식약처, 의료기기 보안 심사 기준 손질…"허가 지연 줄인다"

식품의약품안전처가 유·무선 통신 기능을 갖춘 의료기기의 사이버보안 허가·심사 가이드라인을 개정해 인허가 과정의 보완 요구와 심사 지연을 줄이기로 했다.

식품의약품안전평가원은 30일 해킹과 정보 유출을 차단하면서도 현장 심사 혼선을 줄이기 위해 의료기기 사이버보안 허가·심사 가이드라인을 개정했다고 밝혔다. 이번 개정은 해외 주요 규제 당국 동향과 국제의료기기규제당국자포럼(IMDRF) 등 글로벌 기준을 조화시키는 한편, 심사 일선에서 보완 요구가 잦았던 항목의 제출 규격을 명확히 다듬는 데 초점을 맞췄다.

가장 큰 변화는 인증정보 관리와 비밀번호 강도 설정 요구사항의 유연화다. 기존에는 의료기기 내 비밀번호 기반 인증 체계에 일괄적으로 복잡한 조합 규칙을 요구해, 응급 상황에서 즉각 작동해야 하는 생명유지 장치나 조작 인터페이스가 제한된 소형 웨어러블 진단기기 개발사들이 어려움을 겪었다.

응급실이나 수술실에서 복잡한 특수문자 조합 비밀번호를 입력하느라 기기 접근이 지체되면 환자 안전에 공백이 생길 수 있기 때문이다. 이번 개정에서는 인증정보 변경 기능의 구현 가능 여부를 제품 구조에 맞춰 확인하고, 제품 특성과 임상적 사용 환경을 고려해 합리적인 비밀번호 강도를 설정할 수 있도록 국제 기준(IA-04, IA-05)을 반영했다.

허가 심사 지연의 주원인으로 꼽히던 다빈도 보완 항목의 기준도 구체화했다. 소프트웨어 의료기기(SaMD)에서 악의적 데이터를 걸러내는 입력값 검증(SI-05)의 경우 검증이 필수인 항목을 구체적으로 제시했다. 그동안 어느 외부 인터페이스와 데이터 구문까지 시험 성적서를 제출해야 하는지 모호해 심사관 판단에 따라 추가 보완이 거듭되곤 했다.

시스템 이상 상황을 다루는 오류처리(SI-07) 항목 역시 오류 메시지 확인을 위해 제출해야 하는 서류를 공인된 시험기준으로 명시했다. 기기 특성상 특정 사이버보안 항목을 기술적으로 적용하기 어려운 경우 면제를 위해 입증해야 하는 제출 자료의 범위도 명확히 정리했다.

국내 바이오·디지털 헬스케어 스타트업들은 인공지능 진단 보조 소프트웨어나 커넥티드 의료기기를 개발하고도 모호한 사이버보안 가이드라인 탓에 수개월씩 보완 일정을 소모해왔다. 미국 식품의약국(FDA) 등 해외 규제기관과 국내 식약처의 요구 양식이 달라 이중으로 보안 시험 평가를 치러야 하는 비용 부담도 겪었다.

식약처는 개정 사항의 안착을 위해 지난 10월 28일 제조·수입업체 인허가 담당자를 대상으로 업무설명회를 연 데 이어 오는 11월 26일 온라인 심화 교육을 진행할 예정이다. 업계에서는 행정 편의적인 보안 체크리스트 요구가 사라지고 실제 위험도에 기반한 심사가 이뤄질 것으로 기대하고 있다.

다만 가이드라인 개정 취지가 실제 허가 단축으로 이어지려면 기술문서 심사기관과 현장 심사관들의 실무 적용 일관성이 담보돼야 한다는 과제가 남는다. 보안 강도를 완화 적용할 수 있는 예외 사유의 타당성을 입증하는 책임이 여전히 제조사에 있어, 입증 자료를 둘러싼 추가 질의와 검증 공방이 재현될 위험도 상존한다.