医疗物联网中的网络安全政策权衡

《Computers & Security》：Cybersecurity Policy Trade-offs in the Internet of Medical Things

　　摘要
医疗物联网（IoMT）为临床工作带来了革命性的价值，但也引入了系统性的网络安全风险，这些风险直接关患者的安全。我们开发了一个分组的、随机的系统动力学模型，该模型能够捕捉驱动IoMT脆弱性的非线性社会技术反馈。损失严重性成分是通过贝叶斯拼接对数正态-广义帕累托（LogNormal-GPD）框架，利用汉密尔顿蒙特卡洛（Hamiltonian Monte Carlo）方法，基于1,617起美国医疗/信息技术（Hacking/IT）违规事件进行经验校准的，作为IoMT综合损失情况的保守代理。后验分析表明，损失分布具有厚尾特性，帕累托尾部指数约为1.63，因此基于矩的风险度量方法低估了潜在的灾难性风险。通过对每种配置运行8,000条蒙特卡洛轨迹，我们评估了五种以监管机构为中心的治理干预措施。一种以效率为导向的结合策略虽然降低了每单位成本的过高损失，但未能缓解深尾风险，并可能造成“脆弱性陷阱”，从而扩大资源受限提供者的数字安全差距。无条件的信任缓冲机制虽然有助于维持短期采用率和信任度，但可能引发道德风险，导致潜在漏洞积累并放大灾难性尾部风险。为调和这些权衡，我们提出了一种多目标鲁棒性策略，在厚尾风险下平衡效率与深尾韧性。我们将这一策略实现为三支柱鲁棒性架构：风险定价的网络责任保险、有条件的数字健康信托基金以及符合ISO/IEC 81001-5-1和FDA §524B标准的生命周期认证。这一设计同时追求系统韧性和公平性，表明在厚尾网络风险背景下，两者存在结构性相互依赖关系。

引言
医疗物联网（IoMT）在医疗保健服务中日益重要，它实现了实时监控、个性化护理和数据驱动的决策制定。然而，这种连接性扩大了网络攻击面，暴露了受保护的健康信息（PHI），并引入了可能影响患者安全的结果（Monteiro等，2023；Ozcelik等，2025；Rasool等，2022）。影响医疗设备的网络安全故障可能导致数据泄露和人身伤害。国际上，《国际医疗设备监管论坛》（IMDRF，2020）关于医疗设备网络安全的原则及其后续更新（IMDRF，2023），以及IEC 81001-5-1:2021/ISH1:2025标准（IEC 81001-5-1，2025），将网络安全纳入软件生命周期的安全管理系统（IEC，2020）和ISO 14971:2019的风险管理框架（ISO 14971，2019）中。因此，IoMT生态系统中的网络安全问题是一个社会技术性和监管性问题，而不仅仅是一个纯粹的技术问题。

IoMT政策文献中存在三个相互关联的空白。首先，大多数政策分析隐含地假设网络损失的严重性是轻尾的，并且可以用高斯分布来描述。然而，越来越多的精算研究对此提出了质疑。（Wheatley等，2016）表明个人数据泄露的严重性具有厚尾特性，帕累托尾部指数低于2；（Edwards等，2016）在贝叶斯频率-严重性分解中正式体现了这一观察结果；（Eling和Loperfido，2017）在多个损失数据库中验证了这一发现；（Egloff和Dunn Cavelty，2021；Farkas等，2021；Halgamuge和Niyato，2025；Shepard和Forsgren，2023）则分析了网络责任保险的定价后果。在医疗保健领域，也有类似的经验研究（Angst等，2017；Kwon和Johnson，2018），但这些研究尚未被整合到正式的、考虑监管要求的政策模型中。其次，IoMT安全的社会技术维度往往仅被描述性讨论，很少被编码为可识别和进行压力测试的机制模型。第三，很少有定量研究模拟合规成本如何在资源充足和资源不足的提供者之间重新分配网络风险——这在美国医疗保健领域是一个关键问题，因为安全网和农村提供者的运营利润空间已经很小（Chen和Benusa，2017；Park，2021）。本研究通过结合贝叶斯极值建模和系统动力学（SD）模拟来弥补这些空白。它的主要贡献包括：（i）量化医疗保健网络风险的厚尾特性；（ii）建模由反馈驱动的社会技术动态；（iii）评估与监管要求相符的政策情景；（iv）展示在厚尾条件下效率与鲁棒性之间的差异。

