[데일리시큐][국감] “유전정보 카톡 공유, 해킹 시도도 급증“…의료 사이버보안 위협 경고

내용 요약

국회 보건복지위원회 국정감사에서 의료 분야의 사이버보안이 주요 이슈로 부각되었다. 장기이식 정보와 유전체 데이터의 해외 유출, 의료기관 해킹 시도 등 민감 생명정보가 다각도로 위협받고 있으며, 실시간 메시지 앱을 통한 데이터 공유 사례도 등장했다. 보건복지부는 제도적 개선을 검토하겠다고 했지만, 의원들은 현장의 보안 실태가 이미 위험수위에 도달했다고 경고했다.

핵심 포인트

• 데이터 보안 취약점: 장기이식 정보와 유전체 데이터가 외부로 유출될 위험이 크며, 실시간 메시지 앱 사용으로 개인정보가 유출되는 사례가 발생하고 있다.
• 제도·정책 강화 필요성: 개인정보 보호 및 사이버안전 관련 법·정책이 부족하거나 적용이 느린 상태에서, 제도적 개선 방안을 신속히 마련해야 한다.
• 현장 보안 실태: 의료기관의 보안 인프라와 운영 프로세스가 미흡하여 해킹 시도 및 내부자 위협에 취약하다.

기술 세부 내용

1️⃣ Data Governance for Organ Transplant Information

단계	핵심 작업	상세 설명
1️⃣ 데이터 분류 (Data Classification)	High‑Sensitivity – 장기이식 정보	환자 ID, 이식 일시, 장기 종류, 수술 기록 등. 법적 보호 수준이 가장 높음.
2️⃣ 암호화 (Encryption)	At Rest & In Transit	AES‑256 (at rest) + TLS 1.3 (in transit). 키 관리는 HSM (Hardware Security Module) 활용.
3️⃣ 접근 제어 (Access Control)	RBAC + MFA	사용자 역할에 따라 최소 권한 원칙 적용. 2FA 또는 다중 인증(OTP, U2F) 필수.
4️⃣ 감사 로그 (Audit Logging)	Immutable Log	WORM (Write‑Once‑Read‑Many) 저장소에 모든 접근 기록 저장. 로그 분석을 위해 SIEM 연동.
5️⃣ 사고 대응 (Incident Response)	IR Playbook	단계별 대응 절차(검출, 격리, 분석, 복구, 보고). 정기 시뮬레이션(테이블탑) 진행.
6️⃣ 공급업체 리스크 관리 (Vendor Risk Management)	계약 시 보안 요구사항 명시	외부 서비스 제공자에게 ISO 27001, SOC 2 등 인증 요구. 정기 보안 감사를 수행.
7️⃣ 규정 준수 (Compliance)	NIS Act, 개인정보보호법	데이터 보호 기준을 충족하도록 프로세스 설계. 정기 내부 감사를 통해 준수 여부 점검.

Tip: 한국 의료기관은 보건의료기관 정보보호지침을 참고하여, 위 표의 각 단계에 대한 세부 항목을 보완하면 법적 요구를 충족할 수 있다.

2️⃣ Secure Management of Genomic Data

단계	핵심 작업	상세 설명
1️⃣ 데이터 분류	Highly Sensitive – DNA 시퀀스, SNP, 변이 정보	유전체 데이터는 개인 식별 가능성이 매우 높음.
2️⃣ 암호화	Key‑Management	AES‑256 + PGP, 키는 Key‑Vault(Azure Key Vault, AWS KMS)에서 관리.
3️⃣ 익명화 (Anonymization)	k‑익명성 / d‑익명성	데이터 분석 전, 개인 식별 정보를 가명화(예: hashed ID)하여 연구 활용.
4️⃣ 저장소 보안	Secure Multi‑Party Computation	암호화된 데이터를 분산 저장하고, 필요 시 합성형 알고리즘으로만 접근.
5️⃣ API 보안	OAuth 2.0 + JWT	외부 연구기관과 데이터 공유 시 토큰 기반 인증 및 권한 부여.
6️⃣ 데이터 거버넌스	Data‑Lifespan 관리	수집 → 저장 → 분석 → 폐기 주기를 명확히 정의하고, 폐기 시 완전 삭제(Shred).
7️⃣ 규정 준수	GDPR (유럽), NIS Act, 국내 개인정보보호법	유전체 데이터는 국제 규제 대상이므로, 데이터 이동 시 Standard Contractual Clauses 활용.
8️⃣ 위협 탐지	Behavioral Analytics	정상 사용 패턴을 학습하고, 비정상적 접근(다중 국가에서의 동시 요청 등)을 자동 탐지.

Tip: 유전체 데이터는 "고가치 자산"이므로, 보안 수준을 Zero Trust 모델로 설계해 접근을 최소화하고, 모든 요청을 실시간 검증하는 것이 중요하다.

3️⃣ Strengthening Cybersecurity Posture in Healthcare Institutions

단계	핵심 작업	상세 설명
1️⃣ 네트워크 분할 (Network Segmentation)	DMZ, 내부 VLAN	환자 기록 서버를 별도 VLAN에 배치하고, 필요 시에만 트래픽 허용.
2️⃣ SIEM (Security Information & Event Management)	로그 수집·분석·경보	Splunk, QRadar 등으로 로그를 중앙집중, 이상 징후(로그인 실패 3회, 파일 다운로드) 즉시 알림.
3️⃣ 패치 관리	자동화된 패치 시스템	취약점 CVE 데이터베이스를 연동해 OS, 어플리케이션 패치를 자동화.
4️⃣ 직원 교육	Phishing 시뮬레이션	월간 훈련을 통해 보안 인식을 제고. 실습을 통해 MFA 사용, 피싱 메일 식별 연습.
5️⃣ 사고 대응	IR 팀 구성	의료기관별로 Incident Response 팀을 구성하고, 역할과 책임을 문서화. 정기 DR(Disaster Recovery) 훈련 수행.
6️⃣ 공급망 보안	VAPT(취약점 평가 및 침투 테스트)	외부 장비·시스템에 대해 6개월마다 VAPT를 수행하고, 취약점 리포트에 따라 대응.
7️⃣ Zero Trust Architecture	Identity & Device Trust	모든 사용자를 신뢰하지 않는 환경으로, 사용자 인증과 기기 상태 검증을 동시에 수행.
8️⃣ 백업 & 복구	Immutable Backup	백업 데이터를 90일 이상 보존하고, 백업 매체를 별도 물리적 장소에 저장.
9️⃣ 데이터 유출 방지 (DLP)	파일/이메일 차단	민감 데이터가 외부로 유출되는 것을 방지. 파일 암호화, 메타데이터 검사.

Tip: “메시지 앱(카톡, 텔레그램) 활용 시 데이터 유출 위험”이 크게 증가한다.
- 정책: 의료기관 내에서 공식적인 커뮤니케이션 툴(예: Microsoft Teams) 사용을 장려하고, 외부 앱 사용을 금지.
- 기술: 내부에서 제공하는 암호화된 메신저를 사용하거나, 앱에 End‑to‑End Encryption (E2EE)을 적용하고, 로그 저장을 통한 감시를 가능하게 한다.

---

한 줄 요약

의료기관은 데이터 분류·암호화·접근 제어·위협 탐지·사고 대응까지 종합적인 보안 생태계를 구축해야 하며, 특히 장기이식·유전체 데이터 같은 고가치 개인정보는 Zero Trust와 암호화 + 익명화 전략을 결합해 보호해야 한다.

 

출처: https://www.dailysecu.com/news/articleView.html?idxno=201373