의료기기에 대한 FDA 시판 후 사이버 보안
Sytance · 업데이트
FDA 시판 후 사이버보안 관리는 이미 사용 중인 기기에서 새로 발생한 취약점을 평가합니다. 제조업체는 환자에게 미칠 수 있는 위해를 판단하고 위험 처리 방법을 결정하며 사용자에게 필요한 조치를 전달해야 합니다. 대응에는 소프트웨어 수정, 임시 통제 또는 현장 조치가 포함될 수 있습니다.
수명주기 위험
의료기기는 출시 후 여러 해 동안 사용될 수 있습니다. FDA 시판 후 지침은 그 기간에 발생하는 새로운 취약점, 공격 기법, 구성요소 문제 및 배포 변경을 다룹니다.
새로운 취약점을 조사하려면 팀에 설계 및 출시 기록이 필요합니다. 영향을 받는 구성요소가 포함된 지원 버전, 취약한 기능의 사용 방법 및 적용되는 통제를 식별하세요. 이를 통해 고객이 실제로 운영하는 기기를 평가할 수 있습니다.
잠재적 환자 위해 평가
FDA의 시판 후 사이버보안 위험 결정은 취약점이 사망 또는 신체적 상해를 포함한 환자 위해를 일으킬 수 있는지에 초점을 둡니다. 개인정보 또는 사업상 영향도 중요할 수 있지만, 이 지침에서 환자 위해를 판정하는 기준은 아닙니다.
수명주기 유지관리
시판 후 프로세스는 취약점 출처를 모니터링하고 새로운 정보를 평가하며 수정 사항을 검증하고 사용자에게 알린 뒤 계획된 경로와 긴급 경로를 통해 현장 기기를 업데이트합니다.
사용 중인 버전
동일한 구성요소 취약점이라도 버전, 구성, 사용 환경 및 보완 통제에 따라 위험 결과가 달라질 수 있습니다. 평가에서 해당 맥락을 보존해야 합니다.
통제된 위험 및 미통제 위험
FDA는 시판 후 사이버보안 취약점 위험을 통제된 위험과 미통제 위험으로 나눕니다. 취약점이 존재하는지가 결정 기준은 아닙니다. 기존 또는 이용 가능한 통제를 고려한 뒤 환자 위해의 잔여 위험을 수용할 수 있는지가 기준입니다.
통제된 위험
통제된 위험은 환자 위해의 잔여 위험이 충분히 낮거나 수용 가능함을 의미합니다. 통제된 위험만을 다루는 경우 정기 보안 업데이트, 정기 패치 및 모범 사례 라벨링 변경은 일반적으로 여기에 해당합니다.
미통제 위험
미통제 위험은 기존 통제로 환자 위해의 잔여 위험을 수용 가능한 수준까지 낮추지 못한 상태를 말합니다. FDA는 신속한 시정을 권고합니다. 21 CFR 806.10에 따라 제조업체 또는 수입업체는 건강 위험을 줄이거나 그러한 위험을 일으킬 수 있는 기기 위반을 시정하기 위해 시작한 시정 또는 회수 조치를 시작 후 10영업일 내 보고해야 합니다. 면제 사항과 파트 803 또는 1004에 따라 이미 제출한 보고도 고려해야 합니다. 별도로 FDA 지침은 파트 806 보고를 집행하지 않을 조건을 설명하지만, 그러한 조건이 규제상 의무를 없애지는 않습니다.
위험 완화 조치와 보완 통제가 충분하지 않아 환자 위해의 잔여 위험을 수용할 수 없는 경우 미통제 위험이 존재합니다.
FDA 시판 후 사이버보안 지침, 2016년 12월(영문 원문)
정기 업데이트 및 패치
FDA는 보안 개선이나 통제된 위험과 관련된 취약점 시정을 위한 많은 사이버보안 업데이트와 패치를 일반적인 기기 개선으로 취급합니다. 이러한 정기 업데이트는 대체로 21 CFR 파트 806에 따라 보고해야 하는 시정 또는 회수 조치가 아닙니다.
