HSA, GL-10 의료기기 사이버보안 모범 사례 발간

싱가포르 보건과학청(HSA)이 GL-10-R1, ​Best Practices Guide for Medical Device Cybersecurity​를 발간했습니다. 개정 이력에는 이 문서가 ​2026년 8월 17일​자로 시행된 초판으로 기록되어 있습니다. HSA의 의료기기 가이던스 목록에는 해당 파일이 “GL-10-R1 … (2026 Aug) PUB”으로 표시되어 있습니다. 2026년 8월 14일 의견수렴 결과 공지에 따르면, HSA는 일반 의견 수렴 내용을 반영하여 최종 가이드를 해당 목록에 게시했습니다.

GL-10의 법적 지위는 가장 먼저 확인해야 할 핵심 사항입니다. 제2절에서는 “본 문서는 규제 가이던스에 해당하지 않으며, 시판 전 제출 또는 등록을 위한 규제 요건이나 기대사항을 설정하지 않습니다.”라고 명시하고 있습니다. 본 문서는 연결형 기기(connected devices)의 전주기(TPLC)에 걸쳐 사이버보안을 관리하기 위한 실무적인 조언입니다. 이는 새로운 사이버보안 법령이 아니며, 등록 체크리스트도 아니고, HSA의 별도 소프트웨어 규제 가이드라인을 대체하지도 않습니다.

적용 대상자 및 대상 기기 범위

본 가이드는 전문가 전용(PUO)이든 비PUO이든 관계없이 싱가포르 시장에 출시되는 ​모든 연결형​ 일반 의료기기 및 체외진단의료기기(IVD)에 적용됩니다. 싱가포르에 새로 공급되는 기기와 이미 설치되어 사용 중인 기기를 모두 포괄합니다.

예상 독자는 제조업체, 제품 등록자, 수입업체, 현지 공인 대리인 및 의료기관입니다. 제조업체 관련 권장사항은 개발(Development) 단계부터 시작됩니다. 본 가이드에 기술된 의료기관의 책임은 지원(Support) 단계에서 시작되어 제한적 지원(Limited Support) 및 지원 종료(End of Support) 단계까지 이어집니다.

GL-10는 새로운 연결형 기기 등급을 신설하거나 SMDR 등록 카테고리를 변경하지 않습니다. 본 기사는 GL-10 자체에 명시된 내용만을 다룹니다.

GL-10의 TPLC 모델

GL-10은 사이버보안 업무를 네 단계로 구성합니다: ​개발(Development)​, ​지원(Support)​, ​제한적 지원(Limited Support)​, ​지원 종료(End of Support)​. 제한적 지원은 수명 종료(EOL)와 지원 종료(EOS) 사이에 위치합니다. HSA의 정의에 따르면, EOL은 제조업체가 정의된 유효 수명을 초과하여 제품을 더 이상 판매하지 않으며 지원이 축소될 수 있음을 의미하고, EOS는 제조업체가 서비스 지원 활동을 종료했음을 의미합니다.

EOS 시점의 운영상 책임 전환에는 신중한 단서가 적용됩니다. 제조업체의 지원을 받는 적절한 사이버보안 수명주기를 거쳐 이전에 싱가포르 시장에 출시된 기기의 경우, EOS 이후 지속적인 사용에 따른 위험을 관리하는 운영상 책임은 의료기관으로 이전됩니다. 이러한 이전은:

• 알려진 안전 위험에 대한 소통, 적절한 안전 조치에 대한 지원, 해당 규제 보고를 포함하여 제조업체, 제품 등록자, 수입업체 또는 현지 공인 대리인의 지속적인 의무를 면제하는 것이 ​아니며​,
• EOS 이전에 제조업체의 수명주기 책임을 의료기관으로 전가하기 위한 근거로 해석되어서는 ​안 됩니다​.

GL-10은 기기의 복잡성과 중요도에 따라 시기가 달라질 수 있다는 단서와 함께, EOS 약 2–3년 전부터 지원에서 제한적 지원으로의 전환을 시작할 것을 권장합니다. 해당 일정은 가이드상의 권장사항이며, 법정 고지 기간이 아닙니다.

