"보안 사고 미리 대비"… 정보보호 인증 '이 병원'

[서울=뉴시스] 류난영 기자 = 최근 개인정보에 대한 기업의 책임을 강조하는 문화가 확산되고 있는 가운데 병원의 보안 체계가 전사적 관리로 전환되고 있다.

  가톨릭대학교 서울성모병원은 국내 의료기관 최초로 의료영상저장전송시스템(PACS)을 포함한 정보보호 관리체계(ISMS)  인증을 획득했다고 23일 밝혔다. 인증기간은 이달 1일부터 2029년 6월 30일까지 3년이다.

  이번 인증은 최근 각종 보안사고가 발생하는 환경 속에서 관리대상을 선제적으로 확대한 사례로 향후 디지털헬스케어 관련 법안 등을 대응하는 가운데 여러 의료기관들이 지향해야 할 방향을 제시한 것으로 평가된다.

 인증 과정에는 영상의학팀을 주축으로 정보보호팀이 실무를 총괄했으며, 보안컨설팅 전문기업인 행복소프트와 PACS 시스템 제조사 태영소프트가 참여했다.

행복소프트는 PACS 인증 범위 설정, 조직 구성 및 정보 자산 식별, 현황·흐름 분석, 취약점 진단, 계정 관리 및 접근 통제 확인, 위험 평가 및 보호 조치, 암호화 및 접속 기록 관리 등 인증 전반의 보안 컨설팅 실무를 수행했으며, PACS의 공급·유지관리를 맡은 수탁사 태영소프트도 실사에 직접 참여해 세부 보안 조치를 적극적으로 지원했다.

  PACS는 CT(컴퓨터단층촬영), MRI(자기공명영상) 등 원내에 설치되어 있는 다수 의료장비로부터 연동된 방대한 영상 데이터를 처리하는 역할을 하며, 병원 내 환자 진료의 핵심인 전자의무기록(EMR)과 실시간으로 정보를 주고받는다.

그러나 진료정보교류사업, 외부 협진 및 판독, 의료장비 유지보수를 위한 원격 접속 등 다양한 기관·주체가 상시로 접속해야 하는 개방적 구조를 갖고 있어, 접점 자체를 원천적으로 차단하기 어렵다는 점에서 구조적 취약점이 존재한다는 지적도 제기돼 왔다.

  이는 전자의무기록 자체의 보안을 강화하더라도 연계된 PACS의 보안 수준이 낮으면 병원 전반의 보안 체계가 위협받을 수 있다는 것으로, 통합 정보보호 관리체계 구축을 위해서는 ISMS 인증 범위에 PACS를 포함해야 한다는 필요성이 지속적으로 요구됐다.

  서울성모병원은 정보보호 강화라는 의료기관 전반의 당면과제 속에서, 이번 인증을 시작으로 공급망 보안 관리체계를 지속적으로 고도화한다는 계획이다.

안전성을 세계적 수준으로 끌어올리는 ISO 국제인증 획득을 추진하는 한편, 국정원 병원정보시스템 보안 가이드라인에 부합하는 다중망 분리체계도 확대한다.

최근 급증하는 AI 및 클라우드 서비스형 의료기기를 고려해 업무-인터넷-연구-의료기기가 사용하는 전산망을 각각 철저히 분리하는 다중망 사업은 안전한 의료기기 운영 환경을 구축하는 동시에, 국내 의료기기 보안 인증 연계를 촉진하는 역할을 할 것으로 기대된다.

  이번 사업을 주도한 이인숙 영상의학팀 팀장은 "의료영상 표준 파일 형식인 DICOM에도 다양한 환자정보가 담겨 있으며, 국내에서도 PACS에 대한 침해사례가 다수 있는 만큼 더 이상 보안 사각지대로 남아서는 안된다"며 "향후 AI 발전에 따라 더 많은 디지털 의료기기가 도입될 것이므로, 공급망 보안 관리에 더욱 신경 써야 한다고 판단했다"고 도입 배경을 밝혔다.

  ISMS 인증 실무 전반을 담당한 김선태 정보보호팀 팀장은 "이번 인증은 단순한 취득 사실에 국한된 것이 아니라, 병원 내 흩어져 있던 의료기기 보안 사각지대를 정보보호 관리체계 안으로 끌어들인 첫 사례라는 점에서 의미가 크다"고 밝혔다.

  이지열 병원장은 "전자의무기록과 상시 연동되는 다양한 시스템의 보안 수준은 병원 전체 정보보호 체계의 신뢰도를 좌우하는 만큼, 앞으로도 병원 전반의 보안을 지속적으로 점검하고 고도화할 것"이라며 "환자 안전과 정보 보호는 별개가 아니라, 하나의 진료 품질이라는 인식으로 투자와 관리를 이어가겠다"고 밝혔다.

  한편 지난해 11월, 서울성모병원은 급증하는 침해사고에 선제적으로 대응하고자 보건복지부가 주최하고 한국사회보장정보원과 의료정보보호센터가 주관한 '2025년 의료정보보호 챌린지'에서 국내 1위를 달성하기도 했다.


◎공감언론 뉴시스 [email protected]