"의료데이터 유통과 통합을 효율성있게 추진하는 방안 절실"
머신러닝과 빅데이터, 클라우드 등 다양한 ICT 기술의 의료기관 이식·활용이 점차 일반화돼 가고 있다. 그러나 이에 수반되는 병원과 의료데이터의 보안 문제를 어떻게 해결할 것인가는 여전히 숙제로 남아 있다. 실제로 최근 대학 및 국립대병원 사이버 침해가 한 해 약 4만 건에 달하는 것으로 알려지고 있지만 해킹 피해 시 대응요령 및 사후대책은 부실하다는 지적이 제기된다.
정부에서는 현재 의료보안의 표준 규격을 마련하기 위한 플랫폼 사업을 추진하며 현장의 보안수준을 끌어올리겠다는 의지를 보인 바 있다. 의료정보 생애주기 전반에 걸쳐 보안의 강화를 목표로 하는 것이다. 이를 위해 2015년 국내 의료기관 가운데서는 중앙대학교병원이 최초로 의료보안을 전문적으로 연구하는 의료보안연구소를 출범해 과제에 매진하고 있다. 의료보안연구소 장세경 소장을 만나 국내 의료기관 보안이슈 및 해결방안 등을 들어봤다.
Q. 중앙대 의료보안연구소 출범 계기는
의료보안연구소는 정부의 국제표준 기반 의료보안 플랫폼 개발사업과 함께 출범했다. 해당 사업은 총 3개년도에 걸쳐 진행되는 것으로 첫해는 의료보안 플랫폼 설계에 집중했다. 올해는 플랫폼을 구성하는 각 모듈(PKI 기반의 인증 및 권한관리, 의료데이터의 비식별화, 의료시스템 악성코드 방역, IOT 헬스케어 기기 보안 등)에 대한 구현에 목적을 뒀다. 차년도에는 이 같은 플랫폼을 확산시킬 것으로 예상된다.
Q. 의료보안에 대한 표준적 플랫폼이 필요한 이유는 무엇인지
기존의 의료보안은 여전히 병원 현장을 고려한다든지 특화된 기능을 갖췄다고 말하기 어려운 상황이다. 공공서비스나 금융기관에서 사용되는 모듈을 참고하고 있다. 이마저도 중대형 의료기관의 사정이다. 중소병원에서는 보안에 대한 투자를 해야 한다는 개념도 잡기 힘든 것이 현실이다.
이는 다시 말하면 의료보안의 표준 규격이 아직 정착하지 않음을 의미한다. 이렇게 되면 병원 간 협업 및 빅데이터 활용 과정에서 제약사항이 존재할 수밖에 없게 된다. 따라서 낙후된 의료현장의 보안수준을 끌어올리기 위해서는 의료데이터 생성과 저장, 활용 및 폐기 등의 작업 전반에서 강화 플랫폼을 적용하는 것이 필요하다.
Q. 중소병원의 경우 의료데이터 관리가 잘 이뤄지지 않고 있는 상황인가. 대형의료기관은 큰 문제가 없나
의원급을 포함한 거의 모든 병원에서 병원정보시스템을 활용해 데이터를 저장·관리하고 있음에도 불구하고 보안 실태조사를 시행하면 대다수는 낙제점을 받는다. 예를 들어 진료데이터를 저장하는 PC를 병원 내 누구가 접속해서 활용하고, 또 해당 PC를 의료용뿐만 아니라 메신저나 주식매매 등 다양한 방법으로 사용하고 있어 보안 측면에서 상당히 위험한 경우가 많이 발견됐다. 실제 이렇게 활용하는 컴퓨터들은 악성코드에 감염돼 있는 것이 대부분이다.
대형병원의 경우 자체 IT인력을 바탕으로 보안시스템을 운영하고 있지만 통합적 관점에서 의료보안 기능을 개발하는 것이 아니어서 문제점이 발생할 수 있다. 의료데이터 측면에서 타 대형병원의 의료보안시스템 호환 제약이 나타나는 것이다. 때문에 빅데이터를 활용함과 동시에 보안 수준을 높이기 위해서 의료보안 플랫폼이 필요한 현실이다. 우선은 중소형 의료기관의 보안 문제점 해결이 보다 시급하다고 판단돼 현재는 이에 적합한 형태의 의료보안플랫폼 개발 및 확산으로 과제 목표를 재조정했다. 정부사업을 통해 이를 무료로 배포하고 정착시키는 것이 목적이다.
Q. 국내 의료기관 보안시스템에 있어 어떤 개선이 필요한가
의료 종사자들의 인식 전환이 시급하다. 생각보다 보안에 대한 인식 수준이 매우 낮다. 국가 차원의 의료보안 교육이 반드시 필요하다. 의료데이터에 대한 인식이 ‘밖으로 나가면 안 되는 것’이라는 추상적 차원에서 머물고 있는 경우가 많다. 이 때문에 데이터 보안에 대한 경각심은 낮고 유출에 대한 경계는 높은 것이다.
의료빅데이터는 소유가 아닌 공유를 통해 충분히 활용 가능하다. 보안 시스템과 사후대책을 철저히 마련하고, 버락 오바마 대통령이 재임 당시 병원정보시스템 도입 병원 비율을 획기적으로 높였던 것과 같이 데이터를 생성하고 빌려주는 의료기관에게 인센티브를 지급하는 방식을 도입하면 바뀔 수 있다. 정책적으로 의료기관을 위한 유인책을 다양하게 마련하는 것이 필요하다.
Q. 의료데이터는 환자의 민감한 정보를 담고 있다는 점에서 규제가 엄격하다. 헬스케어 산업계는 규제완화를 통해 의료산업을 발전시켜야 한다고 주장한다. 한편으로는 개인정보 유출에 따른 위험 부담에 이를 반대하는 목소리도 존재한다. 이 같은 문제는 어떻게 해결할 수 있을까.
의료데이터는 매우 엄격하게 관리돼야 한다. 그러나 그럴수록 활용가치가 떨어지는 소위 trade-off 관계가 존재한다. 이에 데이터 가치를 떨어뜨리지 않으면서 보안성을 지킬 수 있는 비식별화 연구가 활발하게 이뤄져야 한다. 그래야 개인화된 의료서비스 제공이 용이해진다.
동시에 헬스케어 분야의 보안 수준도 검토해야 하는 상황이다. 한 예로, 사물인터넷 기술 발전으로 웨어러블 디바이스가 늘고 있다. 그러나 이런 기기들의 보안 기능은 거의 없는 수준이다. 특히 헬스케어 디바이스의 경우 제조사의 기술 유출에 대한 우려 및 비용 측면의 문제로 보안 기능을 탑재하지 않고 있다. 일상에서 많이 쓰일 가능성이 높은 이러한 기기들의 보안표준 마련이 필요하다.
Q. 의료보안연구소가 향후 의료ICT융합연구소로 새롭게 출발한다. 앞으로 주력할 과제는
현재 의료 ICT 산업의 가장 큰 문제는 데이터 유통·통합이 어렵다는 점이다. 이 때문에 개발이 가능한 의료서비스들도 데이터를 안전하게 활용할 수 있는 도구가 없어 한계에 직면한다. 차후에도 병원의 보안수준을 높여 환자에게 제공하는 의료서비스가 발전할 수 있도록 노력하고, 수요자가 이를 통해 개인화된 진료를 언제, 어떤 의료기관에서든 받을 수 있게 해 궁극적으로 국민건강 수준의 향상을 모색할 수 있도록 노력할 방침이다. |
