데일리메디 500병상 이상 의료기관 '보안책임자 고용' 의무

로그인 | 회원가입


500병상 이상 의료기관 '보안책임자 고용' 의무


[ 2010년 01월 25일 03시 36분 ]

최근 급증하고 있는 사이버 공격에 대한 의료기관의 보안강화를 위해 500병상 이상 병원을 대상으로 하는 정보보호 가이드라인이 마련됐다.

의료계, 변호사, 보안전문가 등으로 구성된 ‘의료기관 정보보호협의체’는 최근 의료기관 정보보호 가이드라인을 마련, 이를 복지부에 제출했다.

전문가들의 가이드라인이 마련됨에 따라 복지부는 오는 26일 오후 3시 서울아산병원 교육연구관 1층 대강당에서 이에 대한 공청회를 개최할 예정이다.

이번에 마련된 ‘의료기관 개인정보보호 가이드라인’은 개인정보 보호 및 보안 관리조직, 정보시스템 운영 및 보안관리 등 관리적, 기술적, 물리적 정보보호에 관한 내용을 담고 있다.

다만 정보주체의 동의, 진료정보의 수집 및 제공 등에 관한 사항은 사회적인 논의가 필요함에 따라, 이번 가이드라인에서 제외됐다.

세부적으로는 500병상 이상 병원의 경우 상설 기구로서 개인정보보호위원회를 설치해야 한다.

이 위원회는 보호 실무책임자, 보안 실무책임자, 비 의료인으로서 기관 외 종사자 1인이 포함된 5인 이상의 위원으로 구성된다.

특히 의료기관은 정보보호 및 보안 업무를 총괄 관리하고 시행 할 수 있는 개인정보관리 책임자를 지정해야 한다.

이 책임자는 외부의 부당한 침입, 접근 및 해킹 등을 차단해 개인정보가 부당하게 이용, 노출되지 않도록 하는 업무를 담당한다.

1000병상 이상의 경우 개인정보보호 실무책임자와 보안실무책임자를 각각 전임자로 고용해야 하며 필요에 따라 2인중 1인은 아웃소싱 직원으로 임명할 수 있다.

또 1000병상 이상 의료기관은 개인정보보호위원회에서 제정한 규정에 따라 감사를 시행해야 하며 외부 안전진단은 2년에 한 번 진행한다.

500병상 이상 1000병상 미만 의료기관의 경우 외부 안전진단은 3년에 한 번 시행해야 하며 안전진단을 시행한 경우 해당 년의 감사는 생략할 수 있다.

이 외에도 가이드라인에는 정보시스템 접근 통제, 로그온 절차, 악성코드 통제 등 실제 운영에 관한 다양한 내용을 담고 있다.

한편 복지부는 향후 공청회에서 논의된 의견을 종합적으로 검토해 500병상 이상 의료기관을 대상으로 하는 ‘의료기관 개인정보보호 가이드라인’을 확정, 배포할 계획이다.

[자료실]500병상 이상 의료기관 정보보호 가이드라인