의료기기 소프트웨어(SaMD)는 그 특성상 물리적인 장치 없이 알고리즘의 성능과 임상적 유효성에 대한 입증이 핵심이 됩니다. 이에 따라 임상적 평가(Clinical Evaluation) 과정에서 임상조사(Clinical Investigation)를 수행해야 하는 경우가 빈번히 발생하며, MDR(의료기기 규정) 기준에서는 후향적 임상조사도 특정 조건 하에 가능하다는 점이 주목됩니다.

후향적 임상조사 사용이 가능하려면 EN ISO 14155 기준에 부합하는 GCP(Good Clinical Practice) 준수가 선행되어야 합니다. 이는 단순히 기존 데이터를 분석하는 수준을 넘어, 실제 임상 환경에서 의료진이 SaMD를 사용한 진단 워크플로우 내에서 제품이 어떤 역할을 수행했는지를 명확히 입증할 수 있어야 합니다. 특히, 의료진이 진단 결정을 내리는 과정에 제품이 어떻게 기여했는지를 보여주는 설계가 필수적이며, 이 과정은 데이터 라벨링의 정확성과 직결됩니다.

국내 임상결과 또는 해외 임상연구 논문을 임상조사 결과로 활용하려는 시도는 일반적이지만, 제출한 자료가 MDR 기준에서 요구하는 임상조사의 정의와 요건을 충족하지 못한다면, ‘데이터 부족’ 혹은 ‘실제 사용 시나리오 미반영’ 등의 사유로 보완 요청을 받을 수 있습니다. 이때는 단순한 성능평가 결과만으로는 부족하며, 실제 임상 사용환경에서 얻은 근거 기반의 자료가 요구됩니다.

또한 Notified Body(NB)마다 임상조사 보고서를 해석하는 기준이 상이하다는 점도 실무에서 중요한 고려사항입니다. 일부 NB는 임상적 근거에 대해 보다 엄격한 접근을 하며, 타 기관에 비해 보수적인 판단을 내릴 수 있습니다. 따라서 임상조사 결과를 제출한 이후 보완 요청이 들어올 경우, 단순한 문서 수정보다는 리뷰어와의 적극적인 커뮤니케이션을 통해 요구사항을 정확히 이해하고 대응하는 것이 바람직합니다.

의료기기를 글로벌 시장에 출시하기 위해서는, 각 국가의 전원 조건에 맞는 안전성과 전자파 적합성 시험을 충족해야 합니다. 특히 미국 FDA 인증이나 CB 기반 다국적 인증을 준비할 경우, 제품의 전압 설계와 그에 따른 시험 전략은 제품 통과 여부를 좌우하는 핵심 요소 중 하나입니다.

현재 220V 전용으로 설계된 제품이 멀티전압(100~240VAC, 50/60Hz) 대응을 목표로 할 경우, 단순히 변압기를 단상 복권 방식에서 단상 단권 방식으로 교체한다고 해서 멀티전압이 가능해지는 것은 아닙니다. 단권 변압기는 1차와 2차 권선이 전기적으로 연결되어 있어 절연 기능이 구조적으로 제한되며, 복권(transformer with galvanic isolation) 방식에 비해 절연 안전성이 떨어집니다. 이는 특히 IEC 60601-1과 같은 의료기기 안전 규격을 적용할 때 치명적인 문제가 될 수 있습니다. 단권 변압기를 사용할 경우, 누설전류 증가와 절연 내압 시험에서의 Fail 가능성이 높아지며, 전도성 노이즈가 출력 단자까지 전달될 위험도 증가합니다. 따라서 의료기기용 전원 설계에서는 단권 변압기의 사용이 바람직하지 않으며, 사용 시 추가적인 절연보강 설계가 반드시 수반되어야 합니다.

