병원정보보안협회(K-HISA)가 의료기관 내부 직원의 환자정보 무단 열람·유출을 막기 위한 가이드라인을 발간했다. 정상 접근권한을 가진 직원의 정보 열람도 업무 목적에 맞는지 검증하도록 한 것이 핵심이다.
K-HISA는 13일 '의료기관 내부자 위협 관리 가이드라인 및 사례집'(GL-01)을 발간했다고 밝혔다.
가이드라인은 △진료관계 기반 접근통제 △응급 예외열람 △이상행위 탐지·접속기록 점검 △동적 화면 워터마크 △고위험 접근 실시간 알림 등 5대 통제를 제시했다. 병원 규모에 따라 필수·권장 항목으로 구분해 적용하도록 했다.
응급실에서는 진료 지연을 막기 위해 접근 자체를 차단하기보다 열람 사유를 남기고 사후 감사하는 방식을 권고했다. 휴대전화 촬영을 통한 유출에는 열람자 정보가 표시되는 화면 워터마크와 반복 조회 탐지를 제안했다.
자가점검 21개 항목, 이상행위 탐지 규칙 15종, 익명 처리한 국내외 사례 4건도 담았다. 지난 9월 11일 시행된 개정 개인정보 보호법에 맞춰 무단 기록 변경과 훼손을 사고 대응 절차에 포함했다.
개정법은 개인정보 유출 가능성을 인지한 경우에도 통지하도록 규정하고 있다.
가이드라인은 법적 구속력이 없는 자율 권고 지침으로, 의료기관이 자체 보안관리 체계를 점검하고 보완하는 데 활용할 수 있다.
협회는 오는 15~16일 연세의료원에서 열리는 추계세미나에서 인쇄본을 배포할 예정이다.
김진응 K-HISA 회장은 “AI와 디지털 전환이 빨라질수록 데이터에 접근하는 사람에 대한 관리가 더 중요해지는 만큼, 이번 가이드라인이 회원병원의 실질적인 점검 도구로 쓰이기를 기대한다”고 말했다.
박진형 기자 jin@etnews.com
