Med Dev 사이버 보안의 새로운 표준

의료기기 사이버보안 규정의 변화하는 환경

의료기기 회사의 제품 사이버보안 관리는 수년 동안 규제 당국 사이에서 중요한 기대 사항이었습니다.

US에서 이를 지원하기 위해, FDA는 2005년에 의료기기 사이버보안에 관한 최초의 지침을 발표했습니다. 이 지침은 기성품(OTS) 소프트웨어가 포함된 네트워크 의료기기를 위한 사이버보안을 다루었습니다.

이는 2014년 의료기기 사이버보안 관리를 위한 시판 전 제출 자료의 내용 지침과 의료기기 사이버보안의 시판 후 관리 지침으로 이어졌습니다. 유용하기는 하지만, 이 문서들의 권장 사항은 충분하지 않고 그다지 엄격하지 않은 것으로 평가되었습니다.

그러나 2023년 US 정부 통합세출법의 통과와 의료기기 사이버보안: 품질 시스템 고려 사항 및 시판 전 제출 자료의 내용에 대한 FDA의 2023년 업데이트 지침 발표 이후, 사이버보안 기준이 한층 높아졌습니다. 이 2023년 시판 전 지침은 2018년과 2022년에 초안 형식으로 업데이트되었던 2014년 시판 전 지침을 대체합니다.

수년에 걸쳐 FDA의 시판 전 지침은 다소 제한적이었던 9페이지 분량의 2014년 문서에서 현재 57페이지에 달하는 포괄적인 2023년 지침으로 크게 발전했습니다.

2023년 통합세출법은 법률 제정을 통해 의료기기 사이버보안에 대한 FDA 지침의 역사적으로 덜 공식적이었던 "권고 사항" 접근 방식을 법령 기반 요구 사항 또는 법률로 전환했습니다.

예를 들어, 법률에 따라 통합세출법(Consolidated Appropriations Act) 제3305조는 신청 또는 제출(예: 510(k) 시판 전 제출)의 후원자(예: 의료기기 회사)가 다음 사항을 이행하도록 요구하고 있습니다:

1. 조정된 취약점 공개 및 관련 절차를 포함하여, 시판 후 사이버보안 취약점 및 악용을 모니터링, 식별 및 해결하기 위한 계획을 제출해야 합니다.
2. 기기 및 관련 시스템이 사이버보안을 유지하고 있다는 합리적인 보증을 제공하고 다음 문제를 해결하기 위해 기기 및 관련 시스템에 대한 시판 후 업데이트 및 패치를 제공하는 프로세스와 절차를 설계, 개발 및 유지해야 합니다:
   • 합리적으로 정당화된 정기적인 주기에 따라 파악된 허용 불가 취약점
   • 통제할 수 없는 위험을 초래할 수 있는 심각한 취약점의 경우, 주기 외에 가능한 한 신속하게 대응
3. 상업용, 오픈소스 및 기성(OTS) 소프트웨어 구성 요소를 포함한 소프트웨어 자재 명세서(SBOM)를 장관에게 제공해야 합니다. 그리고
4. 기기 및 관련 시스템의 사이버보안에 대한 합리적인 보증을 입증하기 위해 장관이 규정을 통해 요구할 수 있는 기타 요구 사항을 준수해야 합니다.

의료기기 사이버보안 강화를 향한 글로벌 변화

통합세출법에서 특히 주목할 만한 부분은 역사적으로 US 규제 제출물에서 크게 강조되지 않았던 시판 후 사이버보안 계획 및 소프트웨어 자재 명세서(SBOM)에 대한 요구 사항입니다. 이는 의료기기 개발의 가장 이른 단계부터 상당한 노력을 필요로 합니다. 또한, 2023년 시판 전 지침에 따라 앞으로 시판 전 제출 자료에는 상당한 노력과 비용이 수반되는 침투 테스트 및 위협 모델링 수행 결과가 포함되어야 합니다.

사이버보안에 대한 기준이 높아진 것은 US에만 국한된 일이 아닙니다. 네트워크 및 정보 시스템 보안에 관한 EU의 2022/2555 지침("NIS2")은 이제 화학물질(원료의약품, API), 완제의약품 및 의료기기를 포함하는 의료 제품 제조업체에 대해 사이버보안 위험 관리 조치 및 보고 요구 사항을 의무화하고 있습니다.

US와 마찬가지로, 호주의 Therapeutic Goods Administration의 2022년 업계용 의료기기 사이버보안 지침도 사이버보안 관리에 있어 전수명주기(TPLC) 접근 방식을 요구하고 있습니다. 또한 기기의 위험 관리 및 평가 프로세스의 일환으로 침투 테스트와 위협 모델링을 요구합니다.

아울러 싱가포르는 2022년에 의료기기 사이버보안 라벨링 제도 - CLS-MD를 도입할 계획이라고 발표했습니다. 이 라벨링 제도는 현재 "샌드박스" 또는 시범 운영 기간에 있습니다. 해당 제도는 의료기기의 사이버보안 규정 및 평가 항목에 따라 총 4개 등급으로 기기를 분류하여 평가하는 방식입니다.

의료기기 사이버보안 라벨은 해당 의료기기의 보안 수준을 보여주는 지표가 됩니다. 현재는 자율적 참여로 운영되고 있으나, 이 새로운 제도는 의료기기 사이버보안에 대한 싱가포르 정부의 중대한 관심을 보여줍니다.

상기 예시 외에도 전 세계적으로 의료기기를 "사이버 안전(cyber safe)"하게 유지해야 할 필요성에 대한 인식이 크게 고조되고 있으며, 여기에는 우수한 기술 문서를 생산하기 위한 국제 Medical Device Regulators Forum의 글로벌 이니셔티브도 포함됩니다. 관련 문서로는 의료기기 사이버보안의 원칙 및 실무, 레거시 의료기기 사이버보안의 원칙 및 실무, 그리고 의료기기 사이버보안을 위한 소프트웨어 자재 명세서의 원칙 및 실무 등이 있습니다.

소프트웨어가 포함된 의료기기를 개발 중이거나 이미 보유하고 있는 경우, 특히 해당 기기가 다른 기기나 네트워크에 전자적으로 연결될 수 있다면 사이버보안을 진지하게 받아들이고 판매 중이거나 향후 판매할 지역의 사이버보안 요구 사항 및 기대치를 완전히 이해해야 합니다. 글로벌 사이버보안 규정 준수 경로를 헤쳐나가는 데 지원이 필요하시다면, 언제든지 Pure Global로 연락해 도움을 받으시기 바랍니다.