■ 의료기기 분야에서 사이버 보안의 중요성

"의료기기 사이버 위협·공격에 대한 실질적인 대책 시급"
의·산·관, 보안 인식 제고 및 점검 체계·가이드라인 필요

개인은 건강 상태를 측정하고 모니터 링하는 건강기기, 인체이식형 의료기기 를 사용하고 의료기관에서는 진단·치 료·수술 등에 다양한 의료기기들을 사 용하고 있다. 이런 건강·의료기기들이 점차 정보통신기술(ICT, Information Communication Technology)과 결 합해 사용하는 추세로 발전하고 있다. 최근에는 스마트워치에 심박 측정뿐만 아니라 심전도 측정 기능까지 설치돼 사용하는 상태이다.

사물인터넷기술을 활용한 각종 IoT 기기를 활용해 민감한 신체건강정보를 포함한 개인건강정보가 집적돼 유통되 는 네트워크 기반의 의료기기(IoMD, Internet of Medical Device)도 폭발 적으로 증가하고 있다.

미국 첨단의료기기협회에 의하면 의 료기기산업 매출이 연간 3천억 달러에 달하고, 미국 내에서만 최근 10년간 7 천만 명이 신체에 의료기기를 삽입 시 술했다고 한다.

의료정보시스템(HIS, EHR, EMR 등)과 달리 의료기기(IoMD)는 규모와 종류, 입출력 데이터, 기술적 난이도 등 에서 영역이 매우 다양하다. 인체에 위 해를 가하거나 민감한 정보와 밀접하 게 연관되고, 또 의료인과 일반인(환자, 간병인, 방문객, 기타 병원종사자 등)이 공유하는 경우가 많다.

의료기기로서 소프트웨어는 IMDRF(International Medical Device Regulators Forum) SaMD WG(Software as a Medical Device Working Group)에서 2013년에 정의한 것으로, '하드웨어 의료기기의 일부가 아니어도 하나 이상의 의료 목적으로 사 용되는 소프트웨어’를 가리킨다. SaMD 와 달리 SiMD(Software in a Medical Device)는 하드웨어와 소프트웨어 구성 요소가 모두 있는 것을 말한다.

미국 FDA는 2019년 SaMD를 대상으로 하는 소프트웨어 사전인증 프로그램(Digital Health Software Precertification(Pre-Cert) Program) ver1.0을 시작했다.

애플, 구글베릴리(Verily) 핏빗(Fitbit), 삼성, 피어테라퓨틱스(Pear Therapeutics), 포스포러스(Phosphorus), 존슨앤존슨 (Johnson&Johnson), 로슈(Roche), 타이드풀(Tidepool) 등 9개 기업이 참 여했다. 심전도 측정 기능이 포함된 스마트워치인 애플 워치4도 이 파일럿 프로그램을 통해 새로운 단말기 승인을 받기 전에 제품을 개발했다.

FDA는 파일럿 프로그램이 '이런 기술에 대한 환자의 접근을 방해하지 않으면서 소프트웨어 기술의 안전성과 효율성을 평가하는 새로운 규제 모델의 개발을 알리기 위한 것'이라며 소개했다. 소프트웨어를 의료기기로서 인증 하기 위한 검증 방법을 찾으려는 FDA 가 △환자 안전, △제품 품질, △임상적 책임, △사이버 보안 책임, △적극적인 문화 등 5원칙을 마련하고 시범 적용하고 있다.

의료기기의 보안 취약성 (Security Vulnerability)

FDA는 2019년 6월 Medtronic 의 인슐린 펌프인 ‘MiniMed 508 및 MiniMed Paradigm Series’에서 환자, 간병인 또는 의료진이 아닌 다른 사람이 MiniMed 인슐린 펌프에 무선으 로 연결해 펌프 설정을 변경하는 등 보안 위험이 확인됐다고 경고했다. 자칫 환자에게 인슐린이 과다 투여돼 저혈당 증이 나타나거나 인슐린이 투여되지 않아 고혈당증, 당뇨병성 케톤산증이 발 생할 위험이 크다.

FDA는 해당 제품들이 이 같은 위험 을 해결할 수 있는 소프트웨어 또는 패 치 수정이 어렵다고 더 안전한 인슐린 펌프로 교체하도록 권고했다.

