復(fù)存儲(chǔ)在產(chǎn)品上的持久保存的系統(tǒng)設(shè)置和敏感數(shù)據(jù)，以便業(yè)務(wù)能夠繼續(xù)進(jìn)行。特別需要注意的是，這一要求可能不適用于較小的低成本設(shè)備。這實(shí)際上可能依賴于在下一個(gè)采集周期中收集新的相關(guān)數(shù)據(jù)的能力(例如由于偶爾的無(wú)線信號(hào)丟失而丟失的短時(shí)心率數(shù)據(jù))。應(yīng)根據(jù)器械的預(yù)期用途、使用方式和風(fēng)險(xiǎn)評(píng)估綜合考慮此項(xiàng)能力的驗(yàn)證。
8.緊急訪問(wèn)隱私數(shù)據(jù)的能力（Emergency access–EMRG）
注冊(cè)申請(qǐng)人應(yīng)考慮，在緊急情況下，臨床用戶需要能夠在沒(méi)有個(gè)人用戶ID和身份驗(yàn)證的情況下訪問(wèn)敏感數(shù)據(jù)(break-glass功能)。應(yīng)檢測(cè)、記錄和報(bào)告應(yīng)急通道。理想情況下，包括以某種方式立即通知系統(tǒng)管理員或醫(yī)務(wù)人員(除了審計(jì)記錄之外)。緊急訪問(wèn)需要在輸入時(shí)要求并記錄自認(rèn)證用戶標(biāo)識(shí)(無(wú)需身份驗(yàn)證)。注冊(cè)申請(qǐng)人可以通過(guò)使用特定用戶帳戶或系統(tǒng)功能的過(guò)程方法來(lái)解決這個(gè)問(wèn)題。管理員需要能夠啟用/禁用依賴于技術(shù)或過(guò)程控制的產(chǎn)品提供的任何緊急功能。應(yīng)根據(jù)器械的預(yù)期用途、使用方式和風(fēng)險(xiǎn)評(píng)估綜合考慮此項(xiàng)能力的驗(yàn)證。
9.數(shù)據(jù)完整性真實(shí)性確認(rèn)能力(HEALTH DATA integrity and authenticity–IGAU)
注冊(cè)申請(qǐng)人可以通過(guò)使用包括固定介質(zhì)和可移動(dòng)介質(zhì)，來(lái)確保健康數(shù)據(jù)是可靠的，不會(huì)被篡改。應(yīng)根據(jù)器械的預(yù)期用途、使用方式和風(fēng)險(xiǎn)評(píng)估綜合考慮此項(xiàng)能力的驗(yàn)證。
10.惡意軟件的防止、檢測(cè)與清除能力（Malware detection/protection–MLDP）
注冊(cè)申請(qǐng)人應(yīng)考慮，產(chǎn)品支持法規(guī)和用戶需求，以確保有效和統(tǒng)一的支持，可以預(yù)防、檢測(cè)和刪除惡意軟件。防止惡意軟件，對(duì)應(yīng)用程序及時(shí)進(jìn)行軟件更新，關(guān)注惡意軟件模式，及時(shí)對(duì)當(dāng)前操作環(huán)境、系統(tǒng)、數(shù)據(jù)文件和應(yīng)用程序進(jìn)行補(bǔ)丁更新。并經(jīng)常需要對(duì)設(shè)備運(yùn)行更新后進(jìn)行驗(yàn)證測(cè)試，以確保持續(xù)使用和安全。注冊(cè)申請(qǐng)人需要檢測(cè)傳統(tǒng)的惡意軟件以及可能干擾設(shè)備/系統(tǒng)正常運(yùn)行的未授權(quán)軟件的影響，并提供詳細(xì)的測(cè)試結(jié)果。應(yīng)根據(jù)器械的預(yù)期用途、使用方式和風(fēng)險(xiǎn)評(píng)估綜合考慮此項(xiàng)能力的驗(yàn)證與確認(rèn)。
11.通信對(duì)象、通信節(jié)點(diǎn)的身份驗(yàn)證能力（Node authentication–NAUT）
注冊(cè)申請(qǐng)人應(yīng)能夠以一種方式管理跨機(jī)器的賬戶，以保護(hù)健康數(shù)據(jù)訪問(wèn)。支持獨(dú)立管理和集中管理。支持根據(jù)行業(yè)標(biāo)準(zhǔn)進(jìn)行節(jié)點(diǎn)認(rèn)證。檢測(cè)和防止實(shí)體偽造(提供不可抵賴性)。應(yīng)根據(jù)器械的預(yù)期用途、使用方式和風(fēng)險(xiǎn)評(píng)估綜合考慮此項(xiàng)能力的驗(yàn)證與確認(rèn)。
12.驗(yàn)證合法用戶的能力（Person authentication–PAUT）
