[메디칼타임즈=이한수 기자] 국내외에서 해킹과 개인정보 유출 사고가 잇따르면서 사이버보안이 산업계 전반의 현안으로 떠오르고 있다. 국내 금융·통신·유통업계에서 개인정보 유출이 발생한 데다 해외에서도 기업 전산망 침해와 서비스 중단이 이어지면서 정보보호와 안정적인 사업 운영이 주요 과제로 부각되는 모습이다.

의료기기업계도 예외는 아니다. 글로벌 기업들의 내부 시스템 침해가 연이어 확인되는 가운데, 사고의 여파가 개인정보 유출을 넘어 제품 공급과 환자관리로 번지고 있다.

실제 제조사의 전산망 장애로 생산·출하가 중단되거나 환자 맞춤형 임플란트 배송이 지연돼 수술 일정이 조정된 사례까지 나타났다. 의료기기 자체의 안전성과 함께 제조사의 공급·서비스 유지 역량이 진료 연속성을 좌우하는 변수로 떠오른 셈이다.

27일 관련 기업 공지를 종합하면, 호흡기 치료 및 수면무호흡증 관련 의료기기를 공급하는 피셔앤드페이켈헬스케어는 지난 22일 직원 이메일 계정 2개와 일부 회사 파일에 대한 무단 접근 사실을 공개했다.

접근이 이뤄진 파일 일부에는 개인정보가 포함돼 회사가 대상자 통지에 착수했다. 다만 회사는 환자정보 관리시스템이 침해됐다는 증거는 발견되지 않았으며, 제품과 제조시설, 공급망에도 영향이 없다고 설명했다.

혈액투석 장비 등을 공급하는 프레제니우스메디칼케어도 지난달 22일 일부 내부 시스템에 대한 무단 접근을 조사하고 있다고 밝혔다. 회사는 의료기기와 환자 진료, 제조 및 사업 운영에는 영향이 없다는 입장을 내놨다.

하지만 올해 발생한 의료기기 기업의 보안 사고 중에는 실제 의료현장의 운영에 영향을 준 사례도 있다.

스트라이커는 지난 3월 11일 사이버 공격으로 내부 마이크로소프트 전산 환경에 장애가 발생하면서 주문 처리와 제조, 출하에 차질을 겪었다.

특히 같은 달 19일에는 환자 맞춤형 임플란트를 사용하는 일부 수술 일정이 배송 지연으로 조정됐다고 공개했다. 회사가 제품 자체의 안전에는 영향이 없다고 설명한 상황에서도 공급 차질이 환자 진료에 영향을 미친 것이다.

당시 영국 국민보건서비스 잉글랜드(NHS England)는 의료기관별 스트라이커 제품 재고와 의존도를 파악하기 위한 자료 제출을 요구했다. 일부 기존 주문은 처리할 수 없어 취소됐으며, 임상적 우선순위에 따른 주문·배분 체계가 가동됐다.

스트라이커는 이후 4월 1일 글로벌 제조시설의 가동이 정상화됐다고 밝혔다.

보스톤사이언티픽에서는 제품 공급과 함께 원격 환자관리 서비스가 영향을 받았다.

회사는 지난 8월 25일 확인한 보안 사고로 네트워크 장애가 발생해 제품 제조와 주문 처리, 출하에 차질이 생겼다고 밝혔다. 사고 당시에는 주문을 접수하더라도 실제 처리·출하를 진행하지 못하는 상황이 발생했다.

심장박동관리 기기의 신규 원격모니터링 등록도 제한됐다. 새로 이식한 일부 기기의 통신장치를 활성화하거나 환자 휴대전화와 연결하지 못하면서 원격 환자관리 시스템으로 데이터를 전송하는 데 차질이 생긴 것이다.

회사는 기존에 원격모니터링을 받고 있던 환자의 데이터 전송과 이식형 기기 자체의 작동에는 영향이 없다고 설명했다. 같은 회사의 제품이라도 기존 이용자와 신규 등록 환자에게 미친 영향이 달랐던 셈이다.

영국 NHS Supply Chain은 이 과정에서 내시경·비뇨기내시경·종양 소작술 관련 대체 제품 정보를 의료진에게 제공했다. 다만 이를 동일한 치료 효과를 보장하는 대체품으로 간주해서는 안 되며, 환자 상태와 장비 요건 등을 고려해 의료진이 최종 선택해야 한다고 명시했다.

보스톤사이언티픽은 9월 9일 제조와 주문 이행, 출하 기능을 복구했다고 발표했다. NHS Supply Chain도 같은 달 25일 제조·유통이 정상 운영으로 돌아왔다며 해당 사고에 대한 공급 차질 공지를 종료했다.

수술로봇 기업 인튜이티브 역시 올해 3월 표적 피싱 공격으로 일부 내부 업무용 애플리케이션의 정보가 무단 접근된 사실을 공개했다. 접근 대상에는 일부 고객의 업무·연락처 정보와 임직원·회사 자료가 포함됐다.

인튜이티브는 6월 조사 결과를 통해 다빈치와 이온, 디지털 제품 및 고객 지원 업무에는 영향이 없었다고 밝혔다. 내부 업무망과 제조시설, 제품을 지원하는 네트워크가 분리돼 있다는 설명이다.

이 같은 해외 사례는 국내 의료기관이 사용 중인 제품의 공급·관리 체계와도 연결되는 사안이다.

보스톤사이언티픽의 경우 국내에서 심방세동 치료용 '파라펄스 PFA 플랫폼'과 전립선비대증 치료용 '리줌 시스템' 등을 공급하고 있다. 파라펄스는 올해 5월 건강보험 급여가 적용됐으며, 리줌은 지난 3월 회사 발표 기준 국내 누적 시술 6000례를 기록했다.

다만 이들 보안 사고가 국내 의료기기 공급과 환자관리에 미친 영향은 미지수다.

국내에서도 식품의약품안전처가 지난해 4월 '디지털의료기기 전자적 침해행위 보안지침'을 제정해 접근권한과 인증, 침해사고 대응, 취약점 조치 등에 관한 기준을 마련했다. 보고된 취약점에 대해서는 패치·업데이트 등의 조치 방안을 마련하고, 조치 이후에도 지속적으로 모니터링하도록 규정하고 있다.