Cybersecurity Risk Management Plan
SW 팀장은 AAMI/TIR 57 2016/(R)2019에 따라 Cybersecurity Risk Management Plan을 작성한다. 이때 Cybersecurity Risk Management Plan 에는 다음의 내용을 포함하여야 한다.
가) 책임과 권한
나) 위험관리 프로세스 및 사이버보안 위험관리 프로세스와의 상관관계
다) 보안과 관련된 특성식별 방법
라) 위험 평가 (assessment) 방법
바) 자산, 부정적 영향, 취약점, 위협 식별 방법
아) 위험 분석 방법
자) 위험 평가 (Evaluation) 방법
차) 위험통제
카) 위험 허용 기준, 발생가능성 및 영향에 대한 설명
파) 위험통제 검증
타) 생산 및 생산 후 정보와 관련된 설명
사이버보안 체크리스트
SW팀장은 [사이버보안 체크리스트]를 작성한다. [사이버보안 체크리스트] 의 내용에는 식약처 [의료기기 사이버보안 허가 심사 가이드라인 (안내서-0995–01, 2019.11.28)] 의 사이버보안 필수원칙 체크리스트 및 AAMI/TIR 57 2016/(R)2019 Annex D의 개별 문항을 참고하여 해당 특성 여부를 기재한다. 국내 식약처 허가를 목적으로 하는 경우 [의료기기 사이버보안 허가 심사 가이드라인]의 [사이버보안 필수원칙 체크리스트]의 개별 항목을 적용하고, 미국 및 유럽을 인허가 대상국가에 포함하는 경우 AAMI/TIR 57 Annex D 의 개별 문항을 적용한다. 만일 개별 문항 중에서 기기의 특성에 해당이 되지 않는 경우, 이에 대한 합당한 근거를 기재한다.
Penetration Test Report
SQA는 보안과 관련된 위험통제 수단을 검증하기 위해 Penetration Test를 수행한다.
Penetration Test는 입력, 예상 출력, 시험결과(통과/실패)가 수행되어야 하며, 보안과 관련된 위험통제로 적용된 SRS 항목을 만족할 수 있도록 하여야 한다.
Penetration Test에서 이상이 발견될 경우 SW 문제 해결 절차에 따라 문제를 해결하여야 한다.
Penetration Test에 따라 발생되는 변경 내용에 대해, 다음사항을 수행하여야 한다.
문제 해결에 따른 변경으로 인한 영향을 검증할 수 있도록 시험을 반복하고, 변경된 시험을 수행하거나 추가적인 시험을 수행한다.
의도하지 않은 부작용이 발생하지 않음을 보이기 위한 적절한 시험을 수행한다.
수행된 Test를 기반으로 SQA는 Penetration Test Report를 작성하며, 작성 시 아래의 내용을 포함한다.
가) 테스트 개요: 테스트 대상 소프트웨어에 대한 내용 및 테스트 목적, 테스트 기간, 수행자 및 테스트 결과 요약내용을 기재한다.
나) 테스트 방법: 테스트 수행 시 확인해야할 점검 목록을 명시한다.
다) 테스트 요약: 점검 목록 별 테스트 결과에 대해 명시한다. 이때 점검 목록에서 명시하고 있는 항목 중 수행하지 않은 항목에 대해서 테스트를 하지 않은 사유를 기재한다.
라) 추후 테스트 예정일자
마) 테스트 결과
Cybersecurity Risk Management Report
SW팀장은 사이버보안 위험관리 활동의 결과물을 통합하여 Cybersecurity Risk Management Report를 작성한다. 해당 Report에 포함되는 내용은 아래와 같다.
가) 특성 식별 결과
나) 위협, 취약점, 자산 및 부정적 영향에 대한 식별 결과
다) 위험 산정 결과
라) 위험 평가 결과
마) 위험 통제 결과 (통제 대안분석, 통제 적용, 통제 검증, 잔여 위험 평가, 위험이득 분석, 새로운 위험의 여부 확인)
바) 전체 잔여 위험 평가
사) 보안 위험관리 활동 완료
아) 생산 및 생산 후 정보
Manufacturer Disclosure Statement for Medical Device Security
SW 팀장은 ANSI/NEMA HN 1–2019에 근거하여 Manufacturer Disclosure Statement for Medical Device Security 를 작성한다.
이상으로 Healthcare 분야에서 일했던 경험 정리를 마친다.
