서울대병원 지난해 발생한 사이버공격 수사중 환자정보 유출 가능성 제기
대형병원 타깃 해킹 범죄 대응 위해 부산·울산, 전북, 강원, 대전·충남 보안협의체 구성
피해 사례 공유, 의료진과 실무자 정보보안 교육 및 보안의식 강화 추진

[보안뉴스 김영명 기자] 서울대학교병원(이하 서울대병원)에서 사이버 공격을 당하는 등 주요 대학병원의 해킹 사례가 잇달아 드러나면서 국내 의료기관의 보안체계에 비상이 걸렸다. 이에 대형병원을 중심으로 한 국내 의료기관의 보안대책에 관심이 모아지고 있다.


▲서울대병원이 홈페이지에 공지한 개인정보 유출(의심) 안내 공지[이미지=서울대학교병원]

서울대병원이 추정하는 현재까지의 피해 상황은 △병원등록번호 △환자명 △생년월일 △성별 △나이 △진료과 △진단명 △검사일 △검사명 △검사결과 등 10개 항목에 달하는 개인(환자)정보의 유출 가능성이다. 다만, △주민등록번호 △핸드폰 번호 △주소 △영상검사와 사진 등은 유출되지 않았다는 설명이다.

서울대병원 관계자는 “이번에 해킹 피해를 신속하게 인지했으며, 즉시 해당 IP와 불법 접속 경로를 차단하고 취약점 점검과 함께 세부 보완 조치를 완료했다”면서도 “해킹에 대한 정확한 내용은 현재 경찰청에 수사를 의뢰한 상태”라며 말을 마쳤다.

또한, 올해 1월 말에는 대전을지대학교병원이 랜섬웨어 공격을 받은 것으로 알려졌다. 대전을지대병원은 전자의무기록시스템의 랜섬웨어 감염사실을 확인했으나 환자 등 민감한 개인정보는 암호화한 상태로 저장돼 외부 유출 등의 피해는 없었다고 전했다.

이렇듯 대학병원을 타깃으로 한 해킹이나 랜섬웨어 감염 등의 사이버공격이 급증함에 따라 교육부는 지난 6월 국가정보원과 합동으로 ‘국립대학병원 정보보호 강화방안’을 마련했다. 양 기관은 대학병원의 사이버보안 강화를 위해 문제점을 파악하고, 시스템을 개선하는 등 발 빠른 조치를 하고 있다.

또한, 권역별 대학병원에서는 지난해부터 (의료)사이버보안협의회를 연이어 창립해 대응방안을 모색하고 있다. 각 지역별로 대형병원들이 사이버위협 관련 정보를 공유하고, 해킹사고 사례 등을 전파함으로써 보안위협에 공동 대응하겠다는 취지다. 이에 <보안뉴스>는 지난해 말부터 올해 초까지 잇달아 창립된 부산·울산, 전북지역, 강원, 대전·충남 등 4곳의 지역별 (의료)사이버보안협의회를 통해 지역별 보안위협 대처방안과 향후 활동계획을 들었다.


▲전국 (의료) 사이버보안협의회 현황[정리=보안뉴스]

△부울협의회, 서울대병원 해킹 계기로 정보보안 공유 체계 마련
부산·울산 의료 사이버보안협의회(회장기관 부산대학교병원, 이하 부울협의회)는 2021년 10월 27일에 창립했다. 부울협의회는 △부산대병원 △양산부산대병원 △부산대치과병원 △부산의료원 △부산보훈병원 △동남권원자력의학원 △근로복지공단 △동아대병원 △인제대백병원(부산, 해운대) △고신대복음병원 △메리놀병원 △울산대병원 △동강병원 등 7개 공공기관과 6개 민간병원 등 13개 기관이 참여했으며, 부산대학교병원이 초대 회장기관을 맡았다.

부울협의회는 의료계 정보보안 강화를 위해 지역 내 의료기관들과 상호협력방안을 모색하기 위해 지난해 10월에 협의회를 설립하고, 올해 5월에 첫 정례회의를 했다. 부울협의회는 최근 서울대병원 해킹 사고와 관계없이 지역 내 의료보안, 사이버보안과 관련해 소통을 위한 모임을 만들자는 의견에서 시작한 모임이다. 첫 정례회의에서는 상견례 자리로 이뤄졌으며, 식품의약품안전처 소속 정보보안 전문가를 초청해 의료기기 보안 문제에 대해 짚고, 병원별 이슈 발표와 의료 정보보호관리체계 인증도 논의했다. 부울협의회는 아직 지역 내 병원 해킹 사례는 없는 것으로 파악됐으며, 1년 단위로 회장기관을 번갈아가며 협의회를 이끌기로 했다.

초창기 부울협의회 회장기관을 맡은 부산대병원의 성원석 의료정보센터 정보보안팀장(부울협의회장)은 “지역 내 단위 병원별로 보안 이슈가 생기면 정보를 공유하고 같이 대응하기로 했다”며 “상하반기에 한 번씩 정례회의를 열기로 하고 올해 가을에 하반기 회의를 개최할 예정”이라고 밝혔다. 성원석 부울협의회장은 “관내 병원별 보안 시스템을 철저하게 점검하고 꼼꼼하게 관리해나갈 계획”이라고 덧붙였다.

△전북협의회, 병원간 보안 정보공유 및 임직원 보안의식 강화
전북지역 의료기관 사이버보안협의회(회장기관 전북대학교병원, 이하 전북협의회)는 2021년 11월 8일 발족했다. 전북협의회는 △전북대병원 △군산의료원 △남원의료원 3개 공공기관과 △동군산병원 △예수병원 △원광대병원 △익산병원 4개 민간병원 등 7개 의료기관이 참여했으며, 초대 협의회 회장기관은 전북대병원이 맡았다.

