개인의료정보는 사이버범죄자들이 좋아할만한 먹이감이다. 신용카드는 바로 해지하거나 바꿀 수 있지만 의료정보는 그렇지 않다. 게다가 의료정보에는 개
이미지 출처 : Thinkstock
신용카드 데이터는 더 이상 해커들에게 금광이 아니다. 가용 기간이 일반적으로 짧을 뿐 아니라 예전만큼 값어치가 있지도 않기 때문이다.
하지만 사이버 범죄자들의 적응력은 뛰어나다. 레드스핀(Redspin)의 CEO 대니얼 버거에 따르면, 해커들은 돈 냄새를 잘 맡는다. 그들은 적은 노력으로 큰 수익을 낼 수 있는 분야에 뛰어드는 것도 바로 이 때문이다.
그리고 사람들이 자발적으로 의사, 병원, 보험사에 내는 개인 의료정보 데이터는 점점 늘어나고 있다.
신원 도난 자원 센터(Identity Theft Resource Center)는 지난 1월 보고된 정보 유출에 대해 의료 분야가 2014년 42.5%를 차지하는 등 3년 연속 가장 높은 비중을 차지했다고 밝혔다. 여러 보고서들에 따르면 2009년 유출 공지 법률(Breach Notification Rule)이 연방정부의 HITECH(Health Information Technology for Economic and Clinical Health) 법률의 일부로 발효된 이래 1억 2,000만 명의 미국인 개인 의료 정보가 탈취당했다고 한다.
그 중 대부분인 8,000만 명의 정보는 올해 1월 민영 의료보험사 앤썸(Anthem)의 단일 유출사고로 탈취되었다. 그러나 이전에도 몇 백만 명 수준의 사고들은 있었다. 커뮤니티 헬스 시스템(Community Health Systems)은 2014년 4월부터 6월까지 450만 명의 의료 정보 유출을 신고했고, 프리메라 블루 크로스(Premera Blue Cross) 는 올 3월 1,100만 명의 의료 정보 유출을 신고했다.
의료 정보 도난이 발생하는 가장 확실한 이유는 바로 그 가치 때문이다. 올해 초 AP의 보도에 따르면, 사이버범죄 시장에서 의료 데이터의 가치가 여러 가지 이유로 도난 신용카드 가치의 10배에 달한다.
• 신용카드는 신속하게 해지하거나 교체할 수 있다. 개인 의료 정보에는 이름, 연령, 성별, 주소, 사회보장번호, 진단 코드, 보험 정보, 개인 의료 내역 등이 포함되어 있는데 이 정보
는 바꿀 수 없다.
• 신용카드 데이터는 기본적으로 소매 구매에만 유용하다. 하지만 개인 의료 정보는 가짜 신분증을 만들어 의료 장비나 약품을 구입해 사기로 보험 수가 청구에 쓰일 수 있다.
인터페이스 메디컬 센터(Interfaith Medical Center)의 IT인프라 담당 이사인 크리스토퍼 프렌츠는 “도난 당한 신용카드 번호가 사기에 악용될 경우 수 천 달러 가량의 피해를 입힐 수 있다. 하지만 도난 당한 보험 신원은 심장우회술 등으로 수 십만 달러의 피해를 입힐 수 있다”고 이야기했다.
이러한 상세한 개인 데이터는 대상화된 이메일 혹은 스피어 피싱 공격을 더욱 쉽고 효과적으로 만들 수 있다. 그리고 민감하고 사적이며 잠재적으로 당황스러운 의료정보가 스파이활동이나 협박에 악용될 수도 있다.
DICOM 그리드의 CEO 모리스 패너(왼쪽 사진)는 이를 ‘리치 데이터(rich date)’라고 부르고 있다. “의사들은 사람을 전체적으로 파악하고 치료하고 싶어하는데 이 때문에 많은 데이터를 받게 된다. 그리고 거기에 모든 필수 신용과 보험 정보가 보험 청구와 변제용으로 추가된다”고 그는 말했다.
개인 의료정보는 더 가치가 높을 뿐 아니라 비교적 탈취하기도 쉽다. 개리 데이비스는 최근 맥아피 블로그에서 이를 ‘해커들에게는 손쉬운 먹잇감’이라고 이야
기했다.
대부분의 전문가들은 최근 의료 데이터의 보안에 대한 인식이 훨씬 커졌는데도 이러한 의견에 동의했다. 연방 HIPAA(Health Insurance Portability and Accountability Act)와 HITECH 법률은 보안 정책, 통제, 기타 보호조치를 강제하고 있다.
미국 애틀랜타에 있는 의료기관의 정보보안 관라자인 마틴 피셔는 그런 법률들이 “OCR(Office for Civil Rights)에 의한 집행을 강화시켰고 차이를 만들어냈다. 지속적인 기준 상승과 거액의 벌금 부과 조치가 업계를 올바른 방향으로 이끌고 있다”고 말했다.
그럼에도 그는 “개인 의료정보의 보안 수준은 5년 전 신용카드 데이터 보안 수준”이라고 지적했다.
그리고 개인 의료정보를 더욱 안전하게 만드는 일을 복잡하게 만드는 데에는 다음과 같은 여러 가지 이유가 있다.
• 대부분의 정보처럼 개인 의료정보는 점점 디지털화되고 있다. 과거에 도둑이 사무실에 침입해 폴더 수백 개를 집어 들고 도망갔다면 이제는 수백만 명의 정보가 병원 네트워
크에서 접속할 수 있다.
• 그뿐이 아니다. 수많은 사람들이 건강보험의 적용을 받고 있다. 패너 역시 “새롭고 혁신적인 의료정보의 소스가 운동 모니터링 기기 데이터나 풍부한 유전자 데이터로 존재한다”고 지적한다.
