Skip to main content

1. Assessing Exploitability of the Cybersecurity Vulnerability

제조사는 사이버보안 취약점의 악용 가능성(exploitability)을 평가하는 프로세스를 가져야 함.
ENManufacturers should have a process for assessing the exploitability of a cybersecurity vulnerability.
KR제조사는 사이버보안 취약점의 악용 가능성(exploitability)을 평가하는 프로세스를 가져야 합니다.
ENIn many cases, estimating the probability of a cybersecurity exploit is very difficult due to factors such as; complexity of exploitation, availability of exploits, and exploit toolkits.
KR많은 경우, 사이버보안 공격의 발생 확률을 추정하는 것은 악용의 복잡성, 악용(exploit)의 가용성, 악용 도구(toolkit)의 존재와 같은 요인들로 인해 매우 어렵습니다.
ENIn the absence of data on the probability of the occurrence of harm, conventional medical device risk management approaches suggest using a “reasonable worst-case estimate” or setting the default value of the probability to one.
KR위해 발생 확률에 대한 데이터가 없는 경우, 기존 의료기기 위험 관리 접근법은 “합리적인 최악의 경우 추정(reasonable worst-case estimate)”을 사용하거나, 확률의 기본값을 1로 설정할 것을 제안합니다.
ENWhile these approaches are acceptable, FDA suggests that manufacturers instead consider using a cybersecurity vulnerability assessment tool or similar scoring system for rating vulnerabilities and determining the need for and urgency of the response.
KR이러한 접근법은 허용 가능하지만, FDA는 제조사가 대신 사이버보안 취약점 평가 도구(vulnerability assessment tool) 또는 이와 유사한 점수화 시스템(scoring system)을 활용하여 취약점을 평가하고, 대응 필요성과 긴급성을 결정할 것을 권장합니다.
사이버보안 취약점 평가 도구: CVSS (Common Vulnerability Scoring System) 3.0.
사이버보안 취약점 및 관리 요소
  • 공격 경로(Attack Vector): 물리적(physical), 로컬(local), 인접(adjacent), 네트워크(network)
  • 공격 복잡성(Attack Complexity): 높음(high), 낮음(low)
  • 필요 권한(Privileges Required): 없음(none), 낮음(low), 높음(high)
  • 사용자 상호작용(User Interaction): 없음(none), 필요(required)
  • 범위(Scope): 변경됨(changed), 변경되지 않음(unchanged)
  • 기밀성 영향(Confidentiality Impact): 높음(high), 낮음(low), 없음(none)
  • 무결성 영향(Integrity Impact): 없음(none), 낮음(low), 높음(high)
  • 가용성 영향(Availability Impact): 높음(high), 낮음(low), 없음(none)
  • 악용 코드 성숙도(Exploit Code Maturity): 높음(high), 기능적(functional), 개념 증명(proof-of-concept), 검증되지 않음(unproven)
  • 위험개선 수준: 불가능(unavailable), 임시 해결책(work-around), 임시 수정(temporary fix), 공식 수정(official fix), 정의되지 않음(not defined)
  • 보고 신뢰도(Report Confidence): 확인됨(confirmed), 합리적(reasonable), 알 수 없음(unknown), 정의되지 않음(not defined)

ENCVSS 3.1 Sample image
CVSS3.1

취약점 분류에 도움이 되는 기타 자료
사이버보안 취약점 및 관리 요소
  • AAMI TIR57: Principles for medical device security – Risk management,
  • IEC 80001: Application of risk management for IT Networks incorporating medical devices,
  • the National Vulnerability Database (NVD),
  • the Common Vulnerabilities and Exposures (CVE),
  • Common Weakness Enumeration (CWE),
  • Common Weakness Scoring System (CWSS),
  • Common Attack Pattern Enumeration and Classification (CAPEC),
  • Common Configuration Enumeration (CCE)
  • Common Platform Enumeration29 (CPE).