2026년 미국 병원의 24%가 의료기기 사이버공격을 경험했고, 사이버보안은 조달의 통과조건이 되었다. FDA Section 524B, HHS 405(d) HICP, NIST CSF 2.0을 근거로 병원이 벤더에게 요구하는 SBOM, 침투테스트 결과, 사고대응계획, 취약성 공개 프로세스를 한국 의료기기 기업이 어떻게 준비할지 정리한다.
2022년 12월 FDORA(Food and Drug Omnibus Reform Act)로 제정된 FDA Section 524B는 2023년 3월 29일부터 시행되어 "cyber device"로 분류되는 모든 의료기기에 SBOM(Software Bill of Materials), 사이버보안 관리계획, 사후 모니터링 체계 제출을 의무화했다. 2025년 6월 최종 가이던스가 발표되었고, 2026년 2월에는 QMSR(품질경영시스템 규정) 시행과 함께 사이버보안 가이던스가 업데이트되어 규제가 더욱 강화되었다. 그러나 병원은 규제 이상을 요구하고 있다.
한국 의료기기 기업이 미국 병원에 "장비 영업"을 하러 갈 때, CISO·IT 보안팀이 보안 질문을 먼저 던진다. 기술 사양서보다 먼저 사이버보안 증빙 패키지를 요구받는다. 준비가 안 되어 있으면 프레젠테이션 기회조차 얻지 못한다.
병원이 의료기기 벤더에게 묻는 사이버보안 질문: 범주별 정리
질문의 배경: 세 가지 규제 프레임워크
미국 병원의 사이버보안 요구는 세 가지 출처에서 나온다:
프레임워크
근거
병원이 요구하는 것
FDA Section 524B (FD&C Act)
2022년 12월 제정(FDORA), 2023년 3월 시행, 2025년 6월 최종 가이던스, 2026년 2월 QMSR 정렬 업데이트
SBOM, Security Risk Management Report, Cybersecurity Management Plan
HHS 405(d) HICP
Cybersecurity Act of 2015, 2018년·2023년 업데이트
NIST CSF 매핑 기반 10개 실무 관행, 의료기기 특별 권장사항
HIPAA Security Rule
2025년 1월 NPRM(90 FR 898), 180일 전환기간 제안
공급망 리스크 관리, 벤더 보안 평가
범주별 질문과 요구 증빙
1. Software Bill of Materials (SBOM)
병원 질문
기대 답변
한국 벤더 준비 사항
"기기에 포함된 모든 소프트웨어 컴포넌트의 목록(SBOM)을 제공할 수 있는가?"
네, machine-readable(SPIDX/CycloneDX) 형식으로 제공
제품의 소프트웨어 스택 전체를 문서화. 오픈소스 포함
"제3자 라이브러리의 취약성을 어떻게 추적하는가?"
SBOM 기반 취약성 스캔을 정기 실시
취약성 스캔 툴(예: Grype, Trivy) 도입 또는 외부 서비스 이용
"SBOM은 제품 수명 주기 동안 어떻게 갱신되는가?"
소프트웨어 업데이트 시 SBOM도 갱신
SBOM 관리 프로세스를 SOP에 포함
2. 취약성 관리 및 패치
병원 질문
기대 답변
한국 벤더 준비 사항
"취약성이 발견되면 얼마 안에 패치가 제공되는가?"
Critical: 30일 이내, High: 90일 이내
취약성 대응 SLA를 계약서에 명시
"패치 설치 시 기기 재검증이 필요한가?"
패치 유형에 따라 최소한의 확인만 필요
패치 분류(critical/non-critical)별 검증 요건 정의
"레거시 기기(지원 종료)에 대한 정책이 있는가?"
EOS(End of Support) 정책과 마이그레이션 계획 존재
제품 라이프사이클 정책 공개
3. 침투 테스트(Penetration Test) 및 보안 평가
병원 질문
기대 답변
한국 벤더 준비 사항
"독립적인 침투 테스트 결과를 제공할 수 있는가?"
네, 제3기관 침투 테스트 결과 요약 제공
연 1회 제3기관 침투 테스트 실시
"어떤 테스트 방법론을 사용하는가?"
OWASP, NIST SP 800-115 등
테스트 방법론 문서화
"테스트에서 발견된 취약성의 해결 상태는?"
모든 Critical/High 취약성 해결 완료
해결 이력(risk acceptance 포함) 유지
4. 사고 대응(Incident Response)
병원 질문
기대 답변
한국 벤더 준비 사항
"보안 사고 발생 시 대응 프로세스가 있는가?"
네, Coordinated Vulnerability Disclosure(CVD) 프로세스 운영
CVD 정책 수립, 보안 담당자(contact point) 지정
"사고 통보 시간은?"
Critical: 24시간 이내, 기타: 72시간 이내
FDA Section 524B 요구사항 부합
"과거 보안 사고 이력이 있는가?"
해당 사고와 조치 내용 투명 공개
있으면 숨기지 말고 조치 내용과 함께 공개
5. 네트워크 보안 및 데이터 보호
병원 질문
기대 답변
한국 벤더 준비 사항
"기기가 환자 데이터(PHI/PII)를 저장하거나 전송하는가?"
