> For the complete documentation index, see [llms.txt](https://docs.medcrypt.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.medcrypt.com/ko/helm/ensure-fda-readiness/fda-and-cisa-cybersecurity-requirements-for-medical-devices.md). # 의료기기의 사이버 보안에 관한 FDA 및 CISA 요구사항 {% hint style="warning" %} **중요:** 이 주제는 FDA의 2025년 6월 주요 지침 업데이트에 따라 마지막으로 업데이트되었습니다. Medcrypt는 최신 내용을 유지하기 위해 노력하지만, 항상 최신 지침을 확인해야 합니다. {% endhint %} > “사이버 보안의 미래는 더 높은 장벽을 세우는 데 있는 것이 아니라, 새로운 과제에 적응하고 이를 통해 학습할 수 있는 더 스마트한 시스템을 구축하는 데 있습니다.” > > \- PayPal CEO Dan Schulman ## FDA 주요 업데이트(2025년 6월) **알아야 할 주요 변경 사항:** * **새롭게 확대된 “사이버 기기” 정의** - 다음 요건을 충족하는 기기는 [세 가지 기준을 모두](#what-defines-a-cyber-device-now) 충족하면 이제 해당됩니다 * **보안 제품 개발 프레임워크(SPDF)를 강력히 권고** 모든 제출에 대해 * **강화된 문서화 요건** eSTAR 제출에 적용 * **“설계 단계부터 보안 고려”가 법적으로 의무화** 21 CFR Part 820에 따라 ### **적용 범위 및 시기** * **2023년 3월 29일 이전에 제출된 기기의 경우:** 사이버 보안 요건은 이 날짜 이전에 제출된 신청서에는 적용되지 않습니다. * **이전에 허가된 기기의 경우:** 시판 전 심사가 필요한 변경을 하는 경우, 새 제출 건에 사이버 보안 요건이 적용됩니다. {% hint style="danger" %} **중요한 예외:** * **Class III 기기 또는 새로운 510(k)가 필요한 변경:** 거의 모든 변경은 심사를 받아야 하며, 보고하지 않은 변경도 매년 문서화해야 합니다. * **시판 후 요건은 계속 적용됩니다:** 21 CFR 820 및 806(시정 조치/제거)에 따라 시판 후 지침에 준거하여 시판 후 사이버 보안 문제를 관리해야 합니다. {% endhint %} *** ## FDA 위험 완화 개요 {% hint style="warning" %} 이 목록은 모든 항목을 망라한 것이 아닙니다. 위험 완화 전략을 계획하고 실행하려면 FDA 자료를 참고하시기 바랍니다. {% endhint %} FDA의 최신 지침에 따라 이제 다음을 통해 **“사이버 보안에 대한 합리적 보장”을** 입증해야 합니다: ### 핵심 요건(2025년 6월 업데이트): 1. **보안 제품 개발 프레임워크(SPDF)** 를 품질 관리 시스템에 통합 2. 사이버 보안 취약점 및 익스플로잇을 식별, 모니터링 및 해결하기 위한 전략 3. 취약점의 조정된 공개 및 사고 대응 프로토콜을 위한 계획 4. 정기 및 긴급 주기 모두에 대한 시판 후 업데이트 및 패치 계획 5. **소프트웨어 자재 명세서(SBOM)** 상용, 오픈 소스 및 기성품 구성 요소 전체에 대해 ## CISA 사이버 사고 보고 요건 ### **일정** * **최종 규칙:** 2025년 10월 예상 * **시행:** 2026 * **적용 대상:** 병원 및 의료기기 제조업체를 포함한 316,000개 이상의 조직 ### **보고 기한** * **중대 사이버 사고:** CISA에 보고해야 하는 기한은 **72시간 이내입니다.** * **랜섬웨어 몸값 지급:** CISA에 보고해야 하는 기한: **24시간 이내** * **영향을 받는 대상:** 의료 시설 및 의료기기 제조업체를 포함한 핵심 인프라 ### **지금 준비해야 할 사항** 1. CIRCIA에 따른 "적용 대상 기관"인지 확인합니다 2. 다음의 촉박한 기한에 대응할 수 있는 사고 대응 절차를 마련합니다 3. CISA의 신규 포털을 통해 보고할 수 있는 체계를 구축합니다 4. 