MDR · IEC 81001-5-1 · ISO 14971 기반 사이버 보안 실무 가이드
안녕하세요.
와이즈컴퍼니(주)는 유럽(CE) 의료기기 사이버 보안 인허가 요구사항에
효과적으로 대응할 수 있도록 지원하고 있습니다.
이번 포스팅에서는 유럽(CE) 의료기기 사이버 보안 인허가를 위한
와이즈컴퍼니(주)의 대응 전략을 소개합니다.
1. 보안은 ‘기술’이 아니라 ‘인허가 요건’
유럽 MDR Annex 1 GSPR 17.1–17.2에서 전자적, 프로그래밍 가능한 시스템을 포함하는 의료기기는
의도된 목적에 따라 신뢰성과 성능을 보장해야 한다고 규정합니다.
또한 소프트웨어는 위험관리, 검증, 정보 보안 원칙에 따라 최신 기술 기준으로 개발되어야 합니다.
즉, MDR은 사이버 보안을 환자 안전(Safety)의 필수 요건으로 보고 있으며,
보안이 확보되지 않은 제품은 안전성이 결여된 제품으로 간주됩니다.
따라서 사이버 보안은 CE 인증 심사에서 주요 평가 항목으로 다뤄집니다.
2. 설계 단계에서 시작되는 보안
제조사는 설치, 운영, 유지 보수 및 사용 종료를 포함한
보안 기능 요구사항을 문서화하기 위한 활동을 수립해야 합니다.
제조사는 보안 요구사항이 제품 요구사항 및 리스크 통제와 일관되고,
모호하지 않으며 시험 기준을 설정할 수 있도록 표현되었는지 검토하는 활동을 수행해야 합니다.
IEC 81001-5-1:2021 Clause 5.2.1–5.2.2에서는 제조자가 의료기기 개발 시
보안 요구사항(Security Requirements)을 설계 입력 단계에서 문서화하고,
해당 요구사항이 리스크 통제와 일관되며 검증 가능하도록 검토해야 한다고 규정합니다.
즉, 보안은 개발 완료 후 점검하는 항목이 아니라,
설계 단계부터 반영되어야 하는 인허가 요건입니다.
3. 보안 리스크는 안전 리스크로 관리된다
제조사는 의료기기의 전체 수명주기에 걸쳐 모든 위험 요인을 식별·분석해야 하며,
이에는 소프트웨어, 시스템, 데이터 보안 실패로 인한 위해도 포함됩니다.
각 식별된 자산에 대해 기밀성(Confidentiality), 무결성(Integrity), 가용성(Availability)의 손실이
안전성, 유효성 또는 데이터/시스템 보안성에 미치는 영향을 평가해야 합니다.
ISO 14971:2019 Clause 4.1은 의료기기의 전 수명주기 동안 발생 가능한 모든 위험을 관리해야 하며,
여기에는 소프트웨어, 데이터 보안 실패로 인한 위해도 포함된다고 명시합니다.
또한 AAMI TIR57:2016 – 4.3.4는 각 자산의 기밀성·무결성·가용성 손실이
안전성과 유효성에 미치는 영향을 평가해야 한다고 규정합니다.
이 두 기준은 모두, 사이버 보안 리스크가 단순한 IT 문제가 아니라
환자 위해를 유발할 수 있는 안전성 리스크임을 명확히 합니다.
4. 문서로 입증되는 보안 체계
MDR Annex 2는 기술 문서(Technical Documentation)에
Annex 1(GSPR)의 안전·성능 요건 준수를 입증하는 보안 요구사항과 검증 결과를 포함하도록 규정합니다.
또한 MDCG 2019-16 Rev.1 – 4.1항은
보안 위험에 대응한 해결책의 정당성, 검증, 검증 결과를 문서로 제시해야 한다고 명시합니다.
즉, 보안은 단순히 구현 여부가 아니라,
문서로 증명되는 인허가 요건입니다.
5. 와이즈컴퍼니(주)의 사이버 보안 CE 인허가 지원
와이즈컴퍼니(주)는 사이버 보안 시험부터 문서화까지 모두 통합 지원합니다.
MDR, ISO 14971, IEC 81001-5-1을 기반으로, NB 심사에 적합한 보안 체계를 구축할 수 있도록 돕습니다.
