상급종합병원 제로트러스트 전환, 예산·인력·현장 지침이 걸림돌
환자 생명과 연결된 의료정보를 지키기 위한 차세대 보안 체계가 필요해졌지만, 국내 상급종합병원의 제로트러스트 전환은 예산과 인력, 현장에 맞는 지침 부족이라는 현실적인 벽에 부딪힌 것으로 나타났다.
병원정보보안협회가 국내 주요 상급종합병원 22곳을 대상으로 파악한 결과, 제로트러스트 도입을 가로막는 주요 요인으로 예산과 보안 전문인력 부족, 의료기관 특성을 반영한 가이드라인의 부재가 지목됐다. 제로트러스트는 이름 그대로 접속자나 시스템을 처음부터 믿는다고 전제하지 않는 차세대 보안 체계를 뜻한다.
보건복지부가 지정한 제5기 상급종합병원은 2024년부터 2026년까지 모두 47곳이다. 이번 조사 대상인 22곳은 전체의 46.8%에 해당한다. 상급종합병원은 환자 진료와 함께 방대한 의료정보를 다루기 때문에 랜섬웨어와 데이터 유출에 대응할 보안 체계가 중요한 기관이다.
기술만 도입한다고 문제가 해결되는 것도 아니다. 조사에서는 보안 책임자가 다른 업무를 함께 맡으면서 생기는 거버넌스 공백도 개선 과제로 꼽혔다. 거버넌스는 보안과 관련해 누가 결정하고 책임질지를 정하는 운영 구조를 말한다. 책임과 권한이 분명하지 않으면 새로운 보안 체계의 도입과 유지가 어려워질 수 있다.
기존 의료정보시스템이 온프레미스에 크게 의존한다는 점도 과제로 제시됐다. 온프레미스는 외부 클라우드가 아니라 병원 내부에 서버와 장비를 두고 직접 운영하는 방식이다. 오랫동안 사용한 내부 시스템을 유지하면서 새로운 보안 원칙을 적용해야 하므로 예산과 전문인력 문제가 함께 얽힌다.
현행 정보통신망법에 따라 전년도 매출액 또는 세입이 1,500억원 이상인 상급종합병원은 정보보호 관리체계인 ISMS 인증 의무대상이다. ISMS는 조직이 정보보호를 일회성 점검이 아니라 관리 절차와 체계로 운영하는지를 인증하는 제도다. 다만 인증 의무와 실제 제로트러스트 전환에 필요한 구체적인 실행 여건은 구분해서 살펴볼 필요가 있다.
과학기술정보통신부와 한국인터넷진흥원은 2023년 제로트러스트 가이드라인 1.0을 발표한 데 이어 2024년 12월 도입 절차와 조직별 역할, 점검표를 보강한 2.0을 내놨다. 2.0에서는 기관의 도입 수준을 구분하는 성숙도 체계를 기존 3단계에서 4단계로 세분화했다.
국가정보원도 2025년 4월 병원정보시스템 보안 가이드라인을 발간했다. 다만 확인된 공개자료는 병원정보시스템을 위한 일반 보안지침과 전 산업에 적용되는 제로트러스트 지침으로 나뉘어 있다. 병원들이 제기한 어려움은 이런 지침을 실제 의료 환경에 맞춰 적용하는 과정에 남은 간격을 보여준다.
한국인터넷진흥원은 2026년 민간 기업과 기관 10곳을 대상으로 현장 성숙도 분석과 보안모델 도출, 중장기 전환 로드맵 수립을 지원했다. 그러나 수요 기관에 직접 지급하는 비용은 없었다. 진단과 설계 지원이 이뤄져도 실제 시스템 전환에 필요한 예산은 각 기관이 별도로 마련해야 하는 구조다.
병원정보보안협회는 2026년 춘계세미나에서도 보안 인력 부족과 조직 사이의 역할 단절, 기술역량 편차를 의료기관의 현안으로 제시했다. 제로트러스트 도입이 특정 보안제품을 설치하는 문제에 그치지 않고 인력 배치와 책임 구조, 기존 시스템 운영 방식을 함께 다루는 과제라는 의미다.
해외 사례는 의료 공급망 보안의 파급 범위를 보여준다. 미국 보건복지부는 2024년 최대 의료정보 해킹·랜섬웨어 사고의 영향 인원을 약 1억9,200만명으로 집계했다. 하나의 장애가 의료 공급망을 따라 대규모 피해로 번질 수 있는 만큼, 국내 병원에서도 지침 마련과 함께 예산·인력·조직 체계를 연결한 중장기 전환이 과제로 남았다.
자료: 병원정보보안협회, 보건복지부, 과학기술정보통신부, 한국인터넷진흥원, 국가정보원, 국가법령정보센터, 미국 보건복지부