대다수 병원이 보안체계 필요성을 절감하고 있지만 초기 설비 투자 비용과 전담 인력 확보 한계에 부딪혀 실행에 옮기지 못하는 실정이다.  

최근 한국보건사회연구원 이기호 재정통계연구실 부연구위원은 ‘의료기관 사이버 보안 현황과 정책 과제’ 보고서를 통해 이 같은 실태조사 결과를 공개했다. 

이번 조사는 보사연이 대한병원협회에 위탁해 전국 17개 시도 상급종합병원 41곳과 종합병원 222곳 등 총 263개 의료기관을 대상으로 진행됐다.   

조사 결과에 따르면 전체 응답 기관 중 보안관제를 상시 운영 중인 곳은 57.0%(150곳)에 머물렀다. 나머지 43.0%(113곳)는 이상 징후를 모니터링할 기본 안전장치조차 두지 않은 채 진료 시스템을 가동하고 있었다.   

종별 격차는 심각한 수준을 보였다. 상급종합병원의 경우 75.6%가 보안관제를 실시하고 있었으나 지역 거점 역할을 맡는 종합병원은 53.6%에 그쳐 절반 가까이 사각지대에 방치됐다. 

외부 위협정보를 공유받고 공동 보안관제를 지원하는 보건복지부 의료정보보호센터 가입률 역시 상급종합병원은 60.0%에 달했으나 종합병원은 7.1%에 불과했다.   

보안 관리 역량을 객관적으로 검증하는 보안인증체계 도입 수준도 엇갈렸다. 보안관제를 운용하고 있다고 응답한 150곳 중에서도 외부 공인 보안인증을 획득한 곳은 32.7%(49곳)에 불과했다. 

특히 종합병원은 응답 기관 84.9%가 관련 보안인증을 단 하나도 보유하지 못한 상태였다.

의료 현장에서는 보안 인프라 필요성을 충분히 인지하면서도 재정·인력 장벽 탓에 실행하지 못하고 있었다.

전체 응답 기관의 88.2%(상급종합병원 90.2%, 종합병원 87.8%)가 보안관제 도입이 반드시 필요하다고 답했으나 실제 실시율과의 격차는 31.2%P에 달했다.   

도입을 가로막는 최대 걸림돌로는 ‘초기 구축 비용 부담’이 1순위(66.5%)로 지목됐다. 이어 ‘전문인력 부족’(14.1%)과 ‘기술적 지식 부족’(17.9%)이 뒤를 이었다. 

일선 현장 실무 애로사항을 묻는 질문에서도 응답자 69.6%가 ‘인력 부족’을, 18.6%가 ‘예산 부족’을 1순위로 꼽았다.   

국내 의료기관을 겨냥한 침해사고는 이미 진료 현장을 직접 위협하고 있다. 지난 2020년부터 2025년 8월까지 확인된 진료정보 침해사고 총 100건 중 랜섬웨어가 91건(91.0%)으로 대다수를 차지했다. 

종별로는 의원급이 45건, 병원급 34건, 종합병원 16건, 상급종합병원 5건 등으로 중소 병·의원 피해가 두드러졌다. 해외 연구에서도 랜섬웨어 감염 시 진료 및 수술 지연은 물론 사망률 증가로 이어질 수 있다는 경고가 잇따르고 있다.   

이 부연구위원은 “의료기관 사이버 공격은 단순한 정보 유출을 넘어 진료 중단과 환자안전 위협으로 직결되는 중대한 사안”이라며 “모든 기관에 일률적 기준을 강제하기보다 규모와 여건에 맞춘 단계적 보안관리 기준과 재정·기술 지원책을 마련해야 한다”고 밝혔다.  

이어 “의료기관 평가·인증 기준에 보안관제와 침해 대응 등 필수 항목을 단계적으로 반영하고, 종합병원 의료정보보호센터 참여 유인을 확대해서 국가적인 공동대응체계를 촘촘히 다져야 한다”고 제언했다.