신용카드 도난보다 개인 의료정보 유출이 더 위험한 이유

미국 애틀랜타에 있는 의료기관의 정보보안 관라자인 마틴 피셔는 그런 법률들이 “OCR(Office for Civil Rights)에 의한 집행을 강화시켰고 차이를 만들어냈다. 지속적인 기준 상승과 거액의 벌금 부과 조치가 업계를 올바른 방향으로 이끌고 있다”고 말했다.

그럼에도 그는 “개인 의료정보의 보안 수준은 5년 전 신용카드 데이터 보안 수준”이라고 지적했다.

그리고 개인 의료정보를 더욱 안전하게 만드는 일을 복잡하게 만드는 데에는 다음과 같은 여러 가지 이유가 있다.

• 대부분의 정보처럼 개인 의료정보는 점점 디지털화되고 있다. 과거에 도둑이 사무실에 침입해 폴더 수백 개를 집어 들고 도망갔다면 이제는 수백만 명의 정보가 병원 네트워

크에서 접속할 수 있다.

• 그뿐이 아니다. 수많은 사람들이 건강보험의 적용을 받고 있다. 패너 역시 “새롭고 혁신적인 의료정보의 소스가 운동 모니터링 기기 데이터나 풍부한 유전자 데이터로 존재한다”고 지적한다.

• 개인 의료정보는 위급상황 시 즉각적으로 사용 가능해야 한다. “당신 할머니에게 쇼크가 왔을 때 알러지 정보를 확인하는데 있어서 응급실에서 복잡한 비밀번호를 입력해야 한다면 어떨까?”고 피셔는 물었다.

• 개인 의료정보는 공유를 의도한 데이터다. MEHR(Medical Electronic Health Record) 인센티브 프로그램의 일부인 이른바 ‘의미 있는 활용’ 규칙은 개인 의료정보가 다른 의료 제공자들과 공유되도록 의무화했다.

“그런 활용에 있어서 아직 신뢰적 방안은 아직 없다”고 피셔는 말했다.
 
패너도 피셔의 의견에 동의했다. “의료정보에는 이상한 역설이 존재한다”고 그는 말했다. “대부분의 사람들에게는 비밀로 감춰야 하지만 의료적 처치가 필요한 상황에서는 수많은 사람들에게 아주 빠르게 공유시켜야 한다. 딱 맞는 시간에 적절한 사람들에게만 공개해야 한다. 이는 아주 어려운 작업 흐름이고 그와 비슷한 어떤 것도 소매 혹은 금융 업계에 존재하지 않는다”고 패너는 설명했다.

• 환자 접속 – 환자들은 USB 드라이브나 DVD 혹은 다운로드 가능하도록 정보를 제공받는다.

• 대부분의 정보가 온라인화되어 있다. 환자들이 자신의 의료 기록을 집에서 접속할 수 있는 포털이 있다. 목표는 환자들에게 그들의 진료에 더욱 관여할 수 있게 만들어 의료 결과를 향상시키는데 있다.

하지만 프렌츠는 “안전하지 않게 관리된다면 환자 포털은 의료 기관의 HER 시스템으로 침투하는 위험한 통로가 될 수 있다”고 지적했다.

이어서 그는 자신의 의견이 그의 회사의 의견만이 아니고 특수 조직이 아닌 의료 산업 전반에 대한 그의 시각을 반영한다고 강조했다.

하지만 그는 “의미 있는 활용 규칙 말고도 의료 분야에서 방사선과의 PACS 채택 증가, 많은 의사들의 모바일 기기 채택 확산, 점점 더 많은 의료 장비들의 네트워크 활성화를 경험해 왔다”고 밝혔다.

그는 그런 모든 조치들이 진료를 향상시키기 위해 도입되었지만 많은 조직들은 “환자 진료 측면에서만큼 정보 보안 측면에 많은 자원을 배치하지 못한 채 이런 기술을 사용했다”고 지적했다.

결국 향상된 환자 진료 방안 추진은 분명 칭찬할 부분이지만 보안측면에 있어서는 깔끔하지 못하다.

“많은 의료기관들에는 고민이 있다”고 피셔는 말했다. “거액이 될 수 있는 보안 분야에 지출할 것인지 아니면 MRI같은 새로운 의료 장비를 구입할 것인지, 많은 의료 CISO들은 임무와 보안 필요성을 기관의 핵심 임무와 연결 짓는 방법을 모르고 매번 논쟁에서 지곤 한다”고 덧붙였다.

버거(오른쪽 사진)도 같은 현상을 언급했다. “개인 의료정보는 ‘보호’받지 못하고 있다”라며 “보안에 대한 의료 업계의 지출이 민감한 데이터를 다루는 다른 업계들에 비해 아주 작은 수준”이라고 말했다.

그는 인식 확산과 규제 강화에도 불구하고 급속한 개선이 이뤄지지 않고 있다고 말한다. “전체 생태계가 미래에 더 개선될 수 있겠지만, 시간이 너무 늦어버릴지 모른다”고 그는 전했다.

하지만 그렇다고 해서 아무것도 할 수 없다는 의미는 아니다.

버거는 “개인 의료정보가 조직 내에서 자산으로 고려되고 전체 거버넌스와 위험 관리 프로세스에 있어서도 그와 같이 다뤄져야 한다”고 조언했다.

피셔도 동의했다. “보안을 환자 안전, 진료 품질의 핵심으로 이해하고 그런 식으로 보안을 우선시해야 한다”고 그는 말했다.

또 의료기관들에게 많은 전문가들이 기본적 보안 위생이라고 이야기하는 점에 초점을 맞추라고 촉구했다. “패치를 설치하고 당신의 기기들을 관리하라”고 그는 말했다. “사용자 접속 관리에 신경 쓰라. 프레임워크를 선택하고, 필수 보안 위험 산정을 실시하고, 교정 계획을 끊임없이 시행하라”는 게 그의 조언이다.

패너는 정부가 더욱 적극적이고 현대적인 역할을 맡아야 한다고 말했다. 그는 1996년 법률로 제정된 HIPAA가 “인터넷과 클라우드 기반 의료 시스템에 맞춰 설계되지 않았다. 우리는 더 좋은 법률을 만들어야 한다”고 이야기했다.

그리고 프렌츠는 보안 개선을 위해 기술뿐 아니라 사람이 중요하다고 강조했다. “보안 문화를 확립하는 것은 아주 중요하다. 직원들에게 보안이 IT나 보안 업무 전담 직원뿐 아니라 모든 직원들의 책임이라는 점을 이해시켜야 한다”고 그는 말했다. 다음은 프렌츠가 당부한 말이다.

“이를 통해 통제 이면의 논리에 대해 직원들의 이해도가 더욱 높아져서, 사람의 실수와 소셜 엔지니어링 공격을 최소화할 수 있을 뿐 아니라 다른 통제 이니셔티브를 더욱 직원들에 맞춰 만들 수 있게 될 것이다.” ciokr@idg.co.kr