또한, 제품 외관 라벨에 “100~240VAC, 50/60Hz”와 같이 멀티전압 지원을 표기할 경우, 이 범위 내 모든 전압 조건에서 제품이 안정적으로 동작함을 입증해야 합니다. 예컨대 실제로는 220V, 60Hz에서만 동작 가능한 제품에 멀티전압 표기를 적용하면, 인증 시험 중 100V, 120V, 230V 등의 전압 조건에서도 정상 동작이 가능한지를 시험하게 되며, 이때 문제가 발생할 경우 제품 전체의 신뢰성과 설계 완성도를 의심받게 됩니다. 따라서 멀티전압 표기는 실제 설계와 시험 검증이 선행된 경우에만 사용할 수 있습니다.

FDA 인증이나 CB Scheme 기반의 국제 인증을 진행할 경우, ND(National Differences)에 따라 시험 전압 조건이 각국의 실사용 조건으로 맞춰집니다. 예를 들어, 미국은 120V/60Hz, 일본은 100V/50Hz 및 60Hz, 유럽은 230V/50Hz의 조건을 사용하며, 각 국가 전원에 맞는 적합성 시험이 개별적으로 수행됩니다. 시험소에서는 이 전원 조건별로 모드를 구분하여 시험을 진행하게 되므로, 시험 모드 수가 늘어날수록 인증 비용과 기간도 증가하게 됩니다.

브라질 의료기기 시장에 진출하기 위해서는 제조 시설이 ANVISA의 BGMP(Brazilian Good Manufacturing Practices) 인증을 받아야 합니다. 이 인증은 브라질 내 등록 대리인(BRH, Brazilian Registration Holder)을 통해 신청되며, 인증서 역시 해당 BRH의 이름으로 발급됩니다.

브라질의 규제 체계에서는 하나의 제조 공장에 대해 복수의 BRH가 각각 BGMP를 신청하고 인증받을 수 있습니다. 이는 동일한 생산 시설이라 하더라도, 각 BRH가 독립적으로 허가 절차를 진행할 수 있도록 하기 위한 제도적 장치입니다. 예를 들어, 한 제조사와 협력 중인 두세 개의 BRH가 있다고 가정할 경우, 각각이 동일한 공장 주소를 기반으로 별도의 BGMP 인증을 신청해야 합니다.

실무에서 종종 발생하는 사례 중 하나는, 최초로 BGMP 인증을 획득한 BRH와 제조사의 관계가 악화되어 갱신 신청이 진행되지 않는 상황입니다. 이 경우 기존 인증은 만료되며, 해당 BRH를 통한 제품 인허가에도 차질이 발생할 수 있습니다. 그러나 이는 곧바로 전체 시장 진출에 제약을 주는 것은 아닙니다. 다른 BRH가 동일 제조시설에 대해 BGMP 인증을 새로 신청하고 갱신함으로써, 이후 허가 절차를 정상적으로 이어갈 수 있습니다.

결과적으로, 브라질의 BGMP 체계는 BRH 단위로 운영되며, 각각의 BRH는 개별적인 인증 신청 및 갱신 권한을 갖습니다. 따라서 제조사는 특정 BRH에 전적으로 의존하기보다는, 복수의 BRH와 전략적 관계를 유지함으로써 예기치 않은 리스크에 대비하는 것이 바람직합니다. 또한 BGMP 인증 갱신 시기와 BRH 간 계약 관계에 대한 점검도 정기적으로 수행하는 것이 규제 대응의 핵심입니다.

SQL Injection(이하 SQLi)은 가장 오래되었지만 여전히 위협적인 웹 기반 공격 방식입니다. 특히 의료기기 소프트웨어처럼 방대한 소스코드를 갖춘 환경에서는 취약점을 일일이 찾아내기 어려워 보안 담당자에게 큰 부담이 됩니다. 

먼저, 소스코드의 양이 많다는 이유로 SQLi 탐지와 대응이 불가능하다고 생각할 필요는 없습니다. 공격은 항상 ‘입력값’에서 시작되며, 공격자가 조작 가능한 입력 경로(input vector)를 파악하는 것이 최우선입니다. 로그인, 검색, 환자정보 입력 등의 사용자 인터페이스를 기준으로 해당 입력값이 쿼리문에 직접 삽입되는 경로를 확인하면 테스트 포인트가 훨씬 명확해집니다.

