EMR만 잠그고 그룹웨어 평문 방치한 대형 병원, 계정 털리자 환자 파일 샜다

지난달 14일 밤 11시 40분, 서울 시내 한 대형 종합병원 전산실 모니터에 알람이 연달아 떴다. 외부에서 임상시험용 환자 데이터베이스 백업 파일이 그룹웨어 메신저 첨부파일을 통해 전송된 흔적이 발견된 직후였다. 원내 진료정보망과 분리해 두었다고 믿었던 행정용 그룹웨어 서버였지만, 특정 과 연구원 계정이 탈취되면서 환자 식별 정보가 포함된 엑셀 파일 수십 건이 외부 IP로 빠져나간 정황이 잡혔다.

망 분리 환경에서도 협업 편의를 위해 열어둔 파일 송수신 통로가 침해 거점이 된 셈이다. 야간 당직 엔지니어는 긴급하게 계정을 잠그고 세션을 끊었으나, 이미 전송 완료 처리된 데이터의 암호화 상태를 확인하는 데만 서너 시간이 걸렸다.

평문 저장된 본문과 첨부파일이 키운 피해 반경

조사 결과 공격자는 계정 정보를 알아낸 뒤 곧장 사내 메일함과 메신저 대화방을 훑었다. 파일 저장소에 보관된 서류뿐 아니라, 메일 본문에 임시로 적어둔 환자 병력 요약 메모와 진료 일정표까지 고스란히 노출됐다. 첨부파일은 파일명만 난수화됐을 뿐 내용물은 평문 그대로 서버 스토리지에 남아 있었다.

대형 병원은 환자 개인정보보호법과 의료법에 따라 전자의무기록(EMR)에 대해 엄격한 암호화 조치를 취한다. 반면 협업 문서, 메일, 메신저 등 그룹웨어 영역은 상대적으로 암호화 적용 수준이 낮거나 전송 구간 암호화에만 의존하는 경우가 많다. 데이터가 디스크에 쓰이는 저장 단계(Rest) 암호화가 빠져 있으면 서버 탈취 시 속수무책이 된다.

이 병원 정보보호팀 관계자는 "EMR 시스템은 이중 삼중으로 잠가두었지만, 진료과 간 협의 과정에서 오가는 그룹웨어 파일까지 전부 암호화해 보관하지는 못했다"며 "평문으로 남은 협업 기록이 사고 규모를 키웠다"고 말했다.

전송부터 저장까지 암호화 키 분리 적용

병원 측은 사고 직후 그룹웨어 데이터 계층 전반의 암호화 구조를 재편했다. 전송 구간(TLS) 암호화에 머물던 방식을 넘어, 메일 본문과 첨부파일이 데이터베이스 및 스토리지에 저장되는 즉시 AES-256 알고리즘으로 자동 암호화하는 방식을 적용했다.

암호화 키 관리 체계도 손봤다. 그룹웨어 애플리케이션 서버와 데이터 암호화 키를 보관하는 키 관리 서버(KMS)를 물리적으로 분리했다. 관리자 권한이 외부로 유출되더라도 분리된 인증 없이는 암호화된 파일의 복호화 키를 넘겨받지 못하도록 통제선을 그었다.

원내 메신저를 통해 전송되는 파일 역시 단말기 다운로드 시점까지 암호화 상태를 유지하도록 했다. 인가된 병원 PC나 사내망 전용 모바일 앱이 아니면 암호화된 패킷을 열어볼 수 없도록 조치했다는 게 전산팀의 설명이다.

현업 편의와 보안 강도 사이의 처리 지연 과제

문제는 시스템 부하와 진료 현장의 반응 속도다. 수천 명이 동시에 수십 메가바이트 단위의 검사 결과 보고서나 연구 문서를 메일과 메신저로 주고받는 환경에서, 전 파일의 실시간 암·복호화는 서버 CPU 점유율을 끌어올리는 요인이 된다.

첨부파일 미리보기나 본문 검색 같은 일상 기능에서도 복호화 과정을 거쳐야 하므로 수초간의 지연이 발생할 수 있다. 분초를 다투는 병원 환경에서 이러한 속도 저하는 현업 부서의 우회 경로 탐색으로 이어질 위험을 안고 있다.

실시간 대용량 파일 처리 시 암호화 엔진 병목을 분산하는 구조를 갖추는 일과, 퇴직자나 외부 파견 인력의 키 접근 권한을 주기적으로 회수하는 운영 프로세스 정립이 병행되어야 한다는 지적이 나온다.

※ 본 기사의 사례는 도입 현장에서 반복적으로 확인되는 상황을 바탕으로 재구성한 것이다.