싱가포르 HSA GL-10-R1 의료기기 사이버보안 모범실무 가이드 확정(2026-08-14) — 123건 의견 반영 TPLC 프레임, SBOM·취약점관리·지원종료, FDA 524B·CSA 라벨링과의 차이, 한국 커넥티드·SaMD의 아세안 제출 체크리스트

2026년 8월 14일 확정된 싱가포르 HSA GL-10-R1(의료기기 사이버보안 모범실무 가이드) 정밀 분석: 16개 이해관계자 123건 의견수렴 통계(기술 57.7%·편집 38.2%), 제조사-의료기관 TPLC 협력 의무, 조달 단계 10대 보안 정보(SBOM·OS/포트·패치일정·통지경로), VMS 취약점관리·지원종료(EoS), 미국 FDA 524B 법정 의무 및 싱가포르 CSA 라벨링과의 차이, 한국 커넥티드·SaMD 90일 실행 로드맵.

왜 지금 HSA GL-10-R1인가 — 2026년 8월 14일 확정과 아세안 허브 조달

동남아시아 및 아태지역(APAC) 진출을 추진하는 한국의 커넥티드 의료기기(Connected Medical Devices), 인공지능(AI) 의료영상 솔루션, 디지털 치료기기(DTx), 연속혈당측정기(CGM), 스마트 인퓨전 펌프 및 소프트웨어 의료기기(SaMD) 개발사에게 싱가포르는 단순한 단일 국가 시장이 아닙니다.

싱가포르 보건과학청(HSA)의 품목허가 및 등록 이력은 아세안 의료기기 지침(AMDD) 체계 하에서 말레이시아(MDA), 태국(Thai FDA), 인도네시아(BPOM), 베트남 등 동남아 주요국 릴라이언스(규제 신뢰) 승인의 핵심 참조 자산으로 활용됩니다.
그러나 최근 병원 내 랜섬웨어 공격, 의료기기 통신 프로토콜 탈취, 오픈소스 라이브러리 제로데이(0-day) 취약점 등 임상 현장의 사이버 위협이 급증함에 따라, HSA는 기기의 '출시 전 안전성'을 넘어 **'제품 전주기(Total Product Life Cycle, TPLC)에 걸친 사이버보안 거버넌스'**를 본격 제도화하기 시작했습니다.

이러한 규제 흐름의 정점에서, 싱가포르 HSA는 2026년 8월 14일 공식 의견수렴 피드백 회신(Summary of Responses to Feedback from Public Consultation)을 공표함과 동시에, 의료기기 가이던스 공식 저장소에 최종 확정본인 **「GL-10-R1: Best Practices Guide on Medical Device Cybersecurity (2026 Aug PUB)」**을 전격 등재했습니다.

┌────────────────────────────────────────────────────────────────────────┐
│             HSA GL-10-R1 의료기기 사이버보안 TPLC 거버넌스 프레임워크          │
├────────────────────────────────────────────────────────────────────────┤
│  [1. 설계 및 개발 (Design)]                                            │
│  · 위협 모델링(Threat Modeling), 보안 아키텍처, 암호화, 접근 제어 설계 │
│  · SBOM(소프트웨어 자재명세서) 생성 및 정적/동적 보안 테스팅(DAST/SAST) │
│                                                                        │
│  [2. 조달 및 설치 (Procurement & Installation)]                        │
│  · 제조사 ➔ 의료기관: 10대 보안 정보 공개 (SBOM, OS, 포트, 패치 정책) │
│  · 네트워크 분할, 방화벽 룰 정렬, 관리자 계정 초기화 및 보안 하드닝    │
│                                                                        │
│  [3. 시판 후 운영 및 취약점 관리 (Operations & VMS)]                   │
│  · 취약점 관리 시스템(VMS) 가동, CVSS 기반 위험도 평가 및 긴급 패치     │
│  · 협력적 취약점 공개 정책(Coordinated Vulnerability Disclosure) 운영  │
│                                                                        │
│  [4. 지원종료 및 폐기 (End of Support & Decommissioning)]              │
│  · EoS 사전 통지, 환자 데이터 완전 소거(Data Wiping), 레거시 보상 통제 │
│  · 레거시 장비용 보상 통제(Compensating Controls) 가이드라인 제공       │
└────────────────────────────────────────────────────────────────────────┘

본 가이드라인은 제조사(MDM) 단독의 설계 의무만을 규정하던 과거 방식에서 벗어나, **제조사와 의료기관(Healthcare Provider, HCP)이 상호 정보를 교환하고 책임을 분담하는 '공동 거버넌스 모델'**을 제시합니다.

