在数字化浪潮的推动下，医疗行业正迎来前所未有的技术革新。其中，开源代码以其开放、共享的特性，在医疗软件开发中发挥着举足轻重的作用。然而，随着开源生态的蓬勃发展，开源代码的安全风险也日益凸显，成为制约医疗行业软件安全的一大挑战。GB/T 43848-2024《网络安全技术 软件产品开源代码安全评价方法》的发布，无疑为我国医疗行业软件安全的发展注入了强大的动力。
开源代码安全评价的四大基本要素GB/T 43848-2024《网络安全技术 软件产品开源代码安全评价方法》描述了软件产品中的开源代码成分安全评价要素和评价流程，适用于对软件产品包含的开源代码成分进行静态安全评价，为各单位对于软件产品中的开源代码成分进行安全性自评价提供依据，为第三方机构开展此类工作提供参考。
软件产品开源代码安全评价的前提是建立开源代码的物料清单，详细披露开源代码安全评价所需的各类信息。评价方法包含评价要素和评价流程，其中，评价要素覆盖开源代码来源、开源代码安全质量、开源代码知识产权和开源代码管理，评价流程依据评价要素给出评价过程与手段。
《信息安全技术 软件产品开源代码安全评价方法》标准框架图
医疗行业开源代码面临诸多挑战在医疗行业，开源代码的应用无处不在，从电子病历系统到远程诊疗平台，开源技术极大地提升了医疗服务的效率与质量。然而，与之相伴的是日益严峻的安全威胁。
1. 安全漏洞频发
开源安全漏洞风险日益加剧，医疗行业高风险漏洞修复紧迫性凸显，一旦被利用后果不堪设想。
2. 许可证风险问题显著
开源代码的自由共享基于特定的许可协议，忽视协议条款将导致合规风险，影响企业信誉与运营。
3.供应链安全复杂化
开源供应链涉及环节众多，关系网络复杂，任何一环的脆弱都可能引发连锁反应。
构建动态安全防护体系强化医疗数据安全面对开源代码带来的安全隐患，加强开源代码安全开发流程的管控与制度建设显得尤为迫切。这要求医疗行业在引入开源代码时，必须进行严格的安全评估，确保代码的安全性和稳定性。同时，还需要建立完善的开源代码管理制度，对开源代码的使用、修改、发布等环节进行全程监控和管理。
源代码安全检测是从安全的角度对软件底层源代码进行的安全测试和评估，是目前国内网络安全检测的新方向、新领域。源代码安全检测服务的流程通常包括确定审查标准和要求、收集源代码、进行静态分析、进行手动审查、编写审查报告、进行反馈和修复以及审查跟进等步骤。作为一种深入到软件开发底层的防御机制，是在软件开发生命周期早期识别潜在安全威胁的关键手段。
道普信息通过Java源代码和C/C++源代码安全检测能力验证，依托源代码安全检测为医疗行业提供软件安全保障服务，强化软件安全防线，助力提前规避风险，确保开源代码质量与合规性，为服务医疗行业提供了更为坚实的能力保障。
GB/T 43848-2024《网络安全技术 软件产品开源代码安全评价方法》的实施，不仅是对医疗行业开源安全的一次重大升级，更是对我国数字化转型安全基石的一次巩固。它不仅能够提升医疗行业应对开源安全挑战的能力，还将进一步推动我国医疗信息化建设朝着更加规范、安全、高效的方向迈进。在这一标准的指引下，我国医疗行业定能在数字化的浪潮中稳健前行，为患者提供更安全、更高质量的医疗服务。
