Cappuccino sapiens

전력, 행정, 금융 등 국가 기반시설이 정보통신기술을 도입함에 따라, 정보통신망 및 서비스에 대한 해킹, DDoS 공격 등 사이버공격에 노출되었으며, 국가기밀 정보를 비롯해 개인정보 등의 정보유출은 물론, 네트워크 지연 및 마비 등 지속적으로 피해가 발생하였습니다. 이러한 사이버공격은 사회 전반에 걸쳐 광범위한 피해를 유발할 뿐만 아니라 국가안보와 사회 안전에 중대한 위협을 미칠 우려가 있습니다. 이에 따라, 정부는 국가적으로 중요한 시설을 보호하기 위해, 2001년「정보통신기반 보호법」을 제정하여 범정부적 대응체계를 구축하였습니다.

정보공유분석센터(ISAC, Information Sharing & Analysis Center)는 금융, 통신 등 분야별 정보통신 기반시설을 보호하기 위해 구축 및 운영을 장려하고 있습니다. 주요 역할로는 기반시설의 취약점 분석·평가 등 기술지원, 취약점 및 침해요인과 그 대응방안에 대한 정보제공, 침해사고 발생시 실시간 예·경보체계 운영 등이며, 세부 업무에 대해서는 기관별 특성에 따라 정하도록 하고 있습니다.

정보공유분석센터 구축시 15인 이상의 기술인력(5인 이상의 고급인력 포함)을 갖추고, 업무수행을 위한 시설과 장비, 정보보호 정책(시설보안, 인력보안, 문서보안 등)을 구비하여야 하며, 과학기술정보통신부의 승인을 받아야 합니다. 현재 구축 및 운영 중인 정보공유분석센터는 정보통신 ISAC, 금융 ISAC, 행정 ISAC, 전력계통 ISAC 등이 있으며, 지난해 11월 의료 ISAC(Healthcare-ISAC or H-ISAC)이 개소하였습니다.

의료 ISAC의 설립은 의료기관 IT환경 변화에 따른 보안위협의 증가와 환자진료 기록, 진료비 결제정보, 증명서 발급에 따른 개인정보 등 대량의 환자정보에 대한 유출위험성에 따른 대응조치 입니다. 정부는 개인정보 점검/관리, 의료정보시스템의 보안기준 수립 등 의료기관에 대한 보안 컴플라이언스를 강화하고 있습니다.

   - 의료기관 92.1%, 병원급 이상 95.4%가 전자의무기록(EMR) 사용 (2015년 기준)

   - 환자 질병정보 저장시스템(OCS), 영상정보 전송시스템 (PACS) 등 의료 정보시스템 활용도 증가

의료 ISAC은 「의료법」에 명시된 의료기관 또는 의료기관 단체를 회원사로 하며, 주요 서비스는 보안관제, 정보공유, 침해대응, 교육 및 훈련 등 입니다.

  - 보안관제: 기관의 의료정보시스템, 네트워크 등 IT자원의 손상을 방지하기 위한 실시간 사이버 위협 모니터링 및 대응

  - 정보공유: 회원 간 사이버 위협정보를 신속·정확하게 공유하고, 회원의 원활한 정보보호 활동을 수행하는데 유용한 정보 제공

  - 챔해대응: 보안관제 중 침해사고가 현장조사, 자료수집·분석, 복구지원 등 기술지원

  - 보안교육: 매년 정보보호 교육 및 훈련 계획수립 및 체계적인 교육 및 모의훈련 프로그램 제공

※ 참조: 의료기관 공동보안관제센터(https://www.hisac.or.kr/site/main/home)

대한민국은 COVID-19를 잘 이겨 냄으로써, 전세계로 부터 비호감 국가에서 방역 모범국가, 의료 선진국이라는 부러움을 사고 있습니다. 또한, 이러한 결과물로 의료장비는 물론 방역절차까지 러브콜을 받고 있습니다. 이 중 가장 두드러진 분야는 COVID-19 진단키트라고 할 수 있을 것 같습니다.

최근 이러한 의료분야에 대한 관심은 핵심진단 기술 뿐만 아니라 환자정보를 노리는 해커들에게 좋은 재료가 되기도 합니다. 도난당한 의료정보는 블랙마켓에서 수백에서 수천달러에 거래되기도 하는 황금알로 통용되고 있습니다.

2019 Data Breach Investigation Report (DBIR)에 따르면, 헬스케어 산업에서 발생하는 침해사고 유형은 외부로부터의 위협 보다, 운영 실수(human error) 및 잠재적인 내부 위협이 더 많으며, 계정 오용, 자산 유출 및 도난, 웹 응용 프로그램 공격 등이 주된 사고 형태라고 말하고 있습니다.

주된 공격은 단말의 분실로 인한 데이터 유출, 보안정책 미준수, 중요 데이터 전송 실수 등 전반적인 보안운영 미숙 및 부주의한 것으로 보고 있습니다. 이 외에도 내부자 보안통제 미흡, 보안 책임자(CISO) 부재 또는 부적절한 선임, 단말기 보안관리 및 통제 미흡, 3rd party 장비 신뢰성 미검증 등 또한 주요 원인으로 보고 있습니다.

헬스케어 산업은 많은 성장을 거듭하고 있으며, 앞으로도 급성장할 분야로 보여집니다. 하지만, 타 산업에 비해 보안에 대한 투자는 턱없이 부족하며, 아직도 보안에 대한 인식 자체도 낫게 형성되어 있어, 잠재적인 보안위험성에 대한 대책이 시급해 보입니다.

 ※ 참조 기사: Top Cyber Security Risks In Healthcare

IBM Security: OT 보안 컨설팅, 단말기 보안(MaaS360), 특권계정 통제 및 관리(IAM, Secret Server), 환자정보 암호화 및 접근통제 모니터링(Guardium)