网络安全：ISO 14971 与 CVSS 在坦桑尼亚的用法

一、结论先行

坦桑尼亚把网络安全写进了软件器械的全生命周期要求。2024 年《指南汇编》Part X §3.3（Cyber Risk Management）规定：

When managing cybersecurity risks, the principles described in ISO 14971 should also be followed.

制造商应在其风险管理计划中包含四步：(i) 识别所有可能的网络安全危害；(ii) 评估相关风险；(iii) 实施缓解或控制措施将风险降至可接受水平；(iv) 观察并评估缓解措施的有效性。

风险管理过程须在整个软件生命周期内持续开展并形成文件（如报告）。官方另点名三项应纳入风险管理计划的关键内容：威胁建模（threat modelling）、与安全性风险管理并行开展、建立持续监测威胁与漏洞的持续性计划。

二、法规依据

法规名称	文号／编号	公布日期	条款号
Compendium of Guidelines for Marketing Authorization of Medical Devices, Diagnostics and Laboratory Equipment	无政府公报编号（TMDA 指南文件）	2024 年 6 月	Part X §3.3（Cyber Risk Management）、§3.4（Verification and Validation）、§3.5（On-going plan for surveillance）
The Tanzania Food, Drugs and Cosmetics (Control of Medical Devices) Regulations, 2015	GN. No. 315	2015 年 7 月 31 日	第 11(d) 条（ISO 14971 风险评估）、第 29(6) 条（软件性能须经验证）

三、专业解读看点

看点一：官方把网络安全与患者安全的冲突关系写出来了，并给了具体例子。

Part X §3.3：网络安全风险管理过程应与安全性风险管理并行开展；引入安全措施时须考虑整体患者安全，防止无意间造成患者伤害。官方示例：在访问 CT 设备前实施多因素认证，可能导致紧急情况下设备无法及时获取——因此可考虑设置紧急模式以应对该安全性风险。这个例子说明 TMDA 关注的是安全措施的副作用，不是单纯要求”越严越好”。

看点二：CVSS 被官方点名为可接受的分级方法。

§3.3：发现新的网络安全漏洞时，强烈建议制造商开展漏洞风险评估，评估患者伤害与器械性能受损的可能性；评估可从(i) 漏洞的可利用性（exploitability）与(ii) 若漏洞被利用时用户／患者伤害的严重性（severity）两个维度分析，”This can be achieved by using established vulnerability scoring methodology such as the Common Vulnerability Scoring System (CVSS)“。同时评估须考虑现有的补偿性控制与缓解措施，以判定总体网络安全风险属于可接受还是不可接受的剩余风险。

看点三：漏洞披露（vulnerability disclosure）被写成了义务性动作。

§3.3：若判定需要额外的缓解措施或补偿性控制来降低风险，”manufacturer shall practice vulnerability disclosure to communicate to all affected users & stakeholders effectively”。披露信息可包括：受影响器械的识别、漏洞影响、缓解措施／补偿性控制等。

看点四：监测范围明确包含第三方软件。

§3.3 末项：”Monitoring all software (including 3rd party software) for new vulnerabilities and risks which may affect the safety and performance of the device.” 这意味着 OTS/COTS 现成商用软件与开源组件也在监测范围内，SBOM（软件物料清单）管理因此成为实务必需。

看点五：上市前控制不足以覆盖全部网络安全风险，官方明确要求上市后计划。

§3.5 开篇即写：”it is therefore, not possible to rely solely on premarket controls to mitigate all cybersecurity risks.” 制造商须为整个软件生命周期建立全面且有结构的网络安全风险管理计划，并主动巡查与检测可能的威胁。关键考虑包括：① 监测所有软件（含第三方）的新漏洞与风险；② 实施及时发现与分析漏洞与威胁的流程，含影响评估与后续行动（威胁遏制、向受影响方沟通、漏洞修复）。

§3.4 还要求：已实施的网络安全风险控制方法须在实施前按设计要求或规格进行验证与确认；即便存在残余网络安全风险，器械的功能与特性仍须保持可运行以实现预期用途。可能的网络安全测试包括：恶意软件测试、结构化渗透测试、漏洞扫描等。

四、实务建议

1. 网络安全风险管理并入 ISO 14971 主风险文件，不另起一套——官方要求”遵循 ISO 14971 原则”。
2. 威胁建模报告单独成文，作为 Part X §3.3 点名的关键内容。
3. 建立 CVSS 评分台账，按可利用性与严重性二维评估，并记录剩余风险判定结论。
4. 建立 SBOM 与第三方软件监测机制，覆盖 OTS/COTS 与开源组件。
5. 预设漏洞披露模板（受影响器械、漏洞影响、缓解／补偿措施）。
6. 在验证阶段加入恶意软件测试、结构化渗透测试、漏洞扫描，并留存报告。

五、核验清单

• □ 网络安全风险管理已并入 ISO 14971 框架（Part X §3.3）。
• □ 已完成威胁建模并形成报告。
• □ 已建立 CVSS（或同等）评分台账，含剩余风险判定。
• □ 已建立第三方软件监测机制与 SBOM。
• □ 已预设漏洞披露模板与分发流程。
• □ 已实施恶意软件测试／结构化渗透测试／漏洞扫描（§3.4）。
• □ 已建立上市后的持续威胁监测计划（§3.5）。
• □ 已评估安全措施对患者安全的副作用（如紧急模式）。

法规信息核验至 2026 年 10 月 29 日。本文件所引条文均比对 TMDA 官方公布文本（2024 年 6 月《指南汇编》Part X §3.3、§3.4、§3.5；GN. No. 315 第 11(d) 条、第 29(6) 条）；法规更新时同步复核。

• 坦桑尼亚本地资源：可协调持牌本地责任人（LRP）与经销商资源，覆盖在线递交、样品递送、质量审核配合与口岸放行环节。
• 服务能力：分类判定、注册与列名路径选择、技术文档（CSDT/STED）编写与本地化、GMDN 与分组策略、临床证据组织、软件与 AI 器械申报、变更管理、警戒与 PMS 报告、年度保留费与续证管理。
• 联系方式：hito.lin@grzan.cn；官网 www.grzan.cn。