의료기기 사이버 보안 이해 및 적용 교육 노트

의료기기 사이버 보안 이해 및 적용 교육 노트

안전과 보안의 차이는?

안전(Safety) : 의도된 사용에 미치지 않은 예상치 않은 영향, 인체에 물리적인 위해

보안(Security) : 의도하지 않은 사용의 영향, 위해 대상 : Confidentiality, Integrity, Availability, Durability, Authenticity

발생가능성 - 병원 네트워크에 사용되는 applications의 계속된 증가

사이버 보안이란 무엇인가?사이버 공격으로 부터의 방어

Virus, Spam, Spoofing, Phishing, Pharming, Spyware, Keylogging, Adware, Botnets, Worms, Trojan, Denial-Of-Service

스파이웨어와 애드웨어의 차이는?

: 동의없이 설치되면 spyware 아니면 adware, adware가 정보를 몰래 가져간다면 malware(malicious software)

사이버 보안의 대응의 기본

CIA - 기밀보장성(Confidentiality), 보전성(Integrity), 유효성(Availability)

사이버 보안의 대응방안은 의도된 사용에 영향을 주어서는 안된다

 - 칼날을 무디게 해서 안정성을 확보한다(X), 의도된 환경/사용목적이 훼손되지 않게 주의

안전 위험 분석 ← Confidentiality ← 안전 개선 방안

기능적 요구사항 분석 ← Integrity ← 방어적/신뢰적인 디자인과 코딩

보호레벨, Privacy Impact Assessment ← Availability ← 위협/위험 분석과 개선방안

Usability Analysis ← Usability ← 사용적합성

네트워크연결용 장비의 보안 문서

의도된 사용과 의도된 환경

의도된 IT환경으로의 안전한 적용방법

공개 되지 않아야 하는 부분

위험/위험 분석, 취약성, BOM(Bill of Material), 사고 보고

사이버 보안관련 법령들과 국제 규격들

USA - 사이버 보안 위험관리(예측가능한 사용과 사용환경에 대한 문서화), 새로운 위헙에의 빠른 응답(Off-the-shelf, OTS), NIST 사이버보안 Framework로의 Matric과 mapping(Covered Entities안에 속할 것을 요구)

CHINA - 환자정보 보호, 장비안전, 중국 Data보안(제품 및 절차 등록), 위협/위험분석, 기술적 보호, 시험, User Documentation

EU - 개인 정보에 대한 처리를 향한 사생활 보호 - Privacy by Design and Privacy by Default, Privacy Impact Assessment(PIA) 등

        GSPR 14.2 - 60601, 82304-1, 최종적인 관리는 인증 기관에서 한다

표준 - IEC 80001-1, 2-2 Application of risk management for IT-networks incorporating medial devices - Part1: Roles, responsibilities and activities

EU General Data Protection Regulation (GDPR)

2018년 5월 25일 부터 유효, 디자인으로 사생활 정보 보호 개념 도입, 대상 데이터가 EU지역외에 있어도 적용, 데이터 보호법 만족 및 감시

ISO/IEC 27005 - Information security risk management

ISO/IEC 27033 1~5 Network security

NIST FIPS 140 HW SW 둘다 암호화 모듈에 대한 요구사항과 관련 규격에 관한 것

NRTL(Nationally Recognized Testing Laboratory/미국국가인정시험소) 인증 - 강제성을 띄는 것은 아니나 보험 수급에 도움이 되어 선호함

ex) 우리 제품으로 화재 발생 시, NRTL 이 있으면 보험지급, 없는 경우 이슈 생김

적용 예제

헬스케어 분야 : 환자 비밀정보 누설, 법적 요구사항 위반, 지적 재산과 노하우의 손실, 안전/생명의 위험

→ 더 높은 보안사항 요구, 인증 및 규제 기관들도 사이버 보안을 깊게 확인하기 시작, 제조사들은 위험요소들을 줄위기 위해 절차 도입 시작

→ → PSS절차와 가이드 재정, PSS offices 설치, 요구사항 정의, 요소 정의, 회사 IT 보안 전략 접목, PSS관련 절차들의 적용, 확인

