의료정보

전담 인력·보안장비·예방체계…종합병원은 최소 인프라에 머물러
EMR 인터넷 연결·IPS·웹방화벽 등 주요 지표서 격차…구조적 취약성 확인
비용·인력 부담이 관제 도입 공통 장애 요인…"규모별 보안 기준 마련 필요"

[메디파나뉴스 = 박으뜸 기자] 의료 현장의 디지털 전환이 빠르게 진행되면서 전자의무기록(EMR)은 더 이상 단순한 진료기록이 아니라 의료 제공의 핵심 인프라로 부상했다. 처방·검사·영상 정보가 실시간으로 연동되는 체계가 정착되며 EMR은 의료기관의 진료 효율성과 환자 안전을 좌우하는 중심축이 됐다.

그러나 동시에 의료기관의 정보보안 책임과 위험도 함께 커졌다. 사이버 공격과 개인정보 유출이 상시화된 환경에서 EMR 보안은 더 이상 개별 기관의 선택 문제가 아니라 의료 체계의 신뢰성과 직결되는 구조적 과제가 됐다.

이런 흐름 속에서 의료기관 규모별 EMR 보안 수준이 뚜렷하게 다르다는 분석 결과가 제시됐다. 상급종합병원은 인력·장비·예방체계 전반에서 구조적 우위를 보인 반면, 종합병원은 최소 수준의 보안 인프라에 머무르는 곳이 많았다.

이처럼 인력과 장비, 운영 체계에서 나타난 격차는 실제 보안 활동의 질뿐 아니라 중앙집중식 보안관제가 필요하다고 보는 인식의 차이까지 만드는 요소로 작용했다.

건강보험심사평가원 학술지 HIRA RESEARCH에 게재된 '의료기관 종별 전자의무기록 정보보안 실태와 보안 관리 인식 제고의 차이' 보고서에 따르면, 연구팀은 2023년 11월부터 2024년 1월까지 전국 219개 의료기관을 조사해 총 158개 기관(응답률 72.1%)의 정보를 수집했고, 병원급 3곳을 제외한 155개 기관을 분석 대상으로 삼았다.

조사 결과, 상급종합병원의 정보보안 전담 인력 확보율은 89.2%였고 종합병원은 26.3%로 나타났다. 서버 규모 역시 상급종합병원은 '31–200대'가 가장 많았던 반면, 종합병원은 '30대 이하'가 71.2%를 차지해 종별 규모 차이가 분명했다. 네트워크 장비 수에서도 상급종합병원은 '6–30대', 종합병원은 '5대 이하' 응답이 각각 최다 비중으로 확인됐다.

운영 체계 차이는 EMR의 인터넷 연결 여부에서 더 선명해졌다. 상급종합병원은 EMR을 인터넷에 연결하지 않는 비율이 58.8%였고, 종합병원은 해당 비율이 28.7%에 불과했다. EMR 침해사고가 대부분 인터넷 기반 환경에서 발생한다는 점을 고려하면, 종합병원의 구조적 취약성이 현실적 위협으로 이어지고 있다는 의미다.

연구팀은 "정보보안 활동의 경우 EMR과 업무용 단말의 인터넷 연결 비율은 높았지만, 침입 차단 시스템, 웹방화벽, 메일보안 등 기술적 조치는 충분히 구축돼 있지 않았다"고 말했다.

사고 예방 활동에서는 격차가 더욱 도드라졌다. 상급종합병원의 IPS(침입방지시스템) 구축률은 94.6%였지만 종합병원은 57.6%였다. 웹방화벽도 상급종합병원은 '있음'이 91.9%였으나, 종합병원은 되레 '없음'이 61.9%로 집계돼 종별 보안장비 보유 수준의 차이가 명확했다.

이처럼 보안 자원·장비·운영 역량의 격차는 중앙집중식 보안관제 필요성 인식에도 영향을 미쳤다. 전담 인력을 확보한 기관일수록 보안 업무의 복잡성과 잠재 위험을 인식했고, 반대로 소규모 기관은 시스템 규모가 단순하다는 이유로 관제 필요성을 낮게 평가하는 경향이 나타났다.

중앙집중식 보안관제를 수행하지 않는 사유는 상급종합병원과 종합병원 모두에서 비용과 인력이 가장 큰 요인으로 언급됐다. 이는 기관 규모와 관계없이 보안관제 도입에 있어 경제적 부담과 전문 인력 확보 문제가 공통적인 제약 요인으로 작용함을 뜻한다.

연구팀은 "해당 결과는 우선적으로 비용 구조와 인력 문제를 직접 겨냥한 정책 도입이 필요함을 나타낸다"고 말했다.

이 같은 맥락에서 연구는 단독 구축이 어려운 기관을 위해 공동 관제모델과 공공 기반 관제서비스 확대를 촉구했다.

연구팀은 "비용 부담이 가장 큰 장애 요인으로 확인된 만큼, 개별 의료기관이 단독으로 보안관제 센터를 구축·운영하기보다는 정부의 중앙집중식 관제 서비스의 대상 확대, 다수의 중소병원이 참여하는 공동 보안관제 서비스 모델이나 지역·권역 단위의 공동 보안관제 센터를 통해 단가를 낮추는 방안도 고려해 볼 수 있다"고 말했다.

또한 인력 부족 문제를 해결하기 위한 제도적 지원도 병행돼야 한다는 지적이 나온다.

연구팀은 의료기관 공동 정보보호 최고책임자 운영, 지역 단위 정보보호 전담 조직 구축, 정보보호 전담인력 확보에 대한 재정적 인센티브 제공 등을 방안으로 제시했다.

종별 격차를 고려한 최소 기준 마련 역시 핵심 과제로 꼽힌다. EMR의 정보보호를 위한 최소 필수 인력·장비 등의 자원뿐만 아니라, 정보보호 활동 기준을 규모별로 명확히 규정하는 가이드라인 또는 인증·평가 제도를 제안했다.

연구팀은 "종합병원에 대해서는 보안 담당자 지정, 정기 백업, 기본 보안 솔루션 도입, 연 1회 이상 보안 교육, 접속기록 의무화 등의 현실적인 최소 기준을 제도화하고, 이를 이행할 수 있도록 재정·기술적 지원을 연계할 필요가 있다"고 말했다.

아울러 중앙집중식 보안관제는 관제 비용 지원, 공동 보안관제, 위협 정보 공유, 침해사고 대응 매뉴얼 제공, 표준 로그·백업 정책 제시, 교육 콘텐츠 보급 등 의료기관이 실제로 필요로 하는 기능 중심으로 재설계돼야 한다는 의견이다.

연구팀은 "특히 보안 활동 수준이 낮은 기관을 대상으로는 기초적인 점검·컨설팅 및 온라인 교육 프로그램을 우선 제공하고, 보안 역량이 높은 기관과는 고급 위협 정보 공유, 침해사고 모의 훈련 등 고도화된 협력 모델을 구축함으로써 단계별 지원 체계를 마련해야 한다"고 말했다.

박으뜸 기자

기사입력 2026.01.21 11:50