健康部门协调委员会（HSCC）通过其网络安全工作组，已提前发布了即将于2026年推出的管理人工智能网络安全风险指南的预览版。认识到人工智能的复杂性，HSCC计划分阶段推出资源，重点制定健全的政策和负责任采用的最佳实践，以平衡人工智能的机遇与挑战。
该机构宣布了一系列单页摘要，概述了HSCC网络安全工作组在人工智能领域的五个工作流，提前展示了网络安全工作组计划于2026年发布的最佳实践和白皮书。即将发布的出版物将涉及教育与赋能、网络操作与防御、治理、安全设计原则以及第三方风险与供应链透明度。
初始基础出版物《医疗保健中的人工智能：您需要了解的10个术语》已在当前文档中提及。
鉴于人工智能带来的网络安全挑战和机遇，HSCC网络安全工作组于去年10月成立了一个由115家医疗保健组织组成的人工智能网络安全工作组，以考虑如何通过运营和组织指导来准备该行业。人工智能工作组认识到在临床、行政和财务医疗保健应用中使用的人工智能技术的复杂性和相关风险，因此将人工智能问题划分为可管理的工作流，专注于离散的功能领域，同时注意这些功能之间的相互关系和相互依赖性。
这项工作分为五个小组。教育与赋能小组专注于为人工智能网络安全指南开发通用术语，以及教育和培训计划，以帮助多样化的医疗保健用户社区在其运营环境中建立意识并适当使用人工智能。其目标是提高对人工智能和机器学习技术的教育和认识，以更好地理解其风险并应用适当的控制措施。其关键重点领域包括开发清晰的定义和术语、加强人工智能和机器学习基础知识的理解，以及解决特定的人工智能相关风险和缓解策略。
该小组的交付成果包括十大人工智能定义列表、人工智能辅助学习材料（如视频和信息图表），以及相关教育培训课程的建议。预期成果包括提高对人工智能和机器学习术语的认识、更深入地了解人工智能在医疗保健中的应用、更好地理解人工智能部署和运营中涉及的风险，以及更广泛地应用适当的控制实践。
网络操作与防御小组正在创建实用的行动手册，以帮助医疗保健组织准备、检测、响应和从人工智能相关的网络事件中恢复。其重点是确定在医疗保健环境中进行优化的人工智能特定网络安全操作所需的要求。其目标包括开发有效的事件响应和恢复方法、定义支持临床工作流程和更广泛医疗操作的人工智能驱动威胁情报流程（附有保障措施），以及为大型语言模型之外的人工智能技术（如预测性机器学习系统和嵌入式设备人工智能）建立风险因素和操作保障措施。
该小组还在开发一系列行动手册的草拟结构，用基于讨论的内容填充初始部分，并创建利益相关者角色和流程的建议，以随时间完善和成熟这些行动手册。
关键重点领域包括提供一个结构化框架，用于准备、检测、响应和从人工智能相关的网络事件中恢复，同时保持业务连续性和监管合规的最佳实践。该小组还寻求通过将人工智能特定风险评估整合到现有网络安全框架中，并为模型中毒、数据损坏和对抗性攻击等威胁定义定制响应程序，来建立明确的治理和问责机制。
其他优先事项包括启用人工智能系统的持续监控、确保受损模型的快速遏制和恢复，以及维护安全且可验证的模型备份。该项工作还强调了韧性测试的重要性、网络安全和数据科学团队之间的跨职能协调，以及从事件中持续学习以加强未来准备工作。
网络操作与防御小组的预期交付成果包括《人工智能网络韧性与事件恢复行动手册》、《人工智能驱动的临床工作流程威胁情报行动手册》和《人工智能系统网络安全操作行动手册》。
治理小组正在为整个医疗保健行业的企业开发一个全面的管理人工智能网络安全风险的框架，涵盖人工智能生命周期的治理流程、监管一致性以及人工智能特定的安全和数据管理。其目标是为各种规模的医疗保健组织提供一个综合框架，以管理临床环境中与人工智能相关的独特网络安全风险。其目标是确保人工智能在其整个生命周期中得到安全和负责任的治理。