싱가포르를 교두보로 아세안 공공병원 조달 및 민간 의료원 공급을 준비하는 한국 의료기기·SaMD 기업이 이번 GL-10-R1 확정본을 어떻게 해석하고 기술문서 및 병원 조달 패키지에 반영해야 하는지 핵심 쟁점을 정밀 해부합니다.

의견수렴 123건이 바꾼 것 — 16개 이해관계자 피드백 통계와 최종본 등재

HSA가 2026년 8월 14일 공개한 공청회 결과 보고서(Summary of Responses)에 따르면, 본 가이던스는 2025년 3월 10일부터 5월 13일까지 진행된 공개 의견수렴을 거쳐 광범위한 산업계·의료계 피드백을 수용했습니다.

공청회 기간 동안 총 **16개 주요 이해관계자(글로벌 의료기기 협회, 싱가포르 공공보건군, 글로벌 다국적 제조사, 사이버보안 전문기관 등)**로부터 총 123건의 세부 의견이 접수되었습니다.

┌────────────────────────────────────────────────────────────────────────┐
│           HSA GL-10-R1 공청회 의견수렴 통계 및 평가 지표 (2026.08.14)   │
├────────────────────────────────────────────────────────────────────────┤
│  · 총 접수 의견: 123건 (16개 국내외 이해관계자 단체)                   │
│  · 기술적 요구사항 및 조항 수정 (Technical): 71건 (57.7%)              │
│  · 용어 정의 및 문맥 명확화 (Editorial): 47건 (38.2%)                  │
│  · 기타 정책 제안 및 질문 (Suggestions/Others): 5건 (4.1%)             │
│  · 가이드라인 전반적 명확도 평점: 4.5점 / 5.0점 만점                   │
│  · 최종본 등재: HSA Medical Devices Cluster GL-10-R1 (2026 Aug PUB)    │
└────────────────────────────────────────────────────────────────────────┘

피드백 분류	접수 건수 (비중)	주요 쟁점 및 HSA 최종 반영 사항
기술적 조항 (Technical)	71건 (57.7%)	제조사와 의료기관 간 책임 경계선 명확화, 레거시 기기 EoS 보상 통제 세분화, SBOM 포맷 유연성 부여, 침투 테스트 및 취약점 평가 주기 권고 수준 조정
편집 및 용어 (Editorial)	47건 (38.2%)	IMDRF(국제의료기기규제당국자포럼) N60/N73 표준 용어 정합, SaMD 및 커넥티드 하드웨어 정의 조율, 중복 표현 정비
정책 제안 (Suggestions)	5건 (4.1%)	싱가포르 사이버보안청(CSA) 라벨링 제도와의 역할 분담 명시, 병원 조달 가이드라인과의 연계 방안 수록

HSA는 123건 중 과반수를 차지한 기술적 피드백(57.7%)을 대폭 반영하여, 초안에서 모호했던 **"병원 현장 배포 시 제조사의 기술 지원 한계"**와 **"단종(EoS) 이후 구형 기기의 보안 통제 수칙"**을 정교화했습니다.

이로써 GL-10-R1은 국제 표준(IMDRF Principles and Practices for Medical Device Cybersecurity)과의 조화를 유지하면서도 싱가포르 보건의료 인프라에 즉시 적용 가능한 실행형 가이드로 확정되었습니다.

