수술실에서 ‘로봇 회사가 해킹됐다’는 연락을 받으면 전원을 먼저 뽑아야 할까, 예정된 수술을 모두 멈춰야 할까. 정답은 사건 이름이 아니라 영향 경로에 달려 있다. 제조사의 인사·고객관리 시스템 침입과 수술 장비의 제어 소프트웨어 취약점, 병원 내부망의 악성코드 감염은 필요한 격리와 임상 판단이 서로 다르다. 2026년 8월 26일 확인한 Intuitive의 2026년 사고 공지는 표적 피싱으로 일부 내부 업무 애플리케이션에 비인가 접근이 있었고 회사 조사상 da Vinci·Ion·디지털 제품 플랫폼은 영향을 받지 않았다고 설명한다. 이는 제조사의 조사 결과와 공개 범위이지 모든 병원망에 침해가 없었다는 독립 검증은 아니다. 현장은 이 구분에서 출발해 환자에게 영향을 줄 수 있는 경로를 별도로 확인해야 한다.
주장보다 먼저 네 개의 영향 경로를 분리한다
‘제품이 영향을 받지 않았다’는 문장은 조사 범위, 로그 보존 기간, 확인한 시스템과 판단 시점이 붙어야 의미가 있다. 반대로 고객 정보가 노출됐다는 사실만으로 로봇 팔 제어권이 탈취됐다고 볼 수도 없다. 병원 보안팀은 자산 식별자와 연결 구조를, 의공팀은 설치 버전·서비스 이력을, 임상팀은 실제 기능 이상을 같은 타임라인에 놓는다.
Intuitive 공지는 내부 IT, 제조, 제품 플랫폼의 네트워크가 분리돼 있고 병원 네트워크는 고객이 관리한다고 설명한다. 이 역시 해당 회사 구조에 관한 공개 설명이다. 다른 제조사나 병원의 구조로 일반화하지 말고, 자사 네트워크 도면과 계약상의 원격접속 경로를 확인한다.
수술을 계속할지 판단하는 시험 조건
| 위험 경로 | 즉시 위험 통제 | 확인할 증거 | 통제 해제 조건 |
|---|---|---|---|
| 제조사 업무 계정·파일 | 지원 계정 잠금, 받은 파일 격리 | 제조사 공지와 병원 로그인·파일 접근 기록 | 노출 계정 교체와 악성 파일 부재 확인 |
| 제품·원격지원 플랫폼 | 승인되지 않은 원격 세션 차단, 구성 보존 | 버전·서명·세션·장비 경보와 제조사 대상 범위 | 필수 기능·구성 무결성 재검증 |
| 병원 임상망 | 해당 세그먼트 격리와 대체 임상 절차 | 방화벽·인증·단말·시간 동기 로그 | 침해 경로 제거와 승인된 연결 정책 복원 |
| 수술 중 기능 이상 | 집도의의 안전 정지·대체 술식·환자 보호 | 영상·입력·기구·에너지·경보의 공통 타임라인 | 임상 책임자의 재개 승인과 장비 기능시험 |
| 업데이트 변조 의심 | 설치 중단, 원본과 해시 보존 | 배포 채널·전자서명·대상 버전 | 검증된 배포본과 되돌림 절차 확보 |
환자가 연결되지 않은 상태에서 승인된 자가진단, 기구 인식, 영상 표시, 입력 응답, 비상 전환, 로컬 기록과 네트워크 차단 상태를 확인한다. 시험은 제조사의 긴급 안내와 병원의 의료기기 변경 절차 안에서 수행해야 한다. 임의로 보안 도구를 설치하거나 운영체제 설정을 바꾸면 검증된 장비 구성이 달라질 수 있다.
수술 중 의심 징후가 생겼다면 사이버 분석과 임상 안전조치를 직렬로 기다리지 않는다. 집도의는 임상 절차에 따라 안전한 정지·전환·환자 보호를 수행하고, 별도 인력은 시각·경보·네트워크·시스템 시간을 기록한다. FDA의 의료기기 사이버보안 안내는 환자 안전을 공동 책임으로 보고 제조사·의료기관·사용자·보안 연구자의 협력을 강조한다.
정상처럼 보일 때 놓치기 쉬운 가장자리 조건
가장 위험한 오류는 한 증거로 다른 층의 안전까지 증명하는 것이다. 네트워크 스캔이 깨끗해도 임상 기능의 타이밍을 보증하지 않고, 자가진단 통과도 지원 계정의 정보 노출을 지우지 않는다. 반대로 연결을 모두 차단하면 원격 위험은 줄지만 시간 동기화, 서비스 지원, 데이터 전송 같은 의존 기능이 달라질 수 있다.
FDA의 시판 전 사이버보안 지침은 위협 모델링, 보안 아키텍처, 업데이트와 취약점 관리 정보를 제품 수명주기로 묶는다. 현장 대응에서도 자산·위협·안전 영향·통제·잔여위험이 연결돼야 하며, 단순 백신 검사 결과만으로 종결하지 않는다.
