디지털 전환(DX)이 가속화됨에 따라 의료기기 또한 디지털화되면서 효율적인 진료가 가능해졌습니다. 서드파티 소프트웨어 컴포넌트를 활용해 의료기기를 경제적이고 안정적으로 개발할 수 있게 되어 효과적인 환자 치료가 가능한 이점이 있는 반면, 소프트웨어 공급망을 활용한 사이버 위협이 초래될 수 있는 이면도 존재합니다. 1편에 이어 의료기기를 더욱 안전하고 책임감 있게 사용하기 위해 식품의약품안전처에서 지난 11월 발표한 ‘의료기기 사이버보안의 SBOM 가이드라인’을 의료기기 제조업체와 의료 서비스 제공업체 관점에서 이야기해 보겠습니다.
1. 의료기기 사이버보안 위험 관리 절차에 활용되는 SBOM
의료기기 제조업체에서는 제품 출시 및 업데이트 시, 각 소프트웨어 컴포넌트 정보를 확인할 수 있는 소프트웨어 자재명세서인 SBOM을 생성해야 하는데요. NTIA 권고 사항에 따라 SBOM에는 컴포넌트명과 버전, 컴포넌트 공급업체, 작성자 이름, 타임 스탬프, 고유식별자, 관계에 대한 정보가 포함되어야 하며 필요에 따라 다른 정보가 추가될 수 있습니다. SBOM은 CycloneDX, SPDX, SWID 등의 형식으로 작성되어야 하며 취약점을 추적 관리할 수 있도록 제품 수명 주기 동안 지속적으로 업데이트할 것을 권장하고 있습니다.
의료기기 제조 및 배포 간 SBOM을 활용하면 보안 위험이 있는 의료기기가 출시되는 것을 방지할 수 있고, 제품 수명 전주기(TPLC: Total Product Life Cycle)에 걸쳐 SW 투명성을 확보하고 취약점을 지속 관리할 수 있습니다. 의료기기 제조업체는 SBOM으로 소프트웨어 컴포넌트의 수명 종료를 추적 관리해 소프트웨어 종료 일정을 사전에 파악하고 대비할 수 있습니다. 의료 서비스 제공업체는 의료기기를 구매하기 전에 제조업체로부터 제공받은 SBOM으로 어떤 보안 위험 요소가 있는지 미리 파악할 수 있어 보안사고를 예방할 수 있습니다.
2. SBOM에 대한 의료기기 제조업체와 의료 서비스 제공업체의 역할
SBOM으로 소프트웨어 구성요소를 명확히 파악할 수 있는 만큼 의료기기 제조업체에서는 SBOM 생성, 배포 및 관리에 각별히 신경써야합니다. SBOM 생성 시에는 의료기기 제품 전체에 대한 SBOM을 생성해야 하며, 소프트웨어 컴포넌트를 식별하는 정보를 표준 형식으로 작성해 SW 투명성을 확보해야 합니다. SBOM 생성 과정에서 소프트웨어 개발 문서, OSS와 함께 제공되는 문서 서드파티 SBOM 문서 등이 활용될 수 있으며, 이 과정에서 SCA와 같은 자동화된 도구를 활용하면 보다 빠르게 SBOM을 만들 수 있습니다. SBOM 배포는 의료 서비스 제공업체에게 SBOM 정보를 보호하면서 전송하는 절차로, 전자 파일 또는 제품이나 제조업체의 웹사이트에 있는 애플리케이션 프로그래밍 인터페이스(API) 등 다양한 배포 방법 중 최선의 방법을 고려해야 합니다. SBOM 관리 시 취약점 모니터링을 통해 취약점이 발생하면 SW에 대한 모든 변경사항을 SBOM에 반영하고, 이해관계자에게 배포하는 등 적절한 후속조치를 취해야 합니다.
그렇다면 의료 서비스 제공업체는 어떤 역할이 요구되어 질까요? 의료 서비스 제공업체는 SBOM 수집 및 관리에 집중해야 합니다. 의료기기 제조업체로부터 SBOM을 수집할 때에는 컴포넌트 정보를 포함해 CycloneDX, SPDX와 같은 표준 형식으로 전달 받아야 합니다. 이 과정에서 SBOM을 수동 또는 자동화로 수집할 수 있는데요. 해당 지침서에서는 지속 업데이트되는 SBOM 특성을 고려해 솔루션을 활용한 자동화된 수집을 권장하고 있습니다. SBOM을 전달 받은 이후에는 SBOM을 지속 업데이트해 최신성을 유지함으로써 발생가능한 보안 위험을 최소화해야 합니다.
3. 의료기기 SBOM은 Sparrow SCA로!
의료기기 제조업체와 의료 서비스 제공업체에서 SBOM을 보다 편리하게 생성하고 관리할 수 있는 Sparrow SCA를 소개합니다. Sparrow SCA는 SW 공급망 관리를 위한 오픈소스 관리 도구로 컴포넌트 분석으로 오픈소스 라이선스와 취약점을 식별합니다. 또한 SBOM 관리 기능을 제공해 국제 표준인 SPDX 및 CycloneDX, SWID tag의 형식으로 컴포넌트명과 버전, 공급업체 등의 정보를 포함한 SBOM을 생성할 수 있으며, 전달 받은 SBOM을 업로드하는 것도 가능합니다. Sparrow SCA로 ‘의료기기 사이버보안의 SBOM 가이드라인’을 준수해 의료기기 사이버보안을 강화하세요!
개인정보 침해신고센터: (국번없이)118 (privacy.kisa.or.kr)
