의료기기 소프트웨어는 보안 시험에 통과했다는 성적서만으로 사이버보안 준비가 끝나지 않습니다. 어떤 위협을 예상했고, 설계에서 어떻게 줄였으며, 시험으로 무엇을 확인했는지가 서로 연결되어야 제품의 안전성을 설명할 수 있습니다. 인증서와 제품 허가의 차이부터 제출자료, 구성요소 관리, 출시 후 대응까지 구분하면 개발팀과 인허가팀이 준비해야 할 일이 훨씬 명확해집니다.
의료기기 사이버보안 인증은 하나의 인증서가 아니다
먼저 확인할 것은 제품의 사용 목적과 판매 대상 국가입니다. 같은 소프트웨어라도 의료적 판단을 지원하는지, 단순히 정보를 보관하는지, 다른 장비를 제어하는지에 따라 규제상 지위와 필요한 근거가 달라질 수 있습니다. 독립적으로 실행되는 소프트웨어와 장비에 내장된 소프트웨어도 운영 환경과 책임 경계가 다릅니다. 따라서 개발 언어나 서버 위치보다 먼저 의도된 사용 목적, 사용자, 환자에게 영향을 주는 기능을 정리하는 편이 실무적으로 유용합니다.
통상 말하는 보안 인증에는 조직의 정보보호 관리체계 인증, 제품 보안 시험, 의료기기 인허가 과정의 사이버보안 검토가 섞여 있습니다. 이들은 서로 보완할 수 있지만 같은 제도는 아닙니다. 회사가 정보보호 인증서를 보유하더라도 특정 제품의 원격 업데이트가 안전하다는 사실까지 자동으로 입증되지는 않습니다. 반대로 제품의 침투시험 결과가 양호해도 조직 전체의 접근권한 관리나 사고 대응 체계가 충분하다고 단정할 수 없습니다.
제품 범위를 정할 때는 설치 프로그램만 보지 않아야 합니다. 연결되는 서버, 관리자 화면, 모바일 응용프로그램, 외부 인증 서비스와 유지보수 경로까지 포함해야 실제 공격면을 이해할 수 있습니다. 병원이 담당하는 설정과 제조사가 통제하는 설정을 나누고, 각 환경에서 제품이 의존하는 보안 조건도 기록해야 합니다. 이 경계가 모호하면 시험에서 제외한 기능이 실제 운영에서는 핵심 위험으로 남을 수 있습니다.
iso 27001 인증만 있으면 제품 심사를 대신할 수 있을까
대신할 수 없습니다. iso iec 27001은 조직이 정보보호 위험을 관리하는 체계를 다루며, 인증 범위에 포함된 조직·업무·시설을 확인해야 의미를 정확히 이해할 수 있습니다. 제품 개발 조직이 인증 범위에 들어가는지, 외주 운영과 클라우드 서비스가 어떻게 관리되는지에 따라 활용할 수 있는 근거도 달라집니다.
이 인증은 보안 책임 배정, 공급업체 관리, 사고 대응, 내부 점검 같은 조직적 통제를 설명하는 데 도움이 됩니다. 그러나 의료기기별 위협 분석, 보안 요구사항, 구현 검증, 환자 안전과 연결된 잔여위험 평가는 별도로 필요합니다. 인증서를 제출할 때도 인증 범위와 유효성, 해당 제품 개발 업무와의 관련성을 함께 설명해야 과도한 해석을 피할 수 있습니다.
의료기기 사이버보안 허가 심사의 핵심은 근거의 연결이다
심사 대응에서 중요한 것은 문서의 양보다 문서 사이의 추적성입니다. 예를 들어 원격 제어 기능에 무단 접근할 수 있다는 위협을 식별했다면, 이를 막는 인증·권한 통제 요구사항과 실제 설계가 연결되어야 합니다. 이어서 정상 사용자와 권한 없는 사용자를 구분하는 시험 결과가 있어야 하고, 통제가 실패했을 때 발생할 수 있는 위해도 위험관리 문서에서 다뤄야 합니다. 이 연결이 있어야 특정 시험을 수행한 이유와 결과의 의미가 분명해집니다.
보안 위협의 심각도와 의료적 위해의 심각도는 구분하되 함께 평가하는 것이 좋습니다. 개인정보 노출뿐 아니라 측정값 변조, 경보 전달 지연, 서비스 중단, 치료 설정 변경처럼 제품 기능에 영향을 주는 경로를 검토합니다. 그렇다고 모든 취약점이 같은 수준의 환자 위험으로 이어지는 것은 아닙니다. 공격에 필요한 접근 조건, 실제 노출 여부, 독립적인 안전장치, 사용 환경을 고려해 제품별 판단 근거를 남겨야 합니다.
