의료기기 사이버 보안 규제
Sytance · 업데이트
의료기기 사이버보안은 기기의 안전하고 효과적인 사용에 영향을 줄 수 있는 공격을 다룹니다. 규제 요구사항은 제품 설계와 출시 후 제조업체가 보호를 유지하는 방식에 관한 것입니다. 적용 규칙은 기기를 공급하는 시장에 따라 달라집니다.
안전 및 수명주기 규제
보안 취약점으로 인해 공격자가 임상 측정값을 변경하거나 기기 기능을 중단할 수 있습니다. 분석에서는 기기의 의도된 용도에 미치는 영향을 설명한 뒤 설계가 그 위험을 통제하는지 평가해야 합니다. 새로운 취약점과 소프트웨어 변경이 발생하면 평가를 갱신해야 할 수 있습니다.
규제 계층
미국 제출에는 FDA 요구사항과 지침을 적용하고, EU 기술 문서에는 MDR 또는 IVDR을 다룹니다. 제출된 기기 구성에 적용되는 경우 동일한 시험 결과가 두 체계를 모두 뒷받침할 수 있습니다. 각 파일에는 해당 결과가 어떤 규제 요구사항을 뒷받침하는지 설명해야 합니다.
FDA 시판 전
기기의 보안 설계와 시험을 설명합니다. 요건을 충족하는 사이버 기기 제출에는 제524B조에서 요구하는 정보도 필요합니다.
FDA 시판 후
새로운 취약점을 평가하고 적절한 수정 조치를 제공하며 현장 조치를 보고해야 하는지 판단합니다.
EU MDR 및 MDCG
소프트웨어 보안이 기기의 안전성과 성능을 뒷받침하는 방법을 설명하고 의도된 IT 환경에 필요한 정보를 제공합니다.
표준 및 기록
IEC 81001-5-1은 보건 소프트웨어의 보안 개발과 유지보수를 설명합니다. 제품 기록은 해당 활동을 기기에 적용한 방법을 보여줍니다.
사이버보안 기록
각 기록은 분석의 서로 다른 부분을 설명합니다. 예를 들어 SBOM은 기기에서 사용된 구성요소를 식별하고, 위협 모델은 공격자가 해당 구성요소의 취약점을 어떻게 악용할 수 있는지 설명합니다. 시험 결과는 선택한 보호가 효과가 있는지 판단하는 데 도움이 됩니다.
- 보안 아키텍처는 기기 경계, 데이터 흐름, 신뢰 경계, 업데이트 경로 및 연결 시스템을 설명합니다.
- 위협 모델링은 오용, 공격 경로 및 통제 실패가 안전성 또는 성능에 영향을 줄 수 있는 방법을 설명합니다.
- SBOM은 소프트웨어 구성요소를 기록하여 취약점 모니터링과 업데이트 결정을 추적할 수 있게 합니다.
- 라벨 및 사용자 정보는 안전한 사용, 최소 IT 환경 요구사항, 업데이트 처리 및 공동 책임을 설명합니다.