원격의료체계 기술적 안전성 '전무' 보완 증대해야
원격의료체계 기술적 안전성에 대한 연구 결과, 의료정보 유츌에 대한 안전성 조치가 필요하다는 의견을 제기했다.
대한의사협회 의료정책연구소는 28일 오후 1시 30분 '원격의료안전성 평가연구 보고회 및 기자 간담회'를 개최, 원격의료의 정보 안전성에 대한 연구결과를 공개했다.
연구 결과, 원격의료 서비스는 ‘비 암호화 통신’, ‘접근통제 미비’, ‘보안 프로그램 미비’ 등으로 인해 기술적 안전성 조치가 전무한 상태로 현재 상태의 서비스 수준으로 운영될 경우 ‘약학정보원 의료정보 유출’사례와 같은 보안 사고 발생을 우려했다.
이에 보건복지부 등 정부와 관련기관은 서비스 품질 향상과 병행하여 보안성 증대에 예산과 정책 자원을 투입해 사전 대비를해야 한다고 주장했다.
이 연구는 대한의사협회 의료정책연구소에서 원격의료사업의 기술적 안전성을 진단하기 위하여 발주한 ‘원격의료체계 기술적 안전성 평가’로서, 2014년 10월 29일부터 2015년 7월 31일까지 고려대학교 정보보호대학원에서 연구를 수행했다.
원격의료 서비스와 관련된 일부 기관(보건소, 마을회관)의 협조로 현장 확인을 진행한 결과, ‘비 암호화 통신’, ‘악성코드 감염 노출’, ‘비밀번호 설정 취약’, ‘파일 외부 전송 통제 불가’, ‘PC 보안 프로그램 미설치’, ‘저 품질의 영상’, ‘ID카드 도용으로 인한 오진 발생 가능’, ‘외부인의 시스템에 대한 접근차단 조치 부실’, ‘서비스 이용 교육 및 정보 제공 부재’, ‘이용자 개인정보 동의 및 관리절차 부재’ 등의 문제를 확인했다. 이번 연구는 국내·외 원격의료 관련 모든 기준을 수용하고 국내·외 법령 및 표준과 국외 선진보안관리체계를 일원화 하여 높은 수준의 원격의료체계 평가기준을 개발, 원격의료를 포함한 의료분야 전체를 평가할 수 있도록 평가기준을 ‘의료분야’ 13개 대분류와 ‘원격의료분야’ 3개의 대분류로 구분하여 총 195개의 평가항목을 개발했다.
개발한 평가기준을 적용해 현장 확인 내용을 바탕으로 개발한 195 개의 평가항목 중 44개의 항목만이 적용 가능했으며, 그 결과 적용된 모든 평가항목에서 제시하는 보안요구사항을 만족하지 못했다고 밝혔다. 조직, 운영, 자산, 정책 등과 관련된 평가항목은 정보 부적으로 평가가 불가능 했으나, 원격의료서비스에 이용되고 있는 의료기기(블루투스 혈압측정계)에 대한 모의 해킹을 수행하여 취약점을 점검한 결과, 어플리케이션 로그인 시 아이디, 비밀번호를 포함한 개인정보가 평문으로 전송되어 탈취 가능하며 혈압 측정결과 입력 및 확인 시 혈압, 맥박 등의 의료정보가 평문으로 전송되어 탈취 가능한 것으로 나타났다.
또, 파라미터 변조를 통한 타인의 혈압 측정결과 확인 및 변조가 가능하고 모바일 기기 내 개인정보의 평문저장으로 인한 개인정보 탈취가 가능한 것으로 나타나 기술적 안전성 조치가 전무하다고 지적했다.
최재경
2015.07.28