서울대병원이 지난해 해킹사건에 관련 다른 해킹 정황이 발견됐다. 타 병원들 역시 보안에 대한 우려가 커지면서 강화에 나서는 모습이다. 

지난 13일 서울대병원은 "지난해 6월 발생한 사이버공격으로 환자들의 개인 정보가 유출됐을 수 있다"며 안내문자 및 홈페이지 재공지를 실시했다. 

병원 측은 "병원등록번호, 환자명, 생년월일, 성별, 나이, 진료과, 진단명, 검사일, 검사명, 검사결과의 정보가 유출 가능성이 높은 것으로 추정하고 있으며, 주민등록번호, 핸드폰번호, 주소, 영상 검사나 사진 등의 검사결과는 유출되지 않았다"고 설명했다.

서울대병원은 지난해 7월 악성코드 감염을 통한 해킹 형태의 사이버 공격으로 한 차례 홍역을 치른 바 있다. 이번 병원측이 밝힌 추가적 개인정보 유출 의심도 지난해 사건과 이어진 사례다. 

이에 대해 당시 교육부는 서울대병원이 다량의 의료정부가 유출돼 보안취약점 개선을 요구받았음에도 보안업체의 조치사항 보고에 대한 검증 없이 병원 시스템 보완관리 전체를 계속 일임한 것에 대해 지적했다.

이후 병원 측은 합동조사를 통해 드러난 △보안 취약점 방치 △보안 용역관리 부적정 △불필요 포트 미차단 △서버 취약점 미조치 △보안 미인증 클라우드 서비스 이용 등 총 5건의 보안취약점을 개선했지만, 올해 또 다시 해킹 사례가 발생했다.

서울대병원 관계자는 “지난 6월 발생한 해킹 사건을 파악하던 중 추가유출 의심정황이 포착돼 조사 중이며 아직까지 피해사례(유출 또는 유출정보 이용 사실)가 발견되지 않았다”며 “지난해 이슈 직후 재발 방지 조치를 실시했었다. 조사는 계속 진행할 계획”이라고 밝혔다.

병원 내 디지털 도입으로 ‘틈’ 발생…보안 강화에 필사의 노력

대학병원을 타깃한 사이버 보안 위협은 서울대병원만의 일은 아니다. 지난해 가톨릭대 서울성모병원도 해킹 공격으로 환자 정보가 유출돼 경찰이 수사에 나서기도 했다. 또 국내 일부 병원의 개인정보가 제약사에 유출된 전적도 있다.

과학기술정보통신부에 따르면 의료기관을 대상으로 한 랜섬웨어 공격은 △2018년 22건, △2019년 39건, △2020년 127건으로 3년간 5배 이상 증가했다.

보안업체 관계자는 “의료기관 해킹 사례가 급증하게 된 이유는 원격진료, 비대면 진료가 적용되면서 빠르게 ‘디지털화(digitalized)’됐기 때문”이라며 “어플리케이션, 웨어러블 기기 등 새로운 중간 루트를 통해 환자와 병원 관계자 모두 병원 정보를 쉽게 접근 가능해져 보안을 뚫을 수 있는 빈틈도 많아졌다”고 말했다.

이어 “의료기관은 기업과 다르게 개인 의료기록이라는 반드시 보호해야할 자산이 있기 때문에 체계적인 보안시스템 구축이 중요하다”며 “병원 책임자는 비용이 들더라도 환자 정보가 갖는 중요성을 고려해 보안시스템을 강화시켜야 하고, 의료종사자들도 보안 관련 규칙들을 준수할 수 있도록 지속적인 교육을 받아야 한다”고 전했다.

실제로 의료기관들도 사이버 보안 강화를 위해 적극적인 대비책을 마련하고 있다.

올해 전북대병원, 대전·충남대병원은 ‘의료기관 사이버보안협의회’를 구축해 지역 병원들과 보안강화에 합심키로 했다. 지난해에는 강원대병원 및 12개 공공기관, 부산·울산지역 13개 공공·민간 의료기관이 의료 사이버보안협의회를 구축했다. 

이들은 △중요정보 보호 체계 강화 △병원 정보시스템 보호 인프라 확충 △최신 사이버 위협 정보 제공 등 다양한 분야에서 상호 협력하고 의료기관 대상 사이버 침해사고 발생 시 공동 대응해 나갈 방침이다.

몇몇 사립 대학병원들은 보건복지부에서 운영하는 의료기관 공동 보안관제센터(ISAC)을 통해 365일 24시간 상시 보안관제 서비스를 받고 있다.

의료ISAC은 보안 전문인력이 24시간 상주해 의료기관 사이버공격 실시간 모니터링, 위협정보 공유, 침해사고 대응, 보안 전문교육 등을 종합적으로 수행하게 된다. 현재 서울아산병원, 분당서울대병원, 한림대성심병원 등이 참여하고 있다. 

의료계 관계자는 “의료ISAC은 상급종합병원 중 희망 의료기관을 대상으로 민간보험식으로 운영되고 있다”며 “정부 부처에서 관리하고 공동의 센터로 운영되기 때문에 위협정보를 공유·분석해 대응하는데 더 효율적이라고 알고 있다”고 말했다.

한편, 올해 교육부는 국립대병원 정보보호 강화 방안을 국가정보원과 합동으로 마련한다고 밝혔다. 

국립대병원 기반시설의 백업시스템 구축, 위기발생 시 복구방안, 업무연속성 계획 등 보호대책을 집중 점검하고 병원의 중요시설이 주요정보통신기반시설로 추가 지정될 수 있도록 관련 기관과 협의한다. 또한 사이버공격 대응 훈련, 사고 대응체계 구축, 지침 마련에 힘쓸 예정이다.

박선혜 기자 betough@kukinews.com