미통제 위험을 줄이기 위한 업데이트는 다른 보고 분석이 필요합니다. 악용될 경우 심각한 부작용 또는 사망을 초래할 합리적 가능성이 있는 경우에도 마찬가지입니다. 파트 806 보고가 예상되지 않는 경우에도 제조업체는 업데이트를 검증하고 배포 및 의사소통을 관리해야 합니다.
- 정기 보안 업데이트에는 보안 구성 또는 모범 사례를 위한 패치, 보안 강화 변경 및 라벨링 업데이트가 포함될 수 있습니다.
- 정기 업데이트인지 여부는 기술적 변경 규모가 아니라 환자 위해 위험에 따라 결정됩니다.
- 잔여 환자 위해 위험이 다르면 동일한 패치가 한 제품 구성에서는 정기 조치이고 다른 구성에서는 긴급 조치일 수 있습니다.
시판 후 프로세스 운영
시판 후 프로세스에는 모니터링, 보고 접수, 위험 평가, 수정 사항 검증 및 고객과의 의사소통을 위한 명확한 책임과 자원이 필요합니다. 이러한 활동의 기록은 이후 FDA 검토를 뒷받침합니다.
사용자, 연구자 및 구성요소 공급업체의 보고와 내부 발견 사항 및 관련 취약점 정보를 모니터링합니다. 의료 IT 환경의 변경도 기기 노출을 바꿀 수 있습니다. 해당 정보를 지원 제품에 미치는 영향을 평가할 수 있는 담당자에게 전달하세요.
FDA는 취약점 평가에서 악용 가능성과 환자 위해 심각도를 고려하도록 요구합니다. 위협 모델링과 안전 위험 분석을 함께 사용해 취약점이 임상 성능, 가용성, 무결성, 기밀성 또는 안전한 작동에 영향을 주는지 식별해야 합니다.
미통제 위험에 대해 FDA의 보고 집행 재량 조건에는 취약점을 인지한 후 가능한 한 빨리, 늦어도 30일 이내에 고객 및 사용자 커뮤니티에 알리고 임시 통제와 시정 계획을 마련하는 것이 포함됩니다. 취약점을 인지한 후 가능한 한 빨리, 늦어도 60일 이내에 제조업체는 배포 가능한 수정 사항을 검증·배포하거나 위험을 수용 가능한 수준으로 낮추는 장기 보완 통제를 제공하고 필요한 경우 최종 사용자 후속 조치를 해야 합니다. 연계된 중대한 이상사례 또는 사망이 알려져 있지 않을 것, ISAO에 적극 참여할 것, 고객 안내 내용을 공유할 것도 조건에 포함됩니다.
FDA의 ISAO 개념은 단순한 수동적 회원 자격을 의미하지 않습니다. 제조업체는 취약점 및 위협 정보를 공유하고 문서화된 정책을 사용하며 수신한 정보를 위험 평가에 반영하고 의사소통, 대응 조치 및 완화 조치에 관한 추적 가능한 기록을 보존해야 합니다.
시판 전 파일과의 연결
시판 전 기록은 시판 후 평가의 출발점이 됩니다. 시판 전 위협 모델은 시판 후 분류의 기준선이 됩니다. 시판 전 SBOM은 취약점 모니터링의 구성요소 목록이 됩니다. 시판 전 보안 아키텍처는 새로운 취약점이 안전 관련 기능에 도달할 수 있는지 판단하는 지도 역할을 합니다.
- 판매 구성의 SBOM을 최신 상태로 유지하고 실제 사용 기기의 버전 맥락을 보존합니다.
- 배포 가정, 업데이트 경로, 외부 서비스 또는 취약점이 바뀌면 위협 모델을 갱신합니다.
- 시판 후 발견 사항을 위험 관리, 라벨링, 고객 지침, 지원 계획 및 향후 시판 전 제출 갱신에 반영합니다.
- 패치를 배포하기 전에 수정 사항을 검증하고 변경이 영향을 줄 수 있는 기기 기능을 확인합니다.