개념
보안 결함이 안전 결함이 되는 곳
일반 서비스에서 보안 결함은 데이터 유출·금전 피해로 이어진다. 의료기기에서는 한 단계가 더 있다. 원격으로 조작된 인슐린 펌프, 변조된 영상 판독 결과, 랜섬웨어로 멈춘 병원 장비는 환자 피해 로 이어진다. 그래서 의료기기 사이버보안은 레슨 2의 위험관리와 떼어 볼 수 없다.
모듈 34에서 IoT·무선기기·산업제어의 사이버보안 규격 시험을 배웠다. 규제가 규격을 부르고, 규격 조항을 시험 항목으로 옮기는 구조였다. 이 레슨은 같은 구조를 의료기기에 적용하되, 의료기기 특유의 두 가지를 더한다. 보안 위험이 안전 위험으로 이어지는지 평가해야 한다는 것, 그리고 출시 후 취약점 대응 계획이 인허가 자료 라는 것.
미국 — FD&C법 524B와 FDA 가이던스
2023년 개정으로 미국 연방 식품·의약품·화장품법(FD&C Act)에 524B조 가 생겼다. 사이버 기기(cyber device) — 스폰서가 기기에 포함하거나 기기로 검증·설치·승인한 소프트웨어가 있고, 인터넷 연결 능력이 있으며, 사이버보안 위협에 취약할 수 있는 기술적 특성을 가진 기기 — 의 시판 전 제출에는 다음이 들어가야 한다.
| 524B 요구 | 의미 | QA가 기여하는 증거 |
|---|---|---|
| 출시 후 취약점·악용을 감시·식별·대응하는 계획 (조율된 취약점 공개 포함) | 출시 후 대응 체계 | 취약점 접수 → 분류 → 영향 평가 → 패치 검증 흐름의 시험 기록 |
| 기기와 관련 시스템이 사이버보안상 안전하다는 합리적 보증을 주는 프로세스와 절차, 출시 후 업데이트·패치 제공 | 보안 개발 프로세스와 패치 능력 | 보안 시험 계획·결과, 업데이트 메커니즘 시험 |
| SBOM — 상용·오픈소스·기성 소프트웨어 구성요소 포함 | 구성요소 투명성 | SBOM 정확성 검증 (레슨 1의 SOUP 목록과 일치) |
FDA는 이를 구체화한 가이던스 "의료기기 사이버보안: 품질경영시스템 고려사항과 시판 전 제출 내용"을 2025년 6월 27일 최종판으로 내고, 2026년 2월 QMSR 시행(레슨 4)에 맞춰 갱신했다. 가이던스는 적절한 SBOM 등 필수 요소가 빠진 제출을 접수 거부 할 수 있음을 분명히 한다. 인용할 때는 FDA 사이트의 현재 판본 날짜를 확인한다.
가이던스가 기대하는 문서를 QA 관점으로 묶으면 다음과 같다.
| 문서 | 내용 | 시험과의 관계 |
|---|---|---|
| 보안 제품 개발 프레임워크(SPDF) | 수명주기 전반의 보안 활동 체계 | IEC 81001-5-1 같은 표준으로 증명 |
| 위협 모델 | 시스템 경계·자산·진입점·위협 | 시험 설계의 출발점 |
| 사이버보안 위험 평가 | 악용 가능성 기반 평가 (확률이 아닌) | 안전 위험 평가와 연결 |
| SBOM과 구성요소 지원 상태 | 구성요소별 버전·지원 종료·알려진 취약점 | 취약점 평가 기록 |
| 보안 아키텍처 뷰 | 전체 시스템·다중 패치 가능성·업데이트 경로·보안 사용 사례 | 아키텍처 뷰에 나온 통제가 시험됐는지 |
| 사이버보안 시험 | 보안 요구사항 시험, 위협 완화 시험, 취약점 시험, 침투 시험 | 결과·발견·조치·잔존 위험 |
| 라벨링 | 사용자에게 필요한 보안 정보 (권장 설정, 지원 종료 시점 등) | 라벨링 내용과 실제 동작 일치 |
위협에서 시험으로 — 추적이 핵심이다
사이버보안 제출에서 가장 자주 약한 곳은 위협 모델과 시험 결과 사이의 연결 이다. 위협 모델은 훌륭한데 시험은 일반적인 취약점 스캔 보고서 한 장뿐인 경우다. 모듈 16 레슨 6의 SAST·DAST·SCA 결과는 필요하지만 충분하지 않다. 위협마다 완화 조치가 있고, 완화 조치마다 효과를 확인한 시험이 있어야 한다. 레슨 2의 구현 검증·효과 검증 구분이 보안에도 그대로 적용된다.
