2025医疗器械软件漏洞分级报告

第1页共7页医疗器械软件漏洞分级报告项目内容漏洞核心信息漏洞名称：疑似报告描述核实：□完全一致□部分修正(修正内容：)□重新定义(定义：)涉及软件详情(精确至具体设备/车间)漏洞技术特征漏洞类型：□远程代码执行□权限提升口信息泄露□数据篡改口拒绝服务口弱密码□配置错误□其关联业务场景涉及生产环节：口灭菌工艺控制口无菌组装口产品检测口电子记录(FDA21CFRPart11)□产品放行□第2页共7页供应链管理□其他：关联产品型号：涉及在产技术核实结论□漏洞真实存在，可稳定复现□漏洞存在，但触发概率极低□疑似报告误判，排除漏洞□需进一步测试确认评分基础评分：环境评分：最终评分：(评法规风险匹配产失控/数据伪造/产品质量失效□中危：7.0≤CVSS<9.0;或影响非核心功能/普通数据泄露口低危：CVSS<7.0;无质量/安全/合规风险医疗器械专项影响1.患者安全风险：□可能导致严重伤害/死亡□可能导致轻微伤害□无直接影响2.产品质量风险：□导致产品不合格口影响质量数据准确性口无影响3.合规风险：□违反GMP/21CFRPart11□需向监管机构上报口无合规风险第3页共7页分级争议说明(如(如：CVSS评分8.5,但影响核心生产系统，建议提级为高危)分级结果□高危漏洞(最终CVSS≥9.0或符合高危场景)□中危漏洞(7.0≤最终CVSS<9.0)□低危漏洞(最终CVSS<7.0)口无风险(排除漏洞)分级理由(简述)(如：CVSS评分9.8,可远程无授权篡改灭菌温度，符合高危分级标准)处置优先级□紧急(2小时内启动响应)□较高(4小时内启动响应)□一般(24小时内启动响应)□低(15个工作日内处置)项目严重度□5分(患者伤害/生产瘫痪/重大合规处罚)□4分(产品召回/生产中断超24h)□3分(非核心功能异常/数据轻微泄露)□2分(操作不便/系统性能下降)□1分(无实质影响)第4页共7页发生概率 □5分(极可能被利用，已发现攻击痕迹)□4分(较可能被利用，存在利用工具)□3分(可能被利用，需特定条件)□2分(极少可能被利用)□1分(几乎不可能)探测难度 □5分(无监测手段，利用后难发现)□4分(监测手段有限，延迟发现)□3分(常规监测可发现，需人工分析)□2分(自动化监测可预警)□1分(极易发现，利用即告警)RPN值计算RPN=S×0×D=风险等级：□高风险(RPN≥12)□中风险(6≤RPN<12)□低风险(RPN<6)关键风险点总结(如：RPN=20,核心风险为“远程无授权访问导致工艺参数篡改”)系统层面影响系统关联性：□独立系统□连锁影响其他系统(清单：)第5页共7页生产运营影响数据安全影响数据泄露风险：□敏感生产数据口质量检测数据口客户信息口无数据风险数据篡改风险：□电子记录□工艺参数口产品批号口无篡改风险合规层面影响规定》第条)□否是否触发不良事件报告：口是口否是否影响产品注册：口是口否紧急控制措施□立即隔离受影响系统(断开网络/关闭端口)责任 漏洞修复措施修复方式：口官方补丁部署□配置优化口代码整改持方：口内部技术组口软件供应商口第三方安全机构第6页共7页监管与沟通措施监管上报：□国家药监局(NMPA)□地方药监局□工 后续监控措施监控内容：□漏洞利用行为口系统异常操作口生产参软件漏洞技术核实记录CVSS3.1评分报告受影响系统清单及业务关联说明疑似报告及原始佐证材料(截图/日志)供应商沟通记录填写说明成：高危漏洞2小时内、中危4小时内、低危24小时内；2.分级依据需同时满足“CVSS评分+医疗器械专项影响”,不可第7页共7页仅依赖单一维度，需体现行业特殊性；3.所有数据需符合ALCOA