이 과정에서 정적 분석 도구(SAST)는 매우 유용합니다. 직접 작성한 코드 중 데이터베이스 호출과 관련된 함수(trace)를 자동으로 추적해주기 때문에 전체 소스코드를 수작업으로 분석할 필요를 줄여줍니다. 또한 동적 분석 도구(DAST)는 이미 파악된 입력 포인트를 대상으로 공격 시나리오를 설계해 실제로 취약점이 존재하는지를 확인할 수 있어, 두 방식을 병행하는 것이 바람직합니다.

입력값 검증(Input Validation)은 기본적인 방어 기법이지만, SQLi 방지의 결정적 수단으로 간주하기에는 한계가 있습니다. 예를 들어 특수문자 필터링, 길이 제한, 한글만 허용 등의 방법은 우회 가능성이 존재하며, 핵심적인 대응은 항상 Prepared Statement(또는 Parameterized Query)의 사용을 통해 쿼리문과 입력값을 명확히 분리하는 방식이 되어야 합니다.

의료기기 소프트웨어의 경우, ISO/IEC 81001-5-1 등에서 요구하는 사이버보안 요구사항을 만족하기 위해서는 취약점 예방뿐만 아니라 문서화된 개발 및 테스트 절차가 수반되어야 합니다. 특히 제품 출시 전 보안 테스트 결과와 취약점 수정 이력을 추적 가능하게 기록하는 것이 중요하며, 이는 규제 기관의 심사 시 중요한 평가 요소로 작용합니다.

대만에서 제3등급 의료기기를 등록하기 위해서는 대만 TFDA에서 요구하는 품질문서심사(QSD)를 통과해야 합니다. QSD 심사는 제조업체의 품질관리체계가 국제 기준에 부합하는지를 검토하는 제도이며, 특히 ISO 13485 인증을 바탕으로 심사 간소화 혜택이 제공되는 경우가 많습니다.

참고로, 특정 유럽 인증기관으로부터 ISO 13485 인증서를 발급받은 경우, QSD 심사 시 일정 요건이 면제되거나 간소화될 수 있습니다.

예를 들어, TÜV SÜD(Product Service GmbH, NB 0123), TÜV Rheinland(NB 0197), GMED(NB 0459) 등은 대만 식약서가 공식적으로 인정한 기관으로, 이들 기관에서 발급한 ISO 13485 인증서는 QSD 심사에서 강한 신뢰성을 지닙니다. 이는 제조업체가 QSD 심사를 보다 수월하게 통과할 수 있도록 돕는 중요한 요소입니다.

한편, 유럽의 MDR/IVDR 체계 전환과 함께 일부 인증기관의 Notified Body 번호 변경, 지위 변경, 활동 중지 등의 변화가 있을 수 있습니다. 그러므로 실제 심사 신청 전에는 해당 인증기관의 유효성 및 TFDA의 최신 인정 여부를 반드시 확인하는 것이 필요합니다.

끝으로, QSD 심사를 준비하는 제조업체는 해당 인증기관으로부터 발급받은 ISO 13485 인증서 사본과 함께, 인증기관의 인정 범위 및 심사 경과가 명확히 드러나는 문서를 첨부하는 것이 좋습니다. TFDA는 심사 신뢰성을 확보하기 위해 인증기관의 자격뿐 아니라 발급일, 유효기간, 인증 범위 등을 면밀히 검토하므로, 세부 정보의 누락이 없도록 주의해야 합니다.

의료기기 회수는 국민 건강과 안전을 보호하기 위한 중요한 조치로, 「의료기기법」 및 그 하위 규정에 근거하여 엄격한 절차를 따릅니다. 회수 명령을 받은 제조·수입자는 신속하고 정확하게 관련 절차를 이행해야 하며, 이를 소홀히 할 경우 법적 제재가 따를 수 있습니다.

