국내 상급종합병원 절반 이상이 제로트러스트(Zero Trust) 보안 체계 도입 필요성에 공감하면서도 구체적인 계획을 마련하지 못한 것으로 나타났다.
10일 병원정보보안협회에 따르면 국내 주요 상급종합병원 22개소를 대상으로 '의료기관 제로트러스트 도입 현황'을 실태조사한 결과, 12개소(54.5%)가 도입 필요성에는 공감하지만 구체적인 계획이 없는 것으로 나타났다.
제로트러스트 도입 필요성에 대해서는 전체의 81.8%가 '매우 시급하고 필수적'이거나 '다소 필요하다'고 답했다. 반면 실제 시범 구축 단계에 들어간 병원은 18.2%, 전략을 수립 중인 곳은 9.1%에 그쳤다.
도입이 지연되는 가장 큰 이유는 예산 부족과 구축·유지보수 비용 부담으로 68.4%를 차지했다. 의료기관 특화 가이드라인과 도입 방법론 부족이 57.9%로 뒤를 이었다. 경영진의 보안 인식 부족과 다중인증(MFA)에 따른 업무 불편 우려는 각각 36.8%였다.
전문 인력 부족도 주요 걸림돌로 꼽혔다. 제로트러스트 구현 과정의 애로사항으로 전담 보안 전문인력 부족을 꼽은 비율은 68.2%였다. MFA 적용에 따른 업무 불편과 진료 지연 우려는 36.8%, 기존 의료장비와 의료영상저장전송시스템(PACS) 등 레거시 시스템과의 호환성 문제는 31.8%였다.
보안 거버넌스도 취약한 것으로 조사됐다. 정보보호 최고책임자(CISO)를 이사·임원급 이상 상근 조직으로 전담 운영하는 병원은 11개소(50.0%)였다. 10개소(45.5%)는 다른 부서장이 CISO를 겸임했다. 개인정보보호 최고책임자(CPO)는 12개소(54.5%)가 겸임 형태로 운영했다.
조사 대상의 21개소(95.5%)는 전자의무기록(EMR), 처방전달시스템(OCS), PACS 등을 온프레미스 환경 중심으로 운영했다. 논리적 망분리를 적용한 곳은 12개소(54.5%)였고, 5개소(22.7%)는 망분리를 적용하지 않은 것으로 나타났다.
김진응 병원정보보안협회장은 “예산과 인력의 구조적 한계를 극복하고 제로트러스트를 안착시키려면 정부 차원의 제도 개선과 실질적인 재정 인센티브가 선행돼야 한다”고 말했다.
박진형 기자 jin@etnews.com
