가톨릭대학교 서울성모병원이 국내 의료기관 최초로 의료영상저장전송시스템(PACS·Picture Archiving and Communication System)을 포함한 정보보호 관리체계(ISMS·Information Security Management System) 인증을 획득했다고 23일 밝혔다. 인증기간은 올해 7월 1일부터 2029년 6월 30일까지다.
이번 인증 획득은 원내 영상의학팀을 주축으로 정보보호팀이 실무를 총괄했다. 행복소프트와 PACS 시스템 제조사 태영소프트가 참여했다.
행복소프트는 PACS 인증 범위 설정부터 조직 구성 및 정보 자산 식별과 현황·흐름 분석, 취약점 진단, 계정 관리 및 접근 통제 확인, 위험 평가 및 보호 조치, 암호화 및 접속 기록 관리 등 인증 전반의 보안 컨설팅 실무를 수행했다.
PACS 공급·유지관리를 맡은 수탁사 태영소프트도 실사에 직접 참여해 세부 보안 조치를 적극적으로 지원했다.
PACS는 CT, MRI 등 원내에 설치되어 있는 다수 의료장비로부터 연동된 방대한 영상 데이터를 처리하는 역할을 했다. 병원 내 환자 진료 핵심인 전자의무기록(EMR·Electronic Medical Record)과 실시간으로 정보를 주고받는다.
그러나 진료정보교류사업과 외부 협진 및 판독 및 의료장비 유지보수를 위한 원격 접속 등 여러 기관·주체가 상시로 접속해야 하는 개방적 구조를 갖고 있다. 때문에 접점 자체를 원천적으로 차단하기 어렵다는 점에서 구조적 취약점이 존재한다는 지적이 많았다.
전자의무기록 자체 보안을 강화하더라도 연계 PACS 보안 수준이 낮으면 병원 전반 보안 체계가 위협받을 수 있다는 것으로, 통합 정보보호 관리체계 구축을 위해서는 ISMS 인증 범위에 PACS를 포함해야 한다는 필요성이 지속적으로 요구됐다.
병원은 이번 인증을 시작으로 공급망 보안 관리체계를 지속적으로 고도화한다는 계획이다. 현재 국정원 병원정보시스템 보안 가이드라인에 부합하는 다중망 분리체계를 확대 중이다.
최근 급증하는 AI 및 클라우드 서비스형 의료기기를 고려해 업무와 인터넷 및 연구와 의료기기가 사용하는 전산망을 각각 분리하는 다중망 사업으로 안전한 의료기기 운영 환경 구축에 힘쓸 예정이다.
ISMS 인증 실무 전반을 담당한 김선태 정보보호팀 팀장은 “이번 인증은 병원 내 흩어진 의료기기 보안 사각지대를 정보보호 관리체계 안으로 끌어들인 첫 사례라는 점에서 의미가 있다”고 말했다.
이지열 병원장은 “전자의무기록과 상시 연동되는 다양한 시스템의 보안 수준은 병원 전체 정보보호 체계의 신뢰도를 좌우하는 만큼, 앞으로도 병원 전반의 보안을 지속적으로 점검하고 고도화할 것”이라며, “정보보호에 투자와 관리를 이어가겠다”고 강조했다.
한편 병원 지난해 11월 보건복지부가 주최하고 한국사회보장정보원과 의료정보보호센터가 주관한 '의료정보보호 챌린지'에서 국내 1위를 했다.
임중권 기자 lim9181@etnews.com
