의료기기에 대한 FDA 시판 전 사이버 보안
Sytance · 업데이트
FDA 시판 전 사이버보안 지침은 기기의 보안 설계, 해결 대상 위험 및 이를 확인하는 데 사용된 시험을 설명하는 정보를 권고합니다. 또한 기기 출시 후 제조업체가 취약점을 관리하는 방법을 제출물에서 설명해야 합니다.
현재 지침의 지위
FDA는 2026년 2월 현재 유효한 시판 전 사이버보안 최종 지침을 발표하여 2025년 6월판을 대체했습니다. 개정판은 지침을 품질 관리 시스템 규정(QMSR)에 맞췄습니다. 이 권고와 제524B조의 법률상 요구사항을 구분해야 합니다.
이 문서는 2025년 6월 27일 발표된 「의료기기 사이버보안: 품질 시스템 고려사항 및 시판 전 제출물 내용」을 대체합니다.
FDA 시판 전 사이버보안 지침, 2026년 2월(영문 원문)
이 지침은 사이버보안 위험이 있는 기기를 다룹니다. 기기에 인터넷 연결이 없어도 소프트웨어, 펌웨어 또는 프로그래밍 가능 로직으로 인해 그러한 위험이 발생할 수 있습니다. 제524B조는 FD&C법에 정의된 더 좁은 범주의 사이버 기기에 적용됩니다.
제524B조에 따른 사이버 기기
제524B조는 사이버 기기에 관한 지정된 제출물, 즉 510(k), PMA, 제품 개발 프로토콜, De Novo 및 HDE에 적용됩니다. 법은 2023년 3월 29일 발효되었습니다. 제출물 접수 거부에 관한 FDA의 경과 정책은 2023년 10월 1일 종료되었습니다. 이 날짜는 법률상 요구사항의 발효 시점을 바꾸지 않았습니다.
신청자가 통제하는 소프트웨어
기기에는 신청자가 기기 자체로 또는 기기에 포함된 소프트웨어로 검증·설치·승인한 소프트웨어가 포함됩니다. FDA는 이 분석에서 펌웨어와 프로그래밍 가능 로직을 소프트웨어로 취급합니다.
인터넷 연결 기능
기기는 직접 또는 다른 제품을 통해 인터넷에 연결할 수 있습니다. FDA 해석에는 인터넷에 연결된 컴퓨터를 통해 기기가 통신하는 경우와 같은 간접 연결도 포함됩니다.
사이버보안 위협 노출
기기에는 사이버보안 위협에 취약할 수 있는 기술적 특성이 포함되며, 신청자가 해당 특성을 검증·설치·승인한 경우입니다.
요건을 충족하는 제출에서 제524B조는 조정된 취약점 공개를 포함하여 시판 후 취약점을 모니터링하고 처리하는 계획을 요구합니다. 또한 합리적인 사이버보안 보장을 제공하는 프로세스와 절차, 시판 후 업데이트와 패치, 상용·오픈소스·기성 소프트웨어 구성요소를 포괄하는 SBOM을 요구합니다.
제출 내용
검토자는 보안 결정을 내린 방법을 이해할 수 있어야 합니다. 위협 모델에서 치료 설정의 무단 변경을 식별했다면 설계에는 이를 변경할 수 있는 사용자를 정하고 시험에서는 그 제한을 확인해야 합니다. 아키텍처, 분석 및 결과는 동일한 기기 구성을 설명해야 합니다.
FDA는 보안을 품질 관리 시스템에 통합할 것을 권고합니다. 개발 기록에는 보안 요구사항이 설계에 반영된 방식, 구현을 확인한 방법 및 출시 전에 미해결 문제를 처리한 방법이 설명되어야 합니다. 유지보수 계획은 이후 취약점 및 업데이트까지 해당 프로세스를 확장합니다.
