SecuriMD · Quveza
의료기기 사이버보안 교육 포털
사이버보안 확인 허브를 실제 화면 그대로 열어보며 학습하는 과정입니다. 가상 의료기기 3종(SiMD 2 · SaMD 1)의 분석 결과를 놓고 SBOM·취약점·위협모델링·조치 판단까지 제조사 담당자가 실무에서 마주하는 순서대로 따라갑니다.
이 교육을 만든 곳 — SecuriMD
의료기기 사이버보안 · SW · AI 규제 대응을 처음부터 끝까지 한 파트너가 맡습니다.
The New Mandate
사이버보안은 이제 ‘권고’가 아니라 ‘법적 필수 의무’입니다. 미국 FDA 524B(SBOM 미비 시 접수 거절·RTA), 2026-02-02 시행 FDA QMSR(ISO 13485 편입), 식약처 디지털의료제품법, EU MDR — 사이버보안 서류와 품질시스템(QMS) 없이는 시장 진입이 불가능합니다.
Quveza — 하나의 플랫폼, 하나의 흐름
Privacy-Preserving AI 분석 엔진이 의료기기 SW·사이버보안·AI를 격리된 환경에서 분석해 FDA·MFDS·EU MDR 다국가 제출 서류를 생성하고, QMS 운영(대시보드·CVE/EOL 사후관리·전자서명·감사추적·CAPA)까지 하나의 흐름으로 지원합니다. 검토와 서명의 주체는 언제나 제조사입니다.
SecuriMD · HCT 서비스 3영역
규제가 요구하는 제품 보안 운영은 6단계(계획·원칙 → 설계 → 구현 → 검증·시험 → 릴리스 → 시판 후·폐기)이며, 그 수행 주체는 제조사입니다. 아래 3영역은 6단계를 축약한 것이 아니라, 그 위에서 SecuriMD·HCT가 맡는 개입 지점입니다.
01
시판 전 문서화
PRE-MARKET DOCUMENTATION
운영 1 · 2 · 3 · 5단계
- 보안 제품 개발 프레임워크(SPDF)
- 위협모델링 · 위험관리 보고서
- 소프트웨어 자재명세서(SBOM)
- eSTAR 등 제출용 문서 패키징
02
사이버보안 시험
CYBERSECURITY TESTING
운영 3 · 4단계
- 공격 표면 · 알려진 취약점 분석
- SAST · 퍼징 · 침투시험(사전 시뮬레이션)
- 실제 시험은 ISO 17025 공인시험기관
- AI 이중검증 + 전문가 검수
03
시판 후 지속관리
POST-MARKET RISK MANAGEMENT
운영 5 · 6단계
- CVE/EOL 주기적 취약점 모니터링
- 신속한 패치 · 업데이트 관리
- 사고 대응 계획 · 레거시 기기 보안
- QMS 운영 · CAPA(FDA QMSR · ISO 13485)
공인시험 파트너 — ㈜에이치시티(HCT) · KOLAS · A2LA ISO/IEC 17025 공인시험기관. SecuriMD가 시험 프로토콜과 예상 취약점·보강안을 준비하고, 실제 침투·퍼징 시험은 HCT를 통해 수행·연계하여 규제 제출용 ‘공인 시험성적서’를 확보합니다.
대표 권이석 — (전)KTL 사이버보안 팀장, IEC TC62/SC62A 전문위원, IEC 81001-5-1 제정 참여, 식약처 의료기기 사이버보안 가이드라인 참여.
첫 상담은 무료입니다 — 문의 hello@securimd.com
교육 자료 열기
교육 담당자에게 전달받은 인증코드를 입력하십시오.
다루는 사례 3종
위험도와 쟁점이 서로 다르도록 구성했습니다. 각 사례는 13개 분석 섹션을 모두 포함하며, 인공호흡기는 취약점을 제외한 전 섹션이 전량 표시됩니다. 배지는 그 사례가 강의의 어느 단계를 맡는지를 나타냅니다.
- 환자모니터Class BSiMD
1단계SiMD 좋은 사례 — 유일한 통과. 위험 게이트 pass 화면이 어떻게 생겼는지
기기에 내장된 SiMD. 유일하게 위험 게이트를 통과한 사례 — 통과한 화면이 어떻게 생겼는지 본다.