TPLC 실무 구조 — 제조사와 의료기관이 나눠 갖는 조달·운영·지원종료 의무

GL-10-R1의 가장 두드러진 특징은 의료기기 사이버보안을 **'제조사(MDM)'**와 **'의료기관(HCP)'**의 양방향 협업 체계로 정의했다는 점입니다.

한국 기업들이 기존에 익숙한 미국 FDA 524B 사전허가 사이버보안 규제가 제조사의 설계·제출 의무에 초점을 맞췄다면, HSA GL-10-R1은 병원 설치 후 운영과 폐기 단계에서 양측이 무엇을 주고받아야 하는지 구체적인 역할을 규정합니다.

┌────────────────────────────────────────────────────────────────────────┐
│                   HSA GL-10-R1 제조사 vs 의료기관 TPLC 책임 매트릭스     │
├────────────────────────────────┬───────────────────────────────────────┤
│  [의료기기 제조사 (MDM)의 역할] │  [헬스케어 프로바이더 (HCP)의 역할]   │
├────────────────────────────────┼───────────────────────────────────────┤
│  · Secure-by-Design 아키텍처   │  · 병원 네트워크 위험 평가 및 승인    │
│  · SBOM 및 보안 사양서 제공    │  · 의료기기 전용 VLAN 분할 및 격리    │
│  · 정기/긴급 보안 패치 개발    │  · 제조사 검증 완료 패치 신속 배포   │
│  · 취약점 모니터링 및 VDP 운영 │  · 원내 이상 징후 및 보안 침해 통지   │
│  · EoS 공고 및 데이터 소거 지침│  · 레거시 기기 보상 통제 및 안전 폐기 │
└────────────────────────────────┴───────────────────────────────────────┘

TPLC 단계	제조사(MDM) 필수 이행 사항	의료기관(HCP) 필수 이행 사항
1. 조달 (Procurement)	제품 보안 백서, SBOM, 통신 포트/프로토콜 목록, 암호화 방식, MDS2(의료기기 보안 설명서) 제공	보안 조달 체크리스트 기반 위험 평가, 원내 IT 거버넌스 및 EMR/PACS 연동 적합성 검토
2. 설치 (Installation)	보안 하드닝 가이드, 공장 초기 비밀번호 변경 강제화, 기본 관리자 권한 최소화 지원	독립된 의료기기 보안망(VLAN) 배치, 방화벽 접근 제어 룰셋 적용, 자산 관리 시스템 등록
3. 시판 후 운영 (Post-market)	취약점 관리 시스템(VMS) 운영, 임상 안전에 영향을 줄 수 있는 취약점의 평가·통지·패치 제공	정기 보안 패치 승인 및 임상 일정 고려한 업데이트 적용, 비인가 USB 차단 및 엔드포인트 통제
4. 지원종료 (End of Support)	EoS 사전 통지, 보안 지원 중단 후 잔존 위험 공지, 레거시 보상 통제안 제시. 통지 시점은 초안에서 지원/제한지원/종료 단계로 구분되며, 최종 PDF 조항을 제품별로 확인해야 한다	단종 장비의 망분리 격리(Micro-segmentation), 환자 개인정보 영구 소거 확인 후 폐기 처리

한국의 디지털 헬스케어 기업이 싱가포르 공공병원(SingHealth, NUHS, NHG 등)에 납품하기 위해서는 식약처 품목허가 문서 외에, 위 표에 정의된 조달-설치-운영 단계별 보안 패키지가 사전에 구비되어 있어야 합니다.

SBOM·보안문서·VMS — 등록 및 병원 조달 10대 제출·공개 정보 목록

2025년 공청회 초안(조달·설치 단계)은 제조사가 의료기관에 넘겨야 할 보안 정보 목록을 구체적으로 적시했습니다. 2026년 8월 14일 회신·목록 등재로 최종본이 공개됐지만, HSA CDN이 비브라우저 요청을 막는 탓에 아래 10항목은 초안 조항을 골격으로 정리한 실무 체크리스트입니다. 등록 기술문서(CSDT)와 병원 입찰 패키지에 넣기 전에 가이던스 포털의 GL-10-R1 최종 PDF와 한 줄씩 대조해야 합니다.