신속한 사고 식별 및 보고에 대해 팀을 교육합니다 > "기술 변화의 속도에 따라 보안 전략을 재고하고, 사후 대응이 아닌 사전 예방적 사고방식을 받아들여야 합니다." > > -브루스 슈나이어 *** ## 이제 무엇이 사이버 기기로 정의되나요? {% hint style="success" %} **핵심 요점:** 기기가 연결되지 않도록 명시적으로 설계하지 않았다면, FDA는 해당 기기가 연결될 수 있다고 간주합니다. {% endhint %} FDA는 이제 다음 세 가지 기준을 모두 충족하는 기기를 "사이버 기기"로 간주합니다: 1. **소프트웨어를 포함함** (후원자가 검증, 설치 또는 사용을 승인한 소프트웨어) 2. **인터넷에 연결할 수 있음** (의도적 또는 비의도적으로) 3. **기술적 특성을 포함함** 해당 특성이 사이버 보안 위협에 취약할 수 있음 #### **⚠️ 중대한 변경 사항:** **다음 인터페이스 중 하나라도** 있으면, 달리 입증하지 않는 한 이제 기기를 "연결 가능"한 것으로 간주합니다: * USB 포트, 이더넷 연결, 직렬 포트 * Wi-Fi, Bluetooth, Bluetooth Low Energy, 셀룰러 * RF 통신, 클라우드 연결 * 인터넷 연결이 가능한 모든 하드웨어 커넥터 ## **사이버 기기에 새롭게 의무화된 요구사항** ### **1. 보안 제품 개발 프레임워크(SPDF)** * 품질 관리 시스템에 통합해야 합니다 * 전체 제품 수명 주기(TPLC)를 포괄합니다 * 첫 코드 작성 단계부터 "설계 단계부터 보안 적용"을 요구합니다 * 21 CFR Part 820에 따른 사이버 보안 설계 통제를 입증해야 합니다 ### **2. 필수 문서** 제출 자료에는 기기의 위험 수준에 비례하는 포괄적인 사이버 보안 문서가 포함되어야 합니다: **핵심 문서:** * 사이버 보안 위험 평가 및 관리 계획 * 위협 모델링 분석 * SPDF 이행 증거 * SBOM(NTIA 최소 요구사항 준수) * 취약점 모니터링 및 관리 계획 * 침투 테스트 보고서 * 보안 아키텍처 문서 ### **3. 다섯 가지 핵심 보안 목표** 기기는 다음 사항을 충족해야 합니다: 1. **진위성:** 기기 및 사용자 신원을 확인합니다 2. **권한 부여:** 접근을 적절히 통제합니다 3. **가용성:** 기기의 기능을 유지합니다 4. **기밀성:** 민감한 데이터를 보호합니다 5. **안전한 업데이트 가능성:** 안전한 패치 및 업데이트를 지원합니다 ## **의료기기에는 무엇이 포함되나요?** > “의료기기의 정의에는 자본 장비뿐 아니라 수술 기구, 환자 모니터링 기기, 심지어 소프트웨어도 포함됩니다. 이 분야의 폭넓고 다양한 특성과 생명 및 안전에 의료기기가 지니는 중요한 역할을 고려할 때, 의료기기가 수명주기 전반에 걸쳐 복원력을 갖추도록 사이버 보안에 의도적이고 집중적으로 접근해야 합니다.”\ > —Nancy Brainerd (CISSP/CIPP), 제품 보안 수석 이사 **의료기기 범위에는 다음이 포함됩니다:** * 자본 의료 장비 * 전자 부품이 포함된 수술 기구 * 환자 모니터링 기기 * 의료 소프트웨어 애플리케이션 * 연결형 진단 장비 * 소프트웨어 구성 요소와 연결 기능을 갖춘 모든 기기 *** ## **FDA 요구사항 심층 분석** ### **시판 후 사이버 보안 취약점 및 악용** **제524B(b)(1)조** FD\&C 법에 따라 시판 후 사이버 보안 취약점 및 악용을 모니터링하고, 식별하고, 적절한 경우 합리적인 기간 내에 해결하기 위한 계획을 마련해야 합니다. 여기에는 조정된 취약점 공개와 관련 절차가 포함됩니다. ### **업데이트 및 패치 요구사항** * **알려진 허용 가능한 취약점:** **제524B(b)(2)조 및 제524B(b)(2)(A)조** 에 따라 합리적으로 정당화되는 정기 일정에 맞춰 시판 후 업데이트와 패치를 기기 및 관련 시스템에 제공하여 이러한 취약점을 해결해야 합니다. * **통제되지 않는 위험을 초래할 수 있는 치명적 취약점:** **제524B(b)(2)조 및 제524B(b)(2)(B)조** 에 따라 정기 일정 외에 가능한 한 신속히 업데이트와 패치를 기기 및 관련 시스템에 제공하여 이러한 취약점을 해결해야 합니다. * 기기 수명주기 전반에 걸쳐 정기 패치와 긴급 패치 모두를 수행할 수 있는 역량을 입증해야 합니다. ### **문서화 표준** 2025년 지침은 **위험 기반 문서화를** 강조하므로, 제출 문서의 상세 수준은 임의의 문서화 요구사항이 아니라 기기의 사이버 보안 위험 수준에 부합해야 합니다. *** ## **업계 모범 사례 및 흔히 발생하는 실수** > “기술 변화의 속도에 따라 보안 전략을 재고하고, 사후 대응이 아닌 선제적 사고방식을 받아들여야 합니다.”