I.

보건의료기관의 정보보호관리 지침 개발

본 연구는 보건복지부 휴대형 진단치료기기 개발센터 (0405-ER01-0304-0001) 지원으로 수행되었음

Guidelines on Information Security Management in Healthcare Area

Hey-Jeong Jeong*, Nam-Hyun Kim*

* Graduate School of Information, Yonsei University, Seoul 120-749, xeno@yonsei.ac.kr

Abstract: Information technology innovation and common interest in well-being life have expedited the progress of medical informatics. On the other hand, the concerns about information leakage has grown serious as well. The medical information is the most sensitive information and must be protected extremely strong, however, it is of a public character to promote welfare and common weal partly. This study's goal is the information security management model development in healthcare domain, which is suitable to the domestic environment. The model consists of 10 processes, 25 implementation specifications, and 111 practical guidelines.

Keyword: personal health information, security, guideline

배 경

보건의료기본법에 의하면 보건의료정보란 ‘국민의 건강을 보호·증진하기 위하여 국가·지방자치단체·보건의료기관 또는 보건의료인 등이 행하는 모든 활동과 관련한 지식 또는 부호·숫자·문자·음성·음향 및 영상 등으로 표현된 모든 종류의 자료[1]로 일반 개인정보와 차별화하여 정보 수집을 제한하고 있는 민감한 정보다. 보건의료정보가 당해 의료기관 내에서 수집·이용되는 것에 그치지 않고 언제 어디서나 수집되어 기관 간, 국가 간에 전자적으로 교환 및 활용되는 환경에서 개인의 자기 정보 통제는 점점 더 어려워지고 있다.

이러한 문제점을 최대한 극복하기 위하여 선진국에서는 개인 보건의료정보를 보호하기 위한 제도적·기술적 노력을 아끼지 않고 있다. 반면, 우리나라는 선진국 수준의 보건의료정보 시스템을 구축하고 있음에도 불구하고 개인 보건의료정보 보호관련 장치는 미미한 수준이다. 특히, 보건의료정보  보호관리 체계의 부재는 보건의료기관의 정보보호 정책수립에 혼란을 일으키고 시간과 비용 등의 문제를 야기할 뿐만 아니라 개인의 정보보호 유출에 대한 우려를 유발함으로써 시스템 활성화의 핵심 장애 요소로 작용할 위험이 있다.

이에 본 연구에서는 신뢰할 수 있는 보건의료정보시스템의 구축과 운영을 통해 국민 복지를 향상시키고 도래하는 유비쿼터스 헬스케어 환경에서 국가적인 경쟁력을 높일 수 있는 보건의료정보 보호관리 모델을 제시하고자 한다. 이를 위하여 국내 보건의료정보 보호관리 현황을 분석하여 문제점과 요구사항을 도출하고 다양한 선행연구 고찰을 통해 국내 환경에 적합한 보건의료정보 보호관리 지침을 개발하였다.

II. 방 법

본 연구의 범위와 방법을 정리하면 다음과 같다. 첫째, 선행 연구를 통해 국내 보건의료 정보화 현황과 정보보호관리 현황을 분석하여 문제점과 요구사항을 도출하였다. 둘째, 국내외 정보보호관리 및 정보보호관리 프로세스 관련 문서를 고찰하여 국내 환경에 적합한 프로세스와 지침을 개발하였다.

1.  보건의료정보 보호관리 현황

2005년 6월의 보도에 의하면 전자의무기록시스템을 도입한 국내 10개 대형병원을 조사한 결과 10개 병원 모두 모든 환자의 의루기록이 주치의 외 다른 진료과 의사, 간호사, 심지어 행정 직원들까지도 언제든 쉽게 접근이 가능하고 수정까지 가능한 것으로 밝혀졌다.[2] 김옥남(2003)이 5개 대형 의료기관을 대상으로 내부 의무기록 접근권한 현황을 조사한 결과에 따르면 의과대학 학생, 인턴 등을 제외한 대부분의 보건의료종사자가 모든 의무기록에 자유롭게 접근할 수 있으며 의과대학 학생에게 조차 접근이 개방된 병원도 있었다. 정보 접근 가능기간에 대해서도 대부분 제한이 없었으며 접근방법으로는 가장 낮은 수준의 인증 방법인 ID와 Password 인증이 일반적이었다.[3] 이처럼 현재 국내에는 보건의료기관에서 생성되는 정보를 다룸에 있어서 통일된 지침없이 개별 기관마다 상이한 내부지침에 의존하고 있다.

