EU MDR 및 MDCG 의료기기 사이버 보안

부속서 I의 사이버보안 요구사항

MDR은 제524B조 문구를 사용하지 않습니다. 사이버보안 증거는 일반 안전 및 성능 요구사항, 특히 소프트웨어 설계, 위험 관리, 정보 보안, 무단 접근 방지, 의도된 운영 환경 및 사용 지침에 관한 규칙을 기반으로 합니다.

소프트웨어를 포함하는 기기 또는 그 자체가 기기인 소프트웨어의 경우, 소프트웨어는 개발 수명주기, 정보 보안을 포함한 위험 관리, 검증 및 확인 원칙을 고려하여 최신 기술 수준에 따라 개발하고 제조해야 한다.

규정 (EU) 2017/745, 부속서 I 제17.2절(영문 원문)

부속서 I은 정보 보안을 소프트웨어 위험 관리의 일부로 다룹니다. 예를 들어 임상 데이터의 무단 변경은 진단에 영향을 줄 수 있고, 필요한 서비스가 중단되면 기기가 의도된 기능을 수행하지 못할 수 있습니다. 실제 사용 환경에서 결과를 평가하세요.

MDCG 2019-16의 지위

MDCG 2019-16은 2019년 12월 최초 발행되었고 2020년 7월 개정 1로 개정되었습니다. MDR 및 IVDR의 일관된 이행을 지원하기 위해 유럽위원회가 발행한 공식 MDCG 지침입니다. 지침은 법적 구속력이 없습니다.

MDCG 2019-16은 보안 결정이 기기 안전성과 성능에 미치는 영향을 설명합니다. 운영 환경에서 기대되는 보호와 제조업체가 사용자에게 제공해야 하는 정보도 다룹니다. 이러한 설명은 제품 설계를 해당 MDR 또는 IVDR 요구사항과 연결하는 데 도움이 됩니다.

기술 문서 구성

사이버보안 기록은 MDR 기술 문서와 시판 후 감시 시스템의 일부입니다. 기록 구조를 통해 제조업체가 관련 MDR 요구사항을 충족하는 방법을 보여줘야 합니다.

• 위험 관리: 보안 위협, 취약점, 위험 통제, 잔여 위험, 안전 상호작용 및 검증 증거.
• 설계 및 제조: 보안 아키텍처, 소프트웨어 수명주기 통제, 보안 코딩, 구성 관리, 업데이트 메커니즘 및 공급망 가정.
• 검증 및 확인: 보안 기능 시험, 취약점 검사, 퍼즈 시험, 침투 시험, 보안 코드 분석 및 관련 시 제3자 구성요소 검토.
• 사용자 정보: 보안 구성, 업데이트 지침, 호환성 제약, 네트워크 포트와 프로토콜, 백업 및 복구, 로깅, 지원 기간 및 폐기 정보.
• 시판 후 감시 및 경계 보고: 새로 발생하는 취약점, 현장 사고, 제3자 구성요소 문제, 위협 환경 변화 및 예방 또는 시정 조치 모니터링.

MDCG는 서로 다른 문제를 다루는 보안 역량을 설명합니다. 인증과 권한 부여는 접근을 제한하고, 감사 기록은 조사를 지원하며, 백업 및 복구는 중단 후 운영을 복원합니다. 해당 기기와 위험에 필요한 역량을 선택하고 검증하세요.

FDA 제출과의 차이

FDA와 EU 문서에는 동일한 엔지니어링 기록이 사용되는 경우가 많지만, 서로 다른 규제 요구사항과 구조를 따릅니다. 위협 모델, SBOM, 보안 아키텍처 또는 침투 시험 보고서는 관련 법적 요구사항을 어떻게 다루는지 파일에 설명하는 경우에만 두 관할권을 모두 뒷받침할 수 있습니다.