국내 상당수 대학병원 및 대형병원과 중소병원들이 민감한 의료정보가 포함된 의료증명서 발급 서비스를 외부 위탁대행 업체에 맡기고 있는 것으로 드러나 개인 의료정보 유출 위험성에 대한 우려의 목소리가 높다.

국공립 병원은 대부분 정보유출 등 보안문제를 고려해 병원 내부시스템에 출력물문서보안 솔루션을 적용해 각종 증명서를 민원인들에게 직접 발급해 주고 있다.

“병원들, 외부 대행업체 서버로 의료정보 전송…과연 안전한가”

반면 상당수 대학병원을 비롯한 민간병원들은 병원 내부망과 연결된 중계서버를 통해 외부 위탁대행 업체 서버에 민감한 진료정보, 환자정보 등이 포함된 의료증명서 파일을 전송하고 있고 거기서 외부인터넷망을 통해 민원인들에게 증명서를 발급하고 있는 상황이다.

즉 민원인이 진료기록부, 처방전, 검사소견서, 진단서, 사망진단서, 출생증명서 등 각종 의료증명서 발급이 필요해 해당 병원 홈페이지에 접속해 신청한다. 그러면 병원 진료기록시스템은 외부 위탁업체와 연결된 중계서버를 통해 출력물보안이 적용되지 않은 개인 의료 메타정보를 외부 발급업체 발급서버로 전송한다. 병원과 대행업체간 개인정보 위·수탁계약이 이루어졌겠지만, 민감한 의료정보가 병원 내부 서버에서 외부 서버로 전송되는 것 자체가 심각한 상황이 아닐 수 없다.

“초기 비용 핑계로 대행업체와 계약…보안관리 제대로 안돼”

더 큰 문제는 상당수 대학 및 민간병원들이 초기비용 절감을 이유로 출력물 문서보안 라이선스를 구매하지 않고 있어, 외부 위탁대행 업체로 전송된 의료증명서 파일은 보안적용이 안된 파일일 가능성이 크고, 대신 대행업체가 출력물 문서보안 솔루션 라이선스를 구매해 원본파일에 진료내역 등 의료정보를 암호화해 생성한 2D 바코드 등을 입혀 민원인들에게 의료증명서들을 발급하고 있는 실정이다.

보안 업체 관계자에 따르면, 출력물 문서보안 솔루션이 제공하는 2D바코드는 환자 진료 내용 등을 바코드에 암호화 입력하고 또 원본대조서비스 요청시 2D바코드 스캐닝 모듈을 제공해 원본파일을 화면에 호출해 진위여부를 확인하는 서비스를 제공하는 방식으로 제공된다고 설명했다.

즉 병원의 중계서버가 아닌 외부업체의 발급서버에서 출력물 문서보안 솔루션을 적용해 2D바코드를 생성하고 원본대조 스캐닝 모듈도 제공하고 있는 실정이다. 병원 서버가 아닌 외부 대행업체에서 의료증명서 발급번호를 생성하고 원본대조도 하고 원본마크도 생성해 최종 출력물 문서보안이 적용된 증명서를 민원인에게 출력서비스하고 있는 것이다.

더욱이 의료증명서 파일이 외부업체의 발급서버에 보관되고 있으며 발급이력 로그도 남게 된다. 전자정부민원발급의 경우 법적으로 90~120일간 원본대조서비스를 제공하도록 되어 있다. 즉 외부위탁운영 업체에서 민감한 의료정보증명서에 대해 90~120일간 원본대조서비스도 제공하고 있다는 것이다.

대행업체에 대한 병원 측의 정보보안 교육과 점검이 제대로 이루어지지 않는 이상 대행업체 직원들이 무단으로 환자 의료정보를 볼 수 있는 상황이며 대행사의 정보보호 수준이 낮은 상태라면 해킹에 의한 정보유출 사고로 이어질 수 있다.

하지만 병원 정보보안 컨설팅을 상당수 진행해온 보안전문가에 따르면 “병원들이 대행업체에 대한 정보보안 교육과 점검 및 관리를 잘 하지 않고 있다. 만약 대행업체에서 정보유출 사고가 발생하면 병원이 책임져야 한다. 그럼에도 실태점검이나 교육은 제대로 이루어지지 않고 있는 실정”이라며 “민감한 의료정보를 외부 업체 서버로 전송해 서비스하는 것은 직무유기라고 할 수 있다. 병원에서 출력물 보안 솔루션을 구매하고 자체 서버에서 의료증명서를 발급해 혹시라도 있을 보안문제를 미연에 차단하는 것이 바람직한 방향이다”라고 강조했다.

