作为一款既需连接云服务器且要存储患者信息的医疗器械独立软件，除常规网络安全测试外网络安全等级保护测评是必须开展的，这并非可选项而是国家法律法规的弄清楚要求以及确保产品安全合规上市的根本环节，根本原因在于投入运营后您的软件便成为《网络安全法》定义的“网络运营者”进而必须履行相应安全保护义务，尤其是因软件会处理患者个人信息甚至可能涉及敏感健康数据使其成为法律重点保护对象。
等保测试是法律法规的强制要求
开展等保测评其首要原因乃在于需要满足由国家所制定并强制施行的法律法规规定，就像《中华人民共与国网络安全法》第二十一条所弄清楚表明那样，国家推行的网络安全等级保护制度要求网络运营者得依据此制度规定去切实履行自身应尽的安全保护义务，而在医疗器械领域方面，国家药监局发布的《医疗器械网络安全注册审查指导原则》又进一步将该要求予以细化，即弄清楚规定了含有网络连接功能这种特性的医疗器械于申报注册之时，必须要提交通过网络安全等级保护测评而得到的证明文件作为起到根本作用的支持性资料，这实际上意味着等保测评报告已然成为二类医疗器械软件注册申报资料库里面不可或缺的重要一部分以及获取产品注册证的必要前提条件之一，要是不开展等保测评将会直接致使注册申请没措施经由技术审评这一流程得以通过。
等保测评与常规网络安全测试的差异
常规网络安全测试多聚焦技术层面诸如软件代码漏洞、接口安全性以及数据传输加密等；与之不同的等保测评是全面且系统的评估体系，秉持“一个中心，三重防护”理念构建涵盖安全物理环境、通信网络、区域边界、计算环境以及管理中心的综合防御体系，不仅检验技术措施有效性，还会严格评估安全管理制度形成落实情况涉及安全管理制度、管理机构、人员安全管理、系统建设管理以及运维管理等方面，可认为等保测评是对企业网络安全治理能力全面体检，其深度广度远超普通渗透测试或漏洞扫描这一情况，从等保测评所包括的复杂内容、多方面评估以及与常规测试比较能看出。
等保测评的具体内容与流程
等保测评流程一般是由那包括定级、备案、测评以及监督这四个根本环节共同组成的，就您那用于二类康复训练的软件而言，鉴于它对患者信息有所处理，极有可能被界定为第二级或更高级别的安全保护等级，因此首要步骤便是针对此软件确定其相应的安全保护等级，而在完成定级之后，需向所在地的公安机关办理备案相关手续，随后由具备资质的第三方测评机构按照类似GB/T 22239《信息安全技术 网络安全等级保护基本要求》这般的国家标准，对该软件系统展开全面的测评工作，其测评所涉及内容不仅有技术层面涵盖的物理安全、网络安全、主机安全、应用安全、数据安全，还有管理层面涉及的安全策略、组织机构、人员管理、系统开发及运维等方面，测评机构将会出具详细具体的测评报告，并且针对测评过程中所发现的各类问题指出整改的相关建议，当企业完成整改之后，测评机构会再次开展复测，最终生成具有结论性质的测评报告，以此作为该软件符合等保要求的相关证明。
等保测评对于医疗器械软件的特殊价值
对于医疗器械软件来讲，被等保测评通过所具备的超越单纯合规层面的深层价值体现在，被系统评估与验证过的、于真实医疗环境里保护患者隐私及数据机密性、完整性与可用性的能力，而此能力与医疗器械安全有效这样的基本原则是高度相契合的；经由一份合格等保测评报告所充分证明出的、您软件已构建起的健全网络安全管理体系，此体系能够对数据泄露、篡改以及丢失这类风险予以有效防范，进而在当前医疗数据安全事件频繁出现的这个背景下，显著增强各方对产品安全性信任度，这种信任作为产品赢得市场的根本竞争优势而存在着。
总结来讲需清晰认识到，贵公司所开发具备二类属性的这款康复训练软件，其网络安全等级保护测评实则是一项鉴于相关法律法规约束下必须予以完成的法定性质的任务。而这一测评工作，不单单可看作产品得以合规注册的类似 “通行证” 一般存在的根本要素，从更深远角度而言，更是能够构建起一套全面且改进的安全防护体系、有力保障患者根本的信息安全以及成功赢得整个市场信任所不可或缺的 “基石”。鉴于上述诸多重要意义，在此郑重地建议贵方能够尽早开始着手启动密切相关等保测评的前期准备各项工作，并积极主动地与拥有丰富经验水平的测评机构展开密切接洽，以此种方式来确保在推进产品研发进程的同时，相关合规性工作也能够达成同步顺利推进的良好局面。
1014