注冊(cè)申請(qǐng)人在為控制和監(jiān)視網(wǎng)絡(luò)訪問(wèn)和活動(dòng)的網(wǎng)絡(luò)連接設(shè)備創(chuàng)建和使用用戶的唯一賬戶和基于角色的訪問(wèn)控制(RBAC、本地和遠(yuǎn)程)。以一種方式管理賬戶以保護(hù)健康數(shù)據(jù)訪問(wèn)的能力。用戶可能需要將個(gè)人首選項(xiàng)與用戶賬戶關(guān)聯(lián)。這可能有助于多個(gè)運(yùn)營(yíng)商、部門甚至多個(gè)使用的設(shè)備和系統(tǒng)。支持獨(dú)立和中央管理。單點(diǎn)登錄和所有工作地點(diǎn)的密碼相同?？刂茖?duì)設(shè)備、網(wǎng)絡(luò)資源和健康數(shù)據(jù)的訪問(wèn)，并生成不可否認(rèn)的審計(jì)跟蹤，發(fā)現(xiàn)和防止人員造假(提供不可抵賴性)。注意，這個(gè)要求在臨床中緊急訪問(wèn)操作期間是放松的。應(yīng)根據(jù)器械的預(yù)期用途、使用方式和風(fēng)險(xiǎn)評(píng)估綜合考慮此項(xiàng)能力的驗(yàn)證與確認(rèn)。
13.物理保護(hù)能力（Physical locks on device–PLOK）
注冊(cè)申請(qǐng)人應(yīng)合理保證儲(chǔ)存在產(chǎn)品或媒體上的健康數(shù)據(jù)是和保持安全的方式與設(shè)備上數(shù)據(jù)記錄的靈敏度和容量成比例。系統(tǒng)合理地避免了可能危及完整性、保密性或可用性的篡改或組件刪除。篡改(包括設(shè)備移除)是可以檢測(cè)到的。應(yīng)根據(jù)器械的預(yù)期用途、使用方式和風(fēng)險(xiǎn)評(píng)估綜合考慮此項(xiàng)能力的驗(yàn)證與確認(rèn)。
14.第三方組件管理能力（Third-party components in product lifecycle roadmaps–RDMP）
注冊(cè)申請(qǐng)人應(yīng)對(duì)醫(yī)療器械提供明確的預(yù)期壽命說(shuō)明，并對(duì)提供第三方組件的服務(wù)商對(duì)其產(chǎn)品生命周期內(nèi)維護(hù)或支持相應(yīng)的系統(tǒng)進(jìn)行要求。當(dāng)平臺(tái)組件過(guò)時(shí)的情況下，需要及時(shí)進(jìn)行更新和升級(jí)。在存儲(chǔ)設(shè)備退役(丟棄、重用、轉(zhuǎn)售或回收)之前，服務(wù)提供商需不可逆地擦除健康數(shù)據(jù)。這些活動(dòng)應(yīng)該被記錄和審計(jì)。銷售和服務(wù)人員應(yīng)了解對(duì)每個(gè)產(chǎn)品在其生命周期中提供的安全支持。應(yīng)根據(jù)器械的預(yù)期用途、使用方式和風(fēng)險(xiǎn)評(píng)估綜合考慮此項(xiàng)能力的驗(yàn)證與確認(rèn)。
15.系統(tǒng)與應(yīng)用加固能力（System and application hardening–SAHD）
注冊(cè)申請(qǐng)人應(yīng)給用戶提供一個(gè)穩(wěn)定的系統(tǒng)，并且只提供那些根據(jù)其預(yù)期用途而指定和需要的服務(wù)，同時(shí)進(jìn)行最少的維護(hù)活動(dòng)。并且要求連接到它們的網(wǎng)絡(luò)的系統(tǒng)在交付時(shí)是安全的，加強(qiáng)了對(duì)誤用和攻擊的抵御能力。注冊(cè)申請(qǐng)人應(yīng)將用戶反饋的用戶設(shè)備中可疑的安全漏洞和察覺(jué)到的弱點(diǎn)以報(bào)告的形式記錄。并通過(guò)風(fēng)險(xiǎn)分析和管理進(jìn)行漏洞的修復(fù)，并及時(shí)更新提交。應(yīng)根據(jù)器械的預(yù)期用途、使用方式和風(fēng)險(xiǎn)評(píng)估綜合考慮此項(xiàng)能力的驗(yàn)證與確認(rèn)。
16.對(duì)操作者與管理員提供網(wǎng)絡(luò)安全指導(dǎo)的能力（Security guides–SGUD）
