의료기기 사이버보안 및 컴플라이언스 컨설팅
초기 설계부터 인허가 제출 및 시판 후 운영에 이르기까지 연결형 의료기기, SaMD 및 헬스 소프트웨어에 보안을 구축합니다.
의료기기 전주기에
내재화되는 보안
Pure Global는 규제, 품질, 소프트웨어 및 사이버보안 업무를 하나의 조율된 프로그램으로 통합합니다. 당사는 팀이 격차를 조기에 파악하고 추적 가능한 근거를 생성하며 제품과 위협이 진화함에 따라 보안을 유지하도록 돕습니다.
통합 규제 및
사이버보안 지원
연결 기술, SaMD, 무선 통신 및 클라우드 기반 시스템으로 인해 사이버보안은 의료기기의 안전성, 품질 및 성능의 핵심 요소가 되었습니다. 당사는 전체 제품 전주기에 걸쳐 규제 전략, 기술 문서, 위험 통제 및 유효성 확인을 정합성 있게 연계합니다.
규제 전략
의료기기 품목 분류, 신청 경로 선정, FDA 동등기기 평가, EU MDR 품목 분류 및 적합성 평가 계획 수립.
설계 관리 및 문서화
FDA QMSR, ISO 13485, IEC 62304 및 EU MDR 부속서 II·III와 연계된 추적 가능한 설계, 품질, 소프트웨어 및 기술 문서.
위험, 안전성 및 성능
적용 가능한 표준을 활용한 위험 관리, 사용 적합성, 임상 평가, 전기적 안전성, 필수 성능 및 전자기적합성(EMC) 계획 수립.
시험 및 전주기 지원
검증, 유효성 확인, 제출 지원, 취약점 관리, 소프트웨어 유지보수 및 시판 후 컴플라이언스 활동.
FDA 의료기기
사이버보안
FDA 시판 전 심사는 이제 사이버보안 및 소프트웨어 보증을 의료기기의 안전성 및 유효성의 핵심 요소로 취급합니다. 당사는 사이버보안 위험이 있는 의료기기에 요구되는 설계 근거, 위험 문서 및 전주기 계획을 팀이 준비하도록 지원합니다.
품목 분류 및 동등기기 전략
규제 신청 경로를 정의하고, 적절한 동등기기를 식별하며, 입증 가능한 실질적 동등성(substantial equivalence) 논거를 수립합니다.
시판 전 사이버보안 근거
위협 모델, 사이버보안 위험 평가, 아키텍처 뷰, 시험 근거, 라벨링 및 취약점 관리 계획을 준비합니다.
QMSR 및 소프트웨어 연계
FDA QMSR, ISO 13485, IEC 62304, ISO 14971 및 IEC 81001-5-1 활동을 명확한 설계 및 위험 추적성과 연계합니다.
제출 및 심사 지원
제출 가능한 사이버보안 자료를 구성하고 FDA의 추가 정보 요청 보완 답변을 지원합니다.
EU MDR 사이버보안 및
컴플라이언스
EU MDR은 소프트웨어, 정보 보안, 위험 통제 및 시판 후 의무를 의료기기의 안전성 및 성능 체계 내에 규정합니다. 당사는 제조사가 이러한 요구사항을 기술 문서 및 심사 대비 품질 시스템과 연계하도록 지원합니다.
격차 평가 및 경로 수립
기존 문서와 사이버보안 성숙도를 검토하고 의료기기 품목 분류를 확인하며 적합성 평가 경로를 정의합니다.
기술 및 임상 근거
설계, 성능, 임상 평가, 위험 및 소프트웨어 수명주기 근거를 포함하는 부속서 II 및 III 문서를 작성합니다.
보안 및 품질 통합
안전한 개발과 명확한 추적성을 위해 ISO 14971, IEC 62304, IEC 81001-5-1 및 ISO 13485 프로세스를 정렬합니다.
시판 후 및 심사 대비
시판 후 조사, 안전성 정보 관리(vigilance), 사고 처리, 취약점 조치, PSUR 지원 및 인증기관(Notified Body) 심사 준비 체계를 수립합니다.
