의료기기 사이버 보안 시험
Sytance · 업데이트
의료기기 사이버보안 시험은 보안 요구사항과 위험 통제가 의도된 기기 구성에서 효과가 있는지 확인합니다. 검토자가 시험으로 입증되는 제품 특성을 판단할 수 있도록 결과에는 시험 조건과 관찰된 동작을 보여줘야 합니다.
시험 목적
시험 범위는 기기의 위협 및 보안 요구사항을 따라야 합니다. 예를 들어 승인된 서비스 계정만 구성을 변경할 수 있다면 허용 및 금지된 계정으로 직접 인터페이스를 시험하고 저장된 설정이 변경되는지 관찰합니다.
시판 전 증거
시판 전 파일에서는 시험 결과를 설계 검증, 설계 유효성 확인, 보안 통제 효과 및 위험 통제 적절성의 증거로 사용합니다.
시판 후 증거
시판 후 프로세스에서는 새로운 취약점을 평가하고 수정 사항을 검증하고 회귀 문제를 확인하며 실제 사용 버전에 대한 신뢰를 유지하기 위해 시험을 사용합니다.
시판 전 시험 범위
FDA의 현재 시판 전 지침은 제출에 포함될 수 있는 여러 종류의 사이버보안 시험 및 분석을 식별합니다. 제출물에는 선택한 시험이 기기의 위험, 아키텍처 및 통제에 적절한 이유를 설명해야 합니다.
설계 입력 요구사항이 구현되었고 경계 가정이 정당한지 보여줍니다. 요구사항을 아키텍처 요소 및 보안 통제의 수용 기준과 연결해야 합니다.
위협 모델 및 아키텍처 뷰에서 식별한 위협에 대해 위험 통제가 효과가 있는지 보여줍니다. 해당되는 경우 보안 효과, 안정성, 신뢰성 및 트래픽 또는 작업량 조건을 다뤄야 합니다.
FDA 예시에는 악용 또는 오용 사례, 형식 오류나 예기치 않은 입력, 견고성 시험, 퍼즈 시험, 공격 표면 분석, 취약점 연쇄, 알려진 취약점 검사, 바이너리 실행 파일의 소프트웨어 구성 분석, 정적 또는 동적 코드 분석이 포함됩니다.
침투 시험은 제품의 보안 취약점을 발견하고 악용하려고 시도해야 합니다. FDA는 보고서에서 시험자의 독립성 및 전문성, 시험 범위, 기간, 방법, 결과, 발견 사항 및 관찰 사항을 설명하도록 요구합니다.
검사 한 번으로는 충분하지 않습니다.
취약점 검사는 적용 범위 내의 발견 사항을 보고합니다. 네트워크 서비스의 알려진 취약점을 식별할 수 있지만, 기기가 무단 명령을 거부하는지 또는 업데이트 실패 후 복구하는지 확인하려면 별도 시험이 필요할 수 있습니다. 기기 아키텍처 및 위험 분석을 사용해 환자 영향을 평가하세요.
- 취약점 검사는 알려진 문제를 찾을 수 있지만 설계 결함과 안전하지 않은 신뢰 가정을 놓칠 수 있습니다.
- 정적 분석은 코드 수준의 약점을 찾을 수 있지만 배포 구성이나 런타임 통제 동작을 입증하지는 않습니다.
- 퍼즈 시험은 잘못된 입력 처리를 드러낼 수 있지만 아키텍처 검토나 침투 시험을 대체하지 않습니다.
- 침투 시험은 악용 경로를 보여줄 수 있지만 범위, 시간, 시험자 접근성 및 방법론의 한계가 있습니다.
발견 사항을 위험 관리에 반영
시험 발견 사항의 보안 영향을 평가하고 사이버보안 위험 관리 프로세스와 연결해야 합니다. FDA는 보안 이상 징후의 악용 가능성이 일반 소프트웨어 결함과 다른 종류의 위해를 만들 수 있으므로 완화가 필요할 수 있다고 설명합니다.
발견 사항 평가
보고서에는 발견 사항, 영향을 받는 구성요소 또는 인터페이스, 악용 가능성, 영향을 받는 버전, 통제 상태 및 환자 위해 영향을 설명해야 합니다.
시정 유예
수정을 유예하는 경우 위험 근거, 계획된 릴리스, 영향을 받는 현장 기기 및 업데이트가 해당 기기에 도달하는 방법을 파일에 설명해야 합니다.
시판 후 시험
FDA는 위험에 적합한 주기로 개발 중과 출시 후 보안 시험을 권고합니다. 예를 들어 업데이트 메커니즘을 변경하면 무결성 및 복구 시험이 새로 필요할 수 있습니다. 새로 공개된 구성요소 취약점은 조사와 수정 사항의 회귀 시험이 필요할 수 있습니다.
EU 문서에서 검증 결과는 위험 평가를 뒷받침하고 기기 또는 사용 지침에 필요한 변경을 식별할 수 있습니다. MDCG 2019-16은 출시 후에도 이러한 작업을 이어가는 방법을 설명합니다. IEC 81001-5-1은 해당 활동을 유지하는 수명주기 프로세스를 제공합니다.