┌────────────────────────────────────────────────────────────────────────┐
│          HSA GL-10 초안 기준 조달·등록용 10대 보안 정보 체크리스트          │
├────────────────────────────────────────────────────────────────────────┤
│  [1. SBOM (Software Bill of Materials)]                                │
│     · 상용/오픈소스(OSS) 라이브러리 명칭, 버전, 공급업체, 알려진 취약점  │
│  [2. OS 및 펌웨어 사양 (Operating System)]                             │
│     · 상용 OS/임베디드 OS 버전, 지원 주기, 보안 패치 베이스라인         │
│  [3. 통신 포트 및 서비스 (Ports & Protocols)]                           │
│     · 인바운드/아웃바운드 개방 포트 번호, 사용 프로토콜(HL7, DICOM, TLS)│
│  [4. 방화벽 및 네트워크 분할 규칙 (Firewall Rules)]                    │
│     · 필수 허용 IP 대역, 서브넷 요구사항, 원격 유지보수 VPN 정책        │
│  [5. 패치 주기 및 유지보수 정책 (Maintenance Schedule)]                 │
│     · 정기 보안 업데이트 주기(분기/반기), 긴급 제로데이 대응 SLA         │
│  [6. 안티멀웨어 및 엔드포인트 보호 (Endpoint Protection)]               │
│     · 원내 백신 프로그램과의 호환성 목록, 화이트리스트 기반 제어 가이드  │
│  [7. 감사 로깅 및 SIEM 연동 (Audit Logging)]                           │
│     · 보안 이벤트 로그 포맷(Syslog), 접근 기록 보존 주기 및 암호화 여부 │
│  [8. 백업 및 재난 복구 (Backup & Recovery)]                             │
│     · 데이터 백업 절차, 랜섬웨어 감염 시 골든 이미지 기반 복구 RTO/RPO  │
│  [9. 협력적 취약점 공개 경로 (Vulnerability Disclosure Policy)]         │
│     · 보안 결함 제보 공식 접수 창구, 보안 연구원 협력 및 대응 SLA       │
│  [10. 관리자 계정 및 보상 통제 (Privileged Access & Compensating)]      │
│     · 공장 기본 비밀번호 금지, 다중인증(MFA), 구형 장비 물리적 격리 방안│
└────────────────────────────────────────────────────────────────────────┘

이 중 특히 핵심적인 요구사항은 **SBOM(소프트웨어 자재명세서)**과 **취약점 관리 시스템(VMS)**입니다.

SBOM 포맷 및 깊이:
- HSA는 SPDX, CycloneDX 등 국제 표준 머신리더블 포맷을 권장합니다.
- 단순 명칭 나열이 아니라, 포함된 오픈소스 라이브러리의 버전별 NVD(National Vulnerability Database) CVE 식별자 매핑이 동반되어야 합니다.
- 미국 eSTAR v5 사이버보안 심사에서 요구하는 SBOM 구조와 기본적으로 호환됩니다. 싱가포르 공공병원 조달팀은 미국식 MDS2(Manufacturer Disclosure Statement for Medical Device Security) 요약본을 별도로 요구하는 경우가 많지만, 이는 HSA 법정 서식이 아니라 병원 IT 질의 관행입니다.
취약점 관리 시스템(VMS)과 변경관리 연계:
- 제품 수명주기 동안 새로운 취약점이 발견되면, 제조사는 심각도와 임상 안전 영향을 평가해 의료기관에 통지·패치할 수 있는 VMS를 운영해야 합니다. CVSS 점수 자체는 국제 실무 척도이지, GL-10이 특정 컷오프(예: 7.0)를 법정 기준으로 공표한 것은 아닙니다.
- 단순 보안 패치는 싱가포르 SaMD 변경관리(GL-04-R4 CMP·GN-37 변경통지) 체계 하에서 사후 보고 또는 정기 보고로 처리할 수 있으나, 알고리즘 구조나 임상 인터페이스가 변경되는 보안 패치는 사전 변경허가(Notification/Amendment) 대상이 되므로 주의해야 합니다.
지원종료(End of Support, EoS) 거버넌스:
- 구형 윈도우 OS(예: Windows 7/Embedded)를 사용하는 장비의 경우, 제조사가 보안 패치를 더 이상 제공하지 못하더라도 임의로 현장 장비를 방치할 수 없습니다.
- 제조사는 '네트워크 완전 분리', 'USB 포트 물리적 봉인', '읽기 전용 모드 전환' 등 보상 통제(Compensating Controls) 지침을 병원에 공식 문서로 제공해야 합니다.

