의료 데이터, 해커들의 공격 대상으로 부상

2016년 2월 독일 Neuss지역 Lukas병원에서 발생한 사이버공격은 더 이상 병원이 사이버공격으로부터 안전지대에 있지 않다는 것을 보여주는 사건이었다. 해당 병원은 랜섬웨어 감염으로 시스템 및 환자 의료정보 접속이 불가하게 되는 등 2주 이상 병원 시스템이 마비됐다. 이 사건에서 알 수 있듯이 병원의 랜섬웨어 공격은 환자들의 의료정보 접속 불가, 업무마비는 물론 램섬웨어에 감염됐다는 사실로 병원 명성에 큰 손해를 줄 수 있다. 또한 수술실 의료기계의 네트워킹을 고려한다면 병원의 보안 취약점은 사람의 생사와 연관된다고 할 수 있다.

오늘날 점점 더 디지털화되는 의료시설은 현재 시스템으로부터 더욱 안전한 시스템을 구축하기 위한 격차가 어떻게 되는지 또한 이에 대한 해결책은 무엇인지에 대해 불확실한 상황에 직면해있다. 하지만 해결책에 다가가기 위해서는 기본적으로 병원의 보안구조 개혁을 위한 바탕이 될 수 있는 기초적인 보안 가이드라인을 정하는 것이 매우 중요하다.

편의성의 우위에 있는 보안성(Security over Convenience)

보안 인프라를 구축하는데 주요한 가이드라인은 편의성보다 보안성을 중요시하는 접근방식이다. 당연히 의료시설의 디지털화는 아무도 막을 수 없는 시대적 흐름이며 기업에 네트워킹 시스템을 구축하는 것은 비지니스에 따라 적합한 결정 일 수 있다. 하지만 시스템 간에 컨넥션을 구축하기 이전에 해당 컨넥션이 창출할 수 있는 가치가 얼마나 될 것인지 확인하는 절차가 필요하며 또한 해당 컨넥션들로부터 발생할 수 있는 리스크 요소들을 고려하여 새로운 컨넥션 구축이 비지니스에 합리적인지 체크해야 한다. 많은 병원의 장비들이 WPS(wi-fi protected setup)기능을 탑재하고 있으며 이는 병원 보안시스템 취약점의 좋은 한 예라고 할 수 있다. 대부분의 병원장비는 이미 케이블을 통하여 네트워크 연결이 가능하며 이는 중앙 시스템에 다소 안전하게 연결되어 있다. 하지만 대부분의 병원에서는 편리성 추구로 인하여 WPS(wi-fi protected setup) 기능을 사용하고 있으며 이는 외부공격자들에게 손쉬운 침입통로를 제공하는 역할을 할 수 있다.

구역화 및 정책 수립(Departments & Policies)

IT보안전문가들이 대부분 의료시설의 IT보안시스템을 보게된다면 이는 IT보안전문가들에게 두통을 유발할 것이라고 생각한다. 많은 병원들이 전체 네트워킹 시스템을 한개 혹은 매우 적은 수의 서버에 의존하며 다양한 스위치를 이용하여 각 다른 영역에 네트워크를 배분하고 있다. 이는 병원의 다양한 부서들이 같은 네트워크 기반을 통하여 운영되는 것이다. 즉, 회계 부서에서 일하는 사람이 모든 병원병동의 전자시스템에도 접속이 가능하다는 것이다. 많은 의료시설에서 IT보안전문가들은 인공호흡기와 같은 병원의 주요한 장비에 손쉽게 접속이 가능하였으며, 해당 장비를 방문자 WIFI에 연결되도록 조정 또한 가능했다. 병원의 사이버공격을 예방하고 피해를 최소화하기 위해서는 네트워크를 구역화하고 보안에 대한 엄격한 가이드라인을 정해야한다. 각각의 다른 기능을 가진 부서들은 그 부서에 해당하는 독립적인 워킹 네트워크 솔루션이 필요하다.

아웃소싱 보단 기업 자체 보안디자인이 필요( In-house over Outsourcing)

사이버공격이 더욱 복잡하고 지능적으로 발전하면서 이에 대응하기 위한 보안서비스의 아웃소싱 비용 또한 증가하고 있다. 환자에 대한 의료정보를 아웃소싱하는 것이 적합한지 등 안전한 의료정보보관 관련한 법적인 측면 또한 다루기 어려운 이슈이며 다양한 논란을 가져올 수 있다. 의료시설의 IT보안시스템에 대하여 독일 IT보안회사 Bosen의 보안전문가들은 미래지향적인 보안컨셉 디자인을 권하고 있다. 효과적인 보안시스템을 구축하기 위해서는 기술적인 부분 외에도 사람 그리고 기업구조 측면도 고려해야 한다. 임직원들이 정보보안의 중요성에 대해 이해하고 인지한다면 기업 내에서 사람으로부터 발생할 수 있는 해킹 취약점을 예방할 수 있다. 고객맞춤, 지속가능성, 총제성을 바탕으로 한 기업자체의 솔루션은 비용 절감과 미래에 대비하기 위한 보안시스템 개발에 탄탄한 기반이 될 것 이다.

사이버공격이 큰 이슈가 되고 있는 지금, 지속되고 있는 의료시설의 디지털화와 의료시설에서 환자들의 중요데이터를 보관하고 있다는 사실은 사이버공격자들의 타켓이 되기에 충분한 이유가 되며 하루빨리 사이버공격에 대비하기 위한 각 의료시설에 최적화된 보안시스템을 구축하는 것이 필요하다.