의료기기
보안 평가
당사는 악용 가능한 취약점을 식별하고 기존 통제 항목을 시험하며 기술적 심각도, 환자 안전에 미치는 영향 및 규제 관련성에 따라 조치 우선순위를 지정하기 위해 의료기기 및 관련 에코시스템을 평가합니다.
공격 접점(Attack Surface) 매핑
기기 아키텍처, 펌웨어, 임베디드 시스템, 무선 인터페이스, 모바일 앱, API, 클라우드 서비스 및 병원 시스템 연동 체계를 검토합니다.
통제된 침투 테스트
실제 악용 가능성을 검증하기 위해 합의된 안전 범위 내에서 블랙박스, 화이트박스 또는 그레이박스 방식을 적용합니다.
임상적 영향 기반 우선순위 산정
의료기기 무결성, 치료 연속성, 민감 데이터, 운영 신뢰성 및 환자 안전을 기준으로 점검 결과를 평가합니다.
조치 및 검증
관련 프레임워크에 매핑된 실행 가능한 결과 보고서를 제공한 후, 수정 사항을 재시험하고 지속적인 취약점 관리를 지원합니다.
IEC 81001-5-1
컴플라이언스 서비스
IEC 81001-5-1 표준은 헬스 소프트웨어의 보안을 향상하기 위한 수명주기 프레임워크를 제공합니다. 당사는 제품 및 품질 팀이 해당 프로세스, 활동 및 작업을 실무적인 거버넌스, 개발, 검증 및 유지보수 통제 항목으로 구현할 수 있도록 지원합니다.
갭 평가 및 거버넌스
현재 실무 관행을 평가하고 역할과 정책을 명확히 하며, 위험 기반의 이행 로드맵을 수립합니다.
안전한 수명주기 통합
위협 모델링, 보안 설계 및 코딩, 검증, 공급업체 관리 감독, 변경 통제를 소프트웨어 수명주기에 내재화합니다.
검증 및 근거
보안 테스트를 계획하고 내부 감사, 규제기관 제출 및 외부 평가를 지원하는 추적 가능한 기록을 유지 관리합니다.
운영 및 유지보수
모니터링, 패치 적용, 침해 사고 대응, 취약점 조치, 문서 최신화 및 지속적 개선을 지원합니다.
설계부터 시판 후 단계까지 통합된 단일 프로그램
특정 갭에 대한 집중 지원을 선택하거나 서비스를 결합하여 유기적인 사이버보안 및 컴플라이언스 워크스트림을 구성하십시오.
규제 전략
사이버보안 의무 사항을 의료기기 품목 분류, 대상 시장, 제출 경로 및 근거 계획에 매핑합니다.
보안 개발
초기 단계부터 제품, 소프트웨어, 품질 및 공급업체 프로세스에 보안 활동을 통합합니다.
위험 및 위협 모델링
사이버보안 위해요인, 위협 시나리오, 통제 결정 및 환자 안전 영향을 상호 연계합니다.
시험 및 검증
아키텍처 검토, 취약점 평가, 모의 침투 테스트 및 조치 검증을 조율합니다.
제출용 입증 자료
FDA, EU MDR 및 기타 규제 검토를 위해 명확하고 추적 가능한 사이버보안 문서를 작성합니다.
시판 후 지원
출시 후 취약점 모니터링, 사고 대응 준비, 변경 기록 및 규제 준수 상태를 유지합니다.
의료기기 사이버보안 자주 묻는 질문(FAQ)
소프트웨어, 프로그래밍 가능한 로직, 네트워크 인터페이스, 무선 기능, 이동식 매체, 클라우드 서비스, 모바일 애플리케이션, 업데이트 메커니즘 또는 악용 가능한 기타 기술을 갖춘 모든 기기 또는 연결 시스템은 사이버보안 위험이 존재할 수 있으며 사용 목적 환경에서 평가를 받아야 합니다. FDA의 보다 범주가 좁은 법령상 용어인 사이버 기기(cyber device)는 신청자(sponsor) 승인 소프트웨어, 인터넷 연결성, 사이버보안 위협에 취약할 수 있는 기술적 특성의 세 가지 요소를 포함합니다. 특정 법령상 정의에 해당하지 않는 제품이라도 사이버보안 위험 관리가 필요할 수 있습니다.
