"원격의료 보안사고 발생땐 최대 3000억 피해"

• 약학정보원 정보유출 사례 기반으로 시나리오 작성

원격의료 시행 이후 1건의 보안사고가 발생할 시 약 900억~3000억원의 피해가 발생한다는 연구보고서가 나왔다.

이 같은 위험분석 시뮬레이션에서 사용한 시나리오는 약학정보원 정보유출 사례에 기반한 것이다.

고려대학교 정보보호대학원(연구책임자 이경호)는 지난해 대한의사협회 의료정책연구소가 발주한 '원격의료체계 기술적 안전성 평가' 연구 최종보고서를 제출했다.

연구팀은 약학정보원 정보 유출사고와 같이 실제 사례를 반영한 시나리오를 가지고 위험분석모델 중 FAIR(Factor Analysis of Information Risk) 방법론을 이용, 원격의료의 정성적·정량적 피해규모를 산정해 위험분석을 했다.

원격의료 서비스에 사용되는 블루투스 혈압계와 관리 어플리케이션에 대한 취약점을 확인한 결과 의료정보 및 개인정보 평문전송, 기기 내 개인정보 평문저장, 페어링 PIN코드 평문전송 등의 문제점이 드러났다.

시나리오에 기반을 둔 위험분석에서는 모든 시나리오에서 위험등급이 매우 높은 것으로 확인됐다. 원격의료 보안기능이 전혀 갖춰지지 않은 상태로 서비스가 진행되고 있기 때문이다.

전송구간 및 시스템 구간 등 모든 시나리오를 검토해보면 1건의 보안사고가 일어날 경우 의료정보 피해규모는 약900억~3000억원 정도다. 이는 개인정보 피해규모인 600억~2500억원보다 더 많다.

최저 900억원에서 최고 3000억원의 피해 규모 중 가장 높은 피해를 입는 시나리오는 약학정보원 정보유출 사례를 기반으로 작성된 것이다. 약학정보원 시나리오에 의하면 원격의료 서비스 시행시 1건의 보안사고로 약 2000억~2600억원의 피해가 일어날 수 있다.

약학정보원 시나리오란 권한이없는 내부임직원의 악의적인 행위로 의료정보가 외부로 유출된 것을 의미한다.

한편 이번 보고서에는 의사와 의료인 간 원격의료와 의사와 환자간 원격모니터링에 대한 현황조사 결과도 포함됐지만, 원격의료 서비스 진행 현장의 비협조로 제대로 된 연구가 이뤄지지 못했다.

연구팀은 의사와 의료인간 원격의료가 시행되고 있는 총 17개 기관에 20회의 협조요청을 했다. 그 중 4건은 응답이 없었으며 6건은 보건복지부 자료와 달리 원격의료를 진행하지 않는다고 답했다. 9건은 현장 방문 불가 통보를, 나머지 1건은 유일하게 A보건소만 현장확인 가능 답변을 보냈다.

A보건소의 PC 및 웹사이트 이용실태를 점검한 결과 비암호화 통신, 악성코드 감염 노출, 비밀번호 설정 취약, 파일 외부 전송 통제 불가, PC 보안 프로그램 미설치, 저품질 영상 등의 문제점이 노출됐다.

의사와 환자 간 모니터링은 연구팀이 마을회관 원격의료 서비스 구축회사인 N업체에 방문해 현황조사를 마쳤다.

이 마을회관은 병원에서 사용되는 혈압측정계, 통합게이트웨이, 인터넷모뎀, ID카드의 장비를 운영했다. 하지만 현장확인 결과 ID카드 도용으로 인한 오진 발생 가능, 외부인의 시스템에 대한 접근차단 조치 부실, 서비스 이용 교육 및 정보 제공 부재, 이용자 개인정보 동의 및 관리절차 부재 등의 문제점이 나타났다.

연구팀은 "의사와 의료인간, 의사와 환자 간 원격 서비스 현황조사를 통해 기술적 안전성이 의료정보의 비밀성과 가용성, 서비스의 가용성을 보장하지 못한다는 결론을 도출할 수 있었다"고 지적했다.