정보통신기술의 발전으로 전 산업군의 디지털 전환이 가속화되고 있으며, 의료 분야 역시 디지털 혁신 기술을 활용한 디지털 헬스케어 시장이 성장하고 있습니다. 글로벌 시장조사기관 GIA(Global Industry Analysts)에 따르면, 디지털 헬스케어 시장이 연평균 18.8%에 달하는 성장률을 기록해 2020년 1,525억 달러에서 2027년에는 5,088억 달러로 성장할 것으로 예측했는데요. 이를 우리 돈으로 환산하면 약 200조원에서 약 666조원에 이르는 규모입니다. 하지만 시장 확대와 더불어 의료기기 취약점을 악용한 사이버 공격 역시 늘어날 것으로 전망되는 만큼, 오늘은 식약처에서 발간한 의료기기 관련 사이버보안 가이드라인 2종을 살펴보며 의료기기 제조업체에서 보안 취약점을 어떻게 관리하면 되는지 소개하겠습니다.
1. 의료기기 사이버보안 원칙 및 실무
2023년 11월, 식품의약품안전처에서는 안전한 의료기기의 사용을 도모하기 위해 의료기기 사이버보안 가이드라인 3종인 ‘의료기기 사이버보안 원칙 및 실무’, ‘레거시 의료기기 사이버보안 원칙 및 실무’, ‘의료기기 사이버보안 위한 소프트웨어 자재명세서 원칙 및 실무’를 발간했습니다. 가이드라인 3종은 국제의료기기규제당국자포럼(IMDRF)이 마련한 총 3종의 의료기기 사이버 보안 국제 공통 가이드라인을 전문가의 검토를 거쳐 국내 업계에서 쉽게 참고할 수 있도록 한글화해 마련한 것인데요. 그 중에서도 ‘의료기기 사이버보안 원칙 및 실무’에서는 기본 보안 원칙과 모범 실무를 제시하며, 의료기기 제조업체가 의료기기 제품 수명 전주기에 걸쳐 어떻게 보안성을 확보할 수 있는지 제시하고 있습니다.
‘의료기기 사이버보안 원칙 및 실무’에 의하면, 의료기기 제조업체에서는 사이버보안 위험을 최소화하고 기기의 안전성과 성능을 보장하기 위해 의료기기 개발부터 지원 종료에 이르는 TPLC의 모든 단계에 걸쳐 취약점을 관리해야 합니다. 해당 지침서에서는 시판 전에 시큐어코딩, 시큐어통신 등을 통해 보안 아키텍처를 설계하고 정적 분석, 동적분석, 소프트웨어 구성 분석 등의 다양한 보안 테스트로 취약점을 개선해야 한다고 제시하고 있습니다. 또한, 개발이 완료된 이후에는 사용자가 기기를 안심하고 사용할 수 있도록 라벨을 표시하고 모든 테스트를 요약한 보안 테스트 문서와 소프트웨어 자재명세어인 SBOM 등을 통해 보안 관련 정보를 전달할 것을 요구하고 있습니다.
2. 의료기기 제조업체의 보안 위험 관리 절차
그렇다면 의료기기 제조업체에서는 구체적으로 어떻게 의료기기 수명 전체에 걸쳐 위험 요소를 관리할 수 있을까요? ‘의료기기 사이버보안 원칙 및 실무’에 따르면, 의료기기 제조업체는 ‘ISO 14971:2019’에 설명된 위험 관리 및 사이버 보안 위험 관리를 사용하여 일련의 단계들을 수행해야 한다고 제시하고 있습니다. 각 단계는 아래에 작성한 내용과 같습니다.
- 사이버보안 취약점 파악
- 관련 위험 추정 및 평가
- 해당 위험을 허용할 수 있는 수준으로 통제
- 위험 통제 효과 평가 및 모니터링
- 조정을 거쳐 주요 이해관계자에게 위험 정보 전달
사이버보안 취약점 파악 단계에서는 앞서 설명한 바와 같이 정적분석, 동적분석, 소프트웨어 구성 분석 등의 보안 테스트를 통해 취약점을 확인해야 합니다. 위험 추정 및 평가 단계에서는 위험 모델링을 통해 구축하는 모델이 무엇인지, 발생 가능한 공격은 무엇이고 어떻게 조치를 취할 것인지, 그리고 충분히 조치를 취했는지를 모델링해야 하며 CVSS와 같은 일관된 취약점 점수 매기기 방법론을 사용해 분석 및 평가해야 합니다. 의료 서비스 제공업체 등과 같은 이해관계자에게 위험 정보를 전달하는 과정에서는 취약점의 영향을 받는 제품과 어떻게 영향을 받는지에 대한 정보, 다른 제품에서 사용되는 컴포넌트 취약점 정보, 의료기기 보안에 영향을 미칠 수 있는 IT 장비 정보, 알려진 취약점 공격에 대응하는 방법 등의 정보가 포함되어야 합니다.
3. 레거시 의료기기 사이버보안 원칙 및 실무
의료기기의 오작동과 결함, 그리고 보안 취약점의 발견은 환자에게 치명적인 위험을 초래할 수 있습니다. 실제로 2019년에는 미국 내 약 4천명 정도가 사용중인 메드트로닉 제조업체의 인슐린 펌프에서 심각한 취약점이 발견되었는데요. 해킹에 성공하면 환자에게 투여되는 인슐린의 양을 조정할 수 있어 미 FDA에서는 취약점이 존재하지 않는 모델로 바꿀 것을 권장했습니다. 해당 사례는 개발이 완료돼 의료서비스 제공업체에서 사용 중인 레거시 의료기기에서 보안사고가 발생한 것으로, 식약처에서는 이를 예방하기 위해 의료기기 제조업체와 의료서비스 제공업체의 의사소통과 책임을 강조하는 ‘레거시 의료기기 사이버보안 원칙 및 실무’를 발간했습니다.
해당 지침서에서는 개발, 지원, 제한적 지원, 지원 종료로 단계를 세분화하고, 각 단계에 해당하는 의료기기 특성을 나열해 구체적인 관리 방안을 제시하고 있습니다. 의료기기 제조업체에서는 의료기기가 납품된 이후에도 제한적 지원 단계까지는 의료 서비스 제공업체가 위험에 대응할 수 있도록 지속적으로 업데이트 문서를 제공해야 하며, 취약점이 발견되었다면 취약점 조치 방법을 포함한 취약점 정보를 제공해야 합니다. EOS가 도래하기 전에는 의료 서비스 제공업체에게 EOS 날짜를 알려주며 추가적인 사이버 보안 지원 책임을 의료서비스 제공업체에 이전하는 절차를 거쳐야 하며, EOS 시점에는 책임 이전이 완료되었음을 알려야 합니다.
스패로우는 정적분석(SAST), 동적분석(DAST), 소프트웨어 구성 분석(SCA) 기술을 보유하고 있으며 하나의 플랫폼에서 취약점을 통합 관리할 수 있는 애플리케이션 보안 및 품질 통합 플랫폼 Sparrow Enterprise를 제공하고 있습니다. 의료기기 제조업체가 보다 간편하게 취약점을 관리하고 진단 보고서를 의료 서비스 제공업체에 전달해 사이버보안 가이드라인을 준수할 수 있도록 앞으로도 적극 지원하겠습니다.
개인정보 침해신고센터: (국번없이)118 (privacy.kisa.or.kr)