개발단계 M100 예제

규제 및 규격 : 예) 공표된 구격으로의 적합성(예 FDA)

위협 및 위험분석: 예) 사이버 보안의 위험관리 절차

안전한 아키텍쳐 및 디자인 개발

안전한 3rd party 부품 선정

안전한 코딩

안전한 configuration 및 강화

안전한 시험과 스캐닝

안전한 개발 infrastructure

Threat & Risk Analysis (TRA)

알려지지 않았거나 예측하지 못한 Issue들에 대한 처리

취약점 등을 모니터링 하고 Bug fix를 위한 patch release

방법/Tool : ProductCERT 서비스의 사용

취약점 증가 → 사고 

의료기기 소프트웨어 위험관리

의료기기 사이버 보안 시판 전

의료기기 보호 - 사용자 인증을 위한 접속제한, 세션 종료, 역할 구분, 적절한 인증 활용, 암호보호 기능 강화(하드코드 피함), 부정 조작 최소화 통신 포트 제공

FDA는 사이버 보안 강화를 위한 SW변경에 대하여는 일반적으로 검토 및 승인을 하지 않는다.

FDA승인 후 변경사항은 근거 자료와 반영사례를 가지고 추적관리를 하고 있는것에 대한 평가를 한다. 

시판 후 관리

보완 통제(compensating control) : 제조업체가 설계한 통제를 대신하여, 배치되는 안전장치 또는 대응책이다.

의도되지 않은 무단 접근이 가능하지 않도록 한다. 

일상적 사이버보안 업데이트 및 패치: 보안 향상 또는 환자 위해의 통제된 위험과 관련한 취약성만을 교정하기 위한 의료기기의 변경을 말한다. 일반적인 업데이트와 패치는 CFR report 에 하지 않아도 된다.

사이버 보안 신호 : 사이버보안 취약성 및 악용의 가능성을 보여주거나 확인하는 일체의 정보

의료기기 소프트웨어 - 소프트웨어 수명주기 프로세스

안전등급 : 등급을 A B C로 구분함

적용분야 - 의료기기 소프트웨어의 개발 및 유지보수에 적용. SOUP인 의료기기 소프트웨어의 개발 및 유지보수에도 적용한다

다른 규격과의 관계

60601 Medical device product standards 전기적인 안전성 → affects → Implementation of medical device software

62304 → requires → ISO 14971 13485 Medical device management standards

IEC 60601-1:2005

기존에는 HW protection 으로 통제가 가능 했다

현재 SW protection 방어 - 제대로 검증 되어 졌느냐를 묻는다 60601-1 14조를 준수하려면 IEC 62304의 일부를 준수해야 한다

소프트웨어가 PEMS(Programmable Electrical Medical System, 프로그램 가능한 의료용 전기 시스템)의 일부분인 경우에만 적용되고 소프트웨어 자체로서 의료기기인 경우에는 적용되지 않는다

 전체 시스템을 PEMS - 하위 항목들을 각 PESS(Programmable electrical subsystem) 라고 한다

ISO/IEC 12207 규격과의 관계

범위가 의료기기에 제한되어 있지 않고 SW  수명주기 프로세스의 일반 요구사항을 정의하고 있는 규격으로 부터 도출된 규격임

5.1 개발 개획 부분과 매핑

5.2 소프트웨어 요구사항 분석과 매핑

5.3 소프트웨어 아키텍쳐 설계

5.4 소프트웨어 상세 설계

5.5 소프트웨어 유닛 구현 및 검증

5.6 SW 통합 및 통합 시험

5.7 SW 시스템 시험

5.8 SW 배포

6 유지보수 프로세스

7 위험관리

8 형상관리

9 SW 문제해결과정