저장 여부에 따라 암호화 방식 설명
데이터 흐름도(data flow diagram) 작성
"전송 중 암호화를 지원하는가?"
TLS 1.2+ 또는 동등 수준
네트워크 보안 아키텍처 문서화
"기기에 기본 비밀번호가 설정되어 있는가?"
아니오, 초기 설치 시 강제 변경
기본 credential 관리 정책
1. FDA Section 524B: 한국 벤더가 반드시 갖춰야 할 제출 자료
FDA Section 524B는 "cyber device"(소프트웨어를 포함하고, 인터넷에 연결 가능하며, 사이버 위협에 취약한 기기)를 대상으로 다음 제출 자료를 요구한다:
제출 자료
내용
FDA 승인 전 필수
Software Bill of Materials (SBOM)
기기 내 모든 소프트웨어 컴포넌트 목록
필수 (machine-readable)
Security Risk Management Report
ISO 14971 기반 보안 리스크 평가
필수
Cybersecurity Management Plan
사후 보안 관리 계획
필수
Secure Product Development Framework
보안 개발 프로세스 (IEC 81001-5-1)
권장
Architecture Views
보안 아키텍처 다이어그램
권장
Testing Evidence
보안 테스트 결과
권장
한국 벤더 주의: FDA는 사이버보안 문서가 불충분한 510(k)·PMA 제출을 거부(reject)할 수 있다. Section 301(q)에 따라 사후 모니터링 의무 위반은 금지 행위(prohibited act)이다.
2. HHS 405(d) HICP와 NIST CSF 2.0 매핑: 병원이 기대하는 기준
HHS 405(d) Health Industry Cybersecurity Practices(HICP)는 NIST CSF(NIST Cybersecurity Framework)를 의료 환경에 맞게 변환한 실무 가이드다. 중대형 병원(Technical Volume 2)은 다음 10개 실무 관행을 적용하고, 의료기기 벤더에게도 이 기준에 부합하는 증빙을 요구한다:
HICP 실무 관행
NIST CSF 매핑
의료기기 벤더가 제공할 수 있는 것
1. 이메일 보안
PR.DS
이메일 기능이 있는 기기의 보안 설정
2. 엔드포인트 보안
PR.IP
기기 내 보안 에이전트 설치 가능 여부
3. 접근 관리
PR.AC
역할 기반 접근 제제(RBAC), MFA 지원
4. 데이터 보안
PR.DS
암호화, 데이터 분류, 데이터 흐름도
5. 자산 관리
ID.AM
SBOM, 자산 추적 지원
6. 네트워크 관리
PR.AC
네트워크 분할 지원, 포트 관리
7. 취약성 관리
RS.MI
패치 SLA, 취약성 스캔 결과
8. 사고 대응
RS.RP
IR 플랜, 연락처, CVD 프로세스
9. 의료기기 특별 권장
PR.IP
MDS2 양식, SBOM, lifecycle 보안 계획
10. 사이버보안 정책
ID.GV
정보보안 정책, 직원 교육
HICP Technical Volume 2 권장 사항과 한국 벤더 대응
중대형 병원(300+ 베드)은 의료기기 사이버보안에 대해 다음을 특별히 요구한다:
의료기기 인벤토리 연동: 병원 자산 관리 시스템과 연동할 수 있는 장비 식별 정보 제공
네트워크 세분화(segmentation): 병원 네트워크에서 의료기기 전용 VLAN/서브넷 구성 지원
원격 모니터링: 기기 보안 상태를 원격에서 모니터링할 수 있는 기능 또는 API
3. 한국 의료기기 기업이 준비할 사이버보안 증빙 패키지
미국 병원 조달 프로세스에 대응하기 위해, 한국 벤더가 미리 준비해야 할 문서 패키지를 단계별로 정리한다.
공개: 보안 연구자를 위한 책임 있는 공개(responsible disclosure) 정책 공개
플랫폼: CVE 번호 발급 요청, ICS-CERT 또는 Health-ISAC에 보고 프로세스 확립
5. 다음 90일 실행 순서
주차
액션
담당
산출물
1~2주
제품별 SBOM 생성
개발·QA
SPDX/CycloneDX 형식 SBOM
3~4주
Security Risk Management Report 작성
QA·규제
FDA 제출용 보안 문서
5~6주
제3기관 침투 테스트 의뢰
IT·QA
침투 테스트 결과 보고서
7~8주
CVD 정책·Cybersecurity Management Plan 수립
QA·법무
CVD 정책, CMP 문서
9~10주
MDS2 양식·보안 백서 작성 (영문)
규제·영업
고객 제공용 보안 패키지
11~12주
미국 병원 조달 담당자 대상 보안 브리핑
영업·QA
사이버보안 증빙 패키지 배포
참고 자료
FDA, "Cybersecurity in Medical Devices: Quality Management System Considerations and Content of Premarket Submissions" (2025년 6월 최종, 2026년 2월 QMSR 정렬 업데이트)
FDA, Section 524B of the FD&C Act (2022년 12월 FDORA 제정, 2023년 3월 29일 시행)
HHS 405(d), "Health Industry Cybersecurity Practices: Managing Threats and Protecting Patients" (2023 Edition)