FDA 524B·eSTAR vs HSA GL-10-R1 vs CSA 라벨링 3축 비교

국내 RA 실무진이 가장 흔히 저지르는 실수는 **"미국 FDA용 사이버보안 서류를 그대로 번역해서 내면 되는지"**와 **"싱가포르 사이버보안청(CSA)의 라벨링 제도와 HSA 등록이 같은 것인지"**를 혼동하는 것입니다.

아래 비교표는 세 제도의 법적 성격, 대상 범위, 필수 제출 서류를 명확히 구분합니다.

┌────────────────────────────────────────────────────────────────────────┐
│              글로벌 사이버보안 규제 3대 제도 비교 프레임워크               │
├────────────────────────────────┬───────────────────────────────────────┤
│  [미국 FDA Section 524B/eSTAR] │  [싱가포르 HSA GL-10-R1 모범실무]     │
│  · 법적 강제 규정 (Statutory)  │  · 규제 가이던스/모범실무 (Guidance)  │
│  · 미비 시 RTA(접수 거절) 발생 │  · 미비 시 등록 질의 및 병원 조달 탈락 │
│  · 제출 대상: FDA 심사관       │  · 제출 대상: HSA 심사관 + 병원 조달팀 │
├────────────────────────────────┴───────────────────────────────────────┤
│  [싱가포르 CSA 의료기기 사이버보안 라벨링 스킴 (CLS(MD))]               │
│  · 싱가포르 사이버보안청(CSA) 주관의 '자발적 보안 인증 등급(Level 1~4)' │
│  · HSA 의료기기 등록과 행정적으로 분리된 별도 정부 인증 프로그램      │
└────────────────────────────────────────────────────────────────────────┘

비교 항목	미국 FDA Section 524B / eSTAR	싱가포르 HSA GL-10-R1	싱가포르 CSA CLS(MD) 라벨링
주관 기관	미국 FDA (CDRH / CBER)	싱가포르 보건과학청 (HSA)	싱가포르 사이버보안청 (CSA)
법적 성격	연방법 법정 의무 (Statutory Mandate)	규제 모범실무 가이드 (Best Practices)	자발적 보안 등급 인증 (Voluntary)
미준수 시 페널티	RTA (Refuse to Accept, 심사 개시 전 반려)	등록 심사 보완 질의(RFI) 및 공공병원 조달 탈락	라벨 미부착 (제품 판매 자체는 가능)
규제 대상 영역	Cyber Device 사전허가 기술 서류 (510k, PMA 등)	의료기기 등록(CSDT) + 병원 조달/설치/운영 TPLC	컨슈머/병원용 기기 보안 강도 (Level 1~4)
핵심 산출물	12종 사전허가 사이버보안 서류, eSTAR 자동 스크리닝	10대 보안 정보 세트, MDS2, VMS 정책, EoS 계획서	CSA 승인 시험기관 평가 보고서, 보안 라벨
병원(HCP) 연계	제조사 제출 의무 중심 (병원 역할은 별도 가이드)	제조사-병원 간 양방향 정보 교환 의무 명시	구매자 대상 보안 가시성 제공

