디지털의료제품법 시행! 의료 업계 보안, 어떻게 준비해야 할까?

소프트웨어 의료기기, 인공지능 등 첨단 디지털 기술을 접목한 의료기기에 대한 규제 기준을 담은 ‘디지털의료제품법’이 2025년부터 시행되고 있는데요! 지난 4월에는 국정원이 병원 정보시스템 보안 강화를 위한 병원보안가이드라인을 발표했습니다. 의료 업계에서도 가속화되고 있는 디지털 전환과 인공지능 전환에 맞춰 높아진 사이버 보안의 중요성을 실감하고 있는 듯합니다.

그래서 오늘은 디지털 헬스케어, 의료 기기부터 병원 정보시스템까지 의료 업계의 사이버 보안을 총정리했습니다. 개발 중인 디지털 헬스케어 기기 혹은 의료기기의 보안성이 걱정되시는 분들이나 병원 정보시스템을 안전하게 관리하고 싶은 분들은 주목해보세요!

​

✨ 급성장중인 디지털 헬스케어 및 디지털 의료기기 시장

☑️ 디지털 헬스케어 시장 규모 연 평균 15.3% 성장 전망

산업통상자원부, 한국보건산업진흥원 등은 디지털 헬스케어 시장 규모가 2020년 1조 4000억 원에서 2027년 3조 8000억 원으로 연 평균 15.3% 성장할 것으로 전망했습니다. 시장조사기관 글로벌인더스트리애널리스트(GIA)는 글로벌 디지털 헬스 시장 규모가 2020년 1530억 달러에서 2027년 5090억 달러까지 커질 것이라고 했습니다.

☑️ SW 디지털 의료기기의 수출 연평균 약 311.7%의 증가

국내 디지털 의료기기 시장 규모는 2020년 3,244억 원에서 2023년 4,099억 원으로 증가하고 있으며, 소프트웨어만으로 구성된 디지털 의료기기의 수출 또한 지난 4년간 연평균 약 311.7%의 증가율을 보이고 있습니다.

​

🚨 의료 업계 사이버 보안 위협 사례

의료 업계가 성장하고, 디지털화되는 만큼 다양한 형태의 사이버 공격에 지속적으로 노출되고 있습니다.

📌 중국산 환자 모니터링 기기에 백도어 기능 발견!

미국 사이버보안 및 인프라 보안국(CISA)은 중국산 환자 모니터에서 백도어를 발견했고, 이 백도어를 통해 환자의 데이터가 미승인된 원격 서버로 유출될 수 있음을 확인했다고 합니다. 이 기기는 환자의 셍체 신호를 모니터링하는 데 사용되고 있어 큰 충격을 가져다 줬죠. FDA에서는 사용 중단을 권고했습니다.

📌 GE 헬스케어 초음파 기기, 보안 취약점 발견!

사이버 보안 회사 노조미 네트웍스 연구원들이 11개의 주요 보안 취약점을 발견했다고 합니다. 이 중 7개의 취약점은 CVSS에서 7점을 초과하는 높은 심각도 점수를 받았어요. 취약점을 악용할 경우 악성 행위자가 관리 권한을 획득해 랜섬웨어를 설치하거나 환자 데이터를 무단으로 조작할 수 있어 심각한 위협을 초래할 수 있다고 합니다.​

📌 영국의 국가의료서비스(NHS), 렌섬웨어 공격에 마비

영국의 국민보건서비스에 병리학 서비스를 지원하는 기업을 표적으로 랜섬웨어 공격이 발생해 런던의 수혈 시스템이 마비되고 일부 병원에선 수술이 취소됐다고 합니다. 사이버 공격으로 병원의 정보시스템이 제대로 작동하지 못했다고 볼 수 있죠.

🗯️ 병원정보시스템 및 디지털 의료기기 사이버 보안 규제와 가이드라인

앞서 본 사례들과 같이 의료 업계에서 사이버 위협 발생 시 환자의 민감한 정보 유출은 물론 전체적인 의료 시스템이 마비될 수 있어 대응 방안 마련이 중요합니다.

