计划项目建议书（基因测序仪网络安全风险考量和测试指南）.docxVIP

推荐性医疗器械行业标准计划项目建议书

项目称

（中文）

基因测序仪网络安全风险考量和测试指南

项目称

（英文）

CybersecurityRiskAssessmentandTestingGuidelinesforDNASequencers

起草单位

中国信息通信研究院

技委会或归口单位国内代号及称

SMD/TU007医用高通量

测序标准化技术归口单位

制定或修

订

制定

被修订标准编号

/

拟采用国际标准?称（中

文）

/

拟采用国际标准?称（英

文）

/

国际标准

号

/

ICS分类号

ICS11.100

标准类别

（注1）

方法标准

一致性程度标识

/

计划起始

时间

2026年1月

计划完成时间

2026年12月

目的、意义

网络安全是医疗器械产品安全性的重要组成部分，而网络安全对于基因测序仪首当其冲，影响最深。美国因美纳公司的基因测序仪因网络安全问题被FDA发布召回通知，为全球基因测序仪网络安全敲响了警钟，影响深远。本标准拟梳理基因测序仪的网络安全风险点，分析网络安全发生的位置和路径，指导和规范企业对基因测序仪进行网络安全加固和漏洞管理，同时描述了多维度的网络安全测试方法，用于为医疗器械企业及第三

方评估机构开展网络安全测试提供指导。

范围和主要技术内容

本标准适用于所有类型的基因测序仪。本标准拟采用的方法主要分为两类，一类是基因测序仪网络安全风险考量，一类是网络安全测试方法。网络安全风险考量部分，充分分析了当前技术条件下，基因测序仪这类特殊的产品可能被网络攻击的位置和路径，以及在此位置和路径下可能出现的网络攻击类型和造成的后果。被攻击的路径和位置，包括但不限于操作系统、端口、第三方组件、协议，以及在基因数据传输、存储、以及监控

过程中出现的网络安全漏洞。网络安全测试方法部分，主要考虑了当前

对于网络安全测试和验证比较有效的技术方法，借鉴国外监管的经验，运用到基因测序以上，形成有针对性的测试方法。测试方法包括软件代码审

计、模糊测试、漏洞评估、渗透测试等。

主要强制的内容和强制的理

由

/

与有关法律、法规和强制性标准的关

系

本文件的编制与现行有关的法律、法规和强制性国家标准无冲突的地方。

标准所涉及的产品

清单

/

国内外有关情况及发展趋势

基因测序技术是直接获得核酸序列信息的重要技术手段，在基础生物学研究、医学诊断、生物技术开发、法医生物学、系统生物学、微生物学等应用领域中具有不可替代的作用。基因测序终端应用具有广泛拓展性，从科研服务到临床应用，从肿瘤诊疗到感染病防治，基因科技的商业化场景层出不穷，催生了对基因测序仪的需求不断增加。当前，网络技术发展迅猛，深刻影响着医疗器械的功能和性能。网络技术在给基因测序仪提供便利的同时，随之也带了网络安全方面的威胁。国内已发布了YY/T1843-

2022《医用电气设备网络安全基本要求》，但该标准是通用型的标准，只是列出了网络安全的能力，未能对特有的产品其中某一项做强制要求，亦没有网络安全测试的内容。基因测序仪网络安全影响个人基因数据安全，更关系国家安全。当前各国都在加强国内基因数据的控制，严格控制其流通和出境。基因测序的数据具体涉及数据的生成、传输、存储、云计算、远程访问等各个环节，目前在国内外尚无明确的标准强化其网络安全

性，进而确保数据的安全，亟待出台相关的标准进行指导和规范。

制定标准拟采用的方法和技术依据

本标准拟采用的技术方法包括：代码审计、模糊测试、漏洞评估、渗透测试等，均为目前较为成熟的技术。其中代码审计是检查源代码中的安全缺陷，检查程序源代码是否存在安全隐患，或者有编码不规范的地方。模糊测试将大量随机产生的非预期的数据输入到目标程序中，同时收集并监视目标程序在测试用例执行中的异常信息，以尽可能地发现导致目标程序错误的非法输入，找到目标程序的脆弱点。漏洞评估是基于漏洞库对系统进行全面的检查，以发现系统、网络、应用程序等可能存在的安全漏洞。渗透测试是一种模拟攻击的过程，旨在评估系统的安全性和抵御攻击的能力。上述技术均是检测和验证网络安全行之有效的方法，在本标

准中均给出了详细的测试规范。

拟开展的主要工作

（注2）

行业和产品调研、收集市场信息、参考文献资料、制定编制原则和实例、组织专家委员讨论、标准及编制说明的编写等项工作。

与标准制修订相关的工作基础条件

中国信息通信研究院（下面简称信通院）是工业和信息化部直属事业单位，在通信和信息化领域具有深厚的基础。信通院与国家药品监督管理局共建智能化医疗器械研究与评价重点实验室，在人工智能医疗器械软件、网络安全、远程通信、云计算、数据治理等方面具有独特的优势。截止目前为止信通院已为国内10款以上的基因测序仪测试网络安全用于注册上市，在人工智能医疗器