2017년 1월 St. Jude Medical의 인 체에 이식된 심장박동기(Implantable Pacemaker) 6개 모델과 가정에 설 치된 심장박동기 게이트웨이에서 심각한 보안취약성을 발견했다고 소프 트웨어 패치(펌웨어) 업데이트를 권 고했다. FDA는 가정용 게이트웨이인 Merlin@Home을 원격에서 공격함으로써 체내 삽입된 심장박동기의 배터리를 순식간에 고갈시키거나 심박수를 위험수준까지 급상승시키는 오작동을 발 생시킬 수 있다는 사실을 확인했다. 이 들 6개 모델을 이식받은 환자는 미국에 서만 약 46만 6천여명이고, 이미 전 세계적으로 수십만 대가 보급됐다. 해당 제품에 대한 보안 경고는 의료기기 사이버 공격의 위험성을 알 수 있는 계기가 됐으며 2017년 말까지 50만 대에 대한 리콜 조치가 있었다.

의료현장의 특성상 10~20년 이상 사용하고 있는 오래된 기존 의료기기와 첨단 기능을 장착한 최신 제품이 같은 네트워크에서 작동하고 있다. 그런 상태에서 의료기기를 접점으로 한 사이버 공격 가능성이 높아지고 있으며, 취약 점들이 많이 발견되고 알려지고 있다.

CT, MRI, 심전도기, 초음파기기와 같이 고가의 의료기기들은 10~20년 이상 사용하게 되고, 또 의료기기의 운용, 교체, 개선 등 작업을 제조사나 납품업 체에서 수행하는 경우가 매우 많다.

가장 중요한 사이버보안 위협요소는 의료기기를 운용하면서 기기 내에서 혹은 주변 장비에서 Windows XP, 7, 2000 등 더이상 보안 패치 서비스를 제공하지 않는 오래된 운영체제를 사용하는 경우가 많다. 그런데도 의료기기 의 동작을 방해받을 우려로 인해서 기본적인 보안대책인 컴퓨터 바이러스 백신조차 설치·사용하지 못하거나, 설 치했어도 최신 버전으로 업그레이드하거나 새로운 공격 유형에 대응하기 위한 보안 패치 등을 설치하지 못하는 경우가 다반사이다.

따라서, 의료기관 종사자들이 의료기기에 대한 사이버 보안 위협요소를 살펴보는 것이 중요하고, 아래 3가지 요소를 기반으로 의료기기에 대한 위험성을 고려해 보면 좋을 것이다.

• 의료기기가 병원 네트워크에 연결돼 작동하는가?
• 의료기기가 사이버침해를 당했을 경우, 그로 인하여 환자나 의료종사자들에게 직접적인 손상이 발생할 수 있는가?
• 의료기기에 혹은 의료기기를 통해서 얼마나 많은 보안 위협이 발생할 수 있는가?

그동안 해외수출 목적으로 의료기기 인증 심사 신청 시 'ISO 13485:2016 의료기기 품질경영시스템'과 ‘ISO 14971:2019 의료기기 위험관리 적용'을 바탕으로 작성했어도 인증을 받았다.

최근 유럽, 미주, 아시아 각국의 인증 심사기관에서는 사이버보안 위험관리를 기본으로 요구하면서 'IEC 62443- 4-1:2018 산업 제어 시스템을 위한 보안-안전한 제품 개발 수명주기 요구 사항'을 적용해 문서를 작성하도록 요구하고 있다.

마침 지난해말 식품의약품안전처는 ‘의료기기의 사이버보안 허가·심사 가이드라인(민원인 안내서)(2019.11.28)’ 를 발간해, 의료기기 사이버 보안 안전성 등급 정의(상·중·하) 및 분류와 의료기기 사이버 보안 요구사항 24개 항목을 아래와 같이 안내했다.

이는 사이버보안 위협공격에 대응하기 위한 최소한의 항목들로 선정된 것 이므로 IoMD, SaMD 혹은 SiMD 의료 기기 제품을 개발·공급하는 업체들이 초기부터 적용하는 것이 중요하다.

맺음말

국내 의료계의 현실은 예산 및 인력 부족과 기술적 지원 미비, 보안 인식 부재 등으로 인해 정보보호 관점으로서의 전반적인 의료기기 실태조사가 부 족하고 의료기관의 보안을 아우를 수 있는 일관성 있는 기술 가이드나 지침이 부족한 형편이다.

상급종합병원과 같은 의료기관이 보유하고 있는 의료기기가 평균적으로 1만여대에 달한다. 하루빨리 의료기기 보안 관리를 위한 종합적인 분류체계 수립과 의료기기 보안가이드 개발을통해 지능화하고 고도로 발전하고 있는 사이버 위협·공격에 대한 실질적인 대책 마련이 시급하다.