디지털 의료기기 및 의료 정보시스템이 다양한 보안 위협으로부터 안전하기 위한 중요한 첫걸음은 보안성이 강화된 안전한 소프트웨어를 개발해 보안 사고를 사전에 예방하는 것입니다. 이에, 국내 가이드라인이나 법령에서도 의료 정보시스템이나 의료기기 개발 단계부터 보안을 고려할 것을 강조하고 있습니다.

☑️ 국정원 병원정보시스템가이드라인

병원의 진료와 운영 전반에 사용되는 병원시스템을 안전하게 운영하고 보안 위협에 대응하기 위해 정기적인 애플리케이션 취약점 점검 및 개선 체계를 만들고, 의료기기를 개발하는 업체는 소프트웨어 개발 생명 주기(SDLC) 내 보안을 고려하며 애플리케이션을 개발할 것을 권장하고 있습니다.

​☑️ 식품의약품안전처의 디지털 의료기기 전자적 침해행위 보안 지침

디지털 의료기기를 안전하게 보호하고자 취약점을 지속적으로 감시하는 등의 목적으로 만들어졌습니다. 제 13조부터 16조까지 디지털 의료기기 제품 개발 전 주기에 걸쳐 위험을 관리하는 행동에 대한 세부 내용이 마련되었으며, 제 14조와 제 16조에서는 소프트웨어 개발 단계부터 보안을 고려하고, 소프트웨어 자재 명세서(SBOM)을 관리할 것을 명시하고 있어요.

식약처 산하 식품의약품안전평가원에서 AI 기반 디지털의료제품 안전성·신뢰성 확보 기술 개발 연구 과제 사업을 냈으며, 총 7개 과제로 구성된 해당 사업을 한국기계전자시험연구원(KTC)이 주관 기관으로 진행합니다. 이번 사업은 디지털의료제품의 보안 위험 분석, 위험 탐지 및 대응을 위한 사이버보안 지원 연구, 통합위험관리시스템 개발, 생성형 AI 디지털의료제품의 안전·신뢰성 취약점 정보 수집과 분석을 위한 레드팀 운영 체계 정립 등을 통해 첨단 의료기기 분야의 안전성·신뢰성 평가체계를 구축합니다.

SW 공급망 보안을 리드하는 기업 스패로우 역시 이번 사업에 참여해 공급망 통합위험관리시스템을 개발합니다. 소프트웨어 구성 요소와 보안 취약점을 식별할 수 있는 서비스, 보안 위험 평가 및 관리 인터페이스를 개발함으로써 디지털의료제품의 안정성과 보안성 강화를 지원할 계획입니다. 또한, 해당 사업에서 통합형 SBOM 저작도구와 디지털의료제품에 특화된 SBOM 저장소 개발에도 참여합니다.

통합형 SBOM 저작도구는 국내외 표준 형식으로 SBOM을 생성하고 변환할 수 있도록 지원하며, SBOM 구성 요소 분석을 포함해 SBOM을 활용하고, 관리할 수 있는 다양한 기능을 제공합니다. 그리고 SBOM 저장소에서는 SBOM에 최신 취약점이 자동으로 업데이트되는 기능까지 선보일 예정입니다. 의료기기 개발 업체는 이 저장소와 도구를 활용해 제품 개발 시 자체적으로 취약점을 점검할 수 있으며, SBOM을 요구하는 해외 규제에 대응할 수 있어요. 뿐만 아니라 소프트웨어 구성 요소 중 취약한 요소와 라이선스 관리도 할 수 있어 공급망 관리 및 보안 강화가 가능합니다.

스패로우는 디지털 헬스케어 기기와 디지털 의료기기의 보안 강화 뿐만 아니라 애플리케이션 보안 테스팅 통합 보안 솔루션, Sparrow Enterprise를 통해 개발부터 운영까지 각 단계에서 발생할 수 있는 보안 취약점을 진단하고, 지속적으로 관리할 수 있도록 지원하고 있습니다. 특히, SBOM을 생성하고, 관리하는 기능까지 제공해 규제 대응과 공급망 보안 강화가 가능합니다.