의료기기 보안패치는 치료기능까지 검증해야 합니다

의료기기에 취약점이 발견되면 소프트웨어를 업데이트하는 것으로 해결할 수 있다고 생각하기 쉽습니다. 그러나 가정에서 사용되는 인슐린 주입장치나 몸속에 이식된 심장박동기를 떠올리면 문제가 달라집니다. 업데이트를 전송하는 경로가 안전해야 하고, 허가받지 않은 장치가 치료설정에 접근해서도 안 됩니다. 동시에 업데이트 도중 오류가 발생했다는 이유로 필수 치료기능이 예측하지 못한 상태에 놓여서도 안 됩니다.

이 때문에 연결형 의료기기의 사이버보안은 비밀번호나 암호화 기능 하나가 아니라 제품의 생애주기 전체를 가로지르는 설계 문제가 됩니다. 실제 FDA 변경승인과 2026년 최신 지침, 이식형 의료기기 접근제어 특허를 차례로 살펴보겠습니다.

1. 2017년 FDA 사례: 심장박동기와 프로그래머를 함께 업데이트했습니다

2017년 8월 23일 미국 FDA는 Abbott Medical(St. Jude Medical)의 심장박동기 계열에 관한 P880086/S283 보충승인을 결정했습니다. FDA 공개 승인문에는 저전압 심장박동기의 펌웨어 보안 업데이트, 임상의 프로그래머의 사이버보안 업데이트, 그리고 고전압 기기의 배터리 소모 이상을 감지하기 위한 프로그래머·Merlin.net 서버 업데이트가 각각 기재돼 있습니다.

그 뒤 8월 28일 제조사는 관련 의료진과 병원에 보안 권고문을 발송했습니다. FDA 리콜 기록 Z-0033-2018에는 Merlin@Home 원격 모니터링 송신기의 역할과 함께 무선(RF) 통신을 사용하는 심장박동기의 무단접근 위험을 줄이기 위한 펌웨어·프로그래머 업데이트가 설명됩니다. 이 기록에서 해당 제품의 유통량은 전 세계 495,011대(미국 391,093대)로 표시되지만, 이 숫자는 해킹된 기기 수나 환자 피해 건수가 아니라 리콜 기록상 유통량입니다. 해당 리콜의 상태는 FDA에서 종료(Terminated)로 표시됩니다.

이 사례가 보여주는 기술적 사실은 분명합니다. 환자에게 이식된 장치만 보호하면 끝나는 구조가 아니었습니다. 의료진이 장치를 설정하는 프로그래머, 집에서 데이터를 전달하는 송신기, 원격관리 네트워크까지 각각 기능과 권한이 달랐고, 변경의 내용도 달랐습니다. 제품 전체를 하나의 ‘보안 업데이트’라고 부르더라도 실제 개발·검증 문서는 어느 기기의 어느 소프트웨어가 어떻게 변경되었는지를 구분해야 합니다.

2. 2026년 FDA 지침은 보안을 제품 설계와 품질시스템의 문제로 봅니다

FDA는 2026년 2월 3일 「Cybersecurity in Medical Devices: Quality Management System Considerations and Content of Premarket Submissions」 최종 지침을 발행했습니다. 이 문서는 2025년 6월 27일판을 대체합니다. 또 FDA는 하루 앞선 2026년 2월 2일부터 QMSR을 시행해 기존 QSR 체계를 개정하고 ISO 13485:2016의 참조를 품질관리 규정에 반영했습니다.

여기서 법률상 의무와 지침의 권고를 구분해야 합니다. 미국 FD&C Act §524B는 법에서 정한 ‘cyber device’의 특정 시판 전 제출에 대해 취약점 식별·처리계획, 시판 후 보안 업데이트·패치 제공을 위한 프로세스, 소프트웨어 구성요소 명세서(SBOM) 등의 제출을 요구합니다. 적용 시점은 2023년 3월 29일부터입니다. 반면 2026년 FDA 지침은 이러한 법적 요구사항의 취지와 보안 설계·제출자료의 권고 방법을 설명하며, 지침 자체의 구체적인 기술 예시가 모두 독립적인 법률상 강행규정은 아닙니다. FDA §524B 자료도 이 차이를 설명합니다.

특히 §524B의 적용대상과 다른 연결형 의료기기를 혼동하지 않아야 합니다. 펌웨어가 있다는 사실, 블루투스로 근거리 통신을 한다는 사실만으로 모든 의료기기가 동일한 법정 제출요건에 해당한다고 단정할 수는 없습니다. 제품에 소프트웨어가 있고 인터넷 연결 가능성과 사이버보안 위협에 관한 법정 정의·제출유형을 충족하는지 확인해야 합니다.

