의료정보

의료기관 전자의무기록(EMR) 보안이 병원 규모에 따라 뚜렷한 격차를 보이고 있다는 분석 결과가 나왔다. 상급종합병원은 전담 인력과 보안 장비를 중심으로 비교적 안정적인 관리 체계를 갖춘 반면, 종합병원은 인력과 장비, 운영 전반에서 취약한 구조에 놓여 있는 것으로 나타났다.

건강보험심사평가원 학술지 HIRA Research 최신호에 게재된 연구에 따르면, 종합병원의 EMR 정보보안 실태는 ‘의지의 문제’라기보다 ‘구조의 문제’에 가깝다. 실제로 조사 대상 종합병원의 59.5%는 정보보안 전담인력이 없었고, 병원 내 상주 보안 인력을 둔 기관은 5.1%에 불과했다. 상급종합병원에서 전담인력 보유율이 89.2%에 달한 것과 대비되는 대목이다.

보안 환경은 더 취약했다. 종합병원의 71.3%는 병원 내에서 운영 중인 EMR이 인터넷과 연결돼 있었지만, 이를 방어하기 위한 기술적 장치는 충분히 갖춰지지 않았다. 침입방지시스템(IPS)을 구축한 종합병원은 절반 수준에 그쳤고, 웹방화벽이나 메일보안 등 기본적인 보안 장비 역시 상급종합병원 대비 현저히 낮은 보유율을 보였다. EMR이 외부 공격에 노출될 가능성은 높은 반면, 이를 상시 감시하고 대응할 체계는 부족한 셈이다.

이 같은 격차는 단순한 규모 차이를 넘어 제도적 공백을 드러낸다. 의료법상 EMR은 법적 효력을 갖는 기록물로 보호받고 있지만, 실제 정보보안 관리 기준은 상급종합병원 중심으로 설계돼 있다. 종합병원에 대해서는 최소한의 인력·장비 기준이나 관리 의무가 명확히 규정돼 있지 않아, 현실적으로 ‘각 병원 책임’에 맡겨진 상태다.

흥미로운 점은 보안 수준이 낮은 기관일수록 중앙집중식 보안관제의 필요성을 더 강하게 인식하고 있었다는 분석이다. 보안 인증이나 모의훈련을 수행하지 않는 기관에서 오히려 “중앙에서 통합 관리가 필요하다”고 응답한 비율이 높았다. 스스로 감당하기 어렵다는 인식이 이미 현장에 형성돼 있다는 의미로 해석된다.

그럼에도 중앙집중식 보안관제가 도입되지 못하는 가장 큰 이유는 비용과 인력 문제였다. 종별을 가리지 않고 ‘서비스 비용 부담’이 가장 큰 장애 요인으로 꼽혔고, 종합병원에서는 “효과를 확인하기 어렵다”는 응답도 뒤를 이었다. 보안의 필요성은 공감하지만, 투자 대비 성과를 설명받지 못한 채 선택을 요구받고 있다는 현장의 인식이 읽힌다.

이번 연구는 EMR 보안 문제가 단순히 병원 내부 전산 영역에 국한된 사안이 아니라는 점도 시사한다. EMR은 처방전달시스템(OCS), 의료영상저장전송시스템(PACS)과 연동돼 진료 흐름의 핵심을 이루고 있으며, 이 과정에는 처방 정보와 조제 이력 등 약물 안전과 직결된 데이터가 포함돼 있다. EMR 보안 취약은 곧 진료 연속성과 환자 안전 전반에 영향을 미칠 수 있는 구조적 리스크라는 지적이 나오는 배경이다.

연구진은 병원 규모에 따라 차등화된 정보보안 기준을 마련하고, 중앙집중식 보안관제를 공공 인프라 차원에서 재설계할 필요가 있다고 제언했다. 연구팀은 "개별 의료기관의 자율에만 맡길 것이 아니라, 최소 기준 설정과 재정·기술 지원을 병행해야 한다"고 강조했다.