제524B조가 적용되는 시판 전 제출의 경우, 신청자는 해당 사이버 기기가 법적 사이버보안 요건을 충족함을 입증하는 정보를 제공해야 합니다. 이러한 요건에는 시판 후 취약점 및 악용 사례를 모니터링, 식별 및 조치하기 위한 계획, 기기 및 관련 시스템의 사이버보안을 합리적으로 보장하고 적절한 업데이트 및 패치를 수령할 수 있도록 하기 위한 프로세스 및 절차, 상용·오픈소스·완제품(off-the-shelf) 구성요소를 포함하는 소프트웨어 자재명세서(SBOM)가 포함됩니다. FDA는 해당 의료기기 사이버보안 FAQ에서 적용 범위를 설명합니다.
입증 자료는 기기의 사이버보안 위험 및 제출 유형에 맞게 조정되어야 합니다. 적용 가능성에 따라 보안 위험 관리 문서, 위협 모델링, 아키텍처 뷰, 보안 요건 및 추적성, 사이버보안 시험, 해결되지 않은 이상징후 평가, SBOM, 라벨링, 취약점 모니터링·조율된 공개·업데이트 및 패치 계획 등이 포함될 수 있습니다. FDA의 2026년 2월 시판 전 사이버보안 가이드라인은 해당 권고사항 및 제524B조 취급에 대한 현재 기준입니다.
EU MDR은 사이버보안을 별도의 품목허가가 아닌 안전성, 성능, 위험 관리, 소프트웨어 수명주기, 기술 문서 및 시판 후 의무 사항의 틀 내에서 다룹니다. 적용 가능한 통제 수단은 기기, 사용 목적, 운영 환경 및 최신 기술 수준(state of the art)에 따라 달라집니다. 제조업체는 사이버보안 위험 및 통제 수단을 부속서 I(Annex I) 일반 안전 및 성능 요건(GSPR)과 연계하고 관련 입증 자료를 기술 문서에 유지관리해야 합니다. 유럽연합 집행위원회는 의료기기 사이버보안 가이드라인으로 MDCG 2019-16 rev.1를 제시하고 있습니다.
모든 연결형 의료기기가 IEC 81001-5-1 인증서를 보유해야 한다는 보편적인 규정은 없습니다. IEC 81001-5-1:2021는 보안성이 확보된 헬스 소프트웨어의 개발 및 유지를 위한 수명주기 활동과 과제를 정의합니다. 이 표준은 유용한 프로세스 프레임워크 및 입증 자료 출처를 제공할 수 있지만, 표준을 적용하는 것 자체로 기기가 허가되거나 해당 FDA, EU, 품질 시스템, 위험 관리, 소프트웨어, 시험 및 시판 후 요건을 대체하지는 않습니다. 적용 대상 적합성 주장은 제품 및 대상 시장에 맞게 정의되어야 합니다.
그렇지 않습니다. 사이버보안은 전체 제품 수명주기 전반에 걸쳐 지속됩니다. 제조업체는 취약점 및 위협 모니터링, 외부 보고 수신, 안전성 및 악용 가능성 평가, 조율된 공개, 업데이트 또는 패치 개발 및 검증, 사용자와의 소통, 보고 대상 여부 평가, 위험·기술·라벨링·품질 기록 업데이트를 위한 통제된 프로세스를 갖추어야 합니다. 또한 제품 변경사항을 평가하여 신규 인허가 신청, 인증기관과의 협의 또는 기타 시장별 필요한 조치가 발생하는지 확인해야 합니다.
어디에 계시든,
상담해 드립니다.
더 많은 정보가 필요하든 협업을 시작할 준비가 되었든, 규제 절차의 모든 단계를 안내합니다.
문의하기