该小组的工作包括建立正式的治理流程，明确定义人工智能生命周期中的角色、责任和临床监督。它还专注于将人工智能治理控制与适用的法律和监管要求（如美国健康保险流通与责任法案（HIPAA）和美国食品和药物管理局（FDA）法规）保持一致。另一个关键优先事项是识别相关标准并实施人工智能特定的安全和数据控制，参考美国国家标准与技术研究院（NIST）人工智能风险管理框架等既定框架。
该框架鼓励医疗保健组织维护所有人工智能系统的完整清单，以更好地了解其功能、数据依赖性和安全影响。它还引入了一个五级自主性量表，用于对人工智能工具进行分类，并将人工监督的程度与系统风险相匹配。
主要交付成果是一份包含人工智能治理成熟度模型的综合指南，旨在帮助组织评估其当前能力、识别差距并确定改进的优先领域。成果是支持在医疗保健中安全、道德和有效地部署人工智能技术。
安全设计医疗小组致力于将网络安全原则嵌入人工智能医疗设备的开发中，促进工程、网络安全、监管和临床团队之间的协作。其重点是为人工智能医疗设备定义和开发安全设计原则。其目标是提供实用的指导和工具，使医疗设备制造商和利益相关者能够在整个产品生命周期中嵌入网络安全。
该项工作解决了独特的人工智能安全风险，包括数据中毒、模型操纵和漂移利用等新兴威胁，将缓解策略与主要监管框架（如美国FDA指南、NIST人工智能风险管理框架和网络安全和基础设施安全局（CISA）建议）保持一致。该小组还促进工程、网络安全、监管事务、质量保证和临床团队之间的跨职能协作，以确保将人工智能特定风险整合到医疗设备风险管理和开发流程中。此外，它通过支持人工智能物料清单（AIBOM）和可信人工智能物料清单（TAIBOM）的整合，推进透明度和供应链安全，增强人工智能供应链的可视性、可追溯性、可扩展性和信任度。
预期交付成果包括一套涵盖整个人工智能生命周期的人工智能特定安全实践，旨在帮助各种规模的组织将人工智能安全地集成到医疗设备设计中。关键输出是人工智能安全设计指南，提供从一开始就嵌入安全性的可操作建议；人工智能安全风险分类法，用于识别、分类和评估人工智能相关安全风险；职能角色实施简报，为开发人员、产品经理和安全团队等利益相关者提供量身定制的指导，以实现人工智能安全实践的可操作化；以及教育和意识材料，以建立组织理解并在人工智能开发中促进安全第一的思维。
最后，第三方人工智能风险与供应链透明度小组旨在通过提高对第三方人工智能工具的可见性、建立治理和监督政策，以及标准化采购、供应商筛选和生命周期管理，加强医疗保健供应链中的安全性、信任和韧性。其重点是增强可见性和透明度、建立治理和监督、管理网络和数据风险、实施合同和法律保障、监督生命周期风险管理、促进共同责任，以及鼓励道德和负责任的人工智能使用。
其关键活动包括识别、跟踪和监控第三方人工智能工具和供应链，定义可问责的政策、治理委员会和审批路径，以及根据NIST人工智能风险管理框架、健康信息交换合作计划（HICP）和HIPAA等框架评估第三方人工智能系统的安全性、隐私性和偏见风险。该小组还标准化采购、供应商筛选、监控和生命周期结束规划，提供用于数据使用、受保护健康信息处理和违规报告的模型合同和业务关联协议条款，促进医疗保健组织和人工智能供应商之间的协作，并鼓励在人工智能采用中进行偏见测试、公平性和人工监督。
预期交付成果和成果包括减少分层供应商供应链中隐藏的人工智能风险的系统性暴露、为治理、风险和合规团队提供可扩展的工具和最佳实践、通过问责和透明度提升患者安全、数据隐私和信任，以及确保与不断发展的监管要求和全球人工智能标准（如NIST、FDA、国际标准化组织（ISO）和国际医疗器械监管机构论坛（IMDRF））保持一致。
HSCC网络安全工作组呼吁医疗保健组织采用这些最佳实践，在团队间分享指导，并与委员会合作，共同塑造全行业人工智能治理和网络安全的未来。其目标是确保医疗保健创新得到对患者安全、数据隐私和运营韧性的坚定承诺。
展望未来，这些工作流在过去几个月中取得了实质性进展，并将于明年1月开始，在第一季度内陆续单独发布其指导文件。
【全文结束】