[위협 → 통제 → 시험 추적 — 원격 모니터링 시스템]
위협 ID 자산·진입점 위협 (STRIDE) 보안 통제 시험
T-04 BLE 페어링 스푸핑 — 가짜 기기 페어링 인증된 페어링(OOB), 기기 증명서 ST-SEC-11 가짜 기기 페어링 시도 거부
PT-03 페어링 과정 중간자 시도 (침투)
T-09 클라우드 API /v1/readings 변조 — 측정값 위조 업로드 기기별 서명 검증, 재전송 방지 논스 ST-SEC-22 서명 없는·재사용 논스 거부
FZ-02 페이로드 퍼징 (파싱 오류·크래시)
T-15 펌웨어 업데이트 변조 — 악성 펌웨어 설치 코드 서명 검증, 롤백 방지 ST-SEC-40 서명 불일치·구버전 거부
PT-07 부트로더 우회 시도
T-21 임상의 웹 포털 세션 권한 상승 — 다른 병원 환자 테넌트 격리·역할 기반 접근 ST-SEC-51 IDOR·권한 매트릭스 (모듈 39 레슨 1)각 통제에 결정적 요구사항 시험(ST) 과 공격자 관점 시험(PT 침투, FZ 퍼징) 이 함께 붙어 있다는 점을 보자. 요구사항 시험은 "통제가 명세대로 동작하는가"(구현 검증), 침투·퍼징은 "통제를 우회할 수 있는가"(효과 검증)에 가깝다.
보안 시험의 종류와 계획
| 시험 | 목적 | 계획에 적을 것 |
|---|---|---|
| 보안 요구사항 시험 | 인증·암호·접근 통제·로깅이 명세대로 동작 | 요구사항별 합부 기준 |
| 위협 완화 시험 | 위협 모델의 통제가 해당 위협을 막음 | 위협 ID별 시나리오 |
| 취약점 시험 | 알려진 취약점(구성요소·설정) 존재 여부 | 도구·규칙 버전, SBOM 대조 |
| 퍼징 | 비정상 입력에서 크래시·메모리 오류·예외 경로 | 대상 인터페이스(BLE·USB·API·파일 파서), 실행 시간, 발견 판정 기준 |
| 침투 시험 | 공격자 관점의 조합 공격 | 범위, 시험자 독립성, 소요 시간, 발견 분류, 재시험 |
| 정적·동적 분석 | 코드·실행 수준 결함 | 규칙 세트, 오탐 처리 기록 (모듈 23 레슨 3) |
침투 시험자의 독립성 은 가이던스가 명시적으로 묻는 항목이다. 개발팀이 스스로 한 침투 시험은 증거력이 약하다. 사내 별도 조직이든 외부 기관이든, 시험자가 설계·구현에서 독립적이었다는 것과 시험 범위·기간·방법을 기록한다. 모듈 35 레슨 3의 역할 독립성과 같은 발상이다.
퍼징의 판정 기준 을 미리 정하지 않으면 결과를 해석할 수 없다. "퍼저를 24시간 돌렸다"가 아니라 "대상 인터페이스별 실행 시간, 크래시·행(hang)·메모리 오류의 정의와 발견 시 조치, 커버리지 지표"를 계획서에 쓴다.
보안 위험 평가와 안전 위험 평가를 잇는다
사이버보안 위험 평가는 확률이 아니라 악용 가능성 으로 평가한다. 공격은 우연히 일어나지 않기 때문이다. 그래서 레슨 2의 ISO 14971 평가와 방식이 다르다. 하지만 둘을 따로 두면 안 된다. 보안 위험이 위해 상황으로 이어지는 경로 를 연결해야 한다.
[보안 → 안전 연결]
T-09 측정값 위조 업로드
악용 가능성: 중 (기기 서명 키 추출이 필요)
보안 영향: 무결성 손상
안전 연결: 위조된 저혈당 수치 → 임상의가 인슐린 감량 지시 → 고혈당
→ 위해 상황 R-066 (ISO 14971 위험관리 파일)
결정: 보안 통제 + 안전 통제(임상의 화면에 기기 서명 검증 상태 표시, RC-21) 모두 적용이 연결이 없으면 보안팀은 "무결성 위협, 중간 위험"으로 끝내고, 위험관리팀은 그 위협의 존재를 모른다. AAMI TIR57 같은 기술 보고서가 이 연결 방법을 다룬다.
IEC 81001-5-1 — 보안 활동을 수명주기에 심는다
IEC 81001-5-1:2021은 건강 소프트웨어의 제품 수명주기 보안 활동 표준이다. 유럽에서는 EN IEC 81001-5-1:2022로 조화 표준이 되어 MDR·IVDR의 사이버보안 요건 증명에 사실상 기준으로 쓰이고, FDA도 인정 표준으로 쓴다.
구조는 IEC 62304의 수명주기 단계마다 보안 활동을 더하는 방식이다. QA에게 의미 있는 활동은 이렇다.
| 수명주기 단계 | 추가되는 보안 활동 |
|---|---|
| 요구사항 | 보안 요구사항 정의, 위협 모델 |
| 설계 | 보안 설계 원칙, 심층 방어, 보안 아키텍처 |
| 구현 | 안전한 코딩 표준, 정적 분석 |
| 검증 | 보안 요구사항 시험, 위협 완화 시험, 취약점 시험, 침투 시험 |
| 출시 | 보안 관련 문서(사용자 보안 가이드), 잔존 보안 위험 |
| 유지보수 | 취약점 감시·처리, 보안 업데이트 |
레슨 1에서 62304 산출물 체계를 갖췄다면, 81001-5-1은 같은 추적표에 보안 열을 더하는 일 이 된다. 별도의 문서 체계를 만들지 않는 것이 핵심이다.
