디지털의료기기 전자적 침해행위 보안 지침

🧭 간략 소개

디지털의료기기의 전자적 침해(사이버) 대응 보안 요구사항을 정한 지침이다.

📝 제·개정 이유 (원문)

◇ 제정 이유 「디지털의료제품법」제정(법률 제20139호, 2024. 1. 23. 공포, 2025. 1. 24. 시행) 및「디지털의료제품법 시행규칙」에 따라 디지털의료기기 전자적 침해행위 보안지침에 관하여 필요한 사항을 규정하려는 것임 ◇ 주요내용 가. 보안활동 및 문서화(안 제2조) 디지털의료기기의 취약점을 지속적으로 감시하고 전자적 침해행위에 대응하기 위한 보안활동 및 문서화에 대한 세부 내용을 마련함 나. 물리적 보안체계(안 제3조~제5조) 보안 통신, 권한 및 인증 등 물리적 보안체계에 관한 규정을 마련함 다. 기술적 보안체계(안 제6조~제12조) 파일 및 입력 유효성, 데이터 보안, 암호화 키 관리 등 기술적 보안체계에 관한 규정을 마련함 라. 위험 관리(안 제13조~제16조) 제품 개발 전주기에 걸쳐 위험 관리 활동에 대한 세부 내용을 마련함 마. 전자적 침해행위의 대응(안 제17조~제19조) 전자적 침해행위에 대응하기 위한 계획 수립과 방안에 대하여 세부 내용을 마련함 바. 취약점 감시 및 대응(안 제20조~제22조) 디지털의료기기의 취약점을 감시하고 대응하기 위한 세부 내용을 마련함 사. 재검토 기한(안 제23조) 디지털의료기기 전자적 침해행위 보안지침에 대한 타당성 검토를 위하여 규정을 마련함

📊 영향 분석 REGNA 편집 해석

• 연결·소프트웨어 의료기기의 사이버보안 문서 제출 요건 강화
• FDA 524B·IEC 81001-5-1과 정합적 대응 필요

✅ QMS 시스템 영향 체크포인트 REGNA 편집 해석

• 사이버보안 위험관리(위협모델링) 문서화
• SBOM(SW 자재명세서)·취약점/패치 관리 절차
• 보안 V&V·시판후 모니터링 체계
• 위험관리(ISO 14971)와 보안 통합

📄 주요 조문 (상위 14 / 전체 30)

1. 제1장 총 칙
2. 제1조(목적) 이 지침은 「디지털의료제품법」 제14조 및 제32조에 따라 디지털의료기기를 전자적 침해행위로부터 안전하게 보호하기 위하여 디지털의료기기의 취약점을 지속적으로 감시하고 전자적 침해행위에 대응하는 물리적ㆍ기술적 관리체계 구축에 필요한 사항을 규정함을 목적으로 한다.
3. 제2장 보안활동 및 문서화
4. 제2조(보안 활동의 문서화) 「디지털의료제품법」제14조제2항에 따른 디지털의료기기제조업자등(이하 "디지털의료기기제조업자등"이라 한다)은 디지털의료기기(디지털의료기기를 구성하는 액세서리, 전자 인터페이스 및 구성품을 포함한다. 이하 같다)를 전자적 침해행위로부터 안전하게 보호하기 위하여 동 지침을 고려하여 다음 각 호의 보…
5. 제3장 물리적 보안체계
6. 제3조(물리적 보안) ① 디지털의료기기제조업자등은 디지털의료기기와 그 운영 환경에서의 설치, 작동, 네트워크, 제품 관련 장비 및 자료 보호 등을 위한 물리적 보안 구성을 고려하여야 한다.② 디지털의료기기제조업자등은 디지털의료기기를 운영하는 물리적 보안 환경을 분석하고 각종 물리적 위협으로부터 보호할 수 있도록 대책을 마…
7. 제4조(보안 통신) 디지털의료기기제조업자등은 다음 각 호의 사항을 고려하여 디지털의료기기 및 그 운영 환경의 보안 통신 방안을 마련하여야 한다.1. 유ㆍ무선 네트워크 사용 시, 디지털의료기기 및 그 운영 환경의 네트워크 보안 설정2. 이동식 저장매체(USB 등)에 대한 물리적 제한3. 보안을 고려한 내ㆍ외부 통신망(통신 …
8. 제5조(권한 및 인증) 디지털의료기기제조업자등은 다음 각 호의 사항을 고려하여 디지털의료기기 및 그 운영 환경의 권한 및 인증 방안을 마련하여야 한다.1. 사용자 접근 통제 강화 및 계정별 권한 설정2. 세션 종료, 중복 로그인 방지 등 로그인 세션 및 쿠키 설정3. 미승인 기기 접근 제한 등 신원 확인을 위한 인증 사용…
9. 제4장 기술적 보안체계
10. 제6조(기술적 보안) ① 디지털의료기기제조업자등은 디지털의료기기 및 그 운영 환경, 네트워크, 제품 관련 장비 및 자료보호 등을 위한 기술적 보안 사항을 고려하여야 한다.② 디지털의료기기제조업자등은 디지털의료기기가 운영되는 기술적 보안 환경을 분석하고 각종 기술적 위협으로부터 보호할 수 있도록 대책을 마련하여야 한다.③ …
11. 제7조(파일 및 입력 유효성) 디지털의료기기제조업자등은 다음 각 호의 사항을 고려하여 디지털의료기기 및 그 운영 환경의 중요 파일 및 입력 유효성 확보 방안을 마련하여야 한다.1. 파일을 업로드하는 경우 파일 확장자, 형식 등 유효성 및 무결성 검증2. 파일을 다운로드하는 경우 해시값 비교 등 원본 파일과의 동일 여부에 …
12. 제8조(데이터 보안) 디지털의료기기제조업자등은 다음 각 호의 사항을 고려하여 디지털의료기기 및 그 디지털의료기기가 작동하는 운영 환경의 중요 데이터 보안 방안을 마련하여야 한다.1. 안전한 데이터베이스 패스워드 설정, 패스워드의 주기적 변경, 미사용 중인 관리자 계정 삭제 등 데이터베이스 보안 관리2. 개인정보에 대한 암…
13. 제9조(암호화 키 관리) 디지털의료기기제조업자등은 다음 각 호의 사항을 고려하여 디지털의료기기 및 그 운영 환경의 암호화 키 관리 방안을 마련하여야 한다.1. 암호화 키와 암호화된 데이터와의 분리 조치 방안, 암호화 키 유효기간 설정 등 암호화 키 보안 조치2. 암호화 키 보호용 제어 장치 또는 시스템(하드웨어 등) 적용
14. 제10조(유지 관리) 디지털의료기기제조업자등은 다음 각 호의 사항을 고려하여 디지털의료기기 및 그 운영 환경의 유지 관리 방안을 마련하여야 한다.1. 디지털의료기기 자체 또는 연관 소프트웨어(운영체제, 제3자 소프트웨어, 오픈소스 등) 업데이트 파일에 대한 안전성 및 무결성 검증2. 디지털의료기기 업데이트 실패에 대한 대…