실패 장면별 소유자와 임시 통제를 고정한다
| 상황 | 결정 소유자 | 필수 응답 | 인계·종결 증거 |
|---|---|---|---|
| 수술 중 간헐적 지연 | 집도의·임상 책임자 | 환자 보호, 안전 전환, 사용 보류 | 수술기록과 장비·망 로그 정렬 |
| 제품 구성·서명 이상 | 의공팀·제조사 지원 | 구성 고정, 승인 버전 확인, 기능시험 | 일련번호별 시험과 제조사 해제 통지 |
| 병원망 침해 징후 | 보안 사고 지휘자 | 세그먼트 격리, 증거 보존, 계정 통제 | 침해 범위와 복원 승인 기록 |
| 지원 포털 정보 노출 | 개인정보·법무 책임자 | 노출 항목·대상 확인, 통지 판단 | 법정 기록과 당사자 조치 완료 |
| 수술 재개 | 임상·의공 공동 승인자 | 대체 장비·필수 기능·인력 준비 확인 | 재개 조건 서명과 잔여위험 수락 |
표의 통제에는 소유자와 해제 조건을 붙인다. 계정을 잠근 팀, 장비를 임상 사용 보류로 전환한 팀, 환자 일정과 외부 통지를 판단한 팀이 다를 수 있다. 한 통제가 끝났다고 다른 경로의 제한을 자동으로 해제하지 않고 증거 보존·환자 안전·개인정보 조치를 각각 닫는다.
복구는 ‘다시 켜짐’이 아니라 임상 성능의 재확인이다
복구 지표는 계정 차단 수나 패치 설치율만이 아니다. 승인된 기준 구성과의 일치, 필수 기능 시험, 경보 전달, 오프라인 전환, 기록 무결성, 네트워크 정책, 사용자 권한, 예비 장비 전환 시간을 포함한다. 시험 결과에는 장비 일련번호, 소프트웨어와 펌웨어 버전, 기구 구성, 시험자, 시각과 실패 항목을 남긴다.
패치는 제조사가 위험을 고쳤다는 이유와 병원이 임상 환경에서 안전하게 적용할 수 있다는 이유를 모두 충족해야 한다. FDA의 시판 후 의료기기 사이버보안 지침은 취약점의 임상 영향과 보완 통제를 포함한 수명주기 관리를 다룬다. 긴급 완화책, 정식 수정, 배치 검증, 되돌림 조건을 같은 변경 기록에 넣는다.
수술 재개와 공개의 통과 기준
- 사건 시각을 병원·장비·제조사 기록에서 같은 기준으로 맞춘다.
- 증거 이미징과 임상 복구 작업의 담당자를 분리한다.
- 패치 전후의 버전·서명·필수 기능 결과를 보존한다.
- 영향받지 않은 범위도 어떤 로그와 기간으로 확인했는지 적는다.
- 직원·환자·규제기관 통지는 법무와 개인정보 담당이 증거 범위에 맞춰 결정한다.
재개 결정에는 임상 책임자, 의공·IT 보안, 제조사 지원과 기관의 사고 지휘체계를 연결한다. 환자와 연결되는 필수 기능의 이상이 남거나, 구성 무결성을 확인할 수 없거나, 안전한 수동·대체 절차가 준비되지 않았다면 사용 보류가 합리적이다. 정보 노출만 확인되고 제품 경로가 분리돼 있더라도 계정과 원격지원 통제를 끝내기 전에는 연결 기능을 제한할 수 있다.
공개문은 확인된 사건, 조사 중인 경로, 제품·병원별 적용 조건, 사용자가 취할 조치와 다음 갱신 시점을 나눈다. ‘환자 안전 영향 없음’은 임상 이상 보고, 노출 제품·버전, 조사 기간이라는 근거와 함께 써야 한다. 2026년 Intuitive 사례를 모든 수술 로봇 사고의 결론으로 쓰지 말고, 제조사 공개와 병원 자체 검증 사이의 출발점으로만 사용한다.
최종 판단은 사고가 유명했는지가 아니라 통제 후 잔여위험이 기관의 임상 기준 안에 들어왔는지에 달려 있다. 평소 로봇 사이버보안과 ROS 2·DDS의 신뢰 경계와 관절 브레이크 안전정지의 물리적 전환을 별도 훈련해 두면 실제 사건에서 원인을 섞지 않고 대응할 수 있다.
현장에서 다시 확인할 질문
제조사 사이버 사고 공지가 나오면 수술 로봇을 모두 네트워크에서 분리해야 하나요?
일괄 분리가 언제나 안전한 것은 아니다. 공지의 영향 시스템·제품·버전과 병원 연결 구조를 대조하고, 환자 안전에 필요한 기능과 연결 의존성을 확인한 뒤 승인된 격리 절차를 쓴다. 증거 보존과 임상 연속성을 함께 설계해야 한다.
패치를 설치하면 바로 수술에 다시 써도 되나요?
패치 출처와 서명, 대상 버전을 확인하고 승인된 배치 절차를 따른 뒤 필수 기능·경보·전환·기록·연결 정책을 재검증해야 한다. 실패 시 되돌림 조건과 대체 장비도 준비한 뒤 기관의 임상 재개 승인을 받는다.
자료 마지막 확인: 2026년 8월 26일