[사이버 보안] FDA Premarket Cybersecurity 요구사항, SDLC에 어떻게 적용할까? 정적분석부터 SBOM 자동화까지

의료기기 소프트웨어를 개발하면서 FDA Premarket Cybersecurity 요구사항을 어떻게 실제 개발 과정에 적용해야 할까요?

안녕하세요. 와이즈컴퍼니(주)는 빠르게 변화하는 국내외 사이버보안 규제에 대응할 수 있도록 사이버보안 문서화 및 시험·평가 업무를 도와드리고 있습니다.

FDA Premarket Cybersecurity는 왜 SDLC와 연결해야 할까?

의료기기의 사이버보안은 별도 테스트만으로 관리하기 어렵습니다. 제품 개발이 끝난 후 확인하는 방식으로는 부족하다는 뜻입니다. 요구사항 정의부터 설계, 개발, 테스트, 릴리스까지 각 단계에서 보안이 고려되어야 합니다.

예를 들어 다음과 같이 FDA 사이버보안 활동을 SDLC에 매핑할 수 있습니다.

개발 단계에서는 정적분석(SAST)을 어떻게 활용할까?

개발 단계의 대표적인 방법이 SAST(Static Application Security Testing, 정적 애플리케이션 보안 테스트)입니다.

이를 CI/CD Pipeline에 연결하면 어떻게 될까요? 개발자가 코드를 Commit 하거나 Pull Request를 생성할 때 자동으로 보안 검사를 수행할 수 있습니다.

이렇게 구성하면 개발이 모두 끝난 뒤 취약점을 확인하는 것이 아닙니다. 개발 초기 단계에서 보안 문제를 발견하고 수정할 수 있습니다.

그렇다면 FDA 510(k) 제출에서는 어떻게 활용할까?

FDA Premarket Cybersecurity 대응에서 중요한 것이 있습니다. SAST나 SBOM을 수행했다는 사실 자체가 아닙니다. 보안 요구사항부터 구현, 검증, 증적까지 하나의 흐름으로 연결해 관리하는 것이 핵심입니다.

이렇게 축적된 결과는 어디에 쓰일까요? FDA 510(k) 등 Premarket Submission을 준비할 때 사이버보안 관련 문서와 증적을 구성하는 자료로 활용할 수 있습니다.

자동화했다고 FDA 요구사항을 모두 충족하는 것은 아닙니다

SAST, SCA, SBOM을 자동화했다고 가정해 봅시다. 그래도 FDA Premarket Cybersecurity 요구사항을 모두 충족하는 것은 아닙니다. 자동화 Pipeline은 보안 활동을 효율적으로 수행하기 위한 수단일 뿐입니다.

실제 규제 대응을 위해 연결되어야 하는 활동은 다음과 같습니다.

FDA Premarket Cybersecurity 대응을 준비하고 있으신가요? 그렇다면 먼저 현재 개발 프로세스를 점검해 보세요. 사이버보안 요구사항과 관련 증적이 어떻게 관리되고 있는지 확인하는 것이 좋습니다.

이상으로 FDA Premarket Cybersecurity 대응 안내였습니다. 감사합니다.

FDA Premarket Cybersecurity와 관련하여 자세한 내용이 궁금하시다면 아래 연락처 또는 문의하기로 문의하시면 성심성의껏 답변하고 도움드리겠습니다.