[사이버 보안] 미국 FDA 의료기기 사이버보안 준비 절차, 시험부터 제출 문서까지 알아보기

FDA 사이버보안 대응, 제품 분석부터 문서화와 시판 후 관리까지 함께 준비해야 합니다.

안녕하세요. 와이즈컴퍼니(주)는 의료기기 제조사의 국내외 사이버보안 규제 대응을 돕고 있습니다. 미국 FDA를 포함하여 사이버보안 문서화 및 시험·평가 업무를 지원합니다.

미국 FDA 인허가를 준비하는 의료기기 제조사라면 다음과 같은 질문이 생길 수 있습니다.

미국 FDA가 의료기기 사이버보안을 중요하게 보는 이유

의료기기의 네트워크 연결과 소프트웨어 사용이 확대되고 있습니다. 그 결과 사이버보안 침해는 단순한 정보 유출을 넘어섭니다. 의료기기의 안전성과 유효성에 영향을 미칠 수 있게 되었습니다.

예를 들어 사이버보안 취약점으로 인해 다음과 같은 문제가 발생할 수 있습니다.

FDA는 사이버보안을 제품 안전성과 품질 시스템의 일부로 보고 있습니다. 그래서 의료기기의 설계·개발 단계부터 시판 후 유지관리까지, 전 생애 주기에 걸쳐 관리하도록 권고하고 있습니다.

즉, 완성된 제품에 취약점 시험만 수행하는 것으로는 부족합니다. 다음 사항을 함께 준비해야 합니다.

우리 제품도 Cyber Device에 해당할까?

미국 「FD&C Act」 Section 524B에서는 다음 조건을 모두 충족하는 의료기기를 Cyber Device로 정의합니다.

FDA 사이버보안 대응을 위한 실무 준비 절차

FDA 사이버보안 준비를 효율적으로 하기 위한 실무 절차는 다음과 같이 정리할 수 있습니다.

구분	주요 업무	주요 결과
제품 및 범위 분석	하드웨어·소프트웨어 구성, 인터페이스, 데이터 흐름, 사용자 및 사용 환경 분석	시험 범위, 자산·인터페이스 목록
사전 문서화	SBOM 작성, 위협 모델링, 보안 아키텍처 및 요구사항 정리	SBOM, Threat Model, Architecture Views, Security Requirements
사이버보안 시험	자동·수동 취약점 분석, 보안 기능 검증, 침투시험	취약점 목록, 시험 증거, 시험 보고서
취약점 보완	발견된 취약점의 영향 분석 및 위험통제 적용	취약점 조치내역, 잔여 위험 평가
재시험	조치 결과와 추가 보안 문제 발생 여부 확인	재시험 결과 및 조치 확인자료
제출자료 정리	위험·통제·시험 결과의 추적성 확보 및 시판 후 계획 작성	Risk Management Report, Test Summary, Labeling, Management Plans

FDA 제출을 위해 준비하는 주요 제출자료

FDA가 권고하는 사이버보안 제출자료는 제품의 구조와 위험에 따라 달라질 수 있습니다. 일반적으로는 다음과 같은 자료를 준비합니다.

문서	주요 내용
Cybersecurity Risk Management Report	사이버보안 위험, 통제 조치, 잔여 위험 및 위험관리 결과를 종합한 보고서
Threat Modeling	자산, 위협, 공격 경로 및 보안 통제 분석
Security Architecture Views	시스템 구조, 인터페이스, 데이터 흐름, 신뢰 경계 및 업데이트 경로
Security Requirements and Controls	보안 요구사항과 보안 통제의 구현·검증 결과
SBOM	상용·오픈소스·기성품 소프트웨어 구성요소와 관련 정보
Unresolved Anomalies Assessment	미해결 이상 현상과 관련 보안 영향 평가
Measures and Metrics	보안조치와 취약점 관리 활동의 효과를 평가하는 지표
Cybersecurity Testing	수행한 시험, 결과 및 발견된 취약점 요약
Cybersecurity Labeling	안전한 설치·운영·유지관리를 위한 사용자 정보
Cybersecurity Management Plans	취약점 모니터링, 공개, 대응, 업데이트 및 패치 계획

어떤 사이버보안 시험을 수행할까?