실무에서는 위협 식별번호, 보안 요구사항 번호, 설계 항목, 시험 항목, 위험관리 항목을 연결한 추적표가 유용합니다. 시험에서 문제가 발견되면 수정한 코드만 기록하지 말고 관련 요구사항과 위험 평가도 다시 확인합니다. 변경 이후 다시 수행해야 할 시험의 범위를 정하는 데도 같은 연결 구조를 활용할 수 있습니다. 국내 적용 대상과 제출 범위는 식품의약품안전처의 해당 제품 관련 규정과 안내 문서에 따라 확인해야 합니다.
의료기기 사이버보안 제출자료는 설계 단계부터 만든다
제출자료를 개발 종료 후 한꺼번에 작성하면 실제 구현과 문서가 어긋나기 쉽습니다. 먼저 제품 설명과 시스템 구성도에 데이터 이동 경로, 외부 연결 지점, 신뢰 경계, 사용자 역할을 표시합니다. 같은 병원 내부망에 있는 구성요소라도 모두 신뢰할 수 있다고 가정해서는 안 됩니다. 어떤 연결을 제품이 직접 보호하고 어떤 보호를 운영 환경에 의존하는지 설명해야 시험 조건과 사용 조건이 일치합니다.
그다음 위협 모델, 보안 요구사항, 위험 통제 설계, 검증 계획과 결과를 연결합니다. 접근 통제, 저장·전송 데이터 보호, 보안 기록, 업데이트 검증, 장애 복구 같은 항목은 제품 특성에 따라 구체화합니다. 암호화를 적용했다는 설명만으로는 부족할 수 있습니다. 암호키를 어디에 보관하고 누가 접근하며, 교체나 유출 상황을 어떻게 처리하는지까지 설계 근거가 이어져야 합니다.
의료기기 소프트웨어의 보안 생명주기를 다루는 IEC 81001-5-1은 개발과 유지보수 활동을 체계화하는 참고 기준이 될 수 있습니다. 다만 특정 표준을 언급했다고 모든 국가의 요구사항을 충족하는 것은 아닙니다. 표준의 적용 범위, 제품에 적용한 활동, 적용하지 않은 항목의 사유를 구분하고 관할 규제 요구와 비교해야 합니다. 시험 보고서에는 대상 소프트웨어의 식별정보, 환경, 방법, 판정 기준, 발견 사항, 조치 후 확인 결과를 남기는 것이 좋습니다.
사용자에게 제공하는 보안 정보도 기술 문서와 맞아야 합니다. 필요한 네트워크 설정, 계정 관리 책임, 업데이트 방법, 지원 조건을 제품 설명과 일치시키면 현장에서 지켜야 할 전제가 분명해집니다. 특히 사용자가 변경하면 안전성에 영향을 줄 수 있는 설정은 허용 범위와 주의사항을 명확히 해야 합니다.
의료기기 사이버보안 체크리스트를 시험 시나리오로 바꾸는 방법
체크리스트는 항목을 빠뜨리지 않는 도구이지 보안 성능을 입증하는 결과물 자체는 아닙니다. 각 질문을 관찰 가능한 시험으로 바꾸면 실질적인 검증에 가까워집니다. 예를 들어 ‘권한 관리가 있는가’보다 ‘일반 사용자가 관리자 기능을 호출했을 때 요청이 거부되고 필요한 기록이 남는가’가 더 명확합니다. 화면에서 메뉴가 보이지 않는 것과 서버가 실제 요청을 차단하는 것은 별개의 문제입니다.
업데이트 기능도 같은 방식으로 확인합니다. 정상 배포 파일의 설치 여부뿐 아니라 변조된 파일의 거부, 배포자 검증, 설치 중 중단에 대한 복구, 이전 버전으로 되돌리는 조건을 살펴봅니다. 모든 제품에 같은 복구 방식이 적절한 것은 아닙니다. 설정이나 데이터 형식이 달라진 상태에서 무리하게 이전 버전으로 복귀하면 다른 위험이 생길 수 있으므로 설계 의도와 안전성을 함께 검토해야 합니다.
자동화된 취약점 점검과 침투시험은 서로 다른 역할을 합니다. 자동 점검은 알려진 구성 문제나 취약한 구성요소를 식별하는 데 유용하고, 침투시험은 실제 공격 경로와 통제 우회 가능성을 살펴보는 데 도움이 됩니다. 어느 방법이든 대상과 제외 범위가 불분명하면 결과를 해석하기 어렵습니다. 발견된 문제를 수정한 뒤에는 재시험뿐 아니라 관련 기능의 회귀시험 필요성도 판단해야 합니다.
