의료기기와 사이버 보안이 협상 불가능한 이유

이 기사는 원래 New Electronics에 게재되었습니다.

이러한 노력을 지원하기 위해 식품의약국(FDA)은 기성품(OTS) 소프트웨어를 갖춘 네트워크 의료기기에 초점을 맞춰 2005년에 의료기기 사이버 보안에 대한 첫 번째 지침을 발표했습니다.

그럼에도 불구하고, 수년에 걸쳐 FDA의 시판 전 지침은 크게 발전하여 2014년 9페이지 문서에서 2023년 57페이지 종합 지침으로 확장되었습니다. 이러한 발전만으로도 의료기기 산업에서 사이버 보안의 중요성이 커지고 있음을 알 수 있습니다.

그러나 2023년 통합예산법은 의료기기 사이버 보안에 대한 FDA의 전통적으로 비공식적 권고 사항을 공식적인 법률 기반 요구 사항으로 전환했습니다. 의료기기의 사이버 보안에 대한 FDA의 2023년 업데이트 지침: 품질 시스템 고려 사항 및 시판 전 제출 내용과 결합하여 이 개발은 의료기기 사이버 보안의 기준이 높아졌음을 의미합니다. 이러한 변화는 의료기기 사이버 보안에 대한 규제 환경의 중요한 발전을 나타냅니다.

의료기기의 '사이버 안전' 유지 보장

전 세계의 이니셔티브에서 알 수 있듯이 이러한 기대는 US에만 국한되지 않습니다. 예를 들어, EU의 네트워크 및 정보 시스템 보안에 관한 2022/2555 지침(NIS2)은 이제 화학 물질(API), 의약품, 의료기기를 포함한 의료 제품 제조업체가 포괄적인 사이버 보안 위험 관리 조치를 구현하고 보고 요구 사항을 준수하도록 요구합니다.

이어서 호주에서는 의약품 관리국(TGA)이 사이버 보안에 대한 전체 제품 수명 주기(TPLC) 접근 방식을 요구하는 2022년 업계용 의료기기 사이버 보안 지침을 발표했습니다. 이 접근 방식을 적용하려면 제조업체는 침투 테스트, 위협 모델링 및 기타 사전 예방적 조치를 위험 관리 평가 프로세스에 통합해야 합니다.

싱가포르에서는 의료기기 사이버 보안 라벨링 제도(CLS-MD)가 사이버 보안 조항을 기반으로 의료기기 등급 시스템을 도입했습니다. 이 제도에 따라 의료기기는 사이버 보안 견고성에 따라 평가 및 라벨링되어 일반 대중과 의료 서비스 제공자에게 귀중한 정보를 제공합니다. 이 라벨링 시스템을 통해 정보에 입각한 구매 결정을 내릴 수 있으므로 이해관계자는 높은 사이버 보안 표준을 충족하는 의료기기를 식별하고 선택할 수 있습니다.

이러한 글로벌 이니셔티브는 의료기기 산업에서 강력한 사이버 보안 조치의 중요성에 대한 국제적 공감대가 커지고 있음을 반영합니다.

상호 연결성의 장점에도 취약점은 존재합니다

의료기기에 소프트웨어가 포함되어 있는 경우, 특히 다른 기기나 네트워크에 전자적으로 연결할 수 있는 경우 사이버 보안을 우선시하는 것이 매우 중요해집니다. 소프트웨어 지원 스마트 의료기기와 사물인터넷(IoT)으로의 전환을 통해 촉진되는 현대 의료 환경에서 의료기기의 상호 연결성은 편리하고 시기적절한 치료라는 이점을 제공한다는 점은 부인할 수 없습니다.

예를 들어, 심장 이식 환자를 원격으로 모니터링할 수 있어 의사를 자주 방문할 필요성이 줄어듭니다. 마찬가지로 혈당 수치를 관리하는 새로운 도구를 사용하면 혈당 측정기와 인슐린 펌프가 원활하게 상호 작용할 수 있습니다. 또한 병원은 데이터를 원활하게 공유함으로써 치료와 효율성을 향상시키기 위해 더 많이 상호 연결된 장치를 채택하고 있습니다. 그러나 동시에 의료 시스템에 취약한 연결 고리가 있는 경우 의료기기가 사이버 공격 및 보안 침해에 더욱 취약해집니다.

이러한 위험의 증가는 취약한 장치를 악용하고, 환자 기록에 액세스하고, 운영을 중단하고, 몸값을 요구하거나 네트워크에 침투하기 위해 의료 기관을 표적으로 삼는 악의적인 행위자들로부터 비롯됩니다. 예를 들어, 인슐린 펌프, 인공 심박동기, 웨어러블과 같은 기기들은 환자 데이터를 실시간으로 추적하고 환자와 의사에게 정보를 즉시 전송하기 때문에 취약성이 높아집니다. 따라서 이러한 중요한 기기들을 보호하고 환자의 안전을 보장하려면 강력한 사이버 보안 조치가 필수적입니다.

