의료기기
보안규제 로드맵

소프트웨어가 들어 있고 인터넷에 연결될 수 있다면, 대부분 해당합니다.

• ·지금 연결하느냐가 아니라 연결될 수 있느냐가 기준입니다.
• ·블루투스로 앱에 붙고 앱이 클라우드로 올린다면 연결된 것으로 봅니다.
• ·판단이 애매하면 FDA에 미리 물어볼 수 있습니다(Q-Submission).

"안전하게 만들었고, 출시 후에도 계속 지키겠다"는 걸 서류로 보여주면 됩니다.

• ·법이 요구하는 건 세 가지: 출시 후 대응 계획, 안전한 개발·패치 체계, SBOM
• ·실제 제출은 위협 분석·위험 평가·보안 시험 결과 등 8종 문서로 나뉩니다.
• ·자세한 목록은 FDA 가이던스 원문 (PDF) ↗

SBOM은 제품의 '소프트웨어 성분표'이고, FDA에선 없으면 접수 자체가 안 됩니다.

• ·정해진 형식(SPDX, CycloneDX)으로, 부품명·버전을 빠짐없이 적어야 합니다.
• ·소스가 없는 외주 펌웨어는 완성된 파일을 직접 분석해 부품을 찾아야 합니다.
• ·출시 후에도 새 취약점이 나올 때마다 확인·패치해야 해서, 자동 관리 체계가 필요합니다.

FDA 수준에 맞춰지는 중이고, 확인 항목이 15개에서 35개로 늘었습니다.

• ·인증·비밀번호·업데이트·암호화 등 기본 보안 항목으로, FDA와 거의 겹칩니다.
• ·"해당 없음"으로 넘기는 항목은 그 근거를 내야 합니다.
• ·국내는 아직 SBOM 의무가 아니지만, 수출 계획이 있다면 미리 만들어 두는 게 효율적입니다.

가이드라인 원문 · 식품의약품안전평가원 ↗

법에 명시돼 있진 않지만, 실제로는 거의 필수입니다.

• ·FDA가 안내하는 제출 시험 목록에 모의해킹이 들어 있습니다.
• ·보고서에 시험한 사람이 개발팀과 얼마나 독립적인지 적어야 합니다.
• ·출시 후에도 정기적으로(예: 1년에 한 번) 다시 하도록 권고합니다.