SBOM을 시험한다
SBOM은 문서가 아니라 검증 대상 데이터 다. SBOM이 실제 빌드와 다르면 취약점 감시가 엉뚱한 구성요소를 본다.
| 검증 | 방법 |
|---|---|
| 완전성 | 출시 빌드 산출물(앱 패키지·펌웨어 이미지·컨테이너)을 분석 도구로 스캔한 결과와 SBOM 대조 — 빠진 구성요소 0 |
| 버전 정확성 | 구성요소 버전이 빌드 잠금 파일·실제 바이너리와 일치 |
| 형식 | 기계 판독 가능한 표준 형식(SPDX·CycloneDX), 최소 요소 포함 |
| 지원 상태 | 구성요소별 지원 종료 여부·유지보수 상태 기재 |
| 취약점 평가 | SBOM 기준 알려진 취약점 목록과 각각의 영향 평가(해당 없음 사유 포함) |
| SOUP 목록 일치 | 레슨 1의 SOUP 목록과 같은 원천에서 생성 |
"해당 없음 사유"가 중요하다. 구성요소에 알려진 취약점이 있어도 취약한 함수를 쓰지 않거나 공격 경로가 없으면 영향이 없을 수 있다. 그 판단 근거를 남기지 않으면 심사에서 "알려진 취약점을 가진 구성요소 포함"으로만 읽힌다.
한국 — 식약처 의료기기 사이버보안 허가·심사 가이드라인
국내에서는 식약처의 의료기기 사이버보안 허가·심사 가이드라인 이 유·무선 통신 경로가 있는 의료기기(펌웨어·프로그래머블 논리 제어기를 가진 기기, 소프트웨어만으로 된 의료기기 포함)에 적용된다. 2025년 개정판이 있고, 디지털의료제품법 체계(레슨 6)와 함께 운영된다.
가이드라인은 기밀성·무결성·가용성 원칙 아래 식별·인증, 사용 통제, 데이터 기밀성, 시스템 무결성, 적시 대응, 자원 가용성 같은 범주의 보안 요구사항을 제시하고, 제조사가 요구사항마다 적용 여부와 검증 근거를 제시하거나, 적용하지 않는 경우 사유를 제시 하는 방식이다. 이 구조는 모듈 34 레슨 3의 EN 18031 결정 트리와 비슷하다. 요구사항별 "적용 / 미적용(사유) / 검증 근거(시험 ID)" 표가 제출 자료의 뼈대가 되므로, 위 위협 → 통제 → 시험 추적표에서 요구사항 번호 열 을 하나 더 두면 국내·미국 제출 자료를 같은 증거에서 만들 수 있다. 요구사항 개수·범주 이름·서식은 최신 민원인 안내서 판본 에서 확인한다.
가이드라인이 강조하는 원칙 중 QA 시험 설계에 직접 쓰이는 것이 있다. 보안 조치가 핵심 의료 기능을 해치지 않을 것, 그리고 공격을 받는 중에도 필수 환자 치료 기능이 유지될 것. 시험으로 옮기면 이렇다.
ST-SEC-70 계정 잠금 정책이 응급 상황의 기기 조작을 막지 않는다 (응급 접근 경로 존재·기록)
ST-SEC-71 네트워크 서비스 거부 공격 중에도 기기의 로컬 경보·핵심 치료 기능은 동작한다
ST-SEC-72 보안 업데이트 적용 중·실패 시 기기가 안전한 상태를 유지한다 (모듈 39 레슨 7 장애 주입)실무에서 왜 필요한가
연결형 의료기기와 독립형 의료 소프트웨어가 늘면서 사이버보안은 인허가 보완 요구의 주요 원인 중 하나가 됐다. 미국에서는 필수 요소가 빠진 제출이 접수 단계에서 막힐 수 있고, 유럽·한국도 제출 자료의 구조화된 보안 증거를 요구한다. 보안팀이 스캔 보고서를 만들고 QA가 기능 시험을 따로 하면, 둘 사이의 위협 → 통제 → 시험 → 안전 위험 연결이 비어 있게 된다.
QA가 이 연결을 맡으면 위치가 분명해진다. 보안 전문가처럼 공격 기법을 깊게 알 필요는 없다. 위협 모델을 요구사항처럼 읽고, 통제마다 구현·효과 검증을 붙이고, SBOM을 빌드와 대조하고, 보안 위험을 위험관리 파일로 이어 주는 일은 추적성과 검증 설계 의 일이다. 모듈 34에서 규격 조항을 시험 항목으로 옮긴 경험이 여기서 그대로 쓰인다.