SBOM은 완제품에 사용된 상용·오픈소스·기성 소프트웨어의 구성요소를 추적하기 위한 자료입니다. 단순한 소프트웨어 목록이 아니라 업데이트 대상과 지원종료 시점, 알려진 취약점 및 다른 구성요소와의 의존관계를 평가하는 출발점이 됩니다. 보안 업데이트가 가능한 구조를 설계하는 일과 실제 어떤 구성요소를 언제까지 유지·관리할 수 있는지 기록하는 일이 연결돼야 하는 이유입니다.

3. FDA가 요구하는 설명 범위는 ‘서버부터 기기까지’입니다

2026년 FDA 지침의 인쇄 23~24쪽은 보안 아키텍처를 설명하는 몇 가지 관점을 제시합니다. 전체 장치와 외부 연결을 보여주는 Global System View, 여러 환자에게 동시에 발생할 수 있는 위해를 살펴보는 Multi-Patient Harm View, 그리고 소프트웨어 업데이트를 끝까지 전달하는 경로를 설명하는 Updateability/Patchability View입니다.

아래 그림은 FDA가 예로 든 제조사 업데이트 서버 → 병원 내 프로그래머 → 이식형 의료기기의 경로를 독자의 이해를 위해 재구성한 것입니다. 특정 회사의 상용제품 아키텍처나 기기 내부 회로를 복제한 것이 아닙니다.

중요한 점은 제조사의 직접 관리범위를 벗어난 병원 네트워크나 외부 통신환경도 업데이트 경로에 포함될 수 있다는 것입니다. FDA는 전체 경로의 보안을 설명하면서 제조사가 직접 통제하지 못하는 기술이 만들어 내는 위험도 고려하도록 권고합니다. 또한 한 병원망에서 연결된 복수 의료기기가 동시에 영향을 받는 상황을 따로 검토하도록 설명합니다.

이런 설계에서는 사용자 인증뿐 아니라 잘못된 버전의 적용, 전송 중단, 업데이트 후 치료설정과 기능의 검증, 기록과 복구 가능성이 실제 제품의 위험관리 항목이 됩니다. 구체적인 방식은 기기와 임상환경에 따라 달라지며, ‘롤백 기능이 있다’는 표제만으로 안전성을 입증할 수는 없습니다.

4. 접근권한을 주는 특허와 고위험 기능을 보호하는 특허는 다릅니다

보안과 관련된 등록특허도 하나의 기능으로 묶을 수 없습니다. 예를 들어 Boston Scientific Neuromodulation의 미국 등록특허 US12402004B2(2025년 8월 26일 등록)는 이식형 의료기기와 무선으로 통신하는 외부장치의 인증·권한 위임을 다룹니다.

등록 독립항 1에서 첫 외부장치는 인증기관(CA)이 발급한 인증서를 직접 이식형 기기에 전송해 자신의 접근을 허가받습니다. 이어 다른 외부장치의 인증서를 받아 권한을 확인하고, 토큰 또는 별도의 권한정보를 전달해 두 번째 장치가 이식형 기기에 직접 접근할 수 있도록 합니다. 단순히 ‘암호화가 되는 이식형 의료기기’라는 일반 개념이 아니라 첫 장치·둘째 장치·CA 인증서·권한위임 토큰 사이의 관계가 중요한 구성입니다. 제11·12항의 유효기간·단일 세션 제한은 독립항 1에 추가되는 종속항 한정입니다.

반면 유럽 등록특허 EP4433155B1(2025년 10월 1일 등록)는 환자에게 중요한 펌웨어 기능의 의도치 않은 실행을 방지하는 기술입니다. 등록 독립항은 실행 요청을 받은 사용자 권한을 확인하고, 실행 전에는 올바르지 않은 체크섬과 별도 저장된 올바른 체크섬의 관계를 이용해 해당 기능을 승인된 상태에서만 실행하도록 구성합니다. 여기서 체크섬은 데이터·코드의 일치 여부를 확인하는 도구이며 CRC 자체가 강력한 암호학적 사용자 인증을 보장한다는 뜻은 아닙니다.

두 발명은 모두 의료기기의 보안과 관계되지만 특허가 특정하는 대상은 다릅니다. 하나는 외부장치에 접근권한을 위임하는 통신관계, 다른 하나는 고위험 코드가 실행되기 전의 권한·무결성 상태전이를 구체화합니다. 특정 의료기기의 FDA 보안업데이트가 이 공보 중 어느 하나를 실제로 실시한다는 사실은 공개된 등록특허만으로 입증되지 않습니다. 특히 2017년의 펌웨어 변경승인 사실을 2025년의 등록청구항 실시 증거로 소급해서 연결해서는 안 됩니다.