注冊(cè)申請(qǐng)人應(yīng)讓操作人員清楚地了解自己的職責(zé)和安全的系統(tǒng)工作方式。管理員需要關(guān)于管理、定制和監(jiān)視系統(tǒng)的信息(即訪問(wèn)控制列表、審計(jì)日志等)。管理員需要清楚地了解安全功能，以便根據(jù)適當(dāng)?shù)姆ㄒ?guī)要求進(jìn)行健康數(shù)據(jù)風(fēng)險(xiǎn)評(píng)估。銷售和服務(wù)應(yīng)包括系統(tǒng)的安全能力和安全工作方式的信息。用戶應(yīng)知道如何以及何時(shí)將用戶設(shè)備中可能存在的安全漏洞和察覺(jué)到的弱點(diǎn)通知注冊(cè)人。應(yīng)根據(jù)器械的預(yù)期用途、使用方式和風(fēng)險(xiǎn)評(píng)估綜合考慮此項(xiàng)能力的驗(yàn)證與確認(rèn)。
17.存儲(chǔ)保密能力（HEALTH DATA storage confidentiality–STCF）
注冊(cè)申請(qǐng)人應(yīng)合理保證儲(chǔ)存在產(chǎn)品或媒體上的健康數(shù)據(jù)是保持安全的?；陲L(fēng)險(xiǎn)分析，必須考慮對(duì)存儲(chǔ)在醫(yī)療器械上的健康數(shù)據(jù)進(jìn)行加密。對(duì)于存儲(chǔ)在可移動(dòng)介質(zhì)上的健康數(shù)據(jù)，加密可以保護(hù)臨床用戶、提供服務(wù)和收集臨床數(shù)據(jù)的應(yīng)用程序工程師的機(jī)密性/完整性。應(yīng)使用一種與傳統(tǒng)使用、服務(wù)訪問(wèn)、緊急訪問(wèn)一致的加密密鑰管理機(jī)制。加密方法和強(qiáng)度考慮了數(shù)據(jù)的容量(記錄收集/聚合的程度)和靈敏度。應(yīng)根據(jù)器械的預(yù)期用途、使用方式和風(fēng)險(xiǎn)評(píng)估綜合考慮此項(xiàng)能力的驗(yàn)證與確認(rèn)。
18.傳輸保密能力（Transmission confidentiality–TXCF）
注冊(cè)申請(qǐng)人應(yīng)確保在經(jīng)過(guò)身份驗(yàn)證的節(jié)點(diǎn)之間傳輸期間保持健康數(shù)據(jù)機(jī)密性。這允許在相對(duì)開(kāi)放的網(wǎng)絡(luò)和/或環(huán)境中傳輸健康數(shù)據(jù)，在這些環(huán)境中使用用于健康數(shù)據(jù)完整性和保密性的強(qiáng)大保密策略（詳見(jiàn)：I EC/TR 80001-2-3:2012 Application of risk management for IT-networks incorporating medical devices – Part 2-3: Guidance for wireless networks）。 應(yīng)根據(jù)器械的預(yù)期用途、使用方式和風(fēng)險(xiǎn)評(píng)估綜合考慮此項(xiàng)能力的驗(yàn)證與確認(rèn)。
19.保障數(shù)據(jù)傳輸完整性的能力（Transmission integrity–TXIG）
注冊(cè)申請(qǐng)人應(yīng)提供確保傳輸過(guò)程中考慮風(fēng)險(xiǎn)分析后健康數(shù)據(jù)的完整性測(cè)試的結(jié)果，這允許注冊(cè)申請(qǐng)人在相對(duì)開(kāi)放的網(wǎng)絡(luò)或環(huán)境中傳輸健康數(shù)據(jù)，需使用健康數(shù)據(jù)完整性強(qiáng)策略。應(yīng)根據(jù)器械的預(yù)期用途、使用方式和風(fēng)險(xiǎn)評(píng)估綜合考慮此項(xiàng)能力的驗(yàn)證與確認(rèn)。
參考文獻(xiàn)：
1）《醫(yī)療器械軟件注冊(cè)技術(shù)審查指導(dǎo)原則》（原國(guó)家食品藥品監(jiān)督管理總局2015年第50號(hào)通告）
2）《醫(yī)療器械網(wǎng)絡(luò)安全注冊(cè)技術(shù)審查指導(dǎo)原則》（原國(guó)家食品藥品監(jiān)督管理總局2017年第13號(hào)通告）
3）《中華人民共和國(guó)計(jì)算機(jī)信息系統(tǒng)安全保護(hù)條例》（中華人民共和國(guó)國(guó)務(wù)院令第147號(hào)）
4）中華人民共和國(guó)互聯(lián)網(wǎng)信息辦公室《國(guó)家網(wǎng)絡(luò)安全事件應(yīng)急預(yù)案》（中網(wǎng)辦發(fā)文〔2017〕4號(hào)）
5） GB/T 29246-2012 信息安全技術(shù) 信息安全管理體系概述和詞匯
6）GB/T 20984-2015 信息安全技術(shù) 信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范