사이버보안 위험 관리는 공격자가 취약점을 어떻게 악용해 기기에 영향을 줄 수 있는지 살펴봅니다. 공격이 환자 위해를 초래할 수 있다면 그로 인한 위험 상황도 안전 위험 관리로 평가해야 합니다. 예를 들어 경보를 억제하는 공격은 임상 대응을 늦출 수 있습니다.
위험 관리 보고서에는 평가 방법과 잔여 위험 결론을 설명해야 합니다. 구성요소 지원 상태, 알려진 취약점 및 해결되지 않은 소프트웨어 이상은 제조업체가 기기의 예상 사용 기간 내내 보호를 유지할 수 있는지 판단하는 데 도움이 됩니다.
위협 모델은 작동에 영향을 주는 외부 의존성을 포함한 전체 기기 시스템을 다뤄야 합니다. 설치, 사용, 업데이트 및 폐기 방법을 분석합니다. 아키텍처 뷰는 선택한 통제가 공격 경로의 어느 지점에서 작동하는지 보여줍니다.
시험에서는 보안 요구사항과 식별된 위협에 대해 선택한 조치를 확인해야 합니다. 코드 및 소프트웨어 구성 분석은 구현 또는 구성요소의 취약점을 드러낼 수 있습니다. 퍼징, 오용 시험 및 침투 시험은 잘못된 입력이나 공격 상황에서의 동작을 평가합니다. 기기 인터페이스와 위험에 적합한 방법을 선택하세요.
사용자 정보에는 의료기관 또는 환자가 안전하게 작동하기 위해 해야 할 일, 즉 구성, 업데이트 및 복구 방법을 설명해야 합니다. 지원 기간과 운영 환경에 따른 책임을 명시하세요. 제조업체의 사이버보안 관리 계획에는 취약점 보고와 모니터링이 평가, 의사소통 및 적시 시정 조치로 이어지는 방식이 포함되어야 합니다.
일반적인 증거
아키텍처 뷰
FDA는 전체 시스템, 복수 환자 위해, 업데이트 가능성 및 패치 가능성, 보안 사용 사례 뷰를 권고합니다. 이 뷰는 공격이 기기에 도달하거나 연결된 시스템으로 확산되는 경로와 업데이트를 통한 대응 방법을 설명합니다.
SBOM
SBOM은 제조업체가 개발한 구성요소와 구매·라이선스·오픈소스 구성요소 및 상류 의존성을 포함한 제3자 구성요소를 포괄해야 합니다. 사이버 기기의 경우 제524B조가 SBOM 내용을 법률상 요구사항으로 정합니다.
알려진 취약점
FDA는 제3자 구성요소의 취약점과 기기 또는 관련 시스템에 관련된 CISA 알려진 악용 취약점(KEV)을 포함하여 알려진 취약점을 식별하고 분석할 것을 기대합니다.
추적성
추적성을 통해 검토자는 위협 모델의 발견 사항에서 영향을 받는 SBOM 구성요소, 위험 통제, 설계 요구사항 및 시험 결과까지 따라갈 수 있습니다. 잔여 위험 결정도 라벨링 및 시판 후 모니터링에 반영해야 합니다.
지침의 보안 통제 범주는 설계를 체계적으로 확인하는 데 도움이 됩니다. 예를 들어 사용자 인증은 신원을 확인하고, 권한 부여는 해당 사용자가 특정 임상 또는 유지보수 작업을 수행할 수 있는지 결정합니다. 시험에서는 각 결정을 시행하는 인터페이스에서 확인해야 합니다.
제524B조 정의 밖의 기기
인터넷에 연결되지 않은 기기도 로컬 포트나 이동식 매체를 통해 소프트웨어 업데이트를 받을 수 있습니다. 변조된 업데이트는 기기가 사이버 기기 정의를 충족하지 않더라도 사이버보안 위험을 만들 수 있습니다. 더 넓은 FDA 지침은 해당 위험에도 여전히 관련이 있으며, 권고되는 제출 내용은 기기 및 제출 유형에 따라 달라집니다.