FDA는 모든 의료기기에 동일한 시험 목록을 적용하도록 정하고 있지 않습니다. FDA 가이드는 보안 요구사항 검증, 위협 완화 검증, 취약점 시험 및 침투시험 등을 제시합니다. 이를 바탕으로 제품 특성에 맞는 시험을 수행할 수 있습니다.

시험 구분	주요 확인 내용
SBOM 및 알려진 취약점 분석	소프트웨어 구성요소와 CVE 등 알려진 취약점 확인
정적·동적 분석	소스코드 또는 실행 중인 소프트웨어의 보안 결함 확인
보안 기능 시험	인증, 접근통제, 암호화, 로그 및 데이터 보호 기능 검증
인터페이스 시험	네트워크, API, USB, Bluetooth 등 공격 가능 지점 점검
Fuzz Testing	비정상적이거나 예측하지 못한 입력에 대한 시스템 반응 확인
업데이트 보안 시험	업데이트 파일의 무결성, 인증 및 안전한 설치 여부 확인
Penetration Testing	실제 공격 시나리오를 적용하여 악용 가능한 취약점 확인

시험 자료에는 다음이 포함되어야 합니다. 시험 범위와 방법, 시험환경, 합격·불합격 기준, 결과, 발견사항 및 조치 결과입니다. 침투시험의 경우에는 추가 설명이 필요합니다. 시험자의 독립성, 전문성, 시험 범위와 기간, 수행 방법과 발견된 취약점의 처리 결과도 함께 설명하는 것이 중요합니다.

또한 시험에서 취약점이 발견되면 어떻게 할까요? 먼저 해당 취약점의 발생 원인과 악용 가능성을 분석합니다. 그리고 의료기기의 안전성·유효성에 미치는 영향을 평가합니다. 이후 소프트웨어 업데이트, 접근통제 강화, 불필요한 서비스 제거, 암호화 적용 등 적절한 보안 통제를 적용합니다. 그리고 재시험을 수행합니다.

Cyber Device에 적용되는 Section 524B 요구사항

Cyber Device에 해당하는 의료기기를 510(k), PMA, PDP, De Novo 또는 HDE 경로로 제출하는 경우가 있습니다. 이때는 일반적인 허가·승인 자료와 함께 「FD&C Act」 Section 524B에서 정한 사이버보안 자료도 제출해야 합니다.

※ 510(k), PMA, PDP, De Novo 및 HDE는 의료기기의 등급과 특성 등에 따라 적용되는 미국 FDA의 시판 전 제출 경로입니다.

주요 요구사항은 다음과 같습니다.

구분	주요 내용
시판 후 취약점 관리 계획	취약점과 익스플로잇을 모니터링·식별·대응하기 위한 계획 및 Coordinated Vulnerability Disclosure(CVD) 절차
사이버보안 프로세스	의료기기와 관련 시스템의 사이버보안을 합리적으로 보장하기 위한 프로세스 및 절차의 설계·개발·유지
업데이트 및 패치	알려진 수용 불가능한 취약점은 정기 주기에 따라 업데이트·패치 제공. 통제되지 않은 위험을 초래할 수 있는 중요 취약점은 가능한 한 신속하게 정기 주기 외 업데이트·패치 제공
SBOM	상용·오픈소스·기성품 소프트웨어 구성요소를 포함한 소프트웨어 자재명세서

구체적으로 어떤 문서와 내용으로 입증할지는 FDA 가이드의 권고사항을 참고하세요. 제품 특성과 사이버보안 위험에 맞게 구성해야 합니다.

FDA 사이버보안 준비 시 주의 사항

맺음말

미국 FDA 의료기기 사이버보안 대응은 취약점 시험 한 번으로 완료되지 않습니다.

먼저 제품의 구조와 공격 표면을 분석합니다. 그리고 위협과 보안 요구사항을 식별한 후, 시험을 통해 보안 통제의 효과를 입증해야 합니다. 또한 발견된 취약점을 보완하고, 시판 후 모니터링과 업데이트·패치 계획까지 수립해야 합니다.

와이즈컴퍼니(주)는 의료기기의 제품 특성과 FDA 요구사항을 고려하여 다음과 같은 업무를 지원하고 있습니다.

이상으로 미국 FDA 의료기기 사이버보안 준비 절차 안내였습니다. 감사합니다.

의료기기 사이버보안 요구사항과 관련하여 자세한 내용이 궁금하시다면 아래 연락처 또는 문의하기로 문의하시면 성심성의껏 답변하고 도움드리겠습니다.