Deciphering the Omnibus for Medical Device Security

医疗行业面临监管与合同安全要求收紧：文章梳理 HIPAA、CCHIT、ARRA、HITRUST CSF 及 PCI DSS/PA-DSS 等标准与法案的影响，建议医疗机构以此为框架制定基于风险的安全策略，应对电子健康记录（EHR）普及带来的更高要求。

Jay Radcliffe 在 Black Hat 2011 上演示入侵胰岛素泵后，医疗设备安全引发热议。作者强调 FDA 立场：医疗器械网络安全是厂商与使用机构共同的责任。使用机构应确保设备（如运行 Windows 的设备）有可执行的更新机制，并明确维护责任部门，可关注 HIMSS 医疗设备安全工作组与 FDA 指导草案。

NetSPI 指出，真正推动信息安全走向成熟的是带重罚的法规与合同标准，而非主观的风险评估：风险方程在经济下行时极易被牺牲，而合规稳定、细致、可评估；医院系统对 PCI 的重视常超过 PHI 数据，理想状态仍是以风险为导向、涵盖合规的整体性方法。

渗透测试是在授权与约定范围内、限时进行的模拟攻击，伦理黑客像真实攻击者一样串联漏洞并提升权限，以证明可被利用的真实风险，而非罗列理论问题。文章引用 NIST SP 800-115 的定义，对比渗透测试与自动化扫描及真实攻击的差异，并说明交付成果、合规审计驱动与测试频率。

在全球监管趋严、多地已将智能合约独立审计纳入牌照要求的背景下，CertiK 宣布加入 Linux 基金会旗下 LF Decentralized Trust，把形式化验证与企业级安全经验注入开源区块链基础设施，推动行业标准建设。

2026 年 8 月 18 日，SEC 发布拟议规则 Regulation Crypto Assets（Release No. 33-11434），为 covered investment contracts 量身定制监管路径：包括面向早期团队的 4 年期 Startup 豁免（Rule 200，12 个月内可募 500 万美元且无需审计财报）、仿照 Regulation A 的两级募资豁免（Tier 1 上限 2000 万、Tier 2 上限 7500 万美元），以及免于投资合同定性的有条件安全港。