환자 진료기록 7억건 유출, 의료기관 DB관리 헛점

최근 5년간 전국 병원 수천곳에서 환자의 개인정보와 진료기록 약 7억건이 암호화 되지 않은 상태로 관리되다가 다국적기업에 대량으로 유출되는 사건이 벌어졌습니다. 의사들의 컴퓨터에 설치된 요양급여 청구 프로그램을 통해 빼돌려진 정보에는 환자의 이름과 주민등록번호, 연락처와 각종 민감한 진료기록들이 전부 포함되어 있어 충격을 주고 있습니다. 이러한 정보들은 법률상으로도 민감한 개인정보로 취급되는 중요정보이지만, 제대로 암호화되지 않고 관리되어 유출되었다는 사실은 큰 충격이 아닐수 없습니다. 

관련 기사는 아래의 링크를 참조하시기 바랍니다.

[출처 : SBS 8시 뉴스] 원본 기사 : http://news.sbs.co.kr/news/endPage.do?news_id=N1002787244&plink=ORI&cooper=NAVER

개인정보범죄 정부합동수사단은 의사들의 컴퓨터에 '건강보험심사평가원 요양급여 사전심사 시스템' 프로그램을 설치해주고 각 병원이 관리한 환자 진료기록 등의 민감한 개인정보 및 진료기록 7억건을 빼돌린 혐의로 김모씨를 구속하였습니다. 

범행 수법으로는 프로그램에 몰래 모듈까지 설치함으로써 의사들이 기록하는 모든 정보를 서버로 전송시키는 방법으로 진행되었으며, 가장 충격적인 것은 대부분의 의료용 소프트웨어 업체들은 통상적으로 민감한 정보를 암호화해 취급하고 보관하는게 일반적이지만 이번 케이스같은 경우에는 서버에 환자들의 민감한 정보를 저장하면서 암호화 조치도 취하지 않는 것으로 밝혀져 더욱 충격을 주고 있습니다.

※ 참고 : 정보통신망법 시행령 개정안 http://itblog.imarketkorea.com/72

특히, 현재 많은 의료기관들이 사용 중인 전자차트 프로그램의 암호화가 제대로 이루어지지 않아 생긴 문제로, DB 암호화는 선택이 아니고 필수라는 인식과 안전하게 암/복호화 관리가 가능한 DB암호화 솔루션에 대한 도입이 반드시 필요합니다.

만약, 고객의 데이터가 안전하게 암호화되고 암/복호화 키 관리가 잘되어 있었다면, 고객의 DB가 유출되었어도 절대 열람할 수 없는 데이터가 되어 폐기처분할 수 밖에 없었을 것입니다. 위의 사례도 이전에 카드3사 개인정보 유출사고와 같이 외부자의 데이터베이스 유출사고라는 점에서 비슷하다고 볼 수 있습니다. 데이터 접근제어에 대한 보안불감증이 1차 원인이고, 최종적으로는 고객 데이터베이스를 안전하게 암호화하지 않은 부분에서 2차 책임이 있다고 볼 수 있습니다.

개인정보보호법과 정보통신망법 개정으로 주민등록번호를 포함한 각종 진료기록, 개인인적사항은 전부 암호화 대상입니다. 대형 병원에서는 주로 이러한 데이터를 전산화하여 서버에 관리하고 있습니다. 하지만 대부분 비용과 서버의 성능저하를 우려하여 DB암호화를 하는 것을 꺼리고 있습니다. 서버의 부담을 줄이면서 안전하게 DB를 암호화하고 키 관리 및 접근제어 까지 가능하게 하는 방법은 HSM을 사용하여 암/복호화하고 키 관리를 하는 것입니다.

세계적인 보안 솔루션 기업인 Thales HSM은 신뢰를 최우선으로 하는 오랜 국방 사업 경험을 바탕으로 군, 정부, 의료기관, 일반 기업의 정보 시스템 보안시장을 위한 최고의 기술을 자랑하고 있습니다. 특히 21개의 Nato 회원국과 20개의 글로벌 대형은행 중 19개의 은행에 도입되어 있고, 전세계 금융기관 3,000개 기관에 Thales의 보안 솔루션이 도입되었습니다.

수치로 보자면, PHSM은 전세계 70% 이상의 점유율을 보이고 있고, GPHSM은 전세계 40% 이상의 시장점유율을 가져가고 있습니다.

Thales의 GPHSM 제품군인 nShield Connect는 현존하는 가장 빠른 HSM으로 가장 많이 사용되는 상용 암호화 알고리즘인 RSA기준으로 빠른 속도를 보장합니다.

특히, RSA 4,096bit에서는 경쟁사의 제품보다 최고 12배의 암호화 처리속도를 자랑합니다.

RSA 1,024 bit	RSA 2,048 bit	RSA 4,096 bit
경쟁사의 제품보다 1.4배 빠른 속도	경쟁사의 제품보다 2.4배 빠른 속도	경쟁사의 제품보다 12배 빠른 속도

[Thales nShield Connect]

Thales는 Microsoft Partner Gold와 Oracle Certifed Partner입니다.

A. 기능

1. 온보드에서 안전하게 키와 애플리케이션의 저장 및 처리 기능

2. 암호학적 오프로딩 / 가속화

3. 인증된 멀티 레벨 접근 제어

4. 엄격한 직무 분리 (관리자와 사용자)

5. nToken 옵션은 뛰어난 클라이언트 인증 기능 제공

6. 안전한 키 랩팅, 백업, 복사 및 복구 기능

7. 무제한의 보호된 키 저장소

8. 클러스터링, 부하조절, "k of n"의 멀티팩터 인증

9. 애플리케이션 키들의 무제한의 논리적/암호학적 분리

B. 지원되는 운영체계

1. 물리적 환경 : Windows, Linux, Solaris, IBM ATX, HP-UX

2. 가상환경 : VMware, Hypher-V, AIX LPARs를 포함하는 다양한 CM 소프트웨어 벤더 지원

C. 지원하는 암호알고리즘

1. 비대칭 공개키 알고리즘 : RSA (1024, 2048, 4096)

    -> Diffie-Hellman, DSA, El-Gamal, KCDSA, ECDSA, ECDH

2. 대칭키 알고리즘

    -> AES, ARIA, Camellia, CAST, DES, RIPEMD160 HMAC, SEED, Triple DES

3. Hash/message digest : SHA-1, SHA-2 (224, 256, 384, 512bits)

4. Brainpool 및 사용자 정의 커브를 포함하여 ECC를 완벽히 지원하는 완전한 Suite B 구현

D. 고 가용성

1. 모든 저장소에 Solid State 방식의 메모리 적용

2. 핫-스와핑 방식의 이중 전원

3. 필드 서비스가 가능한 구성품 (전원 및 냉각 팬)

4. 47,000시간 MTVF(Mil-Std 217F notice 2 part count Method)

정보통신망법, 의료기관, 의료기관 DB유출, 개인정보 유출사고, 개인정보 유출, 데이터베이스, DB보안, 개인정보보호법, HSM, Thales HSM, 병원 개인정보 유출, 병원 개인정보, 진료정보, 진료차트, 대칭키 알고리즘, 비대칭키 알고리즘, DB암호화, DB 복호화, DB암호화 솔루션, 유출사고, 카드 3사 개인정보유출사고, 병원 개인정보. 환자 진료기록, 탈레스, Thales HSM, nShield Connect