기관 간 진료정보 공동활용은 삼성의료원, 대구동산의료원, 서울아산병원 등 몇몇 대형 종합병원 중심으로 각각 하위 기관과 일부 진료정보를 교환하거나 서울대병원과 서울대분당병원처럼 상호 대등한 관계로 정보를 연계하는 형태로 이뤄지고 있다. 그러나 기관 간 자유로운 정보 공유가 제도적으로 보장되어 있지 않은데다 시스템 개발에 대한 통일된 지침과 모범사례마저 없어 보건의료정보를 보호하기 위한 절차나 대책은 우선순위에서 밀려나고 있는 것이 사실이다. 선진국에서 보건의료기관의 시스템에 대해 사전 프라이버시 영향평가를 실시하는 것과는 대조적이다.

2.  보건의료정보 보호관리 체계 고찰

보건의료정보 보호표준을 고찰하여 국내 보건의료정보환경에 적합한 모델 개발의 근거를 제시하였다.

가. HIPAA 보안 규정 (HIPAA Security Rule)

HIPAA 보안 규정은 미국의 의료보험과 관련하여 보건의료정보의 교환과 책임에 관해 규정하고 있는 HIPAA(Health Insurance Portability and Accountability Act, 1996)의 Title Ⅱ F항 행정 간소화(Adminitrative Simplification)에서 정하고 있는 강제 규정으로 2003년 4월 선포되었다.[6,7]. HIPAA 보안 규정은 전자 형태의 보건의료정보의 기밀성, 무결성, 유효성을 보호하기 위한 규정으로 의료보험기관, 건강관리 제공자, 보건의료정보 취급 조직이 그 적용 대상이며 이 규정을 위반할 경우 최대  $250,000의 벌금과 10년 이하의 징역을 선고할 수 있다. HIPAA 보안 규정은 총 3개의 보안 조항(Security Safeguard)과 18개의 표준항목(Standard), 20개의 필수 이행 명세(Required Implementation Specification), 그리고 22개의 권고 이행 명세 (Addressable Implementation Specification)로 구성되어 있다.[8]

HIPAA 보안 규정은 보건의료정보의 보호관리에 관하여 대표성을 띄는 표준이지만 정보 보안 요구사항에 부합하는 표준 프로세스와 상세한 지침을 제공하고 있지 않고 권고 조항에 관한 명확한 기준이 없어 실무에 적용 시 어려움이 많다.

나. HL7 EHR SIG의 EHR 기능 명세

HL7(Health Level 7)은 다양한 보건의료정보시스템 간 정보의 교환을 위해 미국 국립표준연구소(ANSI: American National Standard Institute)가 인증한 표준으로 미국뿐 아니라 전 세계적으로 가장 널리 쓰이고 있는 보건의료정보의 표준이자 표준을 제정하는 조직을 의미한다. HL7 EHR SIG는 2003년 4월 HL7 이사회로부터 EHR 시스템의 기능적 모델 개발에 대한 승인을 얻어 의료 환경을 진료관리, 임상 의사결정 지원, 운영관리 및 의사소통, 임상 지원, 측정/분석/연구 및 보고, 원무, 정보 인프라의 7개 기능으로 분류하였다. 각 기능별로 하위 기능을 2단계로 상세 분류하고 각 기능에 대해 명세(Statement), 서술(Description), 근거(Rationale)를 정의하였다. 정보보호관리 부분은 정보 인프라(Information Infrastructure-I.1)를 구성하는 8가지 기능 가운데 EHR 정보 보안(I.1.1.0), EHR 정보 관리(I.1.2.0)에서 다루고 있다.[9]

그러나 HL7 EHR SIG 기능 명세는 EHR 정보 인프라에 초점을 두어 조직 전체의 정보보호관리를 다루고 있지 못하며 보안 기능과 정보관리 기능에 중복이 있어 관리지표로는 적합하지 않다.

다. ISO/TC 215 (ISO 22857) Health informatics - Guidelines on data protection to facilitate trans-border flows of personal health information

ISO/TC 215의 개인건강정보의 국가 간 통신을 위한 정보보호 가이드라인에서는 정보처리 보안의 13가지 원칙으로 위험도분석, 전송중 암호화, 무결성의 증거와 출처의 인증, 접근통제와 사용자 인증, 물리적/환경적 보안, 응용관리, 네트워크관리, 바이러스통제, 보안위반 보고, 사업지속계획, 감사추적, 요주의 정보의 관리 등을 설명하고 있다.[10]

그러나 각 원칙들에 대한 간략한 서술만 있어 이행지침으로는 부족하다.

3.  보건의료정보 보호관리 방법론

정보보호관리 방법론으로 위험에 따른 통제 관점의 접근이 대부분이었으나 이는 지속적인 개선을 위한 활동이 도출되지 못하는 한계가 있어 정보보호 프로세스의 관점에서 성숙도의 개념을 도입한 새로운 정보보호관리 방법론이 등장하고 있다.[11]

IDEAL 모델, SDLC 방법론, BS7799, GMITS 정보보호 관리 프로세스를 참고하고 보건의료 환경을 고려하여 준비 및 계획, 분석 및 설계, 구현, 그리고 평가 및 유지의 4단계의 프로세스와 정보보호 필요성 인식부터 유지관리에 이르는 10단계의 세부 프로세스를 제시하였다. 상위 프로세스는 하위 프로세스를 가지며 각 단계의 산출물은 다음 단계에 연계되어 해당 프로세스의 자원으로 사용된다.

