김상희 부의장, 보안관제 가입 의무화·정부 직영 보호센터 설립법 발의
# A병원은 PACS(의학영상정보시스템) 데이터 일부가 랜섬웨어에 감염된 사실 확인 후 서버와 일부 PC 포맷했다. 그러나 1개월 후 또 다시 렌섬웨어에 감염돼 복지부에 이 사실을 알렸다. B병원의 경우 랜섬웨어에 전체 EMR(전자의무기록시스템) 정보가 암호화되어 수기로 진료, 민간 복구 업체를 통해 자료 복구한 뒤에 겨우 정상 진료를 보게 됐다.
민감한 개인정보를 취급하는 의료기관의 해킹 피해를 막기 위해 지난 2020년 2월 ‘진료정보침해대응센터’가 개소됐다. 그러나 이후에도 현재까지 병의원 25곳이 랜섬웨어 공격을 당하는 등 의료기관에 대한 해킹이 여전히 심각한 것으로 나타났다. ICT 기술이 발달함과 동시에 해킹 기술도 점점 더 고도화되고 있기 때문이다.
김상희 국회 부의장(과학기술정보방송통신위원회, 경기 부천병)이 보건복지부에서 제출받은 자료를 분석한 결과 의료법 제23조의3(진료정보 침해사고의 통지) 개정 이후 현재까지 총 25개의 병원에서 해킹 시도가 있었던 것으로 드러났다.
의원급 의료기관 8곳 중 성형외과에서 2건, 산부인과와 피부과, 외과, 소아청소년과, 가정의학과, 내과에서 각각 1건의 렌섬웨어 피해를 입은 것으로 나났다. 성형외과나 산부인과, 피부과의 경우 성형수술과 출산, 임신 등 환자의 민감한 개인정보가 있어 진료정보와 환자정보가 유출되면 매우 심각한 문제가 발생할 수 있다. 더군다나 최근에는 의료계의 강한 반대에도 불구하고 ‘수술실 CCTV의무화법’까지 국회를 최종 통과해 입법화된 상황이라서 더 큰 피해가 우려된다.
특히, 많은 환자의 진료와 영상 기록물을 보유하고 있어 각별한 보안이 필요한 종합병원급 이상 병원에서 렌섬웨어와 DDoS 공격이 8건 발생한 것으로 확인됐다. 2020년 9월 발생한 상급종합병원의 DDoS 공격으로 접속 장애가 발생했지만 다행히도 개인정보 유출 등의 피해는 없었다.
복지부는 지난 2019년부터 의료기관 공동 보안관제센터(의료ISAC·아이삭)을 운영하고 있으며, 현재까지 20개의 종합병원과 23개의 상급종합병원의 해킹 등 전자 침해사고에 대한 모니터링을 하고 있다. 한국인터넷진흥원(KISA)을 통해 접수된 의료기관 해킹 정보도 역시 의료ISAC을 통해 공유받고 있다. KISA 역시 해킹 피해를 막기 위해 2014년부터 의료기관과 기업을 대상으로 사이버위협정보 분석공유시스템(C-TAS·씨타스)를 구축, 지금까지 운영 중이다.
하지만, 의료기관에 대한 해킹 관련 대책은 여전히 미흡하다는 지적이다. 김 부의장이 KISA에서 제출받은 의료기관의 C-TAS 가입 현황을 살펴보면, 45개 상급종합병원 중 5개만 해킹을 예방하고 해킹에 대한 정보를 공유할 수 있는 C-TAS에 가입했다.
김상희 부의장은 “국내 상급종합병원 45개 중 씨타스에 가입한 병원이 5개뿐이라는 것은 심각한 문제다”라고 지적하며, “씨타스와 의료 아이삭이 연계되어 있지만, 의료기관의 해킹 피해를 막기 위해 과기부가 복지부와 논의하여 상급종합병원의 씨타스 가입 방안을 마련해야 한다”고 주장했다.
더 큰 문제는 해킹으로 인해 의료기관의 영상정보가 누출될 우려가 크다는 것이다. 지난해 12월, 해외 보안전문 업체 CybelAngel(사이벨엔젤)은 약 950만 장의 대한민국의 영상정보가 인터넷에 노출되어 있다는 자료를 배포했다. 복지부는 그 중 의료기관 IP 주소로 확인되고 의료영상이 유출된 58개 의료기관을 과기부에 조치를 요청했지만 현재까지 26개의 민간의료기관의 영상정보가 그대로 노출되어 있다는 점도 확인됐다.
복지부가 의료기관에 대한 해킹 등 침해사고의 피해를 빠르게 막기 위해서는 부처 간 정보 공유가 원활하게 이루어져야 하지만 현행법상 이러한 규정이 없어 신속한 해킹 대응이 어려운 실정이다.
김상희 국회부의장은 의료기관의 해킹 등 침해사고에 대한 긴급조치를 위해 복지부가 관계 부처에게 인터넷주소 등 정보를 요청할 수 있도록 하는 내용을 담은 ‘의료법 일부개정안’을 대표발의했다.
개정안은 일정 수준 이상의 의료기관이 의료ISAC이나 C-TAS와 같은 정보보안관제를 받도록 하고 ‘의료정보보호센터’를 복지부가 직접 운영해 의료기관의 해킹 등 침해사고 발생 시 관련 부처 간 공조가 가능하게 하는 것을 내용으로 한다.
김상희 부의장은 “병원들의 해킹 피해를 사전에 막고 민감한 의료정보의 유출을 막기 위해 개정안이 하루빨리 통과되길 바란다”고 말했다.
