안녕하세요, 유유테이진 건강지킴이입니다.

네트워크에 연결되는 의료 AI는 하나의 화면이나 알고리즘만으로 운영되지 않을 수 있습니다. 운영체제, 의존 라이브러리, 서버·워크스테이션, 에이전트, 클라우드 등 여러 구성요소가 연결되므로, 알려진 취약점이 발견됐을 때 누가 어떤 기한과 방식으로 대응하는지가 중요합니다. 제품 선정이나 계약 직전에는 ‘보안 기능이 있다’는 설명보다 SBOM 제공 범위, 패치 지원, 병원과 제조사의 책임 분담을 문서로 확인해야 합니다.

TL;DR

• SBOM(소프트웨어 자재명세서)은 제품에 포함되거나 제품이 의존하는 상용·오픈소스·기성품 소프트웨어 구성요소를 파악하는 자료입니다.
• 제조사에 SBOM 보유 여부만 묻지 말고, AI 본체와 설치 환경 중 어디까지 포함하는지, 언제 갱신되는지 확인하세요.
• 취약점 발견 후의 접수 창구, 위험도 평가, 병원 통지, 완화 조치, 패치 배포와 지원 종료 기준을 계약 전에 문서화하는 것이 핵심입니다.
• 패치가 임상 업무 흐름이나 의료진의 판단에 미칠 영향은 보안 담당자만의 문제가 아닙니다. 관련 의료진과 함께 검토하고, 진료상 진단·처방 판단은 담당 의사가 맡아야 합니다.

SBOM은 왜 계약 전에 확인해야 할까요?

SBOM은 쉽게 말해 제품을 구성하는 디지털 부품 목록입니다. 미국 식품의약국(FDA)은 인터넷 연결이 가능하고 사이버 위협에 취약할 수 있는 특성을 지닌 ‘사이버 기기(cyber device)’의 제조사에 상용, 오픈소스, 기성품(OTS) 구성요소를 포함한 SBOM 제공을 안내하고 있습니다. 따라서 병원은 제품에 SBOM이 ‘있다’는 답만 받기보다 실제 도입 범위를 기준으로 목록을 요청할 필요가 있습니다.

예를 들어 다음 범위를 구분해 확인할 수 있습니다.

• 의료 AI 제품 자체와 제품 내부의 의존 구성요소
• 병원 내에 설치되는 서버 또는 워크스테이션
• 별도로 설치되는 에이전트와 연동 구성요소
• 제조사가 관리하는 환경과 병원이 관리해야 하는 환경의 경계
• 구성요소 변경 시 SBOM 갱신 방식과 제공 주기

이는 취약점 공지가 나왔을 때 병원이 해당 제품의 영향을 빠르게 판단하는 데 필요한 기본 정보입니다. 다만 SBOM을 받았다고 해서 모든 보안 위험이 제거되는 것은 아닙니다. 목록의 정확성과 최신성, 취약점 평가, 실제 완화 조치가 함께 확인되어야 합니다.

제조사에 요청할 보안 문서와 답변

식품의약품안전처는 의료기기 사이버보안 허가·심사 가이드라인을 공개하고 있습니다. 병원이 의료 AI를 의료기기로 도입하려는 경우, 제조사에 국내 허가·심사 과정에서 적용한 사이버보안 관련 문서와 가이드라인 대응 자료를 제공할 수 있는지 확인할 수 있습니다. 자료 제출이 어렵다면 그 사유와 대체 가능한 검토 자료를 기록해 두는 편이 좋습니다.

FDA는 제조사가 시판 후 취약점과 악용 가능성을 모니터링·식별·해결하기 위한 계획과 절차를 갖추도록 안내합니다. 계약 또는 보안성 검토 회의에서는 아래 질문에 대해 문서로 답변받는 방식을 고려할 수 있습니다.

1. 외부 연구자나 병원이 취약점을 알릴 공식 접수 창구는 무엇인가?
2. 접수 후 제조사는 위험도를 누가, 어떤 절차로 평가하는가?
3. 병원에는 어떤 조건에서, 어떤 채널로 영향과 조치 방법을 알리는가?
4. 즉시 패치가 어렵다면 설정 변경, 네트워크 분리 등 가능한 완화 조치는 무엇인가?
5. 보안 업데이트 제공 기간과 지원 종료일은 언제인가?
6. 긴급 패치는 어떤 방식으로 배포하며, 병원은 설치 전후 무엇을 검증해야 하는가?