우선순위는 단순한 취약점 점수만으로 정하지 않는 편이 좋습니다. 외부 접근 가능성, 악용 조건, 제품 기능에 미치는 영향, 환자 위해 가능성을 함께 고려해야 합니다. 시험하지 못한 조건은 조용히 생략하기보다 제한사항과 대체 근거를 명시해야 검증 범위가 투명해집니다.
소프트웨어 구성명세서와 인공지능 의료기기 사이버보안 관리
소프트웨어 구성명세서는 제품에 포함된 구성요소를 식별하고 취약점 영향을 판단하기 위한 출발점입니다. 구성요소 이름과 버전, 공급자, 의존관계 등 관리에 필요한 정보를 일관되게 기록합니다. 직접 추가한 라이브러리뿐 아니라 다른 구성요소를 통해 함께 포함되는 간접 의존성도 중요합니다. 다만 목록에 취약한 구성요소가 있다는 사실만으로 제품에서 실제 악용이 가능하다고 단정해서는 안 됩니다.
취약점이 공개되면 해당 구성요소가 어느 제품과 배포본에 포함됐는지, 문제가 있는 기능을 실제 사용하는지, 공격 조건이 성립하는지 분석합니다. 영향을 받지 않는다고 판단한 경우에도 그 근거를 남겨야 합니다. 개발 중 목록과 실제 배포 파일의 구성이 다를 수 있으므로 출시 대상과 연결된 명세서를 관리하는 것이 중요합니다. 구성 변경과 보안 수정이 발생할 때는 목록, 영향 평가, 대응 이력을 함께 갱신합니다.
인공지능·기계학습 기능이 있다면 프로그램 코드뿐 아니라 학습 데이터, 모델 파일, 전처리 과정도 검토 대상입니다. 데이터가 승인된 경로로 수집·변경되는지, 모델 파일이 무단으로 교체되지 않는지, 배포된 모델의 식별정보를 확인할 수 있는지 점검합니다. 개인정보 보호와 데이터 무결성은 연결되지만 같은 문제는 아닙니다. 개인정보가 제거된 데이터라도 변조되면 모델의 성능과 안전성에 영향을 줄 수 있습니다.
모델 업데이트에는 보안 영향 평가와 성능 검증을 함께 계획해야 합니다. 입력 데이터 처리, 외부 연계, 계산 자원 사용량이 달라지면 기존 보안 가정도 바뀔 수 있습니다. 변경의 규제상 취급은 제품과 관할 제도에 따라 판단하며, 단순히 정확도가 개선됐다는 이유만으로 다른 검토를 생략해서는 안 됩니다.
레거시 의료기기 사이버보안은 보완 통제의 효과를 설명해야 한다
운영체제나 구성요소를 수정하기 어려운 기기에서는 위험을 줄이는 대체 조치가 필요할 수 있습니다. 네트워크 분리, 통신 대상 제한, 불필요한 서비스 차단, 유지보수 접근 제한, 감시 강화 등이 검토 대상입니다. 그러나 조치를 적용했다는 사실만으로 충분하지는 않습니다. 어떤 공격 경로를 차단하며, 누가 설정을 유지하고, 설정이 바뀌었을 때 어떻게 알아차리는지까지 설명해야 합니다.
레거시 환경에서는 보안 패치가 제품의 정상 작동에 미치는 영향도 평가해야 합니다. 호환성 검토 없이 운영체제를 변경하면 장비 연결이나 필수 기능에 문제가 생길 수 있습니다. 그렇다고 검증이 어렵다는 이유만으로 취약점을 방치하는 것도 적절하지 않습니다. 패치 가능성, 임시 통제, 사용 제한, 교체 계획을 제품 위험과 운영 조건에 맞춰 검토해야 합니다.
보완 통제는 현장 의존성이 크므로 제조사와 의료기관의 책임 구분이 특히 중요합니다. 예를 들어 방화벽 규칙을 전제로 위험을 수용했다면 허용 통신과 관리 책임이 명확해야 합니다. 제품 수명주기와 지원 종료 조건, 알려진 제한사항도 문서화하면 장기간 운영에 필요한 판단 근거가 됩니다. 별도 안내 문서의 명칭이나 식별번호만으로 적용성을 판단하기보다 실제 대상과 요구 내용을 확인하는 것이 안전합니다.
소프트웨어 의료기기 인허가 비용은 무엇에 따라 달라질까
전체 비용은 심사 수수료보다 준비 범위와 재작업에서 크게 달라질 수 있습니다. 제품 등급, 판매 국가, 연결 구조, 외부 구성요소의 복잡성, 기존 문서의 완성도가 주요 변수입니다. 자체 개발팀이 수행하는 분석과 수정 시간도 비용에 포함해야 현실적인 예산이 됩니다. 외부 시험기관이나 자문 비용만 계산하면 개발 변경과 재검증에 필요한 자원이 빠지기 쉽습니다.
