1. Identify

1. Maintaining Safety and Essential Performance

제조사는 기기의 안전성과 필수 성능, 손상 시 발생할 환자 위해의 심각도, 그리고 위험 수용 기준을 정의해야 함.

ENManufacturers should define, as part of their comprehensive cybersecurity risk management plan, the safety and essential performance of their device, the resulting severity of patient harm if compromised, and the risk acceptance criteria.

KR제조사는 포괄적인 사이버보안 위험 관리 계획(comprehensive cybersecurity risk management plan)의 일환으로, 기기의 안전성과 필수 성능, 손상 시 발생할 환자 위해의 심각도(severity), 그리고 위험 수용 기준(risk acceptance criteria)을 정의해야 합니다.

ENThese steps allow manufacturers to triage vulnerabilities for remediation.

KR이러한 단계는 제조사가 취약점의 위험을 개선하기 위한 우선순위를 정하는 것을 가능하게 합니다.

위협 모델링은 기기 취약점의 악용 가능성과 환자 위해 가능성을 이해하고 평가하는 데 있어 중요함.

ENThreat modeling is important to understanding and assessing the exploitability of a device vulnerability and its potential for patient harm.

KR위협 모델링(threat modeling)은 기기 취약점의 악용 가능성(exploitability)과 환자 위해 가능성을 이해하고 평가하는 데 중요합니다.

ENThreat modeling can also be used in determining whether a proposed or implemented remediation can provide assurance that the risk of patient harm due to a cybersecurity vulnerability is reasonably controlled.

KR또한 위협 모델링은 제안되거나 시행된 위험개선이 사이버보안 취약점으로 인한 환자 위해 위험이 합리적으로 통제되고 있음을 보장할 수 있는지 판단하는 데에도 사용될 수 있습니다.

ENImportantly, acceptable mitigations will vary depending upon the severity of patient harm that may result from exploitation of a vulnerability affecting the device.

KR중요한 점은, 허용 가능한 완화 조치(acceptable mitigations)는 취약점이 악용될 경우 발생할 환자 위해의 심각도에 따라 달라진다는 것입니다.

2. Idenitification of Cybersecurity Signals

불만, 반품, 서비스 기록, 기타 품질 데이터의 출처를 분석하여 부적합 제품이나 기타 품질 문제의 기존 및 잠재적 원인을 식별해야 함(21 CFR 820.100).

ENManufacturers are required to analyze complaints, returned product, service records, and other sources of quality data to identify existing and potential causes of nonconforming product or other quality problems (21 CFR 820.100).

KR제조사는 불만(complaints), 반품된 제품(returned product), 서비스 기록(service records), 기타 품질 데이터의 출처를 분석하여 부적합(nonconforming) 제품이나 기타 품질 문제의 기존 및 잠재적 원인을 식별해야 합니다(21 CFR 820.100).

ENManufacturers are encouraged to actively identify cybersecurity signals that might affect their product, and engage with the sources that report them.

KR제조사는 자사 제품에 영향을 미칠 수 있는 사이버보안 신호(cybersecurity signals)를 적극적으로 식별하고 이를 보고하는 출처와 협력할 것을 권장합니다.

ENIt is important to recognize that signals can originate from sources familiar to the medical device workspace such as internal investigations, post market surveillance and or/complaints.

KR신호는 내부 조사(internal investigations), 시판 후 감시(post market surveillance), 불만 등 의료기기 분야에서 익숙한 출처에서 발생할 수 있음을 인식하는 것이 중요합니다.

ENIt is also important to recognize that cybersecurity signals may originate from cybersecurity-centric sources such as Cyber Emergency Response Teams (CERTS), ISAOs, security researchers, or from other critical infrastructure sectors such as the Defense or Financial Sectors.

KR또한 사이버보안 신호는 사이버 비상 대응팀(CERTS), ISAO, 보안 연구소(security researchers), 국방(Defense)이나 금융(Financial)과 같은 다른 중요 인프라 부문에서 발생할 수 있음을 인식하는 것도 중요합니다.

ENIrrespective of the originating source, a clear, consistent and reproducible process for intake and handling of vulnerability information should be established and implemented by the manufacturer.

KR출처와 관계없이, 제조사는 취약점 정보(vulnerability information)의 접수(intake) 및 처리(handing)를 위한 명확하고 일관되며 재현 가능한 프로세스를 수립하고 실행해야 합니다.

ENFDA has recognized ISO/IEC 29147:2014, Information Technology - Security Techniques - Vulnerability Disclosure and ISO/IEC 30111:2013: Information Technology – Security Techniques – Vulnerability Handling Processes that may be useful resources for manufacturers.

KRFDA는 제조사에 유용할 수 있는 자원으로 ISO/IEC 29147:2014 「정보기술 – 보안 기법 – 취약점 공개(Vulnerability Disclosure)」와 ISO/IEC 30111:2013 「정보기술 – 보안 기법 – 취약점 처리 프로세스(Vulnerability Handling Processes)」를 인정(recognized)했습니다.

ENManufacturers should develop strategies to enhance their ability to detect signals (e.g., participating in an ISAO for medical devices).

KR제조사는 신호 탐지 능력을 향상시키기 위한 전략을 개발해야 합니다 (예: 의료기기용 ISAO 참여).

ENManufacturers can also enhance their postmarket detection of cybersecurity risks by incorporating detection mechanisms into their device design and device features to increase the detectability of attacks and permit forensically sound evidence capture.

KR또한 기기 설계 및 기기 기능에 탐지 메커니즘을 통합하고 법의학적으로 타당한(forensically sound) 증거 확보를 가능하게 함으로써 시판 후(postmarket) 사이버보안 위험 탐지를 강화할 수 있습니다.

21 CFR 820.100 Corrective and Preventive Action (시정 및 예방조치)