우선, 회수 사실이 명령된 경우에는 의료기기법 시행규칙 제53조에 따라 의학·의공학 전문지 등 공신력 있는 매체를 통해 회수 사실을 공고해야 합니다. 공고 문안은 '의료기기 회수·폐기 등에 관한 규정'에 따라 작성하며, 위해성 정도 2에 해당하는 경우라도 사실 공표는 의무사항입니다.

회수계획서는 의료기기법 시행규칙 제52조제3항에 근거하여 명령일로부터 5일 이내에 작성·제출해야 하며, 의료기기통합정보시스템(https://udiportal.mfds.go.kr)을 통해 전자적으로 제출해야 합니다. 회수계획서에는 회수 사유, 회수 방법, 회수 대상 수량, 소비자 통보 계획 등이 포함되어야 하며, 제출 지연 시 반드시 사유서 및 계획일정을 함께 제출해야 합니다.

회수 완료 후에는 시정 및 예방조치 계획서와 함께 종결보고서를 제출해야 합니다. 특히, 보고 시 단순히 계획만이 아니라 원인분석 및 재발방지 대책을 포함하여 근거자료를 첨부하는 것이 중요합니다. 기한 내 보고가 이루어지지 않으면 후속 행정조치가 진행될 수 있습니다.

판매중지 해제를 요청하는 경우에도 종결보고서, 원인분석자료, 시험검사성적서 등 충분한 자료를 갖추어 식약처로부터 명시적 승인을 받아야 하며, 해당 제품에 대한 안전성이 과학적으로 입증되어야 합니다.

결론적으로, 회수 명령 이행은 단순한 행정조치가 아니라, 제조·수입자의 책임과 안전관리 능력을 종합적으로 평가받는 절차입니다. 의료기기 산업 종사자는 회수 및 시정조치 관련 규정을 숙지하고, 적시에 정확하게 이행함으로써 국민 신뢰를 확보해야 합니다.

폴리우레탄(PU)은 생체적합성과 가공 유연성, 기계적 강도 등의 이점을 바탕으로 다양한 의료기기에서 널리 사용되고 있습니다. 특히 창상피복재, 인공혈관, 카테터 등 피부 접촉 또는 체내 삽입 제품에 적용될 수 있어 그 특성을 정확히 이해하고 규제 요건을 준수하는 것이 중요합니다.

PU는 일반적으로 이소시아네이트(isocyanate)와 폴리올(polyol)의 중합반응을 통해 제조됩니다. 이때 형성된 고분자는 열가소성 수지로 분류되며, 다양한 유기용매에 용해될 수 있다는 특성이 있습니다. 이러한 용해 특성을 활용해 액상 필름형성 제품으로 가공될 수 있으며, 대표적인 예로는 바르는 형태의 창상피복재가 있습니다. 이 경우 폴리머 상태의 PU가 유기용매에 녹아 있는 형태로 제공되며, 단순한 모노머 혼합 상태는 아닙니다. 중합이 완료되지 않은 상태에서 사용할 경우 잔류 모노머에 의한 독성 우려가 있으므로 주의가 필요합니다.

PU 기반 제품은 색소 또는 기타 첨가제를 함께 사용할 경우, 예상치 못한 용출물(Extractables) 또는 용리물질(Leachables)이 발생할 수 있습니다. 따라서 이러한 첨가물이 실제 사용 환경에서 용해되거나 분해되지 않도록 안정성을 확보해야 하며, 관련 시험(예: USP <661>, ISO 10993-18 등)을 통해 그 안전성을 입증해야 합니다. 특히 국내에서는 KP(대한민국약전) 기준이 USP보다 상대적으로 엄격하므로, 기준을 초과하지 않도록 관리가 필요합니다.