III. 결 과

선행연구의 한계점을 보완하고 보건의료정보 보호관리 프로세스의 이행과 평가에 지침이 되는 프로세스별 세부 지표를 개발하였다. 국내 보건의료기관의 정보화 및 정보보호 관리 현황에 대한 이해를 바탕으로 BS7799, HIPAA 보안 규정, 그리고 HL7 EHR SIG의 EHR 기능 명세 등을 참고하여 국내 보건의료 환경에 적합한 정보보호관리 모델을 다음과 같이 제안하였다. 본 연구에서 제안하는 보건의료정보 보호관리체계는 10개의 프로세스, 25개의 이행 항목, 그리고 111개의 이행 지침으로 구성되어 있다. Talbel 1은 이행 지침을 제외한 체계를 나타낸 것이다.

Table  보건의료정보 보호관리 체계

정보보호 대책		이행 항목
1.0 준비/계획	1.1 정보보호 필요성 인식	1.1.1 정보보호 의지
		1.1.2 정보보호 투자
	1.2 정보보호 목적/전략분석	1.2.1 정보보호 목적 수립
		1.2.2 정보보호 전략 수립
2.0 현황분석/ 설계	2.1 위험분석 /평가	2.1.1 조직 환경분석
		2.1.2 자산분석
		2.1.3 위험분석
		2.1.4 위험평가
	2.2 정보보호 관리 정책 수립	2.2.1 정보보호정책
		2.2.2 정보보호관리 담당자 지정
	2.3 정보보호 관리 프레임워크 설계	2.3.1 프레임워크 설계
		2.3.2 대상 솔루션 선정
		2.3.3 마스터플랜 수립
3.0 구현	3.1 관리적 보안	3.1.1 인적보안
		3.1.2 정보접근관리
		3.1.3 정보보호훈련/교육
		3.1.4 업무연속성 계획
	3.2 물리적보안	3.2.1 매체보안
		3.2.2 설비보안
	3.3 기술적보안	3.3.1 접근통제
		3.3.2 감사통제
		3.3.3 네트워크보안
		3.3.4 암호화
4.0 평가/유지	4.1 평가	4.1.1 준수 검토
	4.2 유지 관리	4.2.1 보안 사고대응

지면의 제한으로 111개의 이행지침 중 3.1 관리적 보안의 3.1.1 인적보안의 지침만 Table 2에 나타내었다.

Table  이행지침 예

3.1.1 인적 보안	3.1.1.1 모든 업무 기능에 대한 역할과 책임 정의 3.1.1.2 모든 역할에 대한 적절한 보안관리 및 정보 접근 수준을 지정 3.1.1.3 고용 시 보안 지식과 기술을 가지고 있는지 확인하고 보건의료정보 보호관리에 관한 서약을 받음(특히 주의의 요하는 정보의 접근과 사용에 관한) 3.1.1.4 보건의료정보를 처리하거나 접근 가능한 위치에 있는 조직 구성원에 대한 인증 및 감시 절차 수행(보건의료정보의 입력/수정/조회/저장/삭제/출력에 대한 목적, 수행자, 기간, 환경 확인) 3.1.1.5 업무 종료에 관한 절차 수립( 접근 통제 장치(ID뱃지, 열쇄, 출입카드 등 반납과 컴퓨터 계정 접근 해제(ID와 Password 정지)

본 모델의 보호관리 대상은 보건의료기관이 생산, 처리, 관리하는 개인에 관한 모든 정보이며 이를 보건의료정보로 정의한다. 적용 대상은 보건의료정보를 취급하는 모든 보건의료기관으로서 보건의료서비스 제공기관, 보험기관, 위탁기관, 연구기관, 보건의료정보 관련 사업자, 공공기관 등이 포함된다. 적용 환경으로는 전산시스템의 부분적 활용 단계부터 모바일 기기, 칩, 무선 네트워크 시스템이 구축된 유비쿼터스 헬스케어 단계까지 모든 정보화 환경에 적용 가능하다.

