환자정보 전산화에 따른 보안 시스템 구축 필요
의료정보보호에 대한 부분의 진단결과 의료기관들은 전자의무기록시스템(EMR: Electronic Medical Record) 도입과 맞물려 보안 시스템 강화에 많은 노력을 기울여야 한다는 의견을 제시하고 있다. 특히 의료기관의 보안시스템 구축은 EMR 도입과 함께 꼭 필요한 요소가 되고 있다.
병원 등 의료기관들이 전자의무기록시스템(EMR: Electronic Medical Record) 도입과 맞물려 보안 시스템 강화에 많은 노력을 기울여야 하며 실제로 이를 실천하고 있는 의료기관도 있다. 보건복지가족부는 공공의료서비스 선진화를 위해 추진해온 국가 표준 전자의무기록시스템(EMR:Electronic Medical Record)의 개발·보급 및 의료용어, 코드 표준화 등의 사업을 추진하며 민간의료기관까지 확대를 목표로 진행하고 있다.
의료기록 디지털화로 보안대책 필요
의료기관에서 그동안 종이 매체로 기록해 온 각종 처방결과와 진료기록을 비롯한 입원에서 퇴원까지의 모든 의료 기록들을 디지털화하는 전자의무기록시스템(EMR:Electronic Medical Record) 구축은 중환자실, 수술실, 응급실 등과 같은 업무 특성과 기타 의료기관의 업무 특성상 몇 년 전까지만 해도 쉽지 않은 일이었다.
하지만 진료기록부 등을 전자서명법에 의한 전자서명이 기재된 전자문서로 보관할 수 있도록 규정한 전자서명법에 따라 진료기록부 등을 전자문서로 보관할 수 있도록 규정한 2002년 의료법의 개정과 동시에 당시 대형 의료기관에서 다년간의 시행착오를 겪으면서 추진된 전자의무기록시스템(EMR:Electronic Medical Record)의 구축은 이제 협의의 전자의무기록시스템(EMR:Electronic Medical Record)에서 전사적 개념의 의료기관 전체 관점의 EMR시스템으로까지 확대 구축하고 있다.
그러나 개인의료정보들이 디지털화와 더불어 중앙관리 체계로 진화하고 원활한 진료, 교육, 연구 등의 목적으로 타 시스템 또는 타 기관들의 시스템 간 연동체계로 확장됨에 따라 외부에서의 해킹 및 바이러스의 위협뿐만 아니라 해킹, 바이러스 등의 외부 위협, 무단 유출, 오ㆍ남용 등의 내부 위협, 관련 법률의 강화 등으로 개인의료정보보호에 대한 우려는 수 년 전부터 끊임없이 제기되어 왔다.
의료 선진국인 미국에서는 이미 의료정보보호를 위한 법률로 제정되어 제도가 문화로 정착되어 운영되고 있는 HIPAA법을 비롯하여 의료정보보호를 위한 법률로 HIPPA법을 제정하였고 최근 미국의학협회(AMA: American Medical Association)의 ‘EMR Security Guideline’ 배포 등을 통하여 국민의료정보를 보호하기 위한 노력을 지속하고 있다.
이제 우리나라의 경우에도 예외가 될 수 없는 상황이 되었다. 2008년 6월 개정된 ‘정보통신망이용촉진및정보보호등에관한법률’에 의한 시행규칙 제6조(정보통신서비스제공자외의자의 범위)에 따르면, 휴양업자, 결혼중계업자, 부동산중계업자 등을 비롯하여 의료기관(관련법 조항: 의료법 제3조제1항에 따른 의료기관을 개설하여 의료업을 하는 자)을 법률의 적용범위로 정하고 있고 보건복지가족부가 500병상 이상 의료기관을 대상으로 하는 ‘의료기관 개인정보보호 가이드라인’을 확정ㆍ배포한다는 계획도 있기 때문이다.
이러한 법적 준수의 강화도 있겠지만 의료기관은 모든 국민이 이용할 수밖에 없는 국가적 차원의 서비스 기관임을 고려하여 내ㆍ외부로부터의 의료정보보호를 위해 자체적인 보호대책을 강구해야 하는 것은 당연한 의무사항이 되고 있다.
정보보호 관련 인증 획득 및 사내 네트워크 보안 도입 증가
이미 이러한 흐름을 파악한 일부 대형 의료기관에서는 당면 사업인 시스템의 구축완료 또는 전사확대 의료기관 전체 확대 시점과 맞추어 국제 정보보호관리체계(ISO27001) 인증 획득을 추진하고 있는 것으로 알려졌다. 조만간 객관적 관점에서 국내겳?기준을 충족시키는 정보보호관리체계 인증을 획득한 의료기관이 지속적으로 증가하게 될 것이며 이는 그 동안 정보보호의 사각지대에 있던 의료기관들에게 긍정적인 영향을 일으킬 것으로 예상된다.
특히 병원의 전자의무기록시스템의 도입은 몇 년 전부터 이슈가 돼 대부분의 병원들이 고려하지 않을 수 없는 상황이 됐다. 개인정보보호로 인한 보안이슈는 병원들의 잇단 개인정보노출 사고 등 문제가 발생하는 것에 대한 사후 부담과 컴플라이언스 준수에 대한 의무 강화로 점차 구체화되고 있다. 일단 개인정보보호 이슈는 환자들의 많은 정보를 보유하고 있는 병원들에게 큰 부담으로 다가오고 있다. 늘어가는 환자들의 보안의식은 개인정보보호 사고에 대한 리스크를 증가시키고 있기 때문이다. 따라서 개인정보보호 사고가 병원의 신뢰도에 큰 영향을 미친다는 인식과 함께 점차 병원들의 부담도 증가하고 있다.
이런 관점에서 봤을 때 보안시스템 구축은 EMR 도입과 함께 꼭 필요한 요소가 되고 있다. 특히 EMR 시스템 이용에 있어서 유·무선 네트워크의 이용은 내부망에서의 여러 보안 취약 포인트를 만들고 있다. 따라서 많은 병원들은 EMR 구축과 동시에 네트워크 접근제어(NAC) 솔루션의 도입도 고려하고 있다.
NAC는 개방형 유ㆍ무선네트워크 환경에서 접속하는 모든 PC 및 단말기에 대해 사용자 인증과 무결성 검증을 통해 네트워크의 사용 권한을 제어할 수 있는 보안 솔루션이다. 병원업계에서는 EMR 시스템을 유무선 환경과 연동시키면서 허가받지 않은 사용자가 병원 내 네트워크에 접속해서 악성바이러스 및 웜을 퍼뜨리거나 환자의 신상 및 개인정보가 노출되는 것을 막기 위해서 NAC도입을 서두르고 있다.
특히 병원 내 사내 네트워크를 사용하더라도 와이브로 등 임직원의 무선네트워크 이용이 많아져 내부망에서 외부네트워크를 사용하는 경우에 발생할 수 있는 다양한 보안위협을 차단해야 안전하게 내부네트워크를 보호할 수 있으며 아울러 병원의 다양한 네트워크사용자들, 병원 임직원들과 환자 및 일반 고객들의 네트워크 사용 권한부여를 다양화 할 수 있어 사내 네트워크를 안전하게 보호할 수 있는 장점이 있어 주목된다.
<글 : 김태형 기자(is21@boannews.com) / 호애진 기자(is@boannews.com) / 김정완 기자(boan3@boannews.com)>
[월간 정보보호21c 통권 제115호(info@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
[2024-04-24] 
.jpg)
.jpg)