“현재 대형병원들의 행태는 매우 무책임한 것”

한편 병원에서 발급한 전자처방전이 약국으로 전송되는 과정에서 SK텔레콤 서버에 저장되는 것이 문제로 지적되며 개인정보범죄합동수사단이 지난 2014년 12월 SK텔레콤 본사를 압수수색한 바 있다. SK텔레콤은 2010년경 전자차트를 중계해 원하는 약국에 전송하고, 이를 대가로 건당 수수료를 받는 사업을 추진했다. 이 과정에서 병원, 환자 등의 동의를 받지 않고 약 2만3000개 병원으로부터 민감정보 7천800만 여건을 받아 서버에 저장, 처리하고 건당 수수료를 받은 혐의로 2015년 의료법과 개인정보보호법 위반건으로 기소된바 있다. 이후 SK텔레콤은 2015년 3월부터 전자처방전 서비스를 하지 않고 있다.

의료증명서 발급 대행서비스도 이와 같은 사회문제로 불거질 수 있다. 대형 병원은 1년에 약 40~50만건의 증명서를 발급하고 있다. 상당수 민간 병원들이 현재 대행 업체를 통해 서비스를 하고 있는 상황인 만큼, 1년에 수백만 건의 개인 의료정보들이 병원 내부 시스템을 벗어나 외부 서버로 전송되고 있는 위험한 상황이다.

김승주 고려대학교 교수는 “개인정보보호법 제26조에 따르면, 위탁자는 수탁자가 개인정보를 안전하게 처리하도록 교육하고 감독할 의무가 있다. 또한 법을 위반해 발생한 손해배상책임에 대해서는 수탁자(대행업체)를 위탁사(병원)의 소속 직원으로 본다. 그러므로 현재 대형병원들의 행태는 매우 무책임한 것이며, 보다 더 적극적으로 위탁업체를 관리할 필요가 있다”고 강조했다.

특히 병원 서버에서 출력물 보안 적용이 되지 않은 의료증명서 파일들이 외부 대행업체 서버로 전송되는 것에 대해 우려를 표하고 “개인정보보호법은 디지털 문서뿐만이 아닌 출력물 즉, 비디지털 데이터도 그 대상으로 하고 있어 출력물 보안은 매우 중요하다”며 병원들이 출력물 문서보안에 적극적으로 투자해야 한다고 지적했다.

국내 모 대학 병원 정보보안 담당자는 “사실 병원들이 의료증명서 발급 외부대행업체에 대해 최종 원본파일이나 개인정보 등을 법 규정에 맞게 파기하고 관리하는지 여부 등에 대한 관리감독을 제대로 하지 못하고 있다”고 언급하며 대행업체 정보보호 관리 책임에 문제가 있는 상황으로 보인다고 밝혔다.

“환자정보는 병원이 책임…자체적으로 보안체계 구축해 증명서 발급해야”

환자 의료정보는 해당 병원이 보호해야 할 책임이 있다. 그럼에도 불구하고 병원 내부 시스템에 의료증명서 발급 체계를 구축하지 않고 비용 부담을 핑계로 외부 대행사에 업무를 위탁하는 것은 의료정보 데이터 유통 과정에서 내부자에 의한 정보유출 위험성을 현저히 높일 수 있다. 또 대행업체 서버에 DDoS 공격, 서버 해킹, 랜섬웨어 감염 등 의료증명서 발급 서비스에 장애가 발생할 수 있고 개인정보 노출로 이어질 수 있는 사안이다.

병원들은 환자들의 의료정보 보호를 위해 외부 대행업체가 아닌 자체적으로 관련 보안솔루션 구축과 발급 체계에 투자를 하고 정보보안 인식도 개선해야 할 상황이다.

또 보건복지부(박능후 장관)는 민간 병원들의 의료증명서 발급 체계에 문제가 없는지 면밀한 조사와 보안 가이드라인을 주고 대형병원들부터라도 자체적으로 증명서 발급 보안체계를 구축할 수 있도록 유도해야 대규모 의료정보 유출 사고를 미연에 예방할 수 있을 것으로 보인다.

다크웹이나 블랙마켓에서 가장 비싸게 거래되는 정보가 바로 개인의 의료정보다. 돈이 되는 의료정보를 탈취하기 위해 블랙 해커들은 다양한 해킹시도를 하고 있으며 약한 고리를 지속적으로 찾고 있다. 병원들의 정보보안에 대한 투자가 시급한 상황이다.

★정보보안 대표 미디어 데일리시큐!★