의료기기 해킹 막는 허가·심사 지침 개정…국제 기준과 조화 강화

환자의 진단과 치료에 쓰이는 의료기기가 통신망에 연결되면서 해킹 방어도 제품 안전을 판단하는 중요한 기준이 되고 있다. 식품의약품안전처 소속 식품의약품안전평가원은 의료기기 사이버보안 허가·심사 체계를 고도화하기 위해 ‘의료기기의 사이버보안 허가·심사 가이드라인’을 30일 개정했다고 밝혔다.

의료기기 사이버보안은 유선이나 무선 통신 기능이 있는 기기가 해킹돼 오작동하거나, 기기에 담긴 정보가 외부로 유출되는 일을 막는 활동이다. 일반 정보기기의 보안 문제가 주로 데이터 보호와 서비스 장애에 초점을 맞춘다면, 의료기기의 보안 취약점은 환자 안전과 직접 연결될 수 있다. 기기의 필수 성능이나 진료 과정이 훼손되면 진단과 치료에 오류가 생길 수 있기 때문이다.

이번 개정은 해외 규제 동향을 반영해 국제 기준과의 조화를 강화하고, 허가·심사 과정에서 반복적으로 발생하는 자료 보완 요구를 줄이는 데 초점을 맞췄다. 같은 내용을 여러 차례 보완해야 하는 부담을 덜어 의료기기 업계가 허가에 필요한 보안 자료를 더 명확하게 준비하도록 돕겠다는 취지다. 다만 이번 개정본에서 개별 제출자료와 시험항목, 서식이 구체적으로 어떻게 달라졌는지는 확인되지 않았다.

식약처는 이 가이드라인을 2019년 12월 처음 공개했다. 이후 2022년 1월, 2023년 7월, 2024년 11월과 2025년 1월에 잇달아 내용을 개정하며 의료기기 보안 심사 기준을 보완해 왔다. 국내에서는 2025년 1월 24일 디지털의료제품법도 시행됐다. 식약처는 제조·수입업체와 기술문서 심사기관을 대상으로 2020년부터 사이버보안 업무설명회를 운영했으며, 2025년 11월 기준 모두 18차례 개최했다.

개발부터 지원 종료까지 보안 위험 관리

국제 기준과의 조화를 위한 작업도 이어졌다. 식약처는 2025년 4월 국제의료기기규제당국자포럼의 의료기기 사이버보안 문서 3종인 N60·N70·N73의 한국어판을 공개했다. 이 포럼은 국가별 의료기기 규제 방향을 조화시키기 위해 기준과 권고안을 마련하는 국제 협의체다.

N60은 사이버보안 위험을 의료기기의 전체 수명주기에 걸쳐 관리하도록 권고한다. 제품을 시장에 내놓기 전 한 번 점검하는 데 그치지 않고, 취약점 식별과 위험 평가, 위험 통제, 통제 효과 감시, 관계자를 대상으로 한 위험 소통까지 이어가야 한다는 의미다. 보안 조치 자체가 기기의 안전성과 필수 성능을 떨어뜨리지 않도록 균형을 맞춰야 한다는 원칙도 제시한다.

N70은 의료기기의 수명주기를 개발, 지원, 제한적 지원, 지원 종료의 네 단계로 구분한다. 특히 ‘레거시 의료기기’는 단순히 오래된 제품만 뜻하지 않는다. 비교적 새로운 기기라도 현재의 보안 위협으로부터 합리적으로 보호할 수 없다면 레거시 기기에 해당할 수 있다고 설명한다. 제조사가 보안 업데이트와 기술 지원의 범위 및 종료 시점을 수명주기 관점에서 관리해야 하는 이유다.

N73은 소프트웨어 구성요소 명세서인 SBOM을 다룬다. SBOM은 의료기기 안에 어떤 소프트웨어 부품이 들어 있는지를 정리한 목록으로, 특정 구성요소에서 취약점이 발견됐을 때 영향을 받는 기기를 빠르게 파악하는 데 쓰인다. N73 최종판은 2023년 4월 13일 발행됐다.

인공지능 의료기기의 등장으로 심사에서 살펴볼 위험도 넓어지고 있다. 식약처는 2025년 업무설명회에서 인공지능 의료기기의 데이터 중독과 회피 공격에 대한 방어를 심사 고려사항으로 안내했다. 데이터 중독은 학습자료를 오염시켜 잘못된 판단을 유도하는 공격이고, 회피 공격은 입력을 교묘하게 바꿔 인공지능의 판별을 피하는 방식이다. 이번 가이드라인 개정은 이처럼 변화하는 보안 위협을 허가·심사 체계 안에서 다루면서 국제 기준과 국내 산업 현장의 요구를 함께 반영하려는 조치다.

자료: 식품의약품안전처, 식품의약품안전평가원, 국제의료기기규제당국자포럼(IMDRF)