具体而言，我们开发了一个离散时间的、分组分层的IoMT支持的医疗生态系统SD模拟器，并通过完全指定的贝叶斯拼接对数正态-广义帕累托模型（LogNormal-GPD模型）及其无回转向采样器（No-U-Turn Sampler，NUTS）对其严重性成分进行了校准。本文在四个方面有所贡献：方法论上，我们提供了一个针对美国医疗网络损失的全面记录的贝叶斯模型、一个可复制的两阶段校准流程，以及符合SD验证标准（Barlas，1996）的结构和行为验证策略；实质内容上，我们对五种风格化的政策配置进行了基于经验的评估，这些配置涵盖了市场基础、制度和技术层面的干预措施，并表明没有单一措施在阈值风险和深尾风险指标上占据主导地位；在法规方面，我们将每种配置与医疗设备监管生态系统的具体要求（IEC 62304、ISO 14971、IEC 81001-5-1、IMDRF N60/N70和FDA §524B）对齐，使得政策讨论紧密关联到制造商、医疗服务提供者（HDOs）和监管机构面临的实际操作情况。分析上，我们展示了在厚尾严重性条件下，最小化成本和最小化尾部风险的政策前沿并不重合，消除大中小型提供者之间的数字安全差距需要明确的公平性权重。

IoMT网络安全挑战：经济外部性和监管空白
IoMT的网络安全挑战根植于经济外部性以及威胁变化的速度与监管修订周期之间的对比（Anderson和Moore，2006；Harkai和Ciurea，2024）。设备制造商在功能和价格上竞争；买家很少注意到——因此也很少奖励——内置的安全性，因此私人投资于安全的回报低于社会回报。同时，违规的成本（患者伤害、诉讼、召回、声誉损失）...

理论框架和研究问题
IoMT政策文献中存在三个持续存在的空白：
1. 严重性的实证特征：大多数政策分析假设损失是轻尾的。最近的精算研究（Edwards等，2016；Eling和Loperfido，2017；Wheatley等，2016）表明，网络和医疗违规的严重性通常是厚尾的，并且存在横截面依赖性。
2. 监管顺序：定量政策模型很少编码IEC 62304、ISO 14971和IEC 81001-5-1所规定的顺序依赖性。

概述和工作流程
该方法论分为五个阶段：
（a）通过第3节中的STS指导的因果循环架构构建概念模型；
（b）通过对HHS/OCR违规注册数据的贝叶斯严重性分析和离散时间SD模拟器的两阶段校准来进行实证验证，其目标是后验预测中位数；
（c）在每种配置下运行8,000条蒙特卡洛轨迹进行情景模拟，每个情景都具体针对特定的...

实证贝叶斯严重性特征
广义帕累托（GPD）形状参数的贝叶斯后验集中在与厚尾分布一致的数值上：后验中位数ξ = 0.61，95%可信区间[0.35, 0.93]，对应的帕累托尾部指数后验中位数α = 1/ξ = 1.63，95%可信区间[1.08, 2.86]（图4）。由于1 < α ≤ 2，损失分布具有有限的均值但无限的方差。从实质上讲，这意味着尽管每次事件的平均损失是可控的，但基于矩的统计摘要可能会产生误导...

模型说明与局限性
第5节中的所有结果都基于指定的先验、第4节中的SD方程以及校准协议。它们是基于模拟的推断，而不是观察到的因果效应。信任、采用和投资是理论上的潜在状态变量，基于STS和行为网络安全文献进行校准（Bansal和Zahedi，2014；Chen和Benusa，2017；Park，2021；Shammar等，2025）；它们不是从面板数据或调查数据中微估计得出的。这意味着我们的结论受到五个限制的约束。首先，HHS/OCR注册数据仅来源于美国；因此校准和监管映射是基于美国机构的（HIPAA、FDA §524B、HHS 405(d)）。将分析扩展到欧盟（NIS2指令、欧洲健康数据空间）和其他国家注册数据是后续工作的重点。损失分布的厚尾特性很可能会在不同司法管辖区保持不变（Wheatley等，2016）。

结论
本研究证明，厚尾损失分布结构性地改变了IoMT的网络安全风险。在经验校准的条件下（α ≈ 1.63），灾难性事件主导了系统行为，使得传统的风险管理方法——基于预期损失或中等分位数——不足以确保系统的韧性。通过结合贝叶斯极值理论和系统动力学建模，我们展示了政策干预在不同领域的作用。

CRediT作者贡献声明
Ayesha Yasmin：写作——审稿与编辑、可视化、验证、软件、资源、调查、数据整理、概念化。
Iftikhar Sikder：写作——审稿与编辑、监督、资源、调查、形式分析、概念化。