- 의료영상 뷰어Class BSaMD
4단계SaMD 사례 — 유일한 시험성적서. 요구사항 met 이 침투시험에서 뒤집힌다
하드웨어 없이 소프트웨어가 의료 목적을 수행하는 SaMD. SBOM 규모가 가장 크고, 요구사항 시험 met 이 침투시험에서 뒤집힌다.
- 인공호흡기Class CSiMD
5단계SiMD 나쁜 사례 — 전량 표시. 릴리스·시판 후 미충족까지 데이터 전체
RTOS 펌웨어가 하드웨어를 구동하는 SiMD. 단종 부품이 소스 통제권·패치 가능성까지 무너뜨리는 사례.
학습 항목 13개 섹션
확인 허브의 각 섹션이 곧 학습 단위입니다. 표의 마커·섹션명은 허브 화면 표기와 동일하며, 나열 순서도 화면 순서와 같습니다.
규격 표기 — 취약점 CVSS v3.1 · CISA KEV · VEX · 위협 CVSS v4.0 · 구성요소 CycloneDX/SPDX (NTIA) · 보안 라벨링 MDS2 · 보안요구사항 MFDS SR · 보안통제 IEC 81001-5-1 · 위험 수용 ISO 14971
| 마커 | 섹션 (허브 표기) | 무엇을 배우는가 |
|---|---|---|
| CVE | Vulnerabilities취약점 | 공개 CVE를 CVSS v3.1로 읽고, KEV 등재·VEX 영향 판정·수정 가능 여부로 조치 우선순위를 세우는 법 |
| DFD | Data Flow Diagram데이터흐름도 | 신뢰경계·외부실체·데이터저장소를 구분해 공격면을 그리는 법 |
| STRIDE | Threat Model위협모델링 | DFD 요소별 STRIDE 도출과 CVSS v4.0(Supplemental Safety = 환자 위해) 기반 위험등급 산정 |
| EOL | End of Life컴포넌트 단종 | EOL/EOS 도래 컴포넌트를 식별하고 잔여위험으로 넘길지 판단하는 기준 — 기기 자체의 수명 종료(단종 통지·절차)와는 구분됩니다 |
| SBOM | Components구성요소 목록 | CycloneDX·SPDX 산출물에서 NTIA 최소요건 충족 여부와 라이선스 선언율을 읽는 법 |
| SLC | Security Labeling Category보안 라벨링 항목 | MDS2 공개 항목(ALOF·AUTH·AUDT 등)별 Info/Warning 판정을 읽고 라벨링에 무엇을 기재할지 판단하는 법 |
| Req | Requirements보안요구사항 | 식약처(MFDS) 보안요구사항 SR 항목을 met·partial·gap 상태로 전개하고 추적하는 법 |
| Testing | Testing시험 | 침투시험·퍼징 프로토콜의 대상 표면(target surface) 설정과, 공인 시험성적서 판정을 요구사항 시험 결과와 대비해 읽는 법 |
| Treatment | Remediation조치 결정 | 완화(mitigate)·수용(accept)·이전(transfer) 중 선택하고 잔여위험 등급을 확정하는 판단 |
| Risk | Risk Acceptance위험 수용 | ISO 14971 위험 항목과 연계한 수용 게이트 통과·차단 판정 |
| Controls | Security Controls보안통제 | IEC 81001-5-1 통제 항목의 구현 상태(implemented·in progress·planned) 해석 |
| Release | Release Readiness릴리스 준비 | 소스코드 보관·통제권(에스크로), 형상관리, 업데이트·패치 가능성을 출하 전에 확보했는지 판단 |
| Postmarket | Postmarket Plan시판 후 계획 | 상시 감시·협력적 취약점 공개(CVD)·기기 수명 종료 통지까지 — FD&C §524B(b)(1) 법정 제출물의 구성 |
교육용 가상 데이터 고지
교육 사례에 수록된 제품명·제조사명·분석 수치는 전부 교육용으로 만든 가상 정보이며 실제 상용 의료기기와 무관합니다. 특정 제조사·제품·모델과의 유사성은 우연입니다. CVE 식별자와 오픈소스 컴포넌트명은 공개된 사실을 교육 목적으로 인용한 것입니다. 실제 고객 자료는 포함되어 있지 않습니다. 위 회사 소개 항목(공인시험 파트너·대표 이력)은 가상 데이터가 아닌 사실 정보입니다.