N° 01
IEC 81001-5-1
의료기기 소프트웨어 라이프사이클 보안Health software, Security activities in the product life cycle
Global · IEC
→
개요
의료기기 소프트웨어의 전체 라이프사이클에 걸쳐 수행해야 할 보안 활동을 정의한 국제 규격입니다. 설계 단계부터 폐기까지 보안을 내재화하도록 요구합니다.
권고 시험
- 위협 모델링 및 보안 요구사항 정의
- 보안 설계 검증(SAST/DAST)
- 취약점 진단 및 침투 시험
- SBOM 작성 및 검증
- 보안 업데이트 프로세스 검토
위협 모델링SAST/DAST취약점 진단SBOM
N° 02
IEC/TR 60601-4-5
의료용 전기기기 보안 요구사항Safety-related technical security specifications
Global · IEC
→
개요
의료용 전기기기의 안전 관련 기술 보안 사양을 다루는 기술 보고서입니다. 네트워크 연결 의료기기의 보안 능력(Security Capability)을 정의합니다.
권고 시험
- 네트워크 인터페이스 보안 점검
- 인증 및 접근제어 메커니즘 시험
- 데이터 암호화 및 무결성 검증
- 감사 로그(Audit Log) 기능 확인
- 긴급 접근(Break-Glass) 시나리오 검증
접근제어암호화 검증감사 로그침투 시험
N° 03
IEC 62443-4-2
산업제어시스템 보안 제품 개발 요구사항Security for industrial automation and control systems
Global · IEC
→
개요
산업자동화 및 제어시스템 구성요소의 기술적 보안 요구사항을 정의합니다. 의료기기 중 산업용 제어 기능이 포함된 제품에 적용됩니다.
권고 시험
- 컴포넌트 보안 수준(SL) 평가
- 식별 및 인증 제어 시험
- 시스템 무결성 및 가용성 검증
- 통신 채널 보안 시험
- 이벤트 대응 능력 점검
SL 평가인증 제어무결성 검증통신 보안
N° 04
MDCG 2019-16
EU 의료기기 사이버보안 가이던스Guidance on Cybersecurity for medical devices · MDR/IVDR
EU · MDCG
→
개요
EU MDR/IVDR 하에서 의료기기 제조사가 충족해야 할 사이버보안 요구사항에 대한 가이던스입니다. 유럽 시장 진입 시 필수적으로 참조됩니다.
권고 시험
- 위험 관리 프로세스 내 사이버보안 통합 확인
- 보안 요구사항의 설계 반영 검증
- 시판 후 사이버보안 모니터링 체계 점검
- 보안 업데이트 및 패치 관리 프로세스 검토
- 사고 대응 계획 및 PSIRT 운영 확인
MDR/IVDR위험 관리PSIRT시판 후 감시
N° 05
UL 2900-2-1
의료기기 네트워크 연결 제품 보안Software Cybersecurity for Network-Connectable Products
USA · UL
→
개요
네트워크에 연결되는 의료기기 소프트웨어의 사이버보안 요구사항을 평가하는 미국 규격입니다. 퍼지 테스팅, 정적 분석, 알려진 취약점 점검을 필수로 요구합니다.
권고 시험
- 퍼지 테스팅 (모든 네트워크 인터페이스)
- 정적 소스코드 분석 (SAST)
- 알려진 취약점(CVE) 매칭
- SBOM 기반 소프트웨어 구성 분석
- 접근제어 및 인증 메커니즘 시험
퍼지 테스팅SASTCVE 매칭SBOM
N° 06
OWASP Top 10
웹 애플리케이션 보안 취약점 Top 10Open Worldwide Application Security Project
Global · OWASP
→
개요
웹 애플리케이션에서 가장 빈번하게 발생하는 보안 취약점 10가지를 정리한 프로젝트입니다. 의료기기의 웹 기반 관리 인터페이스, 클라우드 연동 API 등에 적용합니다.
권고 시험
- 인젝션 공격(SQL, OS, LDAP) 시험
- 인증 및 세션 관리 결함 점검
- 민감 데이터 노출 여부 확인
- 보안 설정 오류 진단
- API 보안 및 SSRF 시험
웹 침투 시험API 보안인증 점검DAST
N° 07
CWE Top 25
가장 위험한 소프트웨어 취약점 유형 25선Common Weakness Enumeration · Most Dangerous Software Weaknesses
Global · MITRE
→
개요
MITRE가 선정한 가장 위험한 소프트웨어 취약점 유형 25가지입니다. 소스코드 분석 시 이 목록을 기준으로 결함을 분류하고 우선순위를 산정합니다.
권고 시험
- 버퍼 오버플로우 및 메모리 안전성 점검
- 입력값 검증 미흡 (CWE-20) 분석
- 경로 조작 및 명령 인젝션 시험
- 부적절한 권한 관리 점검
- 정적 분석(SAST) 기반 CWE 매핑
SAST메모리 안전입력값 검증코드 분석