미판독 의뢰서 평문 노출 겪은 종합병원, 그룹웨어 스토리지 암호화로 메운 보안 사각

야간 당직 의사가 외부 자문 회신을 위해 원무과 공유 서버에 올려둔 미판독 조직검사 의뢰서 30여 건이 내부 네트워크 스캔 과정에서 평문 상태로 노출된 사건이 발단이었다.

의료법과 개인정보보호법에 따른 민감정보 암호화 조치가 원내 전자의무기록(EMR) 시스템 내부에는 적용되어 있었으나, 진료과와 원무행정팀이 협업 과정에서 주고받는 그룹웨어 첨부파일과 임시 저장소는 암호화 사각지대로 방치되어 있었다. 수도권 소재 600병상 규모 종합병원인 한빛의료원은 이 사고 직후 그룹웨어 데이터베이스와 저장소 전반에 대한 기술적 암호화 체계 개편에 착수했다.

행정망과 진료망 사이 평문 저장의 위험

병원 조직은 전자의무기록이 오가는 폐쇄망과 대외 공문, 인사·노무, 구매 발주를 처리하는 원무행정망이 혼재되어 작동한다. 외래와 병동의 3교대 간호 인력, 당직 의사, 원무과 직원들이 협업할 때 진료 의뢰서나 환자 이송 명단, 비급여 수가 심사 자료 같은 민감 문서가 그룹웨어 전자결재나 쪽지 첨부물 형태로 빈번하게 오간다.

문제는 파일이 서버 디스크에 기록되는 순간 발생했다. 전송 구간에는 보안 프로토콜이 걸려 있었으나, 스토리지에 저장된 첨부파일 원본과 데이터베이스(DB) 내 결재 본문은 평문 그대로 남아 있었다. 서버 관리자 권한이 탈취되거나 백업 스토리지 경로가 노출될 경우 환자 식별번호와 진단명이 그대로 드러나는 구조였다.

"EMR 화면만 닫으면 환자 정보가 보호된다고 생각하기 쉽지만, 실제 행정 결재판에 첨부되는 입퇴원 소견서나 비급여 심사 품의서에 주민등록번호와 질병코드가 그대로 얹혀 돌아다녔다"는 것이 당시 보안 점검에 참여한 원무전산팀 차장의 설명이다.

데이터베이스 컬럼과 파일 저장소의 2중 암호화

병원 측은 그룹웨어 내 모든 데이터 저장 영역에 계층별 암호화 알고리즘을 도입했다. 전자결재 본문과 사용자 계정 정보, 근태 기록이 저장되는 관계형 데이터베이스에는 컬럼 단위 암호화를 적용했다. 개인 식별이 가능한 고유식별정보와 병명 관련 텍스트 필드는 국산 표준 블록 암호 알고리즘인 ARIA 256비트 및 AES-256 방식으로 암호화되어 저장된다.

저장소(스토리지)에 쌓이는 첨부파일 역시 볼륨 암호화와 파일 단위 암호화를 병행했다. 야간 응급실이나 수술실에서 급히 올라오는 조직검사 의뢰 파일이나 진료비 심사청구서 파일이 서버에 쓰이는 즉시 무작위 생성 키로 암호화 처리되는 방식이다. 인가된 결재권자가 웹 브라우저나 모바일 결재 화면에서 호출할 때만 메모리 상에서 복호화되어 화면에 표출된다.

이 과정에서 암호화 키 관리 시스템(KMS)을 분리 구축해 데이터베이스 서버와 키 저장 서버를 물리적으로 격리했다. 백업 관리자라 할지라도 디스크 이미지 자체만 복제해서는 파일 내용이나 결재 본문을 읽을 수 없도록 잠금장치를 뒀다.

진료 지원 속도 저하와 키 관리의 과제

도입 초기에는 대용량 의료 영상 요약본이나 수가 증빙 문서 결재 시 복호화 과정에서 수 초간 지연이 발생해 당직 의료진의 불편이 제기되기도 했다. 병원 전산팀은 캐싱 메모리 영역의 암호화 처리 방식을 조정해 조회 대기 시간을 줄이는 작업을 병행했다.

남은 과제는 정기적인 암호화 키 교체 주기 설정과 키 유실에 대비한 비상 복구 절차의 검증이다. 의료기관 인증평가 기준에 부합하도록 키 접근 이력을 감사 로그와 실시간 연동하고, 응급 환자 전원 등 긴급 상황에서 결재 문서 복호화 실패로 행정 처리가 지체되지 않도록 이중화 경로를 점검하는 작업이 요구된다.