의사협회 의료정책연구소가 실제 원격의료 서비스에 이용되는 의료기기에 대한 모의 해킹을 실시하는 등 다양한 경로의 개인정보 유출 가능성을 확인했다.

또 연구소는 최근 벌어진 약학정보원의 정보유출 사례를 원격의료의 위험분석 시뮬레이션에 대입, 보안사고 발생시 최대 3000억원에 달하는 피해가 발생한다고 위험성을 경고하고 나섰다.

2일 의협 의료정책연구소는 '원격의료체계 기술적 안전성 평가' 보고서를 발간하고 원격의료 서비스에서 취급하는 정보의 유출 가능성과 변조, 손실, 오류에 따른 피해 규모를 도출했다.

이번 연구는 크게 ▲원격의료 안전성을 평가할 수 있는 평가기준 개발 ▲시나리오 기반의 위험분석 시뮬레이션을 통한 피해 규모 도출로 나뉜다.

평가기준은 국내외 원격의료 관련 모든 기준을 수용해 정보보호 정책, 접근통제, 암호화, 물리적·운영·인적보안, 정보보호 사고관리 등 일반 의료분야 13개 분류, 원격의료분야 3개 분류 등 총 195개 평가항목으로 구성됐다.

연구소는 "기존에 확인했던 원격의료 시범사업의 현장 확인 결과를 평가기준에 적용하자 모든 항목에서 보안 요구사항이 충족되지 않았다"며 "특히 원격의료 진료실에 대한 보호조치 부재, 비 인가자의 원격의료 시스템 접근 가능, 문제 발생시 대응절차 미흡 등의 문제점이 확인됐다"고 지적했다.

2014년 말 의협 연구원 2명과 고대 정보보호대학원 연구원 4명이 A 보건소에서 실시한 현장 확인에서는 다양한 보안 미비 사항이 발견됐다.

홈페이지가 암호화 돼 있지 않은 것은 물론 의료인의 원격진료 홈페이지 비밀번호가 동일 숫자 4자리에 불과해 보안에 취약했다.

또 원격의료 업무와 무관한 메신저, P2P 등 외부 파일 전송 프로그램이 설치돼 있어 의료정보의 외부 유출 가능성이 높게 점쳐졌다.

연구소는 "의료인이 원격진료를 위해 접속하는 원격의료 서비스 홈페이지 로그인 비밀번호가 동일 숫자인 1111로 설정돼 있었다"며 "심지어 로그인 아이디와 비밀번호, 개인정보도 암호화 없이 평문으로 전송되고 있다"고 지적했다.

실제로 연구소가 블루투스 혈압 측정계(UA767-PBT)를 대상으로 한 모의 해킹에서도 우려할 만한 보안 취약점이 발견됐다.

연구소는 "측정계가 전송한 네트워크 패킷 정보를 특정 도구를 통해 저장(탈취)해 세부적인 분석을 했다"며 "암호화 되지 않은 로그인 아이디와 비밀번호, 개인정보 모두 탈취가 가능했다"고 지적했다.

연구소는 "혈압 측정 결과의 혈압과 맥박도 평문으로 전송돼 정보의 탈취가 가능하다"며 "파라미터 변조를 통한 타인의 비밀번호 변경뿐 아니라 타인의 혈압 측정 결과의 변경까지 가능했다"고 강조했다.

개인정보 유출 가상 시나리오, 약학정보원 사례 대입하니

흥미로운 점은 연구소가 개인정보 유출 가상 시나리오에 약학정보원의 사례를 대입해 피해 규모를 추산했다는 점.

연구소는 내부 임직원이나 사이버 범죄가가 진단서 및 임상 결과를 유출하는 경우, 내부 임직원 혹은 사이버 범죄자가 주민번호 및 건강정보를 유출하는 경우 각 시나리오 별 피해 규모를 산출했다.

연구소는 "최근 약학정보원에서 7억여 건의 처방전 정보가 무단 유출됐다"며 "PM2000이라는 프로그램을 통해 환자나 의사 동의없이 개인정보, 의료정보 등이 무단으로 수집, 이용, 보관됐다"고 지적했다.

연구소는 "지금까지 개인정보 유출 사례를 보면 거의 100% 소송이 이뤄지고 있다"며 "개인정보보호 협회서 발간한 개인정보의 가치와 개인정보 침해에 따른 사회적 비용 분석 자료를 근거로 주요 피해 비용을 산출했다"고 밝혔다.

이에 따르면 한국의 기업 손실 비용은 의료정보 1건당 73.85 달러, 대응 인건비는 46.58 달러 선.

연구소는 기업 손실 비용에 서비스를 이용하는 인원(200만명)을 곱해 주요 피해 금액을 산출하고, 덧붙여 민사소송 참여자의 수(서비스 이용자의 약 1%)와 청구금액(250만원)을 곱해 추가 피해 금액을 추산했다. 여기서는 해킹 등 위험 요소의 접근 빈도와 해커의 숙련도, 보안 기술력 등이 변수로 작용했다.

연구소는 "모든 시나리오를 검토해보면 1건의 보안사고시 의료정보의 피해규모는 900억원에서 3000억원 정도에 달한다"며 "개인정보의 피해규모는 600억원에서 2500억원에 달한다"고 강조했다.

연구소는 "원격의료는 국민의 생명을 담보로 하기 때문에 보안 문제가 서비스 이해 당사자간의 문제로만 국한되는 것이 아니다"며 "정부가 이해관계자간 의견 교류 및 협업을 위한 생태계를 조성하고 의료 서비스의 기술적 안전성에 대해 검증하는 인증체계를 수립하라"고 촉구했다.