1) 사이버 보안 시험 및 문서화 전체 흐름도
| 단계 | 주요 활동 | 세부 내용 |
|---|---|---|
| STEP 1 | SBOM 추출 |
소프트웨어 구성요소와 버전, 라이선스를 식별해 취약점 및 공급망 보안 위험을 관리합니다. |
| STEP 2 | 1차 시험 전 문서화 (2주) |
1) Threat Model 2) Architecture Views 3) Labeling |
| STEP 3 | 시험 준비 (1주) |
1) 계획 수립 2) 정보 수집 |
| STEP 4 | 1차 시험 시작 (5주) |
1) 취약점 자동 검증 2) 취약점 수동 검증 3) 매뉴얼 수동 검증 4) 증거 수집 5) 시험 보고서 |
| STEP 5 | 취약점 완화 기간 + 문서화 (4주–8주) | 1) Cybersecurity Management Plans |
| STEP 6 | 2차 시험 시작 (2주) |
1) 재시험 2) 재시험 보고서 |
| STEP 7 | 2차 시험 후 문서화 (4주) |
1) Cybersecurity Risk Management Report 2) Measures and Metrics 3) Requirements (Controls) |
2) 시험 프로세스 (Testing Workflow)
| 단계 | 주요 활동 | 세부 내용 |
|---|---|---|
| STEP 1 | 계획 수립 (Planning) | 범위·방법·리스크·허가(법적)를 확정합니다. |
| STEP 2 | 정보 수집 (Reconnaissance & Discovery) |
공개 출처 및 허가된 범위 내에서 타깃 정보를 수집하여 테스트 전략을 수립합니다. |
| STEP 3 | 취약점 자동 검증 (Automated Scanning) |
넓은 범위를 대상으로 스캐너·도구를 이용해 잠재 취약점을 빠르게 탐지합니다. |
| STEP 4 | 취약점 수동 검증 (Manual Verification) |
자동 탐지 결과의 오탐을 제거하고 실제 악용 가능성을 수동으로 확인합니다. |
| STEP 5 | 매뉴얼 수동 검증 (Controlled Exploitation) |
비즈니스 로직, 권한 상승, 인증 우회 등 고급 취약점을 통제된 환경에서 검증합니다. |
| STEP 6 | 증거 수집 (Evidence & Forensics) |
발견된 취약점 및 익스플로잇에 대한 증거를 안전하게 수집·보존합니다. |
| STEP 7 | 보고서 (Reporting & Handover) | 규제 제출용·내부 개선용 증거 기반 보고서를 완성합니다. |
| STEP 8 | 재검증 (Retest) | 취약점을 제거 또는 보완한 항목에 대해 재시험을 진행합니다. |
3) 문서화 (Documentation)
CE의 사이버 보안 문서화 요구는
MDR(2017/745)의 안전성 원칙과
MDCG 2019-16 Rev.1의 보안 위험 관리 체계 요구,
그리고 IEC 81001-5-1의 프로세스 통합 규정을 기반으로 합니다.
심사기관(NB)은 이를 근거로 FDA 가이드라인 수준의 보안 문서 구성을 요구하며,
와이즈컴퍼니(주)는 위의 국제 기준을 통합해 리스크 중심 문서화 체계를 제공합니다.
| 번호 | 제공 문서 | 세부 내용 |
|---|---|---|
| 1 |
사이버 보안 위험관리 보고서 (Cybersecurity Risk Management Report) |
1) 위험 모델 (Threat Model) 2) 사이버 보안 위험 평가 (Cybersecurity Risk Assessment) 3) 소프트웨어 자재 명세서 및 관련 정보 (Software Bill of Materials(SBOM) and Related Information) |
| 2 | 보안 조치 및 지표 (Measures and Metrics) | 적용된 보안 조치와 그 효과를 수치화하여 평가한 자료입니다. |
| 3 | 아키텍처 뷰 (Architecture Views) | 시스템 구조와 데이터 흐름을 시각적으로 표현한 설계 문서입니다. |
| 4 | 보안 요구사항 (통제) – Requirements (Controls) | 보안 요구사항 및 통제 기준을 정의하고 검증한 문서입니다. |
| 5 | 시험 요약 (Test Summary) | 수행된 보안 시험 항목과 주요 결과를 요약한 보고서입니다. |
| 6 | 라벨링 문서 (Labeling) | 사용자 대상 보안 경고, 주의사항 및 관리 지침을 포함한 문서입니다. |
| 7 |
사이버 보안 관리 계획 (Cybersecurity Management Plans) |
제품의 운영, 패치, 대응 절차를 포함한 보안 관리 계획서입니다. |
| 8 | 상호 운용성 (Interoperability) – 필요 시 | 다른 시스템 또는 기기와의 연동 시 보안성·호환성을 검증한 자료입니다. |
| 9 | Software Validation Report – 필요 시 |
업데이트 또는 신규 개발된 소프트웨어가 기존 기능과 보안 요구사항에 부합하는지 검증한 보고서입니다. |
같이 알아보면 좋은 정보
이상으로 유럽(CE) 의료기기 사이버 보안 인허가 대응 전략이었습니다.
감사합니다.
문의
유럽(CE) 의료기기 사이버 보안 인허가 및 MDR 대응
와이즈컴퍼니와 함께 합리적으로 진행하세요.
아래 연락처 또는 카카오톡으로 문의주시면 성심껏 도와드리겠습니다.
와이즈 – 국내외 인허가 자문
와이즈컴퍼니(주) 카카오톡 문의하기
WISE COMPANY 
댓글 남기기