예산은 초기 현황 분석, 보안 설계 보완, 시험, 문서 정리, 심사 대응, 출시 후 유지관리로 나누어 보는 것이 유용합니다. 각 단계의 결과물이 무엇인지 정하면 업무 중복도 줄일 수 있습니다. 시험 계약에서는 대상 환경, 수행 방법, 제외 항목, 보고서 형식, 수정 후 확인 범위를 구분해야 합니다. 저렴한 시험이라도 필요한 공격면이 빠져 있다면 추가 검증이 필요할 수 있습니다.
불확실성을 줄이는 방법은 제품 구조가 굳기 전에 보안 요구사항을 검토하는 것입니다. 예를 들어 장치마다 고유한 인증정보를 부여해야 하는데 공통 비밀번호를 전제로 개발했다면, 나중에는 생산·설치·지원 절차까지 수정해야 할 수 있습니다. 반대로 위험과 무관한 시험을 일률적으로 늘리는 것도 효율적이지 않습니다. 적용 근거와 제외 근거를 명확히 하는 것이 비용 관리와 심사 설명력 모두에 도움이 됩니다.
fda 승인 조회와 유럽 의료기기 규정에서 구분할 사항
미국의 규제 상태를 확인할 때는 ‘승인’이라는 표현을 모든 제품에 동일하게 적용하지 않아야 합니다. 제품에 따라 시판 전 신고, 드노보 분류, 시판 전 승인 등 서로 다른 경로가 적용될 수 있습니다. 시설 등록이나 제품 목록 등재만으로 특정 제품이 안전성과 유효성에 관한 심사를 통과했다고 해석해서는 안 됩니다. 제품명뿐 아니라 제조사, 모델, 사용 목적, 해당 규제 경로와 식별번호를 함께 대조해야 합니다.
미국에서는 법적으로 정해진 사이버 기기에 해당하는지에 따라 추가적인 사이버보안 제출 요구를 검토해야 합니다. 취약점 감시와 대응 계획, 보안 업데이트 절차, 소프트웨어 구성정보 등이 관련될 수 있지만 구체적인 범위는 제품과 적용 규정에 따라 달라집니다. 다른 회사 제품의 허가 이력은 참고가 될 수 있어도 자사 제품의 보안 근거를 대신하지 않습니다.
유럽의 의료기기 규정인 mdr 2017 745에서는 제품의 안전성과 성능에 관한 일반 요구사항과 적합성 평가 구조를 함께 이해해야 합니다. 소프트웨어와 연결 기능에 관한 위험관리, 기술문서, 사용 환경 요구, 시판 후 감시가 서로 연결됩니다. 체외진단용 의료기기에는 별도 규정이 적용되므로 제품 범주부터 구분해야 합니다. 국내에서 작성한 자료를 재사용하더라도 현지 요구와 문서 구조의 차이를 확인하고, 유럽 적합성 표시와 조직 정보보호 인증을 같은 것으로 설명하지 않아야 합니다.
의료기기 사이버보안 준비를 실행 계획으로 정리하기
실행 계획은 제품 범위, 문서 책임자, 검증 기준을 먼저 확정하는 데서 시작합니다. 제품 구성도와 배포본 목록을 기준으로 외부 연결과 주요 자산을 정리하고, 기존 위험관리 문서에 보안 관련 위해 경로가 반영되어 있는지 점검합니다. 이어서 보안 요구사항과 시험의 연결이 끊긴 부분을 찾아 우선순위를 정합니다. 모든 문서를 새로 만들기보다 실제 근거가 부족한 부분을 식별하는 편이 효율적입니다.
그다음 출시 전과 출시 후의 책임을 나눕니다. 개발팀은 수정과 기술적 영향 분석을, 품질·인허가 담당자는 변경 통제와 제출 영향 검토를 맡는 식으로 역할을 명확히 할 수 있습니다. 취약점 접수, 영향 분석, 조치 결정, 배포, 사용자 안내, 효과 확인이 이어지는 절차도 필요합니다. 담당자 부재나 외부 공급업체의 대응 지연에 대비한 경로까지 정하면 절차의 실행 가능성이 높아집니다.
최종 점검에서는 시험 대상과 실제 배포본이 같은지, 해결하지 못한 문제가 위험관리 결과에 반영됐는지, 사용자에게 요구하는 운영 조건이 현실적인지 확인합니다. 보안 근거는 허가 제출 시점의 문서로 끝나는 것이 아니라 제품 변경과 취약점 정보에 따라 유지되어야 합니다. 이 글은 일반적인 준비 방향을 설명하며, 개별 제품의 법적 분류와 제출 범위는 해당 규정 및 적격한 인허가·보안 전문가의 검토를 통해 판단해야 합니다.
