최근 금융권을 뒤흔든 생성형 인공지능(AI) 기반 해킹 공격이 병원계로 번지며 긴장감이 고조되고 있다. 의료기관이 보유한 환자정보는 다크웹 등 음성 시장에서 최고가로 거래되는 핵심 타깃이지만 대다수 병원은 만성적인 적자 구조와 인력 부족으로 기본적인 방어선 조차 구축하지 못한 실정이다. OCS와 EMR 의존도가 절대적인 현 진료환경에서 전산망 마비는 곧 진료 중단이자 환자 생명과 직결된다. 데일리메디가 김진응 병원정보보안협회장을 만나 병원계가 직면한 실체적 사이버 위협과 해법을 들었다. [편집자주] 

낮아진 의료기관 장벽…가장 높은 가격 의료정보 대상 ‘무차별 침투’ 타깃 

김진응 회장은 최근 급변한 보안 환경의 가장 큰 위협으로 ‘인공지능(AI)으로 인한 진입장벽 급락’을 꼽았다. 

과거에는 고도화된 해킹 기술을 보유한 전문 조직이 주로 표적 공격을 감행했다면, 지금은 생성형 AI 도구를 악용해 준전문가 수준의 공격자들까지 대거 병원 전산망을 노리는 구조가 형성됐다.

김 회장은 “해킹 시장에서 의료정보는 가장 높은 가격의 데이터”라며 “과거에는 병원의 지불 여력이 낮다는 이유로 표적 순위에서 다소 밀렸지만, 최근 소규모 기관을 향한 침투가 빈번해졌다”고 전했다.

문제는 병원계 방어 역량이 산업계 전반에 비해 크게 뒤처져 있다는 점이다.

그는 “의료수익 자체가 적자인 곳이 태반이고, 대형병원도 낮은 수익률로 버티는 실정이다 보니 보안이 경영 우선순위에서 뒤로 밀려나며 해커들의 손쉬운 먹잇감이 되고 있다”고 우려했다.

전산망 마비 시 응급·수술 중단…사각지대 보조시스템 취약

의료기관을 향한 사이버 침해는 단순한 개인정보 유출 사고에 그치지 않는다. 진료 인프라 전반이 네트워크로 묶인 상황에서 전산망 마비가 발생하면 진료 자체가 전면 중단되는 재난으로 번진다.

김 회장은 “처방전달시스템(OCS)과 전자의무기록(EMR) 의존도가 99%에 달하는 현 병원 시스템에서 전산이 멈추면 모든 기능이 일시에 마비된다”고 강조했다.

이어 “최근 국립대병원 랜섬웨어 감염 사례처럼 응급실, 중환자실, 수술실이 마비되는 순간 환자 생명을 직접 위협하는 최악의 상황이 벌어질 수 있다”고 덧붙였다.

실제 침해 사고는 견고하게 방어된 메인시스템이 아닌 관리가 소홀한 사각지대에서 주로 발생한다.

그는 “작년 발생한 주요 보안 사고를 분석해 보면 메인 시스템이 직접 뚫린 게 아니라 관리되지 않던 보조 시스템이나 비식별 자산을 타고 침투한 경우가 대부분”이라고 말했다.

이어 “병원 전산팀조차 원내에 어떤 네트워크 장비와 의료기기가 연결돼 있는지 파악하지 못하는 현실이 가장 큰 잠재적인 위험”이라고 짚었다.

상급종합병원-중소병원 ‘양극화’…실무 점검 도구 보급 필요

대형병원들은 자체 전담조직을 통해 대응력을 높여가고 있지만 중소병원과 지역 의료기관은 기본적인 전담자조차 없어 격차가 심화되는 양상이다.

그는 “지방 중소병원들은 해킹을 당한 사실조차 인지하지 못하거나 징후가 나타나도 탐지·분석할 기술이 전무한 상태”라고 말했다.

이어 “협회 차원에서 중소병원이 원내 시스템 자산을 식별하고 취약점 우선순위를 가려낼 수 있는 점검 툴을 개발해 무료 배포할 계획”이라고 덧붙였다. 

아울러 지방 병원 실무자 대상 모의 해킹 실습교육도 병행, 방어 능력을 끌어올릴 방침이다.

신속한 민관 협력 전파 체계도 가동 중이다. 그는 “공문 발송 전이라도 위협 유발 IP가 확인되면 협회 핫라인을 통해 즉시 차단 지침을 내리는 등 실무 선에서 기민하게 움직이고 있다”고 말했다.

형식적 장비 규정 탈피, 보안 거버넌스 제도화 촉구  

정부 차원의 법적 기준 개선과 실질적인 유인책 마련도 시급한 과제로 제시했다.

현재 상급종합병원 인증평가에 보안 전담인력과 보안관제 여부가 예비지표로 올라와 있으나, 여전히 현장 체감도는 낮다. 중소병원은 아예 전담부서가 없어 전산팀 직원이 담당하는 사례가 부지기수다.

김 회장은 “현행 규정은 단순히 특정 장비를 구매해야 한다는 수준에 머물러 있어, 장비를 사놓고도 정작 관리가 안 되는 악순환이 반복된다”고 지적했다.

이어 “실무 담당자가 최소한의 보안 정책을 유지하고 관리할 수 있도록 법적 기준을 강화하고 현실적인 제도 지원이 뒤따라야 한다”고 덧붙였다.

그는 특히 “보안은 진료를 방해하는 규제가 아니라 안전한 AI 활용과 병원 지속 성장을 담보하는 핵심 축”이라며 “우리 병원에 어떤 시스템과 장비가 존재하는지 파악하는 기초 작업부터 서둘러야 한다”고 제언했다.