국내 상급종합병원들이 고도화하는 사이버 위협에 대응하기 위한 ‘제로트러스트(Zero Trust)’ 보안 체계 도입의 필요성을 인식하면서도 예산과 전문 인력 부족, 제도적 제약 등으로 실제 구축에는 어려움을 겪고 있는 것으로 나타났다.
병원정보보안협회는 국내 상급종합병원 22곳을 대상으로 실시한 ‘의료기관 제로트러스트 도입 현황 실태조사’ 결과를 지난 13일 발표했다. 이번 조사는 ‘제로트러스트 가이드라인 2.0’을 기반으로 국내 병원의 IT 및 정보보안 인프라 환경을 반영해 진행됐다.
조사 결과, 상급종합병원의 정보보안 거버넌스와 기존 보안 인프라에는 개선 과제가 적지 않은 것으로 나타났다.
정보보호 최고책임자(CISO)가 이사 또는 임원급 이상의 상근 전담 조직으로 운영되는 병원은 전체의 50.0%(11곳)였다. 반면 45.5%(10곳)는 다른 부서장이 CISO를 겸임하고 있었다. 개인정보보호 최고책임자(CPO)는 타 부서장 겸임 비율이 54.5%(12곳)로, 전담 운영 비율인 40.9%를 웃돌았다.
주요 IT 인프라는 대부분 내부 구축형 시스템에 의존하고 있었다. 전체 응답 병원 가운데 95.5%(21곳)가 온프레미스 방식의 EMR·OCS·PACS 등을 중심으로 운영 중이었다.
망분리 적용 현황에서는 가상화 기술을 활용한 논리적 망분리가 54.5%(12곳)로 집계됐다. 반면 22.7%(5곳)는 망분리를 적용하지 않고 방화벽 등 경계 보안 중심의 체계를 운영하는 것으로 조사됐다.
제로트러스트 도입 필요성에 대한 실무진의 공감대와 실제 도입 상황 사이에도 차이가 있었다. 응답자의 81.8%는 제로트러스트의 핵심 원칙과 개념을 알고 있다고 답했고, 도입 필요성에 대해서는 40.9%가 ‘매우 시급하고 필수적’, 또 다른 40.9%가 ‘다소 필요하다’고 응답했다.
그러나 실제 도입 단계에 들어간 병원은 많지 않았다. 제로트러스트 시범 구축 단계라고 답한 곳은 18.2%, 전략 수립 단계는 9.1%에 그쳤다. 전체의 54.5%(12곳)는 필요성에는 공감하지만 구체적인 도입 계획은 없다고 응답했다.
도입이 지연되는 원인으로는 예산 문제가 가장 많이 지적됐다. 복수 응답 결과 ‘예산 부족 및 구축·유지보수 비용 부담’이 68.4%로 가장 높았다. 이어 ‘의료기관 특화형 가이드라인과 도입 방법론 부족’이 57.9%, ‘경영진의 보안 필요성 인식 부족’과 ‘다중인증(MFA)에 따른 업무 불편 우려’가 각각 36.8%로 나타났다.
의료기관 특유의 환경도 제로트러스트 전환의 걸림돌로 꼽혔다. 응답자의 68.2%는 전담 보안 전문 인력 부족을 주요 애로사항으로 지목했다. MRI·CT 등 의료장비와 PACS, 기존 레거시 시스템 간 기술적 호환성 문제는 31.8%, 다중인증 과정에서 발생할 수 있는 의료진과 행정직원의 업무 불편 및 진료 지연 우려는 36.8%로 조사됐다.
병원들이 향후 제로트러스트 관련 예산을 우선 투입하고자 하는 분야로는 다중인증 등 식별자 및 신원 보안과 SIEM·SOAR 등 보안 가시성 및 자동화 대응 체계가 각각 27.3%로 가장 높은 비중을 차지했다.
제도 개선에 대한 요구도 확인됐다. 응답자들은 제로트러스트 도입을 촉진하기 위한 법·제도적 과제로 의료 분야 국가 정보보안 적합성 검증과 의료기관 평가·인증에서 제로트러스트 관련 가점을 부여하는 방안을 가장 시급한 과제로 꼽았다(31.8%).
이어 의료법과 개인정보보호법 등의 보안 지침을 기술 환경 변화에 맞게 유연화하는 방안과 병원 전산·보안 인력의 전문성을 높이기 위한 교육 및 전문 자격 체계 지원이 각각 22.7%로 나타났다.
김진응 병원정보보안협회장은 “의료기관 정보보안은 개별 병원의 데이터 자산 보호를 넘어 국민의 생명 안전과 직결되는 중요한 영역”이라며 “기존의 경직된 규제와 컴플라이언스 체계가 고도화된 보안 체계로의 전환을 저해하지 않도록 제도 개선이 필요하다”고 말했다.
이어 “의료기관이 안고 있는 예산과 인력의 구조적 한계를 고려해 정부 차원의 제도 개선과 재정적 지원이 함께 이뤄져야 한다”며 “정부와 보건의료계가 협력해 의료 환경에 적합한 보안 체계를 구축할 필요가 있다”고 밝혔다.
이번 조사에서 눈에 띄는 부분은 제로트러스트의 필요성에 대한 현장 인식과 실제 도입 수준 사이의 격차다. 필요하다는 응답은 80%를 넘었지만 구체적인 도입 계획이 없는 병원이 절반을 넘었다.
특히 상급종합병원조차 전문 인력과 예산 부족, 의료장비·레거시 시스템과의 호환성 문제를 동시에 안고 있다는 점은 의료 분야 보안 전환이 개별 병원의 투자만으로 해결되기 어렵다는 현실을 보여준다. 환자 진료의 연속성을 유지하면서 보안을 강화해야 하는 의료기관의 특성을 고려할 때, 획일적인 규제 적용보다는 의료 환경에 맞춘 기술 기준과 단계적 지원 체계 마련이 향후 과제가 될 것으로 보인다. /더퍼스트미디어 임한희 기자
