医疗器械网络安全漏洞自评报告道客巴巴

某三甲医院信息科主任在朋友圈晒出一份《医疗器械网络安全漏洞自评报告》，医疗配文是器械“填了三天，比写论文还累”。网络底下评论区炸了锅——有人问模板，安全有人吐槽系统不兼容，漏洞还有人直接甩出“道客巴巴”的自评下载链接。那份被转疯的报告巴巴文档，其实只是道客某款输液泵的漏洞自评表，连制造商名称都没抹干净。医疗

医疗器械的器械漏洞自评，本质上是网络道数学题：风险等于漏洞被利用的概率乘上后果严重性。但真填起来，安全你会发现变量多到让人抓狂。漏洞比如一台联网的自评CT机，它的报告巴巴影像传输协议漏洞可能同时涉及DICOM标准缺陷、操作系统补丁滞后、还有院内防火墙策略失误。你得分清哪些是设备自带问题，哪些是医院网络环境“赠送”的。自评报告里最常被糊弄过去的，恰恰是“关联系统影响”那一栏——因为没人愿意承认自己科室的WiFi密码是“12345678”。

道客巴巴上流传的版本，大多是从厂商模板改来的。模板里“漏洞描述”要求写CVSS评分，可很多临床工程师连CVSS是什么缩写都要现查。更荒诞的是，某国产呼吸机厂商在自评报告里把“蓝牙配对无认证”标成低危，理由是“临床使用场景中患者无法靠近设备”——他们显然没考虑过黑客可能站在病房窗外。这种脱离实际场景的评估，填得再工整也是废纸。

我见过一份写得不错的报告，来自某三甲医院设备科。他们没有机械套用通用表格，而是把本科室在用设备分了三个风险层级：植入式设备按最高标准查固件签名，影像类设备重点测网络端口暴露，至于那些血糖仪、输液泵之类的“小东西”，干脆用内部工具批量扫漏洞。最妙的是他们在“残余风险”栏写了一句：“已要求厂商在下次维护时现场演示补丁安装过程，否则拒绝续签维保合同。”你看，自评报告的意义不在于填得多漂亮，而在于能不能转化成跟厂商谈判的筹码。

现在的问题在于，很多医院把自评报告当成应付检查的作业。数据随便填，漏洞全靠猜，最后盖个章锁进档案柜。可网络安全漏洞这东西，不会因为你没写就消失。某省质控中心去年抽查了47份自评报告，发现超过六成没有填写“漏洞发现日期”——那意味着这些医院压根没做过持续监测，报告里的内容全是拍脑袋编的。这哪是自评？分明是自欺。

说到底，漏洞自评报告应该像病历一样写——记录真实状态，暴露潜在问题，提出处置方案。别指望一份文档能解决所有安全问题，但至少，它该成为医院和厂商之间对话的起点。下次再有人从道客巴巴下载模板，不妨先问问自己：这份报告填完之后，我敢不敢把它贴在医院大厅的显示屏上？如果不敢，那就重写吧。

本文地址：http://www.79wt.cn/news/1626d9099747.html