2020-10-01 10:35 (목)
[전문가 기고] COVID-19 시대 의료 보안 위험을 최소화하려면
상태바
[전문가 기고] COVID-19 시대 의료 보안 위험을 최소화하려면
  • 길민권 기자
  • 승인 2020.08.07 14:56
이 기사를 공유합니다

주니퍼 네트웍스 사만다 마드리드, 보안 사업 및 전략 부문 부사장
주니퍼 네트웍스 사만다 마드리드 보안 사업 및 전략 부문 부사장

오늘날 기술 발전은 새로운 비즈니스 모델을 만들어내고, 기존 산업 구조를 붕괴시킨다. 그리고 이 과정에서 사이버보안의 경계는 끊임없이 시험을 반복하고 있다. 사이버 범죄자들은 계속 새로운 타깃을 찾고 있으며, 우리는 그 위험에 대한 취약점에 노출돼 있다. 이는 조직뿐만 아니라 개인과 공동체에도 막대한 파급력을 갖게 된다. 때문에 일상 전반에 미치는 영향력을 고려할 때 사이버보안은 가히 현대 사회에서 해결해야 할 최우선과제라 할 수 있다.

사람들이 조직 내에서 저마다 본인의 기기와 앱을 사용함에 따라 보안과 개인정보보호 문제가 그 어느 때보다 중요해졌다. 하지만 문제는 조직이 사이버 범죄 대응에 충분한 노력을 하고 있는지는 의문이다.

글로벌데이터(GlobalData)의 최근 설문조사에 따르면, 아태지역 기업들은 표적화된 멀웨어, 고객 데이터 유출, 숙련된 보안 인력 부족 등으로 인한 우려 속에서 보안 태세를 강화하는 데 주력하고 있다.

거의 모든 조직이 보안 전략 재검토와 위험 평가를 실행해야 했지만 그 중 특히 한 그룹이 취약점과 공격 시도로 인해 큰 타격을 받고 있었다. 바로 의료 분야다. 그렇다면 의료 분야가 유독 공격에 취약한 이유는 무엇이며, 어떻게 자구책을 마련해야 할까?


귀중한 의료 정보=사이버 범죄자의 먹잇감

의료 기관에 대한 사이버 공격 위험이 증가하는 이유는 사이버 범죄자가 훔쳐 팔거나 몸값으로 이용할 수 있는 귀중한 기밀 정보를 의료 기관이 갖고 있기 때문이다. 게다가 커넥티드 기기 사용이 폭증하는 상황에서 개별 기기를 모두 보호하는 것은 거의 불가능하다. 특히 개별 디바이스 레벨의 보호만으로는 사이버 공격을 완전히 차단할 수 없다.

의료 기기는 특히 더 취약하다. 제조업체가 장치를 설계하고, 유지 관리할 때 보안은 더 소홀해지기 마련이다. 의료 기기 보안에 대한 지침도 많이 나와있지 않다. 따라서 이러한 보안 문제 해결의 책임이 의료 기관에 오롯이 맡겨져 있는 상황이다.


구체적으로 살펴보면 의료 환경에는 두 가지 유형의 보안 과제가 있다.

액세스: 누가 어떤 기기에 액세스하는가? 한 대의 기기를 여러 사용자가 공유하는 경우(예: 간호사실 컴퓨터)가 많고, 이런 기기는 많은 취약성에 노출된다.

커버리지: 이러한 기기(네트워크에서 고유 IP를 가진 모든 기기)들은 더 신경써서 보호해야 할 필요성이 있다. 예를 들어 인공호흡 시스템과 심전도 모니터링 시스템에는 엔드포인트 보안 소프트웨어를 설치할 수 없다. 실제로 해당 기기에 대한 엄격한 규제요건으로 인해 운영체제 또는 패치 취약점 업데이트도 불가능하다. 때문에 위험에 노출되고, 공격 대상이 될 수 밖에 없다. 이러한 기기들은 기존 보안 소프트웨어를 설치할 수 없어 네트워크 레벨에서 위협을 모니터하고 추적할 수 있어야만 한다.

