안녕하세요.
저희 제품은 하드웨어 기기와 함께 사용하는 스마트폰 앱이 있는데요.
앱 자체는 별도 인허가 대상이 아닌 부속 소프트웨어라고 보고 있는데, 이 경우에도 앱에 대한 사이버보안 서류를 따로 작성해야 하는 건지 궁금합니다.
앱 스토어를 통해 배포되는 구조인데 이 부분도 영향이 있는지 여쭤봅니다.
부속 소프트웨어라도 기기와 데이터를 주고받는 구조라면 사이버보안 서류 대상입니다. EU MDR과 FDA 모두 의료기기 시스템 전체를 보안 평가 범위로 봅니다. 하드웨어 기기와 앱이 BLE, Wi-Fi, 클라우드 서버 등 어떤 방식으로든 연결되어 있다면, 앱은 공격 경로의 일부가 됩니다. 앱이 별도 인허가 대상이 아닌 경우에도 기기의 기술 문서(Technical File) 안에 앱의 보안 아키텍처, 데이터 흐름, 인증 방식이 포함되어야 합니다. 앱 스토어 배포 구조는 추가로 고려해야 할 요소가 생깁니다. 업데이트가 앱 스토어를 통해 자동 배포될 수 있다는 점, 사용자 기기 환경을 제조사가 통제할 수 없다는 점이 위협 모델에 반영되어야 합니다. 특히 루팅된 기기나 비공식 앱 설치 환경에 대한 위협 시나리오를 어떻게 처리했는지 NB가 확인하는 경우가 있습니다. 침투 테스트 범위에도 앱을 포함시키는 게 원칙이고, 하드웨어와 별도 보고서로 나눠서 제출하면 심사 진행이 수월합니다.