미국 FDA 524B와의 차이: FDA는 연방법(FD&C Act § 524B)에 따라 사이버보안 서류가 1건이라도 누락되면 FDA 사전허가 가이드에 따라 행정 반려(RTA)를 내립니다. 반면 HSA GL-10-R1은 모범실무 형식이지만, HSA SMDR 등록 데이터에서 확인되듯 커넥티드 기기 심사 시 동일한 수준의 보안 논리를 CSDT Annex 2(소프트웨어 검증)에 포함하도록 요구하므로 실질적인 강제력을 가집니다.
싱가포르 CSA CLS(MD)와의 혼동 방지: 공식 명칭은 Cybersecurity Labelling Scheme for Medical Devices, **CLS(MD)**입니다. 사이버보안청(CSA)이 보건부·HSA·Synapxe와 함께 운영하는 자발적 4단계 라벨이지, HSA 등록 조건이 아닙니다. GL-10-R1 준수가 라벨 자동 획득을 의미하지 않으며, 라벨이 없어도 HSA 등록·병원 납품 자체는 가능합니다. 다만 CSA는 2026년 5월 31일부터 신규 CLS(MD) 신청을 기술적 일시 중단(technical halt)한다고 공지했으므로, 라벨을 조달 가점으로 쓰려던 일정은 CSA 재개 공고를 확인한 뒤 다시 짜야 합니다.

한국 커넥티드 기기·SaMD의 아세안 CSDT 및 병원 조달 패키지 재배열 전략

한국 기업이 싱가포르 및 아세안 진출 시 보유하고 있는 기존 자산(식약처 인허가 자료, 미국 FDA 524B 패키지, 미국 병원 조달 설문 답변서)을 어떻게 HSA GL-10-R1 규격으로 재배열해야 하는지 전략을 제시합니다.

┌────────────────────────────────────────────────────────────────────────┐
│            기존 글로벌 인허가 자산의 HSA GL-10-R1 재배열 아키텍처        │
├────────────────────────────────────────────────────────────────────────┤
│  [기존 원천 자산]                     [HSA GL-10-R1 타깃 문서 패키지]  │
│  · FDA 524B Threat Model      ───►  · CSDT Annex 2 소프트웨어 보안 서류│
│  · CycloneDX SBOM 파일         ───►  · HSA CSDT 제출용 SBOM (CVE 매핑) │
│  · 미국 병원 HECVAT/MDS2 설문  ───►  · 싱가포르 공공병원 조달 10대 패키지│
│  · 식약처 SaMD 소프트웨어 수명주기 ──► · GL-04-R4 CMP·GN-37 변경통지 연계 │
└────────────────────────────────────────────────────────────────────────┘

CSDT 등록 기술문서 편철:
- HSA 등록 서류(CSDT)의 소프트웨어 검증 섹션에 **'GL-10-R1 적합성 요약표(Cybersecurity Traceability Matrix)'**를 신설합니다.
- 기기가 지원하는 통신 인터페이스(Bluetooth, Wi-Fi, Ethernet, Cellular), 실제 채택한 암호화·인증 메커니즘을 명시합니다. AES-256이나 TLS 1.3은 흔한 구현 예시일 뿐, GL-10이 특정 알고리즘을 법정 표준으로 지정한 문구로 읽히면 안 됩니다.
병원 조달 전용 Security Dossier 분리 제작:
- 규제당국에 내는 기밀 기술문서와 별도로, 싱가포르 병원 IT 심의위원회(IT Security Committee)에 제출할 **비기밀 보안 요약서(Whitepaper & MDS2)**를 독립 문서로 패키징합니다.
- 방화벽 오픈 포트 목록, 안티바이러스 에이전트 설치 가능 여부, 원격 유지보수 시 싱가포르 현지 공인 VPN 터널링 지원 여부를 포함해야 기술 심의 병목을 방지할 수 있습니다.

한국 기업의 90일 실행 로드맵

2026년 하반기 싱가포르 및 아세안 시장에 커넥티드 기기나 SaMD를 공급하려는 국내 제약·메드텍 기업은 다음 4단계 일정에 맞춰 사이버보안 체계를 정비해야 합니다.

