국내 최상위 의료기관인 상급종합병원들조차 보안 거버넌스 공백과 경직된 규제로 차세대 보안 체계인 ‘제로트러스트(Zero Trust)’ 도입에 난항을 겪고 있는 것으로 나타났다.

병원정보보안협회(회장 김진응)는 최근 국내 주요 상급종합병원 22개소를 대상으로 설문조사 진행한 ‘의료기관 제로트러스트 도입 현황 실태조사’ 결과를 발표했다.

이번 설문조사는 ‘제로트러스트 가이드라인 2.0’을 기반으로 대한민국 병원환경의 IT 및 정보보안 인프라 특성을 반영해 처음 실시됐다.

전담 보안 책임자 태부족…보안체계 허술

조사결과 국내 상급종합병원 보안 책임자(CISO/CPO) 임명 현황에서 심각한 거버넌스 공백이 확인됐다. 

정보보호 최고책임자(CISO)가 이사/임원급 이상의 상근 조직으로 전담 운영되는 비율은 단 50.0%(11개소)에 불과했으며, 나머지 45.5%(10개소)는 타 부서장이 겸임하고 있었다.

개인정보보호 최고책임자(CPO)의 경우 겸임 비율이 54.5%(12개소)로 전담(40.9%) 비율을 웃돌아 과중한 겸직으로 인한 전문성 약화가 우려되는 상황이다.

주요 IT 인프라 환경은 95.5%(21개소)가 온프레미스(사내 구축형) EMR/OCS/PACS 시스템을 중심으로 운영되고 있어 전통적인 내부망 의존도가 극히 높았다. 

그러나 핵심 보안 통제 장치인 망분리 현황을 보면 가상화 기술을 통한 논리적 망분리가 54.5%(12개소)로 절반 수준이었다.

상급종합병원 5곳 중 1곳은 망분리조차 적용하지 않고 방화벽 등 단순 경계 보안에만 의존하고 있어 해킹 및 랜섬웨어 공격 발생 시 환자정보 유출에 무방비로 노출될 위험이 컸다.

실무진 필요성 절감, 경영진은 무관심

제로트러스트 보안 모델에 대해 실무진 81.8%는 대략적인 개념을 잘 알고 있으며, 도입 필요성에 대해서도 ‘매우 시급하고 필수적(40.9%)’이거나 ‘다소 필요하다(40.9%)’고 인식했다.

그러나 실제 제로트러스트 솔루션 도입 단계에 진입한 병원은 시범 구축(18.2%)이나 전략 수립 단계(9.1%)에 그쳤고, 절반이 넘는 54.5%(12개소)는 구체적인 계획이 없다고 응답했다.

도입 추진이 지연되는 가장 큰 이유(복수 응답)로는 ‘예산 부족 및 구축·유지보수 비용 부담(68.4%)’이 꼽혔다.

‘의료기관 특화형 가이드라인 및 도입 방법에 대한 정보 부족(57.9%)’, ‘경영진의 보안 의식 부족(36.8%)’, ‘다중인증(MFA) 요구에 따른 업무 불편 우려(36.8%)’가 뒤를 이었다.

이는 실무진 의지만으로는 대규모 보안 투자가 불가능한 병원 경영 환경의 한계를 방증한다.

임상현장 장벽, 인력난‧호환성‧진료지연 우려

병원의 특수한 임상 환경도 주요한 제약 요소로 분석됐다. 제로트러스트 구현 시 우려되는 애로사항(복수 응답)으로 ‘전담 전문 보안 인력의 절대적 부족(68.2%)’이 가장 높게 나타났다.

또한 MRI·CT 등 구형 의료장비와 기존 PACS 시스템과의 기술적 호환성 문제(31.8%), 다중인증(MFA)의 빈번한 요구로 인한 업무 불편 및 진료 지연 우려(36.8%)가 강하게 제기됐다.

실제 병원들이 제로트러스트 예산 집행시 가장 먼저 선호하는 영역은 ‘다중인증(MFA) 등 식별자 및 신원 보안(27.3%)’과 ‘보안 가시성 및 자동화 대응체계 구축(27.3%)’으로 나타났다.

의료기관 실무진은 제로트러스트 도입 촉진을 가장 시급한 과제로 ‘의료 분야 국가 정보보안 적합성 검증 및 의료기관 평가인증 시 제로트러스트 가산점 부여(31.8%)’를 꼽았다. 

또한 ‘의료법 및 개인정보보호법 상의 불합리하거나 고정된 보안 지침의 유연화’와 ‘병원 전산/보안 인력 교육 지원(22.7%)’이 동률로 나타나 제도 개선과 지원이 필요한 것으로 분석됐다.

김진응 병원정보보안협회장은 “의료기관의 정보보안은 단순히 개별 병원의 데이터 자산을 지키는 차원을 넘어, 국민의 생명 안전망과 직결되는 국가 안보의 핵심 영역”이라고 강조했다.

이어 “급변하는 디지털 헬스케어 환경 속에서 기존의 경직된 규제와 컴플라이언스 체계는 오히려 병원의 고도화된 보안 시스템 구축을 저해하는 장벽이 될 수 있다”고 덧붙였다.

특히 그는 “의료기관들의 예산과 인력 한계를 극복하고 제로트러스트 보안 모델을 안착시키기 위해서는 대대적인 제도 개선과 실질적인 재정 인센티브가 선행돼야 한다”고 설파했다.

이어 “정부와 의료계가 긴밀히 협력해 유연한 규제 샌드박스를 구축하고 자발적인 보안 투자가 일어날 수 있는 선순환 생태계를 실현해야 할 때”라고 덧붙였다.