국내 상급종합병원 22곳을 대상으로 조사한 결과, 절반 이상(54.5%)이 제로트러스트(Zero Trust, '아무도 기본적으로 믿지 않는다'는 원칙의 보안 체계) 도입이 필요하다고 느끼면서도 구체적인 계획을 세우지 못하고 있는 것으로 드러났습니다. 가장 큰 이유는 예산 부족(68.4%)과 의료 현장에 맞는 도입 방법론 부재(57.9%)였습니다. 보안 전담 인력 부족(68.2%), 오래된 의료 장비·시스템과의 호환 문제(31.8%)도 발목을 잡고 있습니다. 정보보호 최고책임자(CISO)를 전담 임원으로 두지 않고 다른 부서장이 겸임하는 병원이 절반 가까이(45.5%)에 달하는 등 보안 거버넌스도 취약한 상태입니다. 전문가들은 제도 개선과 정부 차원의 재정 지원이 선행되어야 실질적인 변화를 이끌 수 있다고 지적했습니다.
병원정보보안협회가 국내 상급종합병원 22개소를 대상으로 실시한 실태조사에서, 81.8%가 제로트러스트 도입이 필요하다고 인식하지만 실제 시범 구축 단계에 진입한 곳은 18.2%에 불과한 것으로 확인됐다.
상급종합병원 대부분이 전자의무기록(EMR), 처방전달시스템(OCS), 의료영상저장전송시스템(PACS) 등 민감 의료 데이터를 다루면서도 망분리 미적용(22.7%), CISO 겸임 운영(45.5%) 등 보안 체계가 허술하게 운영되고 있어 침해사고 발생 시 피해가 클 수 있다.
예산 부족 및 구축·유지보수 비용 부담(68.4%), 의료기관 특화 가이드라인 부재(57.9%), 전담 보안 전문인력 부족(68.2%), 레거시 시스템과의 호환성 문제(31.8%)가 복합적으로 작용하고 있다.
병원정보보안협회는 정부 차원의 제도 개선과 실질적 재정 인센티브가 선행되어야 한다고 촉구했으며, 현재 전략 수립 중인 기관은 9.1%에 그치는 상황이다.
의료기관 보안 담당자는 제로트러스트 도입 로드맵 수립 시 레거시 의료기기 호환성과 MFA(다중인증) 도입에 따른 진료 프로세스 영향을 사전에 검토하고, CISO의 전담 임원화와 예산 확보를 경영진에 설득하는 근거 자료로 이번 조사 결과를 활용할 수 있다.
본문
국내 상급종합병원 절반 이상이 제로트러스트(Zero Trust) 보안 체계 도입 필요성에 공감하면서도 구체적인 계획을 마련하지 못한 것으로 나타났다.
10일 병원정보보안협회에 따르면 국내 주요 상급종합병원 22개소를 대상으로 '의료기관 제로트러스트 도입 현황'을 실태조사한 결과, 12개소(54.5%)가 도입 필요성에는 공감하지만 구체적인 계획이 없는 것으로 나타났다.
제로트러스트 도입 필요성에 대해서는 전체의 81.8%가 '매우 시급하고 필수적'이거나 '다소 필요하다'고 답했다. 반면 실제 시범 구축 단계에 들어간 병원은 18.2%, 전략을 수립 중인 곳은 9.1%에 그쳤다.
도입이 지연되는 가장 큰 이유는 예산 부족과 구축·유지보수 비용 부담으로 68.4%를 차지했다. 의료기관 특화 가이드라인과 도입 방법론 부족이 57.9%로 뒤를 이었다. 경영진의 보안 인식 부족과 MFA(다중인증, Multi-Factor Authentication)에 따른 업무 불편 우려는 각각 36.8%였다.
전문 인력 부족도 주요 걸림돌로 꼽혔다. 제로트러스트 구현 과정의 애로사항으로 전담 보안 전문인력 부족을 꼽은 비율은 68.2%였다. MFA 적용에 따른 업무 불편과 진료 지연 우려는 36.8%, 기존 의료장비와 PACS(의료영상저장전송시스템, Picture Archiving and Communication System) 등 레거시 시스템과의 호환성 문제는 31.8%였다.
보안 거버넌스도 취약한 것으로 조사됐다. CISO(정보보호 최고책임자, Chief Information Security Officer)를 이사·임원급 이상 상근 조직으로 전담 운영하는 병원은 11개소(50.0%)였다. 10개소(45.5%)는 다른 부서장이 CISO를 겸임했다. CPO(개인정보보호 최고책임자, Chief Privacy Officer)는 12개소(54.5%)가 겸임 형태로 운영했다.
조사 대상의 21개소(95.5%)는 EMR(전자의무기록), OCS(처방전달시스템), PACS 등을 온프레미스(on-premises, 자체 서버 운영) 환경 중심으로 운영했다. 논리적 망분리를 적용한 곳은 12개소(54.5%)였고, 5개소(22.7%)는 망분리를 적용하지 않은 것으로 나타났다.
김진응 병원정보보안협회장은 "예산과 인력의 구조적 한계를 극복하고 제로트러스트를 안착시키려면 정부 차원의 제도 개선과 실질적인 재정 인센티브가 선행돼야 한다"고 말했다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
