医疗器械网络安全漏洞评估机构

去年秋天，医疗一家三甲医院的器械心电监护仪突然集体离线，护士站屏幕上一片灰白。网络工程师排查了三天，安全最后发现问题不在设备本身——是漏洞厂商远程维护用的VPN通道被撞库，攻击者顺手把设备管理后台的评估默认密码给改了。这事没上新闻，机构但圈内人心里都清楚：医疗器械的医疗网络安全，早就不只是器械IT部门的事了。

专门做医疗器械网络安全漏洞评估的网络机构，国内掰着手指头数得过来。安全它们干的漏洞活儿，跟传统网络安全公司不太一样。评估普通渗透测试盯着服务器、机构Web应用打，医疗医疗器械得从嵌入式固件一路查到云端接口，中间还夹着蓝牙、Wi-Fi、甚至串口通信。有个评估师跟我吐槽，他拆过一台输液泵，发现固件里硬编码了一个调试账号，密码是“admin123”，而且这账号在出厂时根本没关。“厂商觉得设备不联网就没事，可现在的泵都带Wi-Fi模块，护士拿平板就能调参数。”

这类机构的评估流程通常分三块：静态分析、动态测试、供应链审查。静态分析就是把固件扒开，找硬编码凭证、不安全的加密算法、还有那些藏在代码深处的后门。动态测试更折腾，得在隔离网络里模拟真实攻击，比如中间人劫持设备与服务器的通信，看能不能篡改胰岛素泵的输注速率。供应链那块最容易被忽略——某品牌CT机的图像处理软件依赖了一个开源库，那个库两年前就爆过远程执行漏洞，但厂商一直没更新。评估机构把报告递过去，对方回了一句“我们下个版本再修”，可下个版本是两年后。

法规在推着这个行业走。FDA去年发了新指南，要求所有上市前审批的医疗器械必须提交网络安全文档。欧盟的MDR更狠，直接把网络安全纳入CE认证的必审项。国内NMPA也在跟进，今年初发布了《医疗器械网络安全注册审查指导原则》的修订版。但法规落地到执行层面，差距不小。我见过一份评估报告，某款国产监护仪的漏洞列表列了十七项，厂商只改了其中三项就提交注册，理由是“其余漏洞利用难度高”。评估机构没辙，他们只负责出报告，没有执法权。

人才是另一个瓶颈。干这行的人得同时懂医疗临床流程和底层安全，比如你得知道麻醉机的呼吸回路怎么工作，才能判断一个协议漏洞会不会导致潮气量被恶意调高。国内高校没有对口专业，大部分人是从工控安全或者传统渗透测试转过来的。上海一家评估机构招人，面试题是“给你一台除颤器，你怎么在不拆机的情况下判断它有没有被植入后门”。来应聘的十个有八个答不上来。

成本也是个现实问题。一台高端呼吸机的完整评估报价在十五到二十万之间，周期四到六周。小厂商根本掏不起这个钱，大厂商又觉得“我卖了这么多年没出过事”。可一旦出事，代价是召回、罚款、还有品牌信誉的崩塌。前年某国际大厂的胰岛素泵被曝出远程劫持漏洞，召回成本超过三亿美元。那之后，找评估机构做“体检”的厂商明显多了，但多数还是被法规逼的，不是主动想改。

说到底，医疗器械网络安全漏洞评估机构更像是一道防火墙——它们挡在厂商和监管之间，把技术问题翻译成合规语言。但这道墙本身也脆弱：缺人、缺钱、缺执法权。真正要解决问题，得让厂商明白，设备卖出去不是终点，安全维护得跟整个产品生命周期绑在一起。否则评估报告写得再厚，也只是抽屉里的一叠纸。