서울성모병원(병원장 이지열)이 국내 의료기관 최초로 의료영상저장전송시스템(PACS, Picture Archiving and Communication System)을 포함한 정보보호 관리체계(ISMS, Information Security Management System) 인증을 획득했다고 밝혔다.
인증기간은 2026년 7월 1일부터 2029년 6월 30일까지 3년간이다.
◆PACS 포함 인증…보안사고 대응 위해 관리대상 선제 확대
서울성모병원은 최근 각종 보안사고가 발생하는 환경 속에서 관리대상을 선제적으로 확대해 이번 인증을 획득했다고 설명했다.
병원 측은 이번 인증이 향후 디지털헬스케어 관련 법안 등에 대응하는 가운데 여러 의료기관이 지향해야 할 방향을 제시한 사례라고 평가했다.
◆영상의학팀·정보보호팀 주축…외부 전문기업 2곳 참여
인증 과정에는 영상의학팀을 주축으로 정보보호팀이 실무를 총괄했으며, 보안컨설팅 전문기업 행복소프트와 PACS 시스템 제조사 태영소프트가 참여했다.
행복소프트는 인증 범위 설정, 조직 구성 및 정보 자산 식별, 현황·흐름 분석, 취약점 진단, 계정 관리 및 접근 통제 확인, 위험 평가 및 보호 조치, 암호화 및 접속 기록 관리 등 인증 전반의 보안 컨설팅 실무를 수행했다.
PACS 공급·유지관리를 맡은 수탁사 태영소프트도 실사에 직접 참여해 세부 보안 조치를 지원했다.
◆PACS, EMR과 실시간 연동…개방적 구조로 구조적 취약점 지적돼
PACS는 CT, MRI 등 원내 의료장비로부터 연동된 방대한 영상 데이터를 처리하며, 환자 진료의 핵심인 전자의무기록(EMR, Electronic Medical Record)과 실시간으로 정보를 주고받는다.
그러나 진료정보교류사업, 외부 협진 및 판독, 의료장비 유지보수를 위한 원격 접속 등 다양한 기관·주체가 상시 접속해야 하는 개방적 구조를 갖고 있어 접점 자체를 원천 차단하기 어렵다는 구조적 취약점이 지적돼 왔다.
◆EMR 강화만으론 한계…ISMS 범위에 PACS 포함 필요성 제기
전자의무기록 보안을 강화하더라도 연계된 PACS 보안 수준이 낮으면 병원 전반의 보안 체계가 위협받을 수 있다.
이 때문에 통합 정보보호 관리체계 구축을 위해서는 ISMS 인증 범위에 PACS를 포함해야 한다는 필요성이 지속적으로 제기돼 왔다.
◆ISO 국제인증·다중망 분리체계로 공급망 보안 고도화 계획
서울성모병원은 이번 인증을 시작으로 공급망 보안 관리체계를 지속적으로 고도화한다는 계획이다.
안전성을 세계적 수준으로 끌어올리는 ISO 국제인증 획득을 추진하는 한편, 국가정보원의 병원정보시스템 보안 가이드라인에 부합하는 다중망 분리체계도 확대한다.
업무·인터넷·연구·의료기기가 사용하는 전산망을 각각 분리하는 다중망 사업은 급증하는 AI 및 클라우드 서비스형 의료기기 운영 환경을 안전하게 구축하는 동시에, 국내 의료기기 보안 인증 연계를 촉진할 것으로 기대된다.
◆“보안 사각지대로 남아선 안돼”
이번 사업을 주도한 영상의학팀 이인숙 팀장은 “의료영상 표준 파일 형식인 DICOM에도 다양한 환자정보가 담겨 있으며, 국내에서도 PACS에 대한 침해사례가 다수 있는 만큼 더 이상 보안 사각지대로 남아서는 안된다”며 “향후 AI 발전에 따라 더 많은 디지털 의료기기가 도입될 것이므로 공급망 보안 관리에 더욱 신경 써야 한다고 판단했다”고 밝혔다.
ISMS 인증 실무를 총괄한 정보보호팀 김선태 팀장은 “이번 인증은 단순한 취득 사실에 국한된 것이 아니라, 병원 내 흩어져 있던 의료기기 보안 사각지대를 정보보호 관리체계 안으로 끌어들인 첫 사례라는 점에서 의미가 크다”고 설명했다.
이지열 병원장은 “전자의무기록과 상시 연동되는 다양한 시스템의 보안 수준은 병원 전체 정보보호 체계의 신뢰도를 좌우하는 만큼, 앞으로도 병원 전반의 보안을 지속적으로 점검하고 고도화할 것”이라며 “환자 안전과 정보 보호는 별개가 아니라 하나의 진료 품질이라는 인식으로 투자와 관리를 이어가겠다”고 말했다.
[메디컬월드뉴스 김영신 기자]
Copyright ⓒ 메디컬월드뉴스 무단 전재 및 재배포 금지