7） GB/T 22239-2019信息系統(tǒng)安全等級(jí)保護(hù)基本要求
8）GB/T 25070-2019信息安全技術(shù) 網(wǎng)絡(luò)安全等級(jí)保護(hù)安全設(shè)計(jì)技術(shù)要求
9）GB/T 28448-2019信息安全技術(shù) 網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)要求
10） YY/T 0316-2016 醫(yī)療器械 風(fēng)險(xiǎn)管理對(duì)醫(yī)療器械的應(yīng)用
11）IEC TR 80001-2-2-2012 包含醫(yī)療器械的IT網(wǎng)絡(luò)的風(fēng)險(xiǎn)管理應(yīng)用.第2-2部分 醫(yī)療器械安全
12）ISO/IEC 27035 Information technology – Security techniques – Information security incident management
13）ISO/IEC 27035-1:2016 Part 1: Principles of incident management
14）ISO/IEC 27035-2:2016 Part 2: Guidelines to plan and prepare for incident response
15）ISO/IEC 27043:2015 Information technology – Security techniques – Incident investigation principles and processes
16） ISO 27799 :2016 Health informatics—Information security management in health using ISO/IEC 27002
17）ISO/IEC 29147:2014 Information technology – Security techniques – Vulnerability disclosure
18）ISO/IEC 30111:2013 Information technology – Security techniques – Vulnerability handling processes
19）ISO/IEC TS 33052:2016 Information technology – Process reference model (PRM) for information security management
20）ISO/IEC 80001 Application of risk management for IT-networks incorporating medical devices
21）IEC/TR 80001-2-8:2016 Part 2-8: Application guidance – Guidance on standards for establishing the security capabilities identified in IEC 80001-2-2
22）IEC/TR 80002-3:2014 Part 3: Process reference model of medical device software life cycle processes ( IEC 62304 )
23）HIMSS/NEMA Manufacturer Disclosure Statement for Medical Device Security
（公開(kāi)屬性： 主動(dòng)公開(kāi) ）
北京市藥品監(jiān)督管理局辦公室 2019年8月19日 印發(fā)

The post 北京市藥品監(jiān)督管理局關(guān)于醫(yī)療器械網(wǎng)絡(luò)安全審查指導(dǎo)原則實(shí)施指南征求意見(jiàn)的通知 first appeared on ISO27001信息安全咨詢公司.

The post 賽迪認(rèn)證成為第三家CS資質(zhì)認(rèn)證評(píng)估機(jī)構(gòu) first appeared on ISO27001信息安全咨詢公司.

The post CS資質(zhì)認(rèn)證機(jī)構(gòu)再添威海神舟信息技術(shù)研究院 first appeared on ISO27001信息安全咨詢公司.