시스템, 기기, 데이터의 의도적이거나 의도하지 않은 손상을 방지하고 관련 규정(예: HIPAA, GDPR, PCI 등)을 준수하면서 다양한 기기와 위치에서 환자 및 직원 PHI의 정상적인 액세스와 처리를 보장하는 작업은 결코 쉽지 않다.


규제 준수와 개인정보보호

기존 시스템에서 규제 준수와 개인정보보호 요구를 균형 있게 만족시켜야 하는 의료 분야만의 까다로운 과제가 있다. 많은 보안 기술이 환자 개인정보를 보호하기 위해 어느 정도 기밀성을 침해하게 된다.

기존 시스템들은 규제 준수와 개인정보보호 기준을 만족시키는 데 필요한 효과적인 역할 기반 액세스나 세그멘테이션(Segmentation)을 제공하지 않는다. 또한 잠재적 위협을 정확하게 식별하는 데 필요한 보안 컨트롤도 지원하지 않는다. 예를 들어 개인정보보호를 위해 암호화된 트래픽에 랜섬웨어가 숨어있을 수 있다. 또한 암호화된 트래픽으로 인해 가시성이 저하되는 문제가 발생한다. 즉, 개인정보보호와 보안이 서로 밀고 당기며 악영향을 미칠 수 있는 것이다.

액세스와 커버리지에서 규제 준수와 개인정보보호까지 의료 산업은 이미 보안을 위해 힘든 싸움을 벌이고 있다. 작금의 전세계적인 팬데믹 상황에 일부 기회주의적인 공격자가 가세한다면 심각한 보안 침해가 발생할 가능성이 높다.


보안, 선택이 아닌 전부를 고려해야

운영자와 기술적인 관점 모두에서 문제 해결을 위한 첫 단계는 이러한 시급한 보안 문제를 인식하는 것이다. 그렇기 때문에 의료 IT팀은 네트워크의 모든 기기에 대한 엔드-투-엔드로 보안 전략을 고려해야 한다. 보안은 어느 하나를 선택하는 것이 아니라 전부를 대상으로 관리해야 한다. 어떤 한 기기를 보호하는 것만으로는 문제가 해결되지 않는다. 그것은 단지 문제를 어느 한 곳에서 다른 곳으로 이동시킬 뿐이다.

때문에 바로 위협 인식 네트워크가 필요하다. 네트워크가 이미 위협을 인식하고 있다면, 모든 개별 기기를 보호할 필요가 없다. 이전에는 생각하지 못했던 방식으로 완벽한 복원력을 제공하게 된다.

현재 많은 병원이 네트워크를 분리하고 대규모 검사와 집단 면역 평가를 실행하는 독립적인 진단 시설을 마련하고 있는 상황에서 위협 인식 네트워크는 그 어느 때보다 중요하다. 보안은 모든 연결 지점에서 적용돼야 하며, 위협은 어디에 있든 탐지할 수 있어야 한다.

위협 인텔리전스(TI, Threat Intelligence)를 네트워크에 통합한 경우도 마찬가지다. TI가 빌트인된 상황에서 사용자가 공격에 노출될 경우, 네트워크는 자동으로 감염을 인지하고 차단함으로써 광범위한 노출의 위험을 줄인다.

의료 산업이 극복해야 할 보안 과제가 많지만 공격을 방어할 방법도 분명 존재한다. 보안을 우선으로 두고 최종 목표를 향해 달려간다면 사이버 범죄를 차단하고 이 시기에 우리에게 가장 중요한 것에 집중할 수 있다. 그것은 바로 공동체를 안전하고 건강하게 지키는 것이다.

[글. 주니퍼 네트웍스 , 사만다 마드리드(Samantha Madrid), 보안 사업 및 전략 부문 부사장]

★정보보안 대표 미디어 데일리시큐!★