[메디게이트뉴스 조운 기자] 사이버 공격으로 병원 전산망이 마비되면 검사·처방·수술 등 진료 전반에 차질이 발생할 수 있지만, 종합병원급 이상 의료기관 10곳 중 4곳 이상은 사이버 위협을 상시 탐지하는 보안관제를 실시하지 않는 것으로 나타났다.

대다수 의료기관이 보안관제의 필요성을 인식하고도 구축 비용과 전문인력 부족으로 실제 대응체계를 갖추지 못한 만큼, 의료기관의 규모와 보안역량에 따른 재정·기술지원과 공동대응체계 강화가 필요하다는 지적이다.

한국보건사회연구원 재정통계연구실 이기호 부연구위원은 최근 발간한 ‘의료기관 사이버 보안 현황과 정책 과제’ 보고서에서 이 같은 조사 결과와 정책 과제를 제시했다.

보고서는 대한병원협회에 위탁해 2025년 7월 28일부터 8월 22일까지 전국 17개 시도의 상급종합병원과 종합병원을 대상으로 실시한 온라인 설문조사를 토대로 작성됐다. 조사 대상 377개 기관 중 상급종합병원 41곳과 종합병원 222곳 등 총 263곳이 응답했으며, 전체 응답률은 69.8%였다.
 
조사 결과 응답 기관의 57.0%(150곳)는 보안관제를 실시하고 있었지만, 43.0%(113곳)는 실시하지 않았다. 보안관제는 악성코드 감염과 비정상 접속, 랜섬웨어 공격 징후 등을 상시 모니터링하고 이상행위를 조기에 탐지하는 체계다.

의료기관 종별 격차도 확인됐다. 상급종합병원의 보안관제 실시율은 75.6%였지만 종합병원은 53.6%에 그쳐 22.0%포인트 차이가 났다. 보안관제를 실시하지 않는 비율은 각각 24.4%, 46.4%였다.

보고서는 의료기관의 전자의무기록(EMR), 의료영상저장전송시스템(PACS), 처방전달시스템(OCS) 등 핵심 기능이 정보시스템과 연결돼 있다는 점에 주목했다. 랜섬웨어나 악성코드로 시스템이 마비되면 진료 예약 취소, 검사 결과 확인 지연, 수술 일정 차질, 응급환자 이송 등으로 이어질 수 있다는 것이다.

보안관제의 필요성에 대한 인식은 높았다. 전체 응답 기관의 88.2%가 보안관제 도입이 필요하다고 답했지만 실제 실시율은 57.0%로, 인식과 실행 사이에 31.2%포인트의 격차가 있었다.

도입을 막는 가장 큰 요인은 비용이었다. 응답 기관의 66.5%가 ‘초기 구축 비용 부담’을 보안관제 도입 저해 요인 1순위로 꼽았다. 우선순위별 가중치를 반영한 분석에서는 초기 구축 비용 부담에 이어 내부 전문인력 부족, 내부 기술적 지식 부족, 경영진의 인식 부족 순으로 나타났다.
 
정보보안 업무 전반에서도 인력과 예산 부족이 주요 제약으로 확인됐다. 응답 기관의 69.6%는 ‘보안 인력 부족’을 가장 큰 애로사항으로 선택했다. 보고서는 전담 인력과 전문성이 부족하면 침해사고 대응과 취약점 점검, 교육훈련, 의료기기 보안점검 등을 지속적으로 수행하기 어렵다고 지적했다.

국내 의료기관의 진료정보 침해사고는 대형병원에 국한되지 않았다. 보고서가 인용한 국회 자료에 따르면 2020년부터 2025년 8월까지 발생한 진료정보 침해사고는 총 100건으로, 이 중 91건이 랜섬웨어 공격이었다. 의료기관 종별로는 의원 45건, 병원 34건, 종합병원 16건, 상급종합병원 5건이었다.

이 부연구위원은 모든 의료기관에 동일한 관리 기준을 적용하기보다 규모와 기능, 보안역량을 고려한 단계적 접근이 필요하다고 제안했다.

국가·지역 의료체계에서 중요한 역할을 수행하는 상급종합병원 등에는 보안관제와 정보보안 전담 인력, 침해사고 대응, 백업·복구 등 높은 수준의 보안관리 기준을 적용하고, 인력과 예산이 부족한 기관에는 공동보안관제와 기술·재정지원, 교육·컨설팅을 연계해야 한다는 설명이다.

의료정보보호센터를 중심으로 공동대응체계에 대한 참여를 확대할 필요성도 제시했다. 보고서에 따르면 2024년 말 기준 의료정보보호센터 가입률은 상급종합병원 60.0%, 종합병원 7.1%였다. 이는 전체 보안 수준을 직접 보여주는 지표는 아니지만, 종합병원의 공동보안관제·위협정보 공유·침해사고 대응 지원체계 참여가 제한적임을 보여준다는 분석이다.

이 부연구위원은 의료기관 평가·인증체계에 정보보호 관리체계, 보안관제, 침해사고 대응, 백업·복구, 의료기기 보안 등의 항목을 단계적으로 반영할 것을 제안했다. 병원·의원까지 실태조사 대상을 확대하고, 진료 중단과 환자 이송 등 침해사고에 따른 경제적 피해를 산정해 보안 투자와 정책 지원의 근거를 마련해야 한다고도 밝혔다.

보고서는 “의료기관 사이버 보안의 목표는 사이버 공격을 완전히 차단하는 것만이 아니라 사이버 공격이 발생하더라도 진료가 멈추지 않고 환자가 필요한 의료서비스를 계속 받을 수 있도록 하는 데 있음”이라고 강조했다.