5. 패치 이후에도 의료기기 기업이 다시 확인해야 할 범위

보안 소프트웨어를 변경한 뒤에는 허가받지 않은 접근이 막혔는지만 볼 일이 아닙니다. 임상의 프로그래머가 정상적으로 환자 상태를 확인하고, 허가된 설정을 안전하게 수정하며, 기기의 주요 기능과 알림이 예상대로 유지되는지 확인해야 합니다. 업데이트 실패나 통신 장애처럼 예견 가능한 상황도 제품 종류에 따라 적절하게 관리해야 합니다.

FDA 2026년 지침은 보안 위험평가와 아키텍처 설명·검증자료를 제품 설계 및 수명주기 관리와 연결합니다. 법정 사이버기기 제출사항과 지침 권고는 구분하면서, 변경이 실제 사이버보안 통제에 영향을 주는지에 따라 필요한 제출자료도 달라질 수 있음을 설명합니다. 모든 펌웨어 수정이 동일한 허가 절차를 거친다거나, 작은 버그수정은 언제나 보안·규제 검토에서 제외된다고 보아서는 안 됩니다.

제품개발 관점에서는 소프트웨어 버전과 보안구성요소의 목록, 외부장치별 권한, 어떤 변경이 치료기능의 검증을 필요로 하는지, 구형 기기의 지원종료 계획을 함께 관리해야 합니다. IP 관점에서는 그 과정에서 단순한 표준 보안기능을 나열하는 대신, 환자 안전과 관련된 제약조건을 해결하기 위해 어떤 기술적 처리관계가 새롭게 고안됐는지를 분리해야 합니다. 예컨대 복수 외부장치의 권한위임이나 안전중요 기능 실행 전의 상태전이는 보안이라는 추상적 목적보다 구체적인 발명 후보가 될 수 있습니다.

참고한 공식 원문과 등록특허

1. FDA, Cybersecurity in Medical Devices (2026.2.3 최종 지침) 및 원문 PDF, 특히 인쇄 23~24쪽 — 보안 아키텍처와 Updateability/Patchability View, Multi-Patient Harm View.
2. FDA, Medical Device Cybersecurity Resources and §524B FAQ — 법정 cyber device 정의, 시판후 취약점 대응계획, 업데이트·SBOM 제출기준. QMSR 시행 안내(2026.2.2).
3. FDA, P880086/S283(2017.8.23 보충승인) 및 Merlin@Home 관련 리콜 Z-0033-2018 — 이식기기 펌웨어와 임상 프로그래머·원격관리 경로의 실제 변경.
4. US12402004B2, Methods and systems for managing access to implantable medical devices, 등록 2025.8.26, 청구항 1·2·7·11·12 — 복수 외부장치의 인증서·권한위임 토큰.
5. EP4433155B1, Computer implemented method and system for protecting a patient critical firmware function of an implantable medical device, 등록 2025.10.1 — 환자중요 펌웨어 실행 전 권한·체크섬 상태 검증. 현재 국가별 권리효력은 별도 확인 사항입니다.

INTLAW 인사이트 — 보안 업데이트를 제품 설계의 일부로 읽어야 합니다

연결형 의료기기에서 보안 문제를 발견한 뒤 패치파일을 만드는 것으로 개발 과제가 끝나는 것은 아닙니다. 권한이 있는 사용자·외부장치를 확인하는 단계, 변경된 코드가 안전하게 전달·실행되는 단계, 치료기능과 환자 안전을 재검증하는 단계는 서로 다른 기술적 판단을 요구합니다. FDA의 2017년 보충승인과 2026년 지침은 이러한 판단을 기기 한 대가 아니라 연동시스템의 흐름에서 살펴보도록 합니다.

INTLAW가 의료기기 복합기술과 AI·소프트웨어의 IP-R&D에서 쌓아온 기술구성 분석 방법을 적용한다면, 단순한 ‘인증·암호화·업데이트 기능’ 목록보다 **각 단계가 어떤 안전조건 아래 작동하고 어느 구성의 변경이 제품의 성능·사용성·권리범위를 바꾸는지**를 확인하는 것이 중요합니다. FDA의 요구사항은 환자 안전과 제품 수명주기 관리의 근거이고, 특허는 그 안에서 독립된 기술적 차이와 결합관계를 보호합니다. 둘은 연결되지만 동일한 판단은 아닙니다.

이 분석이 기업의 다음 제품 설계에 남겨야 할 결과는 명확합니다. 업데이트 경로의 책임과 지원범위, 환자 안전을 확인할 시험, 새로운 보안기술을 보호할 청구대상을 구분하여 개발계획에 반영하는 것입니다. **의료기기 보안은 제품 출시 이후에 덧붙이는 패치 기능이 아니라, 처음부터 설계하고 유지해야 하는 제품의 핵심 역량입니다.**