• 개인 의료정보는 위급상황 시 즉각적으로 사용 가능해야 한다. “당신 할머니에게 쇼크가 왔을 때 알러지 정보를 확인하는데 있어서 응급실에서 복잡한 비밀번호를 입력해야 한다면 어떨까?”고 피셔는 물었다.
• 개인 의료정보는 공유를 의도한 데이터다. MEHR(Medical Electronic Health Record) 인센티브 프로그램의 일부인 이른바 ‘의미 있는 활용’ 규칙은 개인 의료정보가 다른 의료 제공자들과 공유되도록 의무화했다.
“그런 활용에 있어서 아직 신뢰적 방안은 아직 없다”고 피셔는 말했다.
패너도 피셔의 의견에 동의했다. “의료정보에는 이상한 역설이 존재한다”고 그는 말했다. “대부분의 사람들에게는 비밀로 감춰야 하지만 의료적 처치가 필요한 상황에서는 수많은 사람들에게 아주 빠르게 공유시켜야 한다. 딱 맞는 시간에 적절한 사람들에게만 공개해야 한다. 이는 아주 어려운 작업 흐름이고 그와 비슷한 어떤 것도 소매 혹은 금융 업계에 존재하지 않는다”고 패너는 설명했다.
• 환자 접속 – 환자들은 USB 드라이브나 DVD 혹은 다운로드 가능하도록 정보를 제공받는다.
• 대부분의 정보가 온라인화되어 있다. 환자들이 자신의 의료 기록을 집에서 접속할 수 있는 포털이 있다. 목표는 환자들에게 그들의 진료에 더욱 관여할 수 있게 만들어 의료 결과를 향상시키는데 있다.
하지만 프렌츠는 “안전하지 않게 관리된다면 환자 포털은 의료 기관의 HER 시스템으로 침투하는 위험한 통로가 될 수 있다”고 지적했다.
이어서 그는 자신의 의견이 그의 회사의 의견만이 아니고 특수 조직이 아닌 의료 산업 전반에 대한 그의 시각을 반영한다고 강조했다.
하지만 그는 “의미 있는 활용 규칙 말고도 의료 분야에서 방사선과의 PACS 채택 증가, 많은 의사들의 모바일 기기 채택 확산, 점점 더 많은 의료 장비들의 네트워크 활성화를 경험해 왔다”고 밝혔다.
그는 그런 모든 조치들이 진료를 향상시키기 위해 도입되었지만 많은 조직들은 “환자 진료 측면에서만큼 정보 보안 측면에 많은 자원을 배치하지 못한 채 이런 기술을 사용했다”고 지적했다.
결국 향상된 환자 진료 방안 추진은 분명 칭찬할 부분이지만 보안측면에 있어서는 깔끔하지 못하다.
“많은 의료기관들에는 고민이 있다”고 피셔는 말했다. “거액이 될 수 있는 보안 분야에 지출할 것인지 아니면 MRI같은 새로운 의료 장비를 구입할 것인지, 많은 의료 CISO들은 임무와 보안 필요성을 기관의 핵심 임무와 연결 짓는 방법을 모르고 매번 논쟁에서 지곤 한다”고 덧붙였다.
버거(오른쪽 사진)도 같은 현상을 언급했다. “개인 의료정보는 ‘보호’받지 못하고 있다”라며 “보안에 대한 의료 업계의 지출이 민감한 데이터를 다루는 다른 업계들에 비해 아주 작은 수준”이라고 말했다.
그는 인식 확산과 규제 강화에도 불구하고 급속한 개선이 이뤄지지 않고 있다고 말한다. “전체 생태계가 미래에 더 개선될 수 있겠지만, 시간이 너무 늦어버릴지 모른다”고 그는 전했다.
하지만 그렇다고 해서 아무것도 할 수 없다는 의미는 아니다.
버거는 “개인 의료정보가 조직 내에서 자산으로 고려되고 전체 거버넌스와 위험 관리 프로세스에 있어서도 그와 같이 다뤄져야 한다”고 조언했다.
피셔도 동의했다. “보안을 환자 안전, 진료 품질의 핵심으로 이해하고 그런 식으로 보안을 우선시해야 한다”고 그는 말했다.
또 의료기관들에게 많은 전문가들이 기본적 보안 위생이라고 이야기하는 점에 초점을 맞추라고 촉구했다. “패치를 설치하고 당신의 기기들을 관리하라”고 그는 말했다. “사용자 접속 관리에 신경 쓰라. 프레임워크를 선택하고, 필수 보안 위험 산정을 실시하고, 교정 계획을 끊임없이 시행하라”는 게 그의 조언이다.
패너는 정부가 더욱 적극적이고 현대적인 역할을 맡아야 한다고 말했다. 그는 1996년 법률로 제정된 HIPAA가 “인터넷과 클라우드 기반 의료 시스템에 맞춰 설계되지 않았다. 우리는 더 좋은 법률을 만들어야 한다”고 이야기했다.
그리고 프렌츠는 보안 개선을 위해 기술뿐 아니라 사람이 중요하다고 강조했다. “보안 문화를 확립하는 것은 아주 중요하다. 직원들에게 보안이 IT나 보안 업무 전담 직원뿐 아니라 모든 직원들의 책임이라는 점을 이해시켜야 한다”고 그는 말했다. 다음은 프렌츠가 당부한 말이다.
“이를 통해 통제 이면의 논리에 대해 직원들의 이해도가 더욱 높아져서, 사람의 실수와 소셜 엔지니어링 공격을 최소화할 수 있을 뿐 아니라 다른 통제 이니셔티브를 더욱 직원들에 맞춰 만들 수 있게 될 것이다.”
dl-ciokorea@foundryco.com