\ > —Bruce Schneier ### **🚫 FDA 거부로 이어지는 일반적인 위험** 1. **독점 인증 방식 사용:** FDA는 폭넓은 검증을 거친 표준 방식을 선호합니다 2. **기기 간 키 공유:** 각 기기에는 고유한 암호화 키가 필요합니다 3. **보호되지 않은 NFC/RFID 인터페이스:** 예기치 않은 취약점이 발생할 수 있습니다 4. **채널 인증 누락:** 통신에는 서명과 암호화가 적용되어야 합니다 5. **불충분한 위협 모델링:** 해당 기기와 사용 환경의 특성을 반영해야 합니다 ### **✅ FDA가 기대하는 사항** * **포괄적인 위협 모델링** 공인된 프레임워크 사용 * **보안 테스트 증거** 침투 테스트 포함 * **명확한 취약점 관리 프로세스** 일정 포함 * **사용자 보안 정보** 기기 라벨링에 포함 * **정보 공유 및 분석 조직(ISAO) 참여** *** ## **기기 라벨링 요구사항** 사이버 보안 프로그램에는 다음과 같은 라벨링 내용이 포함되어야 합니다. ### **사용자 지침** * 의도된 사용 환경에 권장되는 사이버 보안 통제 * 사용자가 직접 사용하는 보안 통제(암호, 업데이트 등) * 구성 요구사항(방화벽 권장 사항 등) ### **기술 문서** * 의료기기 보안 제조업체 공개 명세서(MDS2) * 완전한 SBOM: SBOM을 완성하고 규제 제출에 필요한 모든 문서를 준비해야 합니다. FDA는 투명성 제고를 위해 고객에게 SBOM을 제공할 것을 권장하지만, 이로 인해 공격 표면이 추가로 노출될 수 있으므로 회사는 이를 신중하게 고려해야 합니다. * 로깅 기능 및 포렌식 로그 수집 지침 ## **사이버 보안 전략 업데이트** #### **즉시 실행할 항목:** 1. **2025년 6월 FDA 지침 검토:** FDA.gov에서 다운로드 2. **확대된 정의에 따라** 자사가 "사이버 기기"에 해당하는지 평가합니다. 3. **SPDF 구현** 및 품질 관리 시스템에 통합 4. **CISA 보고 준비:** 사고 대응 절차를 수립합니다. 5. **문서를 업데이트하여** eSTAR 제출 시 요구되는 12개 문서 요건을 충족합니다. #### **참고할 주요 표준:** * **AAMI SW96** (현재 FDA에서 인정) * **ISO 14971** (안전성 위험 관리) * **AAMI TIR 57** (보안 위험 관리) * **IEC 81001-5-1** (헬스 소프트웨어 보안) #### **기술 고려 사항:** * 광범위한 검증을 거친 암호화 알고리즘을 선택합니다. * 고유한 기기 키를 사용해 적절한 키 관리 체계를 구현합니다. * 안전한 업데이트 메커니즘을 계획합니다. * 하드웨어 리소스 제약을 고려하여 설계합니다. * 감사 로그 기능을 갖춥니다. * **SBOM 공개에 따른 상충 관계:** 구성 요소 세부 정보를 잠재적 위협 행위자에게 공개함으로써 공격 표면 노출이 증가할 수 있다는 점과 FDA의 투명성 권고 사이에서 균형을 유지합니다. *** ## **리소스 및 다음 단계** **2025년 6월 FDA 지침:** #### **FDA 공식 리소스:** * **2025년 6월 지침(PDF):** * **지침 페이지:** * **FDA 사이버 보안 FAQ:** * **FDA 사이버 보안 메인 페이지:** #### **CISA 자료:** * **CIRCIA 정보:** * **CISA 서비스 포털:** 요건 시행 후 사고를 보고하는 경우 #### **업계 도구:** * **MITRE 의료기기 플레이북:** 사고 대응 및 위협 모델링 지침( - 플레이북 PDF는 사이트에서 다운로드해야 합니다) * **MedISAO:** 의료기기 사이버 보안을 위한 정보 공유 조직() *** ## **핵심 요점** {% hint style="success" %} **요약:** 사이버 보안은 이제 기기의 안전성 및 유효성과 불가분의 관계에 있습니다. FDA의 2025년 지침은 선제적이며 전체 수명 주기에 통합된 보안 관리를 요구하는 의료기기 규정 준수의 핵심 축으로 사이버 보안을 명시합니다. {% endhint %} * **사이버 보안 환경은 근본적으로 변화했습니다:** 이는 더 이상 선택적 규정 준수가 아니라 핵심 안전 요건입니다. * **“설계 단계부터 보안 고려”가 이제 법적 요건입니다:** 개발 프로세스에 SPDF를 즉시 통합하십시오. * **CISA 보고 요건 시행이 임박했습니다:** 지금 사고 대응 절차를 준비하십시오. * **문서화 요건이 크게 확대되었습니다:** 이에 맞춰 시간과 자원을 배정하십시오. * **기기 연결성의 정의가 훨씬 광범위해졌습니다:** 그렇지 않음을 입증할 수 없다면 기기가 “연결 가능”하다고 간주하십시오. --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://docs.medcrypt.com/ko/helm/ensure-fda-readiness/fda-and-cisa-cybersecurity-requirements-for-medical-devices.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.