GL-10이 개발 단계에서 권장하는 사항

개발 단계에서 HSA의 권장사항은 보안 설계, 위험 관리, 시험, 사용자 정보, 시판 후 계획 및 소프트웨어 자재명세서(SBOM)를 중심으로 구성됩니다.

​Secure by Design 및 Secure by Default.​ Secure by Design(설계 단계 보안)은 초기 단계부터 아키텍처에 보안을 내재화하는 것을 의미합니다. Secure by Default(기본 설정 보안)는 사용자가 설정을 변경할 필요 없이 기기가 가능한 한 안전하게 구성됨을 의미합니다.

​위험 관리.​ 본 가이드는 개념 정립부터 EOL까지 전주기 위험 관리의 범위에 사이버보안을 포함합니다. 의도적인 사이버 공격의 발생 확률을 추정하기 어려운 경우, 공통 취약점 점수 시스템(CVSS) 접근법을 포함하여 알려진 취약점의 악용 가능성을 평가할 것을 권장합니다. 위험 통제의 우선순위는 ISO 14971를 따릅니다: 설계에 의한 본질적 안전, 이후 보호 조치, 마지막으로 안전을 위한 정보 제공 순입니다.

​사용자 정보.​ 개발 단계의 사용자 정보 권장사항에는 사이버보안 지원 종료(EOS) 정보 및 SBOM이 포함됩니다.

​시판 후 계획.​ 권장되는 계획에는 시판 후 안전성 감시(vigilance), 취약점 공개, 패치 및 업데이트, 복구, 정보 공유가 포함됩니다.

​SBOM.​ GL-10는 SBOM을 오픈소스 도구, 타사 소프트웨어 및 라이브러리를 포함한 소프트웨어 구성요소의 상세 목록으로 설명합니다. 여기에 나열된 핵심 요소는 작성자 이름, 타임스탬프, 소프트웨어 구성요소 공급업체, 이름, 버전, 고유 식별자 및 의존 관계입니다. 두 가지 예시 활용 사례에서는 제조업체가 공급망 및 패치 관리를 위해 SBOM을 사용하는 경우와 의료기관이 사고 대응 시 공급업체의 SBOM을 사용하는 경우를 보여줍니다. 이는 예시일 뿐이며 의무적인 기술문서 템플릿이 아닙니다.

​AI 지원 기기.​ 제6.7절은 추가적인 고려사항이며, 새로운 AI 등록 경로가 아닙니다. 이 절에서는 생성형 AI가 프롬프트 주입(prompt injection), 환각(hallucinations), 오정보(misinformation), 우발적 데이터 유출과 같은 위협을 유발하며, 이러한 위협은 전통적인 사이버보안 위협과 함께 다루어져야 한다고 설명합니다. 권장되는 중점 분야는 모델 설계, AI 공급망 보호, 안전한 배포, 운영 및 업데이트 중 보안입니다.

GL-10는 규제 가이던스가 아니므로, 상기 내용 중 어느 것도 본 문서에 수록되었다는 이유만으로 HSA의 시판 전 제출 기대사항이 되지 않습니다. 제조업체는 다른 HSA 법령/규정에 따라 적용되는 사이버보안, 소프트웨어 및 시판 후 의무를 여전히 충족해야 합니다. GL-10은 해당 수명주기 전반에 걸쳐 HSA이 유용하다고 판단하는 실무 지침의 로드맵입니다.

지원, 제한적 지원 및 EOS 단계에서 변경되는 사항

지원 단계 동안 제조업체는 패치 및 업데이트를 포함한 완전한 사이버보안 지원을 제공해야 합니다. 제품 등록자, 수입업체 및 현지 공인 대리인은 해당 지원과 정보가 싱가포르 사용자에게 전달될 수 있도록 지원해야 합니다. 제조업체의 지원이 유지되는 동안 의료기관이 사이버보안 부담을 전적으로 떠안는 것은 기대되지 않습니다.