개발자를 위한 실질적인 영향

FDA의 사이버 보안 지침 및 규제 범위는 데이터 저장, 전송 및 분석을 포함한 광범위한 기기 소프트웨어 기능을 포괄합니다. 업그레이드 가능한 소프트웨어, USB 포트 또는 컴팩트 디스크 기술을 갖춘 모든 의료기기 또는 진단 기기는 이제 연결된 기기로 분류되며 새로운 규정의 적용을 받습니다.

FDA와 UK의 NCSC-Secure Design Principles는 제조업체가 더 넓은 생태계와 기기 간의 상호 연결성을 고려하는 것이 중요하다는 점을 강조합니다.

보안 목표는 독립적으로 운영되기보다는 의료기기의 전체 시스템 아키텍처에 걸쳐 통합되어야 합니다.

의료기기 제조업체(MDM)는 기기가 시장에 출시되기 전에 보안을 확보할 수 있도록 기기 출시 훨씬 전에 위협 모델링을 수행하여 보안 위협과 취약성을 신속하게 식별, 평가 및 우선순위를 지정해야 합니다. 주요 우려 사항의 우선순위 목록을 작성하면 팀이 자료 제출 전에 중요한 문제를 효과적으로 처리하고 해결할 수 있습니다. 또한, 이는 팀이 향후 반복 개발 과정에서 체계적으로 해결할 수 있는 보안 고려 사항의 문서화된 로그를 구축합니다.

나중에 개별적인 수정이 필요하지 않도록 시스템적인 문제를 해결하는 것도 중요합니다. 여기에는 표준 운영 절차 개정, 품질 관리 시스템 조정, 그리고 사이버 보안 표준과 규제 요구 사항을 모두 충족하면서 전체 개발 수명 주기에 걸쳐 적용되는 포괄적인 보안 전략 개발이 포함될 수 있습니다.

궁극적으로 사이버 보안 조치에 대해 FDA가 정한 명시적인 기준을 충족하지 못하면 환자의 안전이 위험해지고 데이터 무결성이 손상될 뿐만 아니라 시장 진입이 지연되어 재정적 손실과 평판 손상을 초래할 수도 있습니다. 마찬가지로 EU의 경우, 사이버 복원력법(Cyber Resilience Act)을 준수하지 않는 제조업체는 단일 시장에서 제품이 퇴출되거나 일반 데이터 보호 규정(GDPR)에 규정된 것과 유사한 상당한 벌금이 부과될 수 있습니다.

위험을 완화하기 위해 FDA는 소프트웨어 보안 및 공급망 관리의 기본 요소로 “소프트웨어 자재 명세서”(SBOM) 프로그램을 도입할 것을 권장합니다. SBOM은 기기 내의 모든 소프트웨어 구성 요소에 대한 포괄적인 목록을 제공하여 취약점을 효과적으로 추적하고 관리할 수 있도록 합니다.

제조업체가 규제 환경을 효과적으로 탐색하고 의료기기의 보안과 무결성을 보장하려면 목표 시장의 사이버 보안 요구 사항과 기대치를 이해하고 이에 맞추는 것이 필수적입니다.

예방이 치료보다 낫습니다

사이버 보안은 사후에 추가하는 고려 사항이 아니라 의료기기 개발의 기초부터 유기적으로 통합되어야 한다는 점을 기억해야 합니다.

사이버 보안은 예산 책정, 리소스 할당, 교육 등을 포함하여 비즈니스의 모든 측면에서 우선순위가 되어야 합니다. 이는 단순히 규정을 준수하고 처벌을 피하는 것만을 의미하지 않습니다. 최종 사용자가 자신의 삶에 밀접하게 통합된 기기를 신뢰할 수 있을 때에만 상호 연결된 첨단 기기의 진정한 이점이 발휘될 수 있음을 인식하는 것입니다. 이러한 기기에 탑재된 소프트웨어가 사이버 보안을 염두에 두고 구축되지 않으면 사이버 위협에 취약해질 수 있으며, 이로 인해 해당 기기에 의존하는 환자들 역시 동일한 위험에 노출될 수 있습니다. 이는 본래의 목적에 완전히 어긋나는 것입니다.

추후 수정 작업을 방지하기 위해 보안 전략을 설계할 때 시스템적인 문제도 함께 해결해야 합니다. 이러한 프로세스에 충분한 중요성을 부여하면 개발자는 잠재적인 위험을 예측하고 사전에 시정 조치를 취할 수 있게 되어, 궁극적으로 발생 가능한 평판 손상, 재정적 손실, 출시 지연 및 환자 안전 문제 등을 미연에 방지할 수 있습니다.