발견된 취약점은 위험의 시작일 뿐입니다.

실제 공격이 가능한지는 침투시험을 통해 확인할 수 있습니다.

와이즈컴퍼니(주)는 고객분들이 빠르게 변화하는 규제적 요구사항에 맞춰 대처할 수 있도록 도와드리고 있습니다.

이번 포스팅에서는 의료기기 사이버 보안 시험에서 왜 침투시험과 취약점 분석이 모두 필요한지 알아보겠습니다.

취약점 분석(Vulnerability Assessment)이란?

취약점 분석은 시스템 내에 존재하는 보안 취약점을 식별하는 활동입니다. 네트워크, 웹 서비스, 모바일 애플리케이션, 펌웨어, 소프트웨어 구성 요소 등 다양한 영역을 대상으로 알려진 취약점과 보안 설정 오류를 폭넓게 점검합니다.

취약점 분석은 일반적으로 다음과 같은 분석 기법으로 수행되며, 대상과 범위에 따라 추가적인 분석이 수행될 수 있습니다.

취약점 분석 주요 기법

1

정적 코드 분석 (SAST, Static Application Security Testing)

소스코드를 실행하지 않은 상태에서 보안 취약점을 분석하는 기법입니다. 입력값 검증 미흡, 하드코딩된 계정 정보, 안전하지 않은 함수 사용 등 코드 수준의 취약점을 식별할 수 있습니다.

2

동적 분석 (DAST, Dynamic Application Security Testing)

실제 실행 중인 애플리케이션을 대상으로 취약점을 분석하는 기법입니다. 인증 우회, 세션 관리 취약점, 서버 설정 오류 등 실행 환경에서만 드러나는 보안 문제를 확인할 수 있습니다.

3

퍼징 테스트 (Fuzzing Test)

비정상적이거나 예상하지 못한 입력값을 반복적으로 시스템에 전달하여 오류를 유발하는 시험 기법입니다. 이를 통해 프로그램 충돌, 메모리 오류, 경곗값 처리 미흡 등의 취약점을 발견할 수 있습니다.

4

소프트웨어 구성 분석 (SCA, Software Composition Analysis)

오픈소스 및 서드파티 구성요소의 취약점을 식별하는 기법입니다. 사용 중인 라이브러리의 알려진 취약점(CVE)과 라이선스 이슈를 확인하여 공급망 보안 위험을 관리할 수 있습니다. 최근에는 SBOM(Software Bill of Materials) 제출이 규제 요구사항으로 자리 잡으면서, SCA의 중요성이 한층 커지고 있습니다.

💡 여기서 한 가지 짚고 넘어갈 점

취약점을 발견했다고 해서, 그것이 반드시 실제 공격으로 이어지는 것은 아닙니다. 반대의 경우도 있습니다. 점수상 그리 심각해 보이지 않던 취약점이, 다른 취약점과 엮이면서 전체 시스템을 무너뜨리는 핵심 공격 경로가 되기도 합니다.

바로 이 지점에서 침투시험이 필요해집니다.

침투시험(Penetration Test)이란?

침투시험은 실제 공격자의 관점에서 시스템에 대한 공격을 시도하여 보안 취약점의 악용 가능성을 검증하는 시험입니다.

취약점 분석이 “무엇이 문제인가?”를 찾는 과정이라면, 침투시험은 “그 문제가 정말로 악용될 수 있는가?”를 증명하는 과정입니다.

발견에서 한 걸음 더 들어가, 실제로 뚫리는지를 손으로 확인하는 단계라고 보시면 됩니다.

침투시험은 일반적으로 다음과 같은 시험 기법으로 수행되며, 대상과 범위에 따라 추가적인 검증이 수행될 수 있습니다.

침투시험 주요 기법

1

인증(Authentication) 우회 시험

사용자 인증 절차를 우회하거나 약한 인증 메커니즘을 악용하여 비인가 접근이 가능한지 확인합니다.

2

권한 상승(Privilege Escalation) 시험

일반 사용자 권한에서 관리자 권한으로 상승할 수 있는지 검증합니다.

3

펌웨어 분석 및 침투시험

펌웨어 추출, 역공학 등을 통해 하드코딩된 계정 정보, 암호 키 노출 등을 검증합니다.

4

API 침투시험

API 인증 우회, 권한 검증 미흡, 민감정보 노출 등의 취약점을 확인합니다.

취약점 분석과 침투시험의 차이점

두 시험의 차이를 한눈에 정리하면 다음과 같습니다.

구분 취약점 분석
(Vulnerability Assessment)		 침투시험
(Penetration Testing)
목적 시스템 내 보안 취약점 식별 실제 공격 가능성 검증
수행 방식 스캔 및 분석 중심 공격 시나리오 기반
결과물 취약점 목록 공격 성공 경로, 영향도, 악용 가능성 검증 결과
깊이/범위 넓은 범위, 표면적 식별 좁은 범위, 깊은 검증
취약점 분석 = 발견
도구 기반 분석을 중심으로 시스템 전반을 넓게 살펴, 어떤 취약점이 존재하는지 목록을 만듭니다.
침투시험 = 검증
실제 공격 시나리오를 기반으로 특정 취약점이 어떤 영향을 미칠 수 있는지 깊게 검증합니다.

규제 기관은 무엇을 요구할까?

최근 FDA와 CE MDR 등 주요 규제 기관은 의료기기 제조사가 사이버 보안 위험을 체계적으로 관리하고 있음을 입증할 것을 요구하고 있습니다.

FDA
「Cybersecurity in Medical Devices: Quality System Considerations and Content of Premarket Submissions(2023)」와 FD&C Act Section 524B를 통해 시판 전 제출 단계에서 사이버 보안 위험의 식별·평가·통제·검증 근거를 요구합니다.
CE MDR
Annex I GSPR 17과 MDCG 2019-16 가이던스를 통해 의료기기의 사이버 보안 및 소프트웨어 관련 요구사항을 제시합니다.

규제 기관이 확인하고 싶은 것

단순히 취약점의 존재 여부가 아닙니다. 어떤 위험이 존재하는지 식별했는가, 그 위험을 적절히 관리했는가, 그리고 적용한 보안 대책이 실제 공격 상황에서도 효과적으로 동작하는가를 확인하고자 합니다.

이러한 요구사항을 충족하기 위해서는 잠재적인 보안 위험을 식별하는 취약점 분석과, 적용된 보안 통제가 실제 공격에 대해 효과적으로 동작하는지 검증하는 침투시험이 모두 필요합니다.

결론

취약점 분석과 침투시험은 선택의 문제가 아닙니다.

의료기기의 사이버 보안 안전성을 입증하기 위해 함께 수행되어야 하는 핵심 검증 활동입니다.

취약점 분석은 “발견”에, 침투시험은 “검증”에 초점이 맞춰져 있습니다.