┌────────────────────────────────────────────────────────────────────────┐
│             한국 기업의 HSA GL-10-R1 대응 90일 실행 로드맵                │
├────────────────────────────────────────────────────────────────────────┤
│  [D+15: 자산 인벤토리 및 기확보 보안 산출물 갭 분석]                     │
│  · 오픈소스 라이브러리 스캔 및 CycloneDX/SPDX 기반 SBOM 최신화         │
│  · FDA 524B 또는 식약처 사이버보안 문서와 GL-10-R1 요구항목 매핑       │
│                                                                        │
│  [D+30: 조달용 10대 보안 정보 세트 및 MDS2 패키지 작성]                 │
│  · 포트/프로토콜 사양서, 패치 SLA 정책서, 방화벽 룰셋 정의서 편철      │
│  · 병원 제출용 비기밀 제품 보안 백서(Product Security Whitepaper) 완성  │
│                                                                        │
│  [D+60: VMS 취약점 관리 및 협력적 공개(VDP) SOP 공식화]                │
│  · 홈페이지 내 보안 취약점 제보 창구(security@company.com) 개설         │
│  · 취약점 발견 시 72시간 이내 1차 평가 및 패치 배포 절차 SOP 수립      │
│                                                                        │
│  [D+90: 싱가포르 현지 대리인(Registrant) 연계 및 HSA CSDT 제출]       │
│  · 싱가포르 현지 공인 대리인에게 GL-10-R1 규격 기술문서 전달            │
│  · 현지 공공병원 입찰 사전 적격성 심의(IT Pre-qualification) 신청      │
└────────────────────────────────────────────────────────────────────────┘

D+15 (자산 인벤토리 및 갭 분석): 소프트웨어 형상 관리 시스템에서 서드파티 라이브러리를 전수 추출하여 최신 SBOM을 생성하고, 알려진 취약점(CVE)에 대한 패치 또는 리스크 완화 조치를 완료합니다.
D+30 (조달 패키지 편철): 초안 기준 10대 보안 정보(포트, 프로토콜, 백업, 안티멀웨어 정책 등)를 구조화된 문서 세트로 바인딩하고, 최종 PDF와 대조한 뒤 병원 IT 부서 대응용 표준 질의응답집을 마련합니다.
D+60 (VMS 및 VDP 거버넌스 구축): 시판 후 취약점 관리를 담당할 전담 인력을 지정하고, 외부 보안 연구원이나 고객사로부터 결함을 제보받을 수 있는 공식 VDP 채널을 가동합니다.
D+90 (현지 등록 및 조달 진입): 현지 Registrant를 통해 HSA CSDT 서류를 접수하고, 싱가포르 국공립 의료원 공급망 입찰 시 필수 보안 요건을 충족함을 입증합니다.

자주 묻는 질문 (FAQ)

Q1. GL-10-R1은 법적 규정이 아닌 모범실무(Best Practices)인데 지키지 않아도 HSA 등록이 가능한가요?

원칙적으로 가이던스 형식이며, 미국 524B처럼 접수 단계에서 자동 반려하는 법정 조항은 아닙니다. 다만 HSA는 커넥티드 기기 등록 심사 시 CSDT 소프트웨어 검증 섹션에 사이버보안 안전성 근거를 요구하고, GL-10 수준에 미달하면 심사관의 공식 보완 질의(RFI)로 등록이 수개월 지연될 수 있습니다. 싱가포르 주요 병원(SingHealth 등)의 조달 심의에서도 동등한 보안 정보 패키지가 사실상 입찰 조건이 됩니다.

Q2. 미국 FDA용으로 만든 eSTAR 사이버보안 서류를 그대로 제출해도 되나요?

원천 기술 데이터는 100% 재사용 가능하지만, 문서 구조는 재배열해야 합니다. FDA용 위협 모델링, 침투 시험 성적서, SBOM은 유효한 근거가 됩니다. 다만 HSA는 '병원 조달 및 설치 시 제공할 정보 목록(포트, 패치 일정, 방화벽 룰 등)'을 별도로 요구하므로, FDA eSTAR 첨부 서류를 HSA 10대 항목에 맞게 분리·재구성하여 제출해야 합니다.

