M&A로 커진 병원, '암호 돌려쓰던' 대표 메일부터 죄었다

퇴사자 손에 남은 포털 메일 암호

수도권의 중견 병원 그룹 A의료재단은 지난해 지방 거점 전문병원 두 곳을 잇달아 인수하면서 곧장 보안 점검에 착수했다. 네트워크를 5개 병원으로 넓힌 직후 드러난 구멍은 의외로 대표 이메일이었다. 피인수 병원 두 곳 모두 외부 수탁 검사 결과지나 환자 진료 의뢰서를 일반 상용 포털의 무료 웹메일 계정 하나로 받아보고 있었다.

행정직원 서너 명이 암호 하나를 적어두고 돌려쓰는 식이었다. 이직과 퇴사가 잦은 원무 행정직 특성상 이미 병원을 떠난 직원이 외부에서 접속해도 막을 방법이 없었다. A의료재단 전산보안팀 관계자는 "인수 직후 점검해 보니 외부 검사 기관에서 온 메일을 누가 읽고 처방 시스템에 넘겼는지 역추적 자체가 불가능했다"며 "누락 사고가 나면 일일이 구두로 확인해야 하는 실정이었다"고 털어놓았다.

계정 공유 막고 접속 기록 남겨

의료법은 진료 정보 취급자의 접근 이력을 엄격히 관리하도록 규정한다. 암호 공유는 법적 위험으로 직결됐다. 재단은 지점별 대표 주소를 중앙 그룹웨어의 공용 메일함 체계로 묶어 올렸다.

새 체계는 대표 주소 계정으로 직접 로그인하는 통로를 없앴다. referral@hospital.org 같은 대표 메일 주소로 외부 메일이 들어오면, 권한을 받은 담당자 개인의 업무 화면 좌측에 별도 공유 폴더로 뜨는 방식이다. 담당 직원은 자기 사번으로 로그인한 상태에서 해당 메일을 확인하고 회신을 보낸다.

누가 언제 본문을 열람했고 첨부된 의무기록 사본을 내려받았는지는 중앙 서버에 시간대별로 남는다. 발신 메일 역시 개인 명의가 아닌 대표 주소 이름으로 나가지만, 실제 발송을 누른 직원의 사번 로그는 남겨 책임 소재를 가릴 수 있도록 했다. 개인 계정에 걸린 2차 인증과 병원 내부망 접속 제한 규칙도 그대로 물려받는다.

인사 이동 맞춘 권한 회수가 관건

재단은 지점별 진료협력센터, 원무팀, 검진 수탁 부서마다 열람 범위를 다르게 쪼갰다. 데이터 민감도에 따라 단순 열람만 가능한 계정과 외부 발신까지 가능한 계정을 분리하는 식이다. 인사이동이나 퇴직이 발생하면 관리자가 중앙 콘솔에서 해당 직원의 공유 메일함 접근 권한만 지우면 된다. 메일 암호를 바꾸고 근무자 전원에게 새 암호를 공지하던 번거로움도 사라졌다는 게 현장의 설명이다.

다만 이 같은 통제 방식은 부서 간 업무 경계가 모호하면 오히려 혼선을 낳는다. 각 거점 병원별로 메일함 권한을 관리할 책임자를 정해두지 않으면, 인사이동 직후 진료 의뢰 메일을 제때 열람하지 못해 환자 이송이 지연될 위험이 있다. 본원 전산팀이 모든 지점의 권한 변경을 실시간으로 처리하기 어려운 만큼, 지점 단위의 관리 체계가 뒷받침돼야 한다는 지적이 나온다.