제한적 지원 단계에서는 제조업체의 지원이 축소됩니다. 본 가이드는 제조업체가 지원 축소, EOS까지의 잔여 일정, 지원되지 않는 구성요소, 제공 가능한 소프트웨어 업데이트 및 보완 통제 조치에 대해 사용자에게 알릴 것을 권장합니다. 의료기관은 보안 위험, 잔존 사용성, 지원 리소스 및 환자 영향에 비추어 지속적인 사용 여부를 재평가해야 합니다.

EOS 단계에서 의료기관은 적극적인 제조업체 지원이 없는 상태에서 지속적인 사용에 따른 사이버보안 위험에 대한 1차적인 운영 책임을 맡게 되며, 이는 제조업체가 지원하는 적절한 사이버보안 수명주기를 거친 기기에만 한정됩니다. 제조업체는 여전히 제품 보안 정보를 전달하고, EOS 전환을 알리며, 알려진 사이버보안 관련 환자 안전 소통 및 해당 규제 보고를 지속해야 합니다.

또한 GL-10는 의료기관이 Health Information Act 2026에 따른 보건부(Ministry of Health)의 ​Cyber & Data Security Guidelines for Healthcare Providers​를 준수해야 한다고 명시합니다. 이는 GL-10가 가리키는 의료기관의 의무이며, GL-10 자체에서 발행된 새로운 의료기기 등록 요건이 아닙니다.

HSA의 소프트웨어 가이던스와의 관계

GL-10는 신규 초판 문서입니다. 이 문서는 머신러닝 지원 기기를 포함한 소프트웨어 의료기기에 대한 HSA의 규제 가이드라인인 GL-04-R4를 개정하지 않습니다. 두 문서는 서로 다른 폴더에 보관하십시오: GL-04는 소프트웨어 등록 및 변경 관리를 다루며, GL-10는 연결형 기기 사이버보안 실무를 다루고 제출 기대사항을 설정하지 않습니다.

구속력이 없는 가이드에 대해 제조업체가 취해야 할 조치

Pure Global가 권장하는 GL-10 활용 방식은 이 PDF를 새로운 등록 문서로 취급하는 것이 아니라, 기업의 싱가포르 내 연결형 제품 포트폴리오가 HSA의 TPLC 맵상에서 실제로 운영될 수 있는지 점검하는 것입니다:

1. 기존 설치 기반을 포함하여 싱가포르 시장의 ​모든 연결형 일반 의료기기 및 IVD 목록을 작성하고​, 현재 TPLC 단계(개발, 지원, 제한적 지원 또는 EOS)를 지정합니다.
2. ​EOL 및 EOS 일자를 작성하거나 확인하고​, GL-10가 EOS 전에 권장하는 2–3년의 소통 계획을 수립합니다. 제품 등록자, 수입업체 및 현지 공인 대리인은 싱가포르에서 해당 정보를 전달할 수 있어야 합니다.
3. ​GL-10의 항목에 따라 개발 패키지를 점검합니다​: Secure by Design/Default, 수명주기 위험 관리, 시험, 사용자 정보(EOS 정보 및 SBOM 포함), 5개 부문의 시판 후 계획.
4. ​SBOM이 사고 대응을 지원할 수 있는지 확인하고​, 최소한 HSA가 명시한 7가지 핵심 요소를 활용합니다. GL-10는 파일 형식을 규정하지 않습니다.
5. ​AI 위협 분석을 사이버보안 위험 관리 내에 유지하고​, 기기에 생성형 AI가 포함된 경우에도 제6.7절을 독립적인 HSA AI 제출 규정으로 취급하지 않습니다.
6. ​제조업체의 의무를 조기에 이전하지 마십시오.​ EOS 운영 전환에는 조건이 따르며, 알려진 위험에 대한 소통이나 해당 규제 보고 의무가 취소되지 않습니다.

GL-10-R1 가이드 전문과 HSA의 의견수렴 결과 공지를 확인하십시오. 싱가포르 시장 환경에 대해서는 HSA 용어집 항목, 싱가포르 시장 개요, HSA 의료기기 규정을 참조하시기 바랍니다. Pure Global의 의료기기 사이버보안 서비스는 HSA 등록을 대체하지 않고 병행되는 TPLC 보안 업무를 지원합니다.