医疗器械网络安全漏洞自评报告模板

某三甲医院去年接入了一台智能输液泵，医疗结果IT部门在例行扫描时发现它开放了23端口，器械Telnet服务还带着出厂密码。网络这事不算罕见——联网医疗设备的安全安全漏洞，八成以上是漏洞厂商出厂配置太“裸奔”。但真正麻烦的自评是，医院不敢轻易打补丁，报告怕影响设备稳定性，模板病人正输着液呢，医疗总不能重启吧。器械

所以漏洞自评报告这玩意儿，网络不是安全写给监管看的纸面文章，而是漏洞实打实的风险决策工具。我的自评建议是：别把它写成合规检查表，要写成一份“如果被攻击，报告最坏会怎样”的推演记录。

一、自评范围：先划清楚你家院子有多大

写报告第一步，列设备清单。别只写“心电监护仪”“CT机”这种大类名，要精确到型号、固件版本、网络连接方式。我见过某厂商的自评报告，把WiFi体温计和手术机器人归为同一类“网络设备”，这等于把自行车和卡车都叫“机动车”，后续风险评估全是废纸。

具体做法：每个设备单独一行，注明它连接的是院内网、外网还是隔离网，数据流向是单向还是双向。特别标出那些“间接联网”的设备——比如通过USB转WiFi模块上网的老式X光机，这类最容易被忽略，也最危险。

二、漏洞识别：别只信扫描器，得自己上手试

扫描器能扫出CVE编号，但扫不出业务逻辑漏洞。去年某品牌胰岛素泵被曝出，患者通过APP调节剂量时，数据包没加密，改个数值就能注入。扫描器根本发现不了这种应用层问题。

自评时除了跑Nessus、OpenVAS，还要做三件“笨事”：一，用默认密码列表逐个试设备的管理后台；二，抓取设备升级时的网络流量，看有没有明文传输；三，故意发送畸形数据包，看设备会不会崩溃。这些测试不用高深技术，但需要耐心，而且往往能发现扫描器漏掉的真问题。

三、风险分析：别用CVSS分数一刀切

CVSS 9.0的漏洞未必比6.0的更紧急。一台连接在隔离网段的影像归档系统，即使有远程代码执行漏洞，攻击者也得先穿透物理隔离才能碰到它。反过来，一台直接暴露在公网的患者随访APP，哪怕只是个信息泄露小漏洞，也可能导致大量隐私数据被拖走。

我的判断标准是“三个是否”：是否可远程触发，是否涉及患者生命体征数据，是否有替代手工方案。三条全中，哪怕漏洞评分不高，也得列为紧急。比如输液泵的拒绝服务漏洞，虽然不能窃取数据，但能让设备死机，护士得手动换泵——在ICU里，这就是生死问题。

四、整改计划：要写“如果明天被攻击”的预案

很多报告写完漏洞清单就结束了，这是偷懒。真正的自评报告，整改措施必须具体到“谁在什么时间内做什么”。别写“加强访问控制”这种废话，要写“本周内修改所有设备默认密码，由设备科老王负责，下周一复查”。

还要写“漏洞利用失败后的兜底方案”。比如，如果某台老设备确实无法修补漏洞，那就物理断开它的外网连接，改成只通过串口传输数据。这不算丢人，很多医院都有几台“老古董”设备，明确它们的风险边界比强行升级更实际。

五、报告格式：别用几十页PPT，三页纸足够

监管要求的报告模板往往冗长，但真正有用的部分就三块：设备清单及漏洞列表、风险等级判定依据、整改责任人和期限。其他什么“组织架构”“管理流程”都是凑字数。我见过最有效的自评报告，是设备科主任手写的一页纸表格，上面列着每台设备的漏洞、风险等级、整改状态，贴在机房门口，谁路过都能看到。

最后说句实在话：这份报告的价值不在“自评”本身，而在推动后续动作。如果写完就锁进柜子，那连废纸都不如。每季度拿出来对照一次，看哪些漏洞还没补，哪些新设备又带进来新问题——这才是自评的真正意义。