의료기기 사이버 보안 라벨링 및 사용자 정보

위험 통제로서의 사용자 정보

FDA는 사이버보안 투명성을 기기의 안전하고 효과적인 사용 및 통합의 일부로 다룹니다. 의도된 사용자와 정보 유형에 따라 기기 라벨, 운영자 매뉴얼, 관리자 안내서, 고객 보안 문서, 의료기기 보안 공개서(MDS2), 온라인 포털 또는 기타 통제된 채널을 통해 정보를 제공할 수 있습니다.

EU MDR 및 IVDR 파일은 다른 법적 구조를 따릅니다. 제조업체는 소프트웨어를 의도한 대로 실행하는 데 필요한 최소 하드웨어, IT 네트워크 특성 및 IT 보안 조치를 명시해야 합니다. MDCG 2019-16은 이 정보가 의도된 운영 환경, 보안 구성, 패치, 관리자 정보 및 의료기관의 책임과 어떻게 연결되는지 설명합니다.

소프트웨어를 포함하는 기기 또는 그 자체가 기기인 소프트웨어의 경우, 소프트웨어는 개발 수명주기, 정보 보안을 포함한 위험 관리, 검증 및 확인 원칙을 고려하여 최신 기술 수준에 따라 개발하고 제조해야 한다.

규정 (EU) 2017/745, 부속서 I 제17.2절(영문 원문)

FDA 라벨링 내용

FDA의 현재 시판 전 지침은 사용자가 사이버보안 위험을 관리하는 데 도움이 되는 보안 정보의 예를 제시합니다. 적절한 상세 수준은 의도된 대상에 따라 다릅니다. 환자 대상 안내서는 병원 네트워크 보안 강화 가이드처럼 읽혀서는 안 되며, 관리자 안내서는 일반적인 안전 경고 뒤에 운영 세부사항을 숨겨서는 안 됩니다.

EU 사용자 정보

EU 파일은 사용자 정보를 MDR 또는 IVDR 부속서 I과 연결해야 합니다. 소프트웨어 및 프로그래밍 가능 시스템의 주요 사이버보안 항목은 최신 기술 수준, 위험 관리, 정보 보안, 검증, 확인, 모바일 플랫폼 요소, 최소 IT 요구사항 및 무단 접근 방지입니다.

• 의도된 사용을 위한 최소 하드웨어 및 워크스테이션 요구사항.
• 네트워크 분할, 통신 경로, 호환 서비스 및 지원 프로토콜을 포함한 IT 네트워크 특성.
• 접근 제어, 악성코드 방지 기대사항, 방화벽 규칙, 패치 가정, 로깅 및 백업 등 IT 보안 조치.
• 연결 장치, 모바일 플랫폼, 클라우드 서비스, 브라우저, 운영체제 및 보안 도구의 호환성 제한.
• 의도된 운영 환경을 벗어나 작동할 때의 위험.

MDCG 2019-16은 관리자 지침, 보안 운영 매뉴얼, MDS2 형식의 공개 자료 또는 설치 안내서처럼 상세한 보안 정보 일부가 IFU 외부에 있을 수 있다고도 인정합니다. 해당 정보도 통제되고 최신 상태를 유지하며 기술 파일과 일치해야 합니다.

의료기관과의 공동 책임

MDCG 2019-16은 기기를 공급하고 사용하는 사람들 사이에 책임이 공유된다고 설명합니다. 제조업체는 설계가 의존하는 외부 통제를 전달해야 합니다. 의료기관은 자체 환경에서 해당 통제를 제공하고 유지할 수 있도록 충분한 정보를 확보해야 합니다.

업데이트 및 패치 의사소통

취약점이 발생하기 전에 업데이트 정보를 실용적으로 제공해야 합니다. FDA는 제조업체가 승인한 소프트웨어 및 펌웨어, 업데이트 제공 여부를 사용자가 확인하는 방법, 지원 및 수명 종료 정보, 지원 종료 시 위험을 이전하거나 전달하는 방법에 관한 사용자 대상 정보를 기대합니다. 제524B조의 사이버 기기에는 시판 후 취약점, 업데이트 및 패치 계획도 필요합니다.