시판 후 사이버보안 관리는 설계·개발뿐 아니라 유통, 배포, 유지보수를 포함한 제품수명주기 전반과 관련됩니다. 따라서 납품 시점의 점검표만으로 끝내기보다, 운영 중 공지와 업데이트가 이어지는 체계를 확인해야 합니다.

‘누가 설치하고 누가 판단하는가’를 나누어 적기

패치 적용은 기술적 조치이지만 의료 현장의 운영 중단이나 결과 해석에 영향을 줄 수 있습니다. ANSI/AAMI SW96:2023은 제조사의 시판 후 보안위험 관리, 의료서비스 제공기관과의 소통·협업, 조정된 취약점 공개, 보안 패치 관리 절차 등을 다룹니다.

이에 따라 병원은 제조사와 역할분담표(RACI)를 만들어 다음 사항을 명확히 할 수 있습니다.

• 제조사 책임: 취약점 분석, 패치 개발, 영향 안내, 설치 지침과 연락 창구 제공
• 병원 책임: 내부 변경관리, 설치 일정 승인, 설치 전후 환경 검증, 관련 부서 통보
• 공동 확인: 긴급도 판단, 서비스 중단 필요성, 장애 발생 시 복구 절차, 환자 안전 영향 검토

특히 ‘자동 업데이트’ 여부만 확인해서는 충분하지 않습니다. 업데이트 전 검증 책임자, 설치 가능 시간대, 실패 시 되돌리는 방법, 의료진에게 알릴 기준을 합의해야 합니다. 제조사가 해외 규제 자료를 제시한다면, SBOM·패치·취약점 관리 자료가 현행 가이드라인에 맞춰 정리돼 있는지도 확인할 수 있습니다.

장애와 취약점 발생 시 연락 체계 점검

도입 전에는 평상시 문의 채널과 긴급 상황 채널을 구분해 확인하세요. 취약점뿐 아니라 제품 장애, 비정상 결과, 업데이트 실패 등 여러 상황에서 어느 부서가 최초 대응하는지 불명확하면 대응이 지연될 수 있습니다.

최소한 제조사 연락 창구, 병원 내 정보보호·의료기기·임상 부서의 보고 경로, 통지를 받을 담당자와 대체 담당자를 정해 두는 것이 좋습니다.

의료 AI의 결과가 진료 과정에 활용되더라도 보안 업데이트나 장애 공지가 의료진의 임상적 판단을 대신하지는 않습니다. 결과의 해석, 사용 지속 여부, 대체 업무 절차는 해당 분야 전문의 또는 담당 의사와 논의해야 하며, 환자에게는 제품 오류 가능성과 대응 계획을 상황에 맞게 안내할 필요가 있습니다.

자주 묻는 질문(FAQ)

Q. SBOM을 받으면 병원이 직접 모든 취약점을 분석해야 하나요?

아닙니다. SBOM은 영향을 확인하기 위한 기초 자료입니다. 제조사의 취약점 모니터링, 위험도 평가, 통지 및 완화 절차가 함께 작동하는지 확인하는 것이 중요합니다. 병원의 내부 보안 역량과 운영 체계에 맞춰 검토 범위와 책임자를 정하세요.

Q. 패치 지원 기간은 구두 설명으로 받아도 되나요?

구두 설명만으로는 운영 중 기준이 달라졌을 때 확인하기 어렵습니다. 지원 종료일, 보안 업데이트 제공 기간, 긴급 패치 절차, 병원과 제조사의 설치·검증 책임을 계약서나 부속 문서에 명확히 남기는 방식을 검토하세요.

Q. 해외 규제 자료가 있으면 국내 도입 검토는 끝난 것인가요?

그렇지 않습니다. 해외 자료는 제조사의 보안 관리 체계를 살피는 참고 자료가 될 수 있지만, 국내 의료기기 해당 여부와 국내 허가·심사 관련 사항은 별도로 확인해야 합니다. 식품의약품안전처 공개 자료와 제조사 제공 문서를 함께 검토하는 것이 필요합니다.

본문에 언급된 타사 의료 AI 제품·서비스는 정보 제공 목적의 사례이며, 유유테이진의 판매·임대·상담 대상이 아닙니다. 제품·도입 문의는 해당 제조사·공식 판매처 또는 의료기관에 확인해 주세요.