PU는 실리콘과 함께 대표적인 의료용 고분자 재료로 분류됩니다. 그러나 양자의 화학적, 물리적 특성은 매우 다르며, 제조공정 또한 상이합니다. 실리콘은 열경화성 수지로 고온 사출을 통해 성형되며, PU는 열가소성 수지로 비교적 낮은 온도에서 가공이 가능합니다. 따라서 제품의 최종 용도와 가공 방식에 따라 적합한 재료를 선택하는 것이 바람직합니다.

최근에는 수용성 PU 레시피 개발도 활발히 이루어지고 있으며, 이를 활용한 친환경적이고 자극이 적은 제품 개발 또한 기대되고 있습니다. 다만 이러한 새로운 제형을 적용할 경우에도 의료기기로서의 유효성과 안전성은 별도로 검증되어야 합니다.

EU의 의료기기 규정(MDR: Medical Device Regulation)은 환자 안전과 제품의 임상 성능을 장기적으로 보장하기 위해, 강화된 사후감시(Post-market surveillance) 체계를 요구하고 있습니다. 이 중 하나가 바로 MDR 제86조(Article 86)에서 명시된 ‘주기적 안전성 업데이트 보고서(PSUR: Periodic Safety Update Report)’ 제출 의무입니다.

클래스 IIb 및 III 등급의 의료기기를 제조하는 기업은 인증서 발급일을 기준으로 매년 PSUR를 갱신하고, 데이터 수집 기간이 종료된 후 90일 이내에 보고서를 작성하여 EUDAMED에 제출해야 합니다. 클래스 IIa의 경우에도 PSUR 제출 의무는 존재하나, 갱신 주기는 최소 2년에 한 번으로 클래스 IIb 및 III보다 완화되어 있습니다.

PSUR는 단순한 문서 제출이 아닌, 제품의 안전성과 성능에 대한 임상적 증거, 시장에서의 사용경험, 리스크-베네핏 평가, 예방적 또는 시정조치 결과 등을 종합한 분석을 포함해야 하며, 이는 규제기관 및 인증기관(Notified Body)이 객관적으로 평가합니다. 클래스 IIb 및 III 기기의 경우, 해당 인증기관은 PSUR를 검토한 후 자신들의 평가서를 EUDAMED에 업로드해야 하며, 이는 규제 투명성과 상시 감독을 위한 기반이 됩니다.

이에 따라, 기존의 최초 인증심사 및 정기 사후심사 외에도 매년 PSUR 준비와 제출을 위한 인력 및 비용이 제조업체에 추가로 발생하게 됩니다. 특히, 임상 데이터 수집 및 리스크 평가를 지속적으로 유지하고 문서화해야 하기 때문에, 기업 내부의 PMS(Post-market surveillance) 체계 강화가 요구됩니다.

또한, PSUR는 단순한 규정 준수 수준을 넘어서, 향후 심사기관의 재심사 또는 규제조치의 기준 자료로 활용될 수 있으므로, 단순 형식적 작성이 아닌 실질적 품질 관리와 규제 전략의 일부로 인식해야 합니다.

의료기기 소프트웨어 규제에서 SBOM(Software Bill of Materials)은 점점 더 중요한 역할을 차지하고 있습니다. SBOM은 단순히 소프트웨어의 최신 버전을 운영하라는 요구로 이해되기 쉽지만, 그 본질은 훨씬 더 복잡합니다. 최신 버전을 유지하지 못하는 경우, 해당 소프트웨어가 포함할 수 있는 알려진 취약점(CVE, Common Vulnerabilities and Exposures)에 대해 충분한 위험 분석과 대비책을 마련하라는 의미로 이해해야 합니다.

