[의료보안-3]복지부, “가이드라인, 의료기관 최소 준수 사항 담아”

[인터뷰] 임근찬 보건복지가족부 정보화담당관

“개인정보보호 가이드, 의료기관에 무리한 보안수준 요구하지 않아”

최근 역대 최대 규모의 개인정보 유출사건이 연이어 발생하면서 개인정보보호에 대한 관심이 집중되고 있다. 그런 가운데 보건복지가족부가 최근 500병상 이상 의료기관을 대상으로 하는 ‘의료기관 개인정보보호 가이드라인(안)’을 마련하고 이를 발표하는 시점만을 남겨 두고 있는 것으로 알려져 의료기관에서 이를 어떻게 수용하며, 이 가이드라인이 보안시장에서도 어떻게 작용하게 될지에 귀추가 주목되고 있다. 이와 관련 대한병원협회 측의 이 가이드라인에 대한 의견을 이미 들어본 바 있다. 이에 이번 기획기사를 통해서는 동 가이드라인을 추진해온 보건복지가족부의 임근찬 기획조정실 정보화담당관을 직접 만나 이 가이드라인을 추진하게 된 배경 및 병원협회 측의 의견에 대해서는 어떻게 생각하고 있는지 등을 들어봤다.

<순서>

1. ‘의료기관 개인정보보호 가이드라인’, 공개·배포 임박

2. 대한병원협회의 입장

3. 보건복지가족부의 입장

4. ‘의료기관 개인정보보호 가이드라인’으로 의료보안시장 얼마나 활성화될까!

-현 의료정보보호의 맹점은 무엇이라고 생각하는가?

최근 대형병원을 중심으로 전자의무기록(EMR) 시스템 도입이 가속화되고 있으며, 이로 인해 국민의 의료정보가 전산화되고 데이터베이스화되어 관리·이용되고 있다. 이렇게 전산화된 의료정보보호의 중요성에 대한 사회적 관심이 높아지고 있으며, 작년 7.7DDoS대란 또한 전산화된 개인정보보호의 중요성을 다시 한번 일깨워준 계기가 되었다 할 것이다.

그러나 이렇게 민감한 의료정보를 어떻게 보호하고, 어떠한 보안대책을 수립해 현장에 적용해야 하는지에 대한 세부적인 규정이 미흡한 것이 사실이다. 물론 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률’ 및 ‘공공기관의 개인정보보호에 관한 법률’이 있긴 하지만 이를 의료현장에 바로 적용하기에는 한계가 있다 할 것이다.

그런 만큼 의료기관에서도 국민의 의료정보를 보다 안전하게 보호하기 위해 전담인력 확보 및 보안시스템 도입 등에 조금 더 적극적으로 나서야 할 것이다.

-이번 가이드라인은 이를 어느 정도 해소할 수 있으리라 여기는가?

우선 이번 ‘의료기관 개인정보보호 가이드라인’은 법적인 규제성격을 갖지는 않는다. 다만 의료현장에서 의료정보보호를 위해 어떠한 업무를 해야 하고, 어떠한 부분을 보완해야 하는지에 대한 세부적인 실무 지침서가 될 수 있을 것이다.

-현재 추진 중인 가이드라인의 추진배경 및 좀더 상세한 설명?

작년 7.7DDoS대란을 계기로 국민의 의료정보를 보유하고 있는 의료기관에 대한 정보보호대책 마련을 위해 이번 가이드라인을 준비하게 됐다.

그리고 우선 500병상 이상 의료기관을 대상으로 하는 정보보호가이드라인(안)을 마련하기 위해 구용역을 추진하였으며, 관련 협의체 운영 및 공청회 등을 거쳐 이번 ‘의료기관 개인정보보호 가이드라인’을 최종 마련하게 됐다.

아울러 이번 가이드라인은 의료기관에 무리한 보호(보안)수준을 요구하는 것이 아니라, 500병상 이상 의료기관에서 의료정보보호를 위해 최소한 준수해야 할 기준을 담고 있다.

-이번 가이드라인은 향후 어떻게 발전(법제화) 시켜갈 예정인가?

500병상 이상 의료기관을 대상으로 하는 이번 가이드라인은 2010년 시범적용 과정을 거칠 예정이며, 향후 동 가이드라인의 실효성 확보를 위한 여러 현실성 있는 방안들을 검토할 예정이다.

또한 500병상 이하 중소병원, 의원 및 약국 등 중·소규모 기관은 수준별·규모별로 적합한 정보보호가이드라인을 단계적으로 마련해 확대할 계획이다.

-복지부 가이드라인에 대한 병원협회 등의 반발에 대한 의견은?

의료계에서는 이번 가이드라인 준수에 소요되는 비용지원을 요구하고 있으나, 의료기관에 대한 비용지원은 정보보호(보안)에 어느 정도의 비용이 소요되는지 명확한 근거가 있어야 검토할 수 있는 사항이다.

또한 법적인 규제성격을 갖고 있지 않은 동 가이드라인을 토대로 의료기관에 대한 비용지원을 논의하기는 어려운 것이 사실이다.

그런 만큼 다시 한번 말씀드리지만 동 가이드라인은 의료기관에 무리한 보호(보안) 수준을 요구하고 있지 않으며, 500병상 이상 의료기관에서 최소한 준수해야 할 사항들을 담고 있다.

-마지막으로 덧붙여 줄 말씀?

이번 가이드라인에 대해 여러 다양한 의견들이 있는 것이 사실이지만, 이번 기회를 계기로 의료기관의 정보보호 수준을 한 단계 향상시키는 계기가 되었으면 한다.

[김정완 기자(boan3@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)