WISE COMPANY

한 번의 소프트웨어 업데이트가 인공심장의 오작동으로 이어진다면,
그 책임은 누구의 것일까요?

안녕하세요.

와이즈 컴퍼니(주)는 고객분들이 빠르게 변화하는 규제적 요구사항에 맞춰
효율적으로 대처할 수 있도록 도와드리고 있습니다.

이번 글에서는 SBOM이 무엇이고 왜 필요하며,
의료기기 사이버 보안에서 왜 필수적인 요소로 주목받고 있는지 알아보겠습니다.

---

SBOM이란 무엇일까요?

몇 년 전, 한 병원에서 사용 중이던 네트워크형 주입 펌프가 멈췄습니다.
조사 결과, 원인은 단 하나 — 내장된 오픈소스 컴포넌트의 취약점이었습니다.

이런 사고를 막기 위한 해결책이 바로 SBOM, 즉 ‘소프트웨어 구성요소 명세서(Software Bill of Materials)’입니다.

---

그럼 SBOM이 왜 필요한가요?

의료기기는 더 이상 단순한 하드웨어가 아닙니다.
AI 모듈, 클라우드 서버, 모바일 앱, 외부 API 등 수많은 소프트웨어 컴포넌트가 서로 연결된 하나의 생태계를 이루고 있습니다.

이런 복잡한 구조 속에서 한 부분의 취약점이 전체 시스템으로 확산될 수 있습니다.
이것을 공급망 보안 위협(Supply Chain Security Risk)이라고 합니다.

문제는 제조사조차 자신의 제품 안에 어떤 오픈소스 라이브러리(Open Source Library)가 쓰였는지,
또 그 버전·라이선스·취약점 상태를 명확히 파악하지 못하는 경우가 많다는 점입니다.

이를 통해 개발자는 각 구성요소의 버전과 출처를 명확히 파악할 수 있고,
각 컴포넌트의 버전, 출처, 라이선스, 취약점 정보(CVE)를 체계적으로 추적할 수 있게 됩니다.

---

SBOM이 제공하는 주요 이점

1) 공급망 보안 강화

• 외부 오픈소스 및 서드파티 라이브러리의 보안 상태, 취약점, 라이선스 충돌 여부를 추적할 수 있습니다.
• CVE가 공개되면, 해당 모듈을 사용하는 제품을 즉시 식별하여 신속히 대응할 수 있습니다.

2) 규제 및 인증 대응

• 미국 FDA: 2023년 이후 신규 의료기기 사이버 보안 심사(Security Review)에서 SBOM 제출을 요구합니다.
• IEC 81001-5-1: SDLC 내 구성요소 관리 및 문서화를 권장합니다.
• 한국 KISA / 식약처 가이드라인: 공급망 보안 항목에서 SBOM 기반 취약점 관리 체계 구축을 요구합니다.

3) 취약점 관리 효율성 향상

• CVE 데이터베이스와 SBOM을 연계하면 자동으로 취약한 구성요소를 탐지할 수 있습니다.
• 결과적으로 패치·업데이트 계획을 더 빠르고 정확하게 수립할 수 있습니다.

4) 환자 안전 확보

• 단순한 시스템 오류가 아닌, 생명과 직결된 리스크를 줄이는 기반이 됩니다.

---

마무리

의료기기 사이버 보안은 복잡한 기술보다 ‘투명성’에서 시작됩니다.

SBOM은 그 투명성을 보장하는 가장 확실한 방법이며,
향후 모든 보안 체계의 출발점이 될 것입니다.

아직 SBOM을 도입하지 않았다면, 지금이 바로 그 첫걸음을 내디딜 때입니다.

---

같이 알아보면 좋은 정보

👇🏻 👇🏻 👇🏻

[사이버 보안] 미국 FDA 사이버 보안 지도 안내

[가이드/안내] 국내 사이버 보안 가이드라인

---

이상으로 SBOM이 왜 필수인가?를 소개해 드렸습니다.
감사합니다.