이러한 맥락에서 SBOM은 침투시험(penetration testing)과도 연계될 수 있습니다. 침투시험은 시스템에 존재할 수 있는 보안 취약점을 실제로 탐지하고 평가하는 과정이며, 종종 SBOM에서 확인된 취약점을 검증하거나 보완하는 절차로 사용됩니다. 다만, 중요한 점은 무료 툴을 활용한 자동 스캔만으로는 충분한 취약점 산출이 되지 않는다는 점입니다. 상용 솔루션이나 전문가의 분석이 요구되는 경우가 많으며, 이 또한 규제 대응의 핵심 요소입니다.

최근에는 의료기기 제조사의 기본 OS 환경부터 규제기관이 보완 또는 개선 요청을 하는 사례가 늘어나고 있습니다. 단순히 소프트웨어 버전의 최신화가 아니라, OS 및 내장 소프트웨어 전반에 대한 보안 체계 점검이 요구됩니다. 또한, 침투시험을 수행할 경우, 규제기관이나 고객 측에서 해당 시험의 자격 요건(예: 시험자의 자격, 시험 절차의 적절성 등)을 요구하는 사례도 있습니다. 이는 단순한 내부 점검이 아니라, 외부에 증빙할 수 있는 공식적인 시험으로서의 신뢰성이 필요하다는 의미입니다.

의료기기 분야에서 소프트웨어 구성 요소의 투명성과 신뢰성은 환자의 안전과 직결됩니다. 이에 따라 최근 국내외 규제 기관은 소프트웨어 구성명세서, 즉 SBOM(Software Bill of Materials)의 제출을 요구하고 있으며, 그 형식에 대해서도 기준이 마련되고 있습니다. 대표적으로 미국 FDA와 NTIA에서는 SPDX, CycloneDX, SWID를 승인 가능한 SBOM 포맷으로 명시하고 있습니다. 그러나 모든 포맷이 동일한 수준의 정보를 제공하는 것은 아니며, 의료기기라는 특수한 맥락에서는 보다 정교한 접근이 필요합니다.

그 중에서도 SPDX(Software Package Data Exchange)는 국제 표준(ISO/IEC 5962)으로 공인된 유일한 SBOM 형식으로, 의료기기 소프트웨어에 가장 적합하다고 판단됩니다. SPDX는 소프트웨어의 구성 요소는 물론 각 요소의 출처, 라이선스, 저작권 정보까지 명확히 기술할 수 있어, 규제 보고 및 오픈소스 라이선스 준수 측면에서 탁월한 장점을 가집니다. 특히 라이선스 및 저작권 관련 데이터는 제조사의 법무·품질 부서와의 협업에 있어 중요한 근거자료가 됩니다.

반면 CycloneDX는 보다 간결한 포맷으로, 자동화된 빌드 환경과의 통합에 적합하며, 취약점 관리에 특화된 구조를 갖추고 있습니다. 실제로 일부 조직은 SPDX와 CycloneDX를 동시에 활용하여, 규제 대응과 보안 관리를 병행하는 전략을 채택하고 있습니다.

한편, SWID는 특정 소프트웨어 설치 단위의 식별 정보를 담는 데 중점을 둔 포맷으로, SBOM 본래의 목적을 충분히 충족하기 어렵습니다. 의료기기 제품의 보안성과 규제 적합성을 확보하기 위해서는, 개별 제품 수준이 아닌 구성 요소 단위의 상세한 정보가 필요하므로, SWID는 단독 포맷으로 사용하기에는 한계가 명확합니다.

결론적으로, 의료기기 산업에서는 SPDX를 기본 SBOM 포맷으로 채택하는 것이 바람직합니다. 이는 규제기관의 요구에 부합할 뿐 아니라, 향후 제품 수출이나 감사 대응 시에도 안정적인 문서로 기능할 수 있기 때문입니다. 다만 보안 관점에서의 민첩성을 고려해야 하는 경우라면, CycloneDX와의 병행 사용도 고려할 수 있습니다. SBOM은 단순한 문서가 아닌, 제품의 신뢰성을 입증하는 핵심 도구입니다. 선택의 기준은 결국, 의료기기라는 고위험 제품군에 요구되는 '정확성'과 '책임성'에 있습니다.