4개 분원 단가 계약서에 남지 않던 조회 기록, 다거점 병원이 접근 로그로 메운 감사 틈새

수도권 4개 거점 병원을 운영하는 한 의료재단의 내부 정보보호 점검에서 외부 협력업체 단가 계약서의 열람 이력이 한 건도 식별되지 않는 결함이 확인됐다. 전자의무기록(EMR)은 사용자 접속과 환자 정보 조회 이력이 분 단위로 남았지만, 원무과와 구매팀이 쓰던 계약 시스템은 접속 로그를 남기지 않은 채 운영된 탓이다.

EMR에만 쏠린 감사망, 계약 시스템은 기록 사각지대

의료기관은 환자 개인정보보호 규정상 EMR 접속 기록 관리에 엄격한 기준을 적용받는다. 반면 의약품 도매상, 의료기기 유지보수 업체, 청소 용역사 등과 맺는 연간 계약 문서는 상대적으로 보안 관리선에서 벗어나기 쉽다.

해당 의료재단은 본원과 3개 분원에서 연간 수천 건의 용역 및 자재 납품 전자계약을 체결해 왔다. 각 병원의 원무행정 파트와 간호부 수간호사, 약제부 실무진이 필요에 따라 계약서를 확인했으나, 누가 언제 어떤 단가표와 특약 조항을 열람하고 다운로드했는지 추적할 수 없는 구조였다.

"의료기관 평가인증을 준비하면서 EMR 감사 로그는 철저히 검증했지만, 정작 분원 간 단가 편차가 담긴 위탁 계약서와 간병업체 협약서가 아무런 접근 기록 없이 열람되고 있었다는 사실을 뒤늦게 파악했다." 재단 정보보호팀 총괄파트장의 설명이다.

구분	도입 전 (자체 분산 보관)	도입 후 (통합 접근 로그 관리)
열람 기록 관리	부서별 단순 파일 다운로드, 이력 미보유	계정별 열람 일시 및 IP 자동 수집
서명 및 변경 이력	체결 완료 시점만 기록, 과정 추적 불가	단계별 서명자, 반려 및 수정 로그 보존
분원 간 권한 통제	거점 구분 없는 전사 공유 폴더 운용	병원별·직무별 문서 접근 통제 및 감사 로그 분리

거점별 계약서 열람 이력과 IP 추적 체계 적용

재단은 전자계약 체결 및 보관 체계를 손질하며 접근 로그(Access Log) 연동 방식을 채택했다. 계약서 상신, 검토, 전자서명 날인, 최종 체결 문건의 단순 조회와 사본 내려받기까지 모든 단계를 이용자 식별값(ID)과 IP 주소 기반으로 기록하는 방식이다.

3교대로 돌아가는 병동 특성상 공용 PC에서 로그인한 뒤 문서를 열람하는 행위도 통제 범위에 넣었다. 야간 당직 시간대에 병원 외부망이나 비인가 단말에서 접속을 시도할 경우 로그에 꼬리표가 붙어 관리자 화면에 즉시 표시되도록 했다. 분원별 구매 담당자 간에 민감한 납품 단가가 무단으로 비교되거나 외부로 유출되는 정황을 사전에 점검하기 위한 조치다.

이와 함께 체결된 계약 문서의 수정 이력과 열람 로그를 의료법 및 개인정보보호법상 요구되는 보존 연한에 맞춰 분리 보관하는 저장소 아키텍처를 적용했다.

권한 세분화와 감사 로그 모니터링 남은 과제

새 체계가 운영되면서 특정 분원 구매팀 계정에서 새벽 시간대 집중적으로 발생한 의료폐기물 처리업체 계약서 조회 이력을 확인해 소명을 요구하는 등 내부 점검이 이뤄지고 있다는 게 현장의 전언이다.

다만 진료과별 교수진과 임상시험 수탁기관(CRO) 간의 특수 계약, 파견 의료진 근로계약 등 형태가 복잡한 문서들의 열람 권한을 어느 선까지 세분화할지는 과제로 남았다. 접속 로그를 단순히 축적하는 데 그치지 않고 비정상적인 대량 다운로드 시도를 탐지해 실시간 통보하는 규칙을 정교화하는 작업도 요구된다.