이수민 KTL 선임연구원이 SBOM 취약점 분석 및 대응을 주제로 발표하고 있다.(사진=KTL 제공)

한국산업기술시험원(KTL)은 '소프트웨어 자재 명세서를 통한 의료기기 사이버보안 침해 예방 워크숍'을 개최하고 국내 의료기기 기업의 글로벌 사이버보안 규제 대응 지원에 나섰다고 17일 밝혔다.

이번 워크숍은 식품의약품안전처의 '소프트웨어 자재 명세서를 통한 의료기기 사이버보안 침해 예방 방안 마련 연구'의 일환으로 KTL과 한국기계전기전자시험연구원(KTC)이 공동 주관했다.

최근 의료기기의 네트워크 연결이 증가하면서 관련 사이버보안 위험이 증가하고 있다. 의료기기 해킹은 단순한 정보 유출을 넘어 환자의 생명을 직접적으로 위협할 수 있다는 점에서 아주 심각하다. 이에 정부는 범부처 차원에서 인공지능(AI) 첨단 의료기기 상용화를 추진하는 동시에 디지털 보안·안전 확보를 위한 정보보호 제도 개편과 AI 기반 보안 시스템 구축 등을 국정목표로 삼았다.

미국 FDA는 이러한 위협에 대응하기 위해 의료기기 인허가 시 소프트웨어 자재 명세서(Software Bill of Materials, SBOM) 제출을 의무화하고 사이버보안 규제를 강화했다. 유럽과 한국 역시 의무화 단계는 아니지만 SBOM 요구사항을 언급하고 있다.

SBOM은 의료기기 등 제품을 구성하는 모든 소프트웨어 부품을 일람표로 정리한 목록이다. 요리 레시피처럼 제품 내 포함된 소프트웨어와 오픈소스(Open Source) 구성 요소를 명확히 파악할 수 있다. 특히 소프트웨어 개발에 사용되는 다양한 오픈소스에서 보안 취약 문제가 지속적으로 발생하고 있어 SBOM에 대한 관리와 대응이 점점 더 중요해지고 있다.

이번 워크숍은 SBOM에 대한 이해와 관련 규제 대응을 목표로 개최됐다. 특히 국내 의료기기 기업이 국내외 규제 환경 변화에 효과적으로 대응하고, 의료기기 제조사, 수요자, 규제기관이 사이버보안 침해에 대한 실질적인 대응 방안 마련 지원에 초점을 맞췄다.

워크숍은 ▲국내외 의료기기 사이버보안 최신 규제 현황 ▲SBOM 제출 최소 요구사항 ▲소프트웨어 분석 도구 기업 SBOM 생성 도구 원리 및 특성 등을 주제로 다룬 KTC의 발표로 시작됐다.

이후 SBOM 취약점 분석 및 대응을 주제로 ㈜소프트플로우와 ㈜스패로우의 소프트웨어 구성 분석(SCA) 도구의 원리 및 특성에 대한 발표가 이어졌다.

KTL은 해당 주제를 이어받아 ▲의료기기 분류 및 특성에 따른 SBOM 특성 분석 ▲취약점 분석 및 대응방안 ▲SBOM 도구 사용에 따른 실증 결과를 공유하였다. 이후 한국인터넷진흥원은 SBOM 거버넌스 연구 및 활용 현황을 소개하고 KTL의 질의응답 시간으로 워크숍을 마무리했다.

이번 워크숍을 통해 KTL은 SBOM 활용 취약점 분석 및 대응 전략 등 실무에 즉시 적용할 수 있는 지식을 제공함으로써 국내 기업의 글로벌 규제 대응 역량을 강화하고 해외 진출의 발판을 마련할 것으로 기대하고 있다.

박찬수 KTL 의료기기평가센터장은 "이번 워크숍은 국내 의료기기 기업이 SBOM을 활용해 체계적인 취약점 관리 역량을 강화하는 기회의 장이 됐다″며 "앞으로도 KTL은 국내 중소 의료기기 제조사들이 미국 FDA 및 유럽연합(EU) 규제 대응 능력을 갖출 수 있도록 실질적인 지원을 지속해 나가겠다"고 밝혔다.

한편 KTL은 지난해 의료기기 사이버보안 분야의 한국인정기구(KOLAS) 인정 범위를 확대하고 우리 기업들이 관련 국제 규제 및 보안 위협에 효과적으로 대응할 수 있는 맞춤형 시험평가 서비스를 제공하고 있다.