전북협의회는 지난해 11월 발족했으며, 도내 의료기관과 정보공유를 통해 의료분야 정보보안 역량을 강화하고 사이버위협에 선제적으로 대응하기 위해 소통을 강화하고 있다. 올해 5월 18일에 진행된 첫 협의회 회의에서는 국가정보원 지부를 통해 최신 사이버위협 동향과 대응방안에 대한 상세한 설명을 들었다. 이어 전북대병원 전산정보과 정보보안팀에서 정보보호관리체계(ISMS) 인증 소개와 적용 사례, 보안시스템 운영 사례를 설명하는 자리가 마련됐다.

전북협의회는 사이버위협에 신속하게 대응하기 위해 도내 의료기관에서 비상연락망을 구축하고 실무자 간 사이버위협에 대한 정보공유를 꾸준히 하고 있다. 최근 해킹 메일 발송과 개인정보 유출 등이 심각해짐에 따라 임직원의 보안의식 강화에도 더욱 신경 쓸 예정이다.

박은영 전북대병원 홍보팀장은 “도내 의료기관 정보보호 담당자의 협의회 참여를 통해 관할 의료기관 간 사이버보안 업무추진 시 애로사항 등 정보를 공유하고 정보보호 역량 강화를 위한 방법을 토의하는 등 사이버보안협의회의 방향을 모색할 예정”이라며 “아직 관내에서는 피해 사례가 나오진 않은 것으로 파악됐다”고 말했다.

△강원협의회, 보안 강화 및 지역 소통 활성화 도모
강원 공공기관 사이버보안협의회(회장기관 국민건강보험공단, 이하 강원협의회)는 국민건강보험공단이 중심이 돼 12개 공공기관과 민간병원이 참여했으며 지난해 11월 9일 창립됐다. 국민건강보험공단을 중심으로 △강릉원주대치과병원 △강원대학교병원 △강원랜드 △건강보험심사평가원 △국립공원공단 △대한석탄공사 △대한적십자사 △도로교통공단 △한국관광공사 △한국광해광업공단 △한국보훈복지의료공단 등 강원 지역에 위치한 12개 공공기관이 참여했다.

회장기관인 국민건강보험공단의 정보화본부 정보보안부 박동철 팀장은 “강원도 내 공공기관과 함께 보안 이슈와 기관별로 조치한 내용 공유를 통해 보안을 더욱 강화하고, 지역 활성화를 도모하기 위해 설립됐다”고 말했다.


▲(왼쪽 위부터 시계방향으로) 부산·울산, 전북지역, 대전·충남, 강원 의료 사이버보안협의회 창립식[사진=권역별 사이버보안협의회]

△대전충남협의회, 유기적 체계로 보안의식 향상 공동 노력
대전·충남 의료기관 사이버보안협의회(회장기관 충남대학교병원, 이하 대전충남협의회)는 충남대학교병원이 초대 협의회 회장기관을 맡으면서 올해 2월 18일에 창립됐다. 대전충남협의회는 충남대학교병원과 함께 △국립법무병원 △근로복지공단 대전병원 △대전보훈병원 △공주의료원 △서산의료원 △천안의료원 △홍성의료원 등 공공기관과 △가톨릭대학교 대전성모병원 △을지대학교병원 △건양대학교병원 △대청병원 △대전선병원 △대전한국병원 △순천향대학교 부속 천안병원 △단국대학교병원 등 민간기관 등 총 16개 의료기관이 함께 협력하고 있다.

대전충남협의회는 사이버보안 위협에 대응하기 위해 올해 초에 창립했으며, 아직은 정보공유 차원이지만 순차적으로 참여 규모와 활동을 확대하고 있다. 지난해 독일 하노버의 한 병원이 해킹 피해로 환자가 사망한 일이 발생하는 등 병원 해킹 사고 피해가 연이어 발생하면서 대전충남협의회도 보안이슈를 분석하고 공동 대응해 나갈 계획이다. 초기 협의회는 충남대병원이 회장병원, 건양대병원이 총무병원으로 지정됐고, 지난해부터 건양대병원과 을지대학교병원이 차례로 사이버보안 진단을 받았다. 협의회는 2년에 한 번씩 회장병원을 돌아가면서 맡고, 회칙도 만들 계획이다.

충남대병원은 국립대병원인 만큼 국정원 이행점검을 매년 받고 있다. 해당 지역 사이버보안협의회 구성도 국정원 이행점검 기간 환자 정보에 대한 사이버보안 관리 제안이 있어 추진됐다. 관내에서는 지난해 을지대학병원에서 해킹 피해를 당했지만, 백업체제를 잘 마련해 환자 정보 등이 유출되지도 않고 신속하게 복구됐다. 또한, 충남대병원은 자체 사이버보안팀을 꾸려 매일 보안 이슈를 모니터링하고 보안장비 정보도 공유하고 있다.

대전충남협의회 실무를 맡고 있는 김 진 팀장은 “지역 내 정보보호관리체계(ISMS) 시스템을 갖추고 자체 보안팀도 꾸려서 보안에 적극적으로 대응하는 병원은 순천향대병원과 단국대병원 등 2곳”이라며 “앞으로 원내 정보보안 강화를 위해 보안 담당자끼리 필요한 정보를 공유하고, 보안의식을 상향시킬 수 있는 협의회로 성장했으면 좋겠다”는 바람을 밝혔다.
[김영명 기자(sw@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>