Q3. 싱가포르 사이버보안청(CSA)의 의료기기 라벨링(CLS(MD))과 HSA GL-10-R1은 어떤 관계인가요?

서로 다른 정부 기관이 운영하는 별개의 독립 제도입니다. HSA GL-10-R1은 보건과학청의 의료기기 인허가 및 임상 현장 TPLC 가이드라인이며, CSA **CLS(MD)**는 사이버보안청이 주관하는 자발적 보안 등급(Level 1~4) 라벨링 제도입니다. HSA 등록을 위해 CSA 라벨이 필수는 아닙니다. 2026년 5월 31일부터는 신규 CLS(MD) 신청이 기술적 일시 중단 상태이므로, 라벨 일정을 병원 입찰 가점으로 잡아 둔 팀부터 CSA 재개 공고를 확인해야 합니다.

Q4. 단종 예정이거나 OS 업그레이드가 불가능한 레거시 의료기기는 어떻게 처리해야 하나요?

제조사가 '보상 통제(Compensating Controls)' 가이드를 공식 제공해야 합니다. 초안은 지원·제한지원·지원종료 단계에서 제조사와 의료기관의 역할을 나누고, 종료 이후에도 병원이 장비를 격리(VLAN 분리, USB 봉인, 인트라넷 전용 운영)할 수 있는 보상 수칙을 남기라고 권고합니다. 12~24개월 전 통지는 업계에서 자주 쓰는 운영 여유이지, 최종본에서 확인하지 못한 법정 최소 기간으로 단정하면 안 됩니다.

Q5. SaMD 제품의 경우 GL-04(소프트웨어 수명주기)나 GN-37(변경관리)과 어떻게 연계되나요?

소프트웨어 설계 및 수명주기·인공지능 변경관리 프로그램(CMP)은 GL-04-R4가 뼈대이고, 시판 후 변경 통지 절차는 GN-37이 담당합니다. CMP를 GN-37의 별칭처럼 부르면 안 됩니다. GL-10-R1은 이 위에 사이버보안 TPLC 통제를 얹는 모범실무이므로, 세 문서를 하나의 소프트웨어 거버넌스 패키지로 매핑해야 합니다.

참고 출처

싱가포르 보건과학청(HSA) 공청회 결과 보고서: Summary of Responses to Feedback from Public Consultation on Best Practices Guide for Medical Device Cybersecurity (14 August 2026)
싱가포르 보건과학청(HSA) 의료기기 가이던스 포털: HSA Guidance documents for medical devices — GL-10-R1 Best Practices Guide on Medical Device Cybersecurity (2026 Aug PUB, Last updated 14 August 2026)
싱가포르 보건과학청(HSA) 공청회 초안 공고: Public Consultation on Best Practices Guide for Medical Device Cybersecurity (10 March 2025 – 13 May 2025)
미국 식품의약국(FDA) 사전허가 사이버보안 가이던스: Cybersecurity in Medical Devices: Quality System Considerations and Content of Premarket Submissions (FDA-2021-D-1158 / FD&C Act Section 524B)
국제의료기기규제당국자포럼(IMDRF) 표준: Principles and Practices for Medical Device Cybersecurity (IMDRF/CYBER WG/N60FINAL:2020)
싱가포르 사이버보안청(CSA) CLS(MD): Cybersecurity Labelling Scheme for Medical Devices — updates (technical halt from 31 May 2026)
KoreaMED Global 전략 가이드: 미국 FDA 의료기기 사전허가 12대 사이버보안 서류 전략
KoreaMED Global 전략 가이드: FDA eSTAR v5 사이버보안 자동 스크리닝 대응 가이드
KoreaMED Global 전략 가이드: 싱가포르 HSA 의료기기 등록 레지스트리(SMDR) 데이터 심층 분석
KoreaMED Global 전략 가이드: 아태지역 SaMD 변경관리(PCCP·CMP) 비교 가이드
KoreaMED Global 전략 가이드: 미국 병원 조달 사이버보안 설문(HECVAT/MDS2) 실무 가이드