병원정보보안협회, ‘의료기관 내부자 위협 관리 가이드라인’ 발간

병원정보보안협회(K-HISA)는 13일 '의료기관 내부자 위협 관리 가이드라인 및 사례집' 발간을 발표했다. 이번 발간의 목적은 의료기관의 내부자 위협 대응을 지원하는 데 있다.

최근 의료기관 내에서는 정상 접근권한 보유 직원의 환자정보 목적 외 열람·유출 사건이 지속됐다. 내부자 정보 열람 기록의 특성상 이런 행위는 시스템상 정상 활동으로 남기 때문에 접근통제·유출 방지(DLP) 체계만으로는 내부자 열람을 탐지하기 어렵다.

협회는 해킹·외부 유출 중심 대응만으로는 한계가 있다고 판단했다. 이에 따라 내부자 위협 대응 보완이 필요하다는 배경에서 권한 검증에 집중한 가이드라인을 제안했다.

가이드라인은 5대 핵심 통제로 진료관계 기반 접근통제, 응급 예외열람(Break Glass), 이상행위 탐지 및 접속기록 점검, 동적 화면 워터마크, 고위험 접근 실시간 알림을 제시했다.

가이드라인은 5대 핵심 통제를 필수·권장으로 구분하고, 병원 규모·여건별 단계 적용이 가능하도록 했다. 또 응급실 등 신속 진료 공간에서는 넓은 조회 권한이 불가피하다는 점을 반영했다.

해당 공간에 대해서는 사전 제한보다 사유 기록·사후 감사 기반 검증을 원칙으로 뒀다. 휴대전화 촬영 유출 대응에서도 개인기기 전면 금지는 채택하지 않았고, 권고 억지 수단으로는 열람자 정보 화면 표시 워터마크와 반복 조회 탐지를 제시했다.

협회는 실무 적용 지원을 목적으로 가이드라인 부록을 수록했다. 부록에는 자가 점검 체크리스트 21개 항목, 이상행위 탐지 룰 15종, 국내외 사례 4건이 담겼다. 사례의 기관명은 회원병원 보호를 목적으로 익명 처리했고, 사례는 수법–미탐지 원인–시사점의 구조로 정리해 각 병원의 자체 점검에 활용하도록 했다.

협회는 가이드라인 인쇄본을 배포할 예정이다. 배포는 15일부터 16일까지 연세의료원에서 열리는 '2026 병원정보보안협회 추계세미나' 현장에서 이뤄진다. 올해 추계세미나 주제는 'AI 디지털 헬스케어 시대의 정보보호 – 환자 안전을 위한 사이버 레질리언스와 데이터 보호 전략'이다.

김진응 병원정보보안협회장은 의료정보 보호 분야에서 내부자 위협이 공통 과제라고 밝혔다. 이어 AI·디지털 전환이 가속할수록 데이터 접근 인력 관리의 중요성이 커진다는 점을 근거로, 이번 가이드라인이 회원병원의 실질적 점검 도구로 활용되기를 기대한다고 말했다.

출처: 아이티데일리 (IT DAILY) · 김호준 기자
원문: https://www.itdaily.kr/news/articleView.html?idxno=242171

참고자료

• https://www.itdaily.kr/news/articleView.html?idxno=242171