IV. 결 론

본 연구에서는 보건의료 부문의 정보화 및 정보보호 현황을 파악하고 보건의료 부문의 특성을 분석하여 정보화의 편익과 함께 공존하는 역기능을 효과적으로 관리하기 위한 대책으로 보건의료 환경에 적합한 정보보호관리 지침을 제시하였다. 본 모델의 접근 방법은 보건의료정보시스템의 민감성, 집중성, 신속성, 연계성, 유연성, 확장성을 반영하여 조직이 요구하는 정보보호관리 행위를 효과적으로 정의·관리하며 지속적인 수준향상을 지원하는 프로세스 중심 설계를 채택하였으며, 통제항목 정리에 있어 높은 수준의 평가 기준을 제시하는 BS7799를 기반으로 보건의료정보의 관리에 대한 미국의 법령인 HIPAA 보안 규정과 보건의료정보의 전송 표준 규약인 HL7이 제시하는 EHR 기능 명세 중 정보보안과 관리 표준 등을 참고하였다. 보건의료 종사자의 행위적 특성을 고려하여 통제항목을 최소화하는 대신 컴퓨터 활용능력이 낮은 보건의료 종사자도 순서에 따라 쉽게 적용할 수 있도록 프로세스별 상세한 실행지침을 개발하였다.

국가 핵심 사업의 하나인 보건의료 부문 정보화 촉진 사업은 보건의료기관의 정보화를 지원하는 다양한 정책을 수행함으로써 보건의료 정보화 수준을 향상시키고 있다. 그러나 각 기관 간 상이한 정보화 구축 목표, 이해 당사자 간 합의 부족, 보안에 대한 국민적 우려, 표준 부재, 법제도 미비 등의 문제로 이미 구축된 정보시스템의 활용도가 기대에 미치지 못하는 실정이다. 선행연구 결과 정보제공자와 취급자를 비롯한 보건의료정보시스템에 관련된 모든 사람들이 보건의료정보화에 있어 개인정보 유출과 보안 문제를 가장 큰 과제로 인식하고 있음을 알 수 있었다. 그럼에도 불구하고 요주의 정보인 보건의료정보를 보호하기 위한 노력은 극히 미미한 수준이다. 보건의료정보는 개인의 가장 민감한 정보로 최상의 보호가 이뤄져야하는 한편 국민 건강과 복지 향상을 위한 공익의 성격도 강하여 관리와 책임에 대한 명확한 지침이 더욱 필요하다. 보건의료기관의 정보보호관리 모델은 정보보호시스템 구축에 적정 투자 수준을 산정하고, 효율적인 관리 계획을 위한 통제 도구를 제공한다. 이러한 작업은 정보의 생성단계부터 반영되어야 하므로 정보시스템의 설계·구축 시부터 보건의료정보 보호관리 계획이 포함돼야 한다.

참고문헌

1. 보건복지부, 보건의료기본법, 2000

2. 홍혜걸, 대형병원 전자의무기록 접근 쉬워, 중앙일보, 2005. 6. 23

3. 김옥남, 진료정보의 등록 및 조사사업에서의 효율적인 자료 수집과 개인정보 보호 방안, 대한의무기록협회 추계학술대회 논문집, 2003:32-35

4. 정혜정, 이경환, 김남현, 보건의료정보의 이용과 보호에 관한 법적 쟁점 고찰: HIPAA의 이해를 바탕으로, 한국정보보호학회 동계학술대회 논문집, 14(2),  2004:462-466

5. 정혜정, 김남현, U-Healthcare 서비스 이용의도에 영향을 미치는 요인 연구, 대한의료정보학회지, 11(1), 2005:46-47

6. Candace Gray, Understanding and Complying with HIPAA, Journal of PeriAnesthesia Nursing, 18(3): 2003:182-185.

7. U.S. HHS, Protecting Personal Health Information in Research: Understanding the HIPAA Privacy Rule, NIH Publication, No.03-5388, 2003

8. U.S. HHS, Summary of the HIPAA Security Rule, Office for Civil Rights, 2003

9. HL7 EHR SIG, HL7 EHR SIG Functional Descriptors, HL7, 2003

10. ISO/TC 215, (ISO 22857) Health informatics - Guidelines on data protection to facilitate trans-border flows of personal health information, 2003

11. M. M. Eloff and S. H. von Solms, Information Security Management: An Approach to Combine Process Certification and Product Evaluation, Computer and Security, 19, 2000:698-709

12. BSI, BS7799, BSI, 1999

13. Margret Amatayakul, Steven S. Lazarus, Tom Walsh, “HIPAA Compliance: Have you completed a risk analysis?”, Healthcare Financial Management, 57(5), 2003:96

14. NIST, Security Self Assessment Guide for Information Technology Systems, NIST Special Publication, 2001:800-26

15. Pam Michael and Ellen Pritchett, The impact of HIPAA electronic transmissions and health information privacy standards, Journal of the American Dietetic Association, 101(5), 2001:524-528

16. SSE-CMM Project Team, Systems Security Engineering Capability Maturity Model, SSE-CMM, 1999

17. T.William Olle, et al., Information Systems Methodologies (A Framework for Understanding), Addison-Wesley Publishing Company, 1991