FDA 의료기기 사이버보안 가이던스(2023) 기반 제출 자료 요건 및 SBOM 작성 방법 문의

Question

저희 회사는 네트워크 연결 기능이 포함된 Class II 의료기기의 FDA 510(k) 제출을 준비 중입니다.

2023년 FDA가 발표한 의료기기 사이버보안 가이던스(“Cybersecurity in Medical Devices: Quality System Considerations and Content of Premarket Submissions”) 및 Consolidated Appropriations Act 2023에 따라 사이버보안 관련 자료 제출이 의무화된 것으로 알고 있습니다.

특히 Software Bill of Materials(SBOM) 제출 요건이 새롭게 추가되었는데, SBOM 작성 형식(SPDX, CycloneDX 등) 및 포함되어야 할 항목, 그리고 Third-party 오픈소스 소프트웨어 컴포넌트 관리 방법에 대해 구체적인 안내를 요청드립니다.

또한 Threat Modeling 및 TARA(Threat Analysis and Risk Assessment) 문서화 수준에 대해서도 함께 문의드립니다.

와이즈_오승준 · Accepted Answer

문의 주신 내용과 같이, SBOM은 FDA에서 권고하는 기계 판독 형식(SPDX, CycloneDX 등)으로 작성하며, 소프트웨어 컴포넌트명/버전, 공급자, 라이선스, 의존성, CVE 정보 및 업데이트 관리 방식 등이 포함되어야 합니다. Third-party 및 오픈소스 구성요소는 취약점 모니터링 및 패치 관리 절차와 함께 식별·관리되어야 합니다.
Threat Modeling 및 TARA는 시스템 아키텍처/DFD 기반 자산 식별, 위협 식별(STRIDE 등), 위험도 산정, 보안통제 매핑 및 잔여위험 평가 수준으로 문서화되며, FDA 510(k) 사이버보안 제출 요구 수준을 충족하는 형태로 작성됩니다.
상기 ‘문의하기’를 통해 접수된 질문은 담당 실무자를 지정하여 신속히 답변드리고 있음을 안내드립니다.
감사합니다.

댓글