헬스케어 업계가 또 다른 문제인 사이버 공격에 대응할 수 있도록 지원하기

사업을 운영하는 사람이라면 ‘비행 중에 비행기 만들기’라는 문구를 잘 알 것입니다. 정신 없던 지난 19개월 동안 많은 사람이 이 문구처럼 하룻밤 사이에 새로운 현실의 조종사와 엔지니어가 되어야 했습니다.

하지만 헬스케어 업계만큼 극명한 경우는 드물었습니다. 헬스케어 업계는 비행 중에 비행기를 만드는 정도가 아니라 비행 패턴을 바꾸고 다른 공항을 사용하며 공중에서 새로운 직원을 교육했습니다. 다시 말해 원격 근무 인력을 지원하고, 가상 치료를 기하급수적으로 확대하고, 백신을 개발하는 방법을 알아냈는데, 이 모두가 목숨이 위험한 환자 수십만 명을 치료하기 위해 수많은 직원이 위험한 환경에서 초과 근무를 하는 가운데 이루어졌습니다. 

헬스케어 혁신의 놀라운 급성장을 축하하는 시간을 잠시 갖겠습니다. 이 업계는 해묵은 규제 장벽, 기술적 부채, 업계에 대한 회의론을 수많은 사람을 지속적으로 치료할 수 있는 디지털 경험으로 바꿔 놓았습니다.  

또 다른 놀라운 점은 헬스케어 기업들이 계속 증가하는 다양한 사이버 공격을 받는 가운데 이 모든 것을 이루었다는 것입니다. 팬데믹 와중에 헬스케어 업계는 또 다른 전선에 직면했고 여기서 또 다른 영웅들이 탄생했습니다. 

플로리다 주립대학 병원 직원들이 좋은 예입니다. 지난 6월, 플로리다 주립대학 병원(UF Health) 네트워크 일부에 사이버 보안 이벤트가 발생했을 때 직원들은 약국에 연락해 누락된 약물 정보를 입력해야 했습니다. 이들은 발빠르게 대처해 외부 의사들을 활용하는 새 치료 경로를 찾아냈습니다. 영향을 받은 병원 중 한곳의 CEO인 에드 히메네스(Ed Jimenez)는 위기 극복의 공을 직원들에게 돌렸습니다. "헌신적인 우리 직원들이야말로 진정한 영웅입니다. 사랑하는 사람과 보낼 시간을 포기하고 초과 근무도 마다하지 않으면서 정상 운영을 복구했으니까요."

시시각각 변하는 팬데믹을 악용하는 멀웨어 공격

미국 보건복지부(HHS) 보고서 및 IBM의 리서치에 따르면 팬데믹이 시작된 후 헬스케어 업계의 사이버 공격이 50% 증가했고, 이로 인한 비용은 인시던트당 평균 713만 달러에 달해 업계 중 가장 컸습니다. IBM 데이터에 따르면 빠른 복구가 필요한 병원 및 헬스케어 시스템을 노린 랜섬웨어 공격이 가장 흔한 위협이었고 그 다음은 데이터 유출과 서버 접속이었습니다. 특히 헬스케어 서비스 제공업체가 매력적인 표적인 이유는 전자 의료 기록(EHR)이 다크 웹에서 개당 1,000달러에 거래될 수 있기 때문입니다. 신용 카드 정보가 약 110달러, 사회 보장 번호가 개당 1달러인 것에 비교할 때 이는 엄청난 금액입니다. 

"팬데믹 전에도 병원 시스템은 이미 취약한 상태였습니다." 사이버 보안 및 인프라 보안 기관(CISA) 코로나19 태스크포스 팀장인 조시 코먼(Josh Corman)의 말입니다. "랜섬웨어 공격은 다양성과 공격성이 커졌고 요구하는 몸값도 올라갔습니다." 2020년 가을에는 이 공격으로 인해 이례적으로 사이버 보안 주의보가 발령되었습니다. 이는 CISA, 미 연방수사국(FBI), HHS가 공동으로 작성한 것으로 임박한 랜섬웨어 공격을 헬스케어 리더들에게 경고하고 최소한 두 가지 형식으로 모든 중요 데이터의 사본 3개를 저장하는 백업 접근 방식(사본 1개는 악성 코드가 영향을 미칠 수 없는 오프라인에 저장)을 권고했습니다.

하지만 많은 헬스케어 기업은 이러한 권고에 따르려면 재정적 타협이라는 또 다른 어려움을 해결해야 합니다. 미국 의과대학협회(AAMC) 의 정보 보안 분야 박사이자 MBA 출신인 수석 디렉터 스티븐 로페즈(Stephen Lopez)에 따르면 헬스케어 기업은 사이버 보안 투자를 미루는 경향이 있습니다. 그는 "환자 서비스가 희생될 것 같으면 자원을 정보 보안으로 전용하기 어려울 수 있습니다. 하지만 이런 환경에서는 조직이 랜섬웨어 보호를 미룰수록 환자 서비스가 위험에 처하게 됩니다."라고 말합니다. CISA는 2021년 의학 인사이트 보고서에서 특히 위기나 긴급한 상황에서 헬스케어 제공을 지원하는 인프라가 공격을 받거나 랜섬웨어 인질이 되는 경우, 운영이 빠르게 악화된다는 데 의견을 모았습니다.

헬스케어 기업의 각급 직원을 교육하는 것이 싸움에서 이길 수 있는 한 가지 비결입니다. "피싱 이메일에 관한 직원들의 기본적인 ‘보안 위생’을 강화할 수 있다면 대부분의 멀웨어 공격을 예방하거나 방어할 수 있습니다."라고 로페즈는 덧붙입니다. 그는 랜섬웨어 공격 메시지의 실제 예를 보여 주는 교육 프로그램을 만들어 민감한 정보 요청에 응하기 전에 잠시 멈춰 생각하도록 직원들을 교육하라고 권장합니다.

보안 투자 결정에서 가장 중요한 것은 데이터 스토리지와 데이터 접속입니다 

팬데믹이 여전히 많은 생명을 앗아가고 있는 가운데 헬스케어 리더들은 이 추가적인 전투에도 대처해야 합니다. 어디서부터 시작해야 할까요? 높은 수준에서 사이버 보안의 최우선 과제는 랜섬웨어로부터 액세스 포인트를 안전하게 보호하고(피싱을 탐지하도록 직원을 교육하는 것 외에도), EHR에서 얻을 수 있는 보호 건강 정보(PHI)와 의약품 제조의 지적 재산 노출을 줄이고, 외부 시스템, 파트너, 공급업체(예: CDC 및 기타 보건 부서)와 이 정보를 공유할 수 있는 연결 기술을 확보하는 것입니다.

업계의 많은 헬스케어 기업들이 유연성, 접근성, 검색 속도를 높이기 위해 EHR, 지적 재산, 기타 의료 데이터를 클라우드로 이전했습니다. 하지만 클라우드로의 전환이 조직 차원의 탄탄한 계획 없이 워낙 급하게 이루어졌기 때문에 환자 건강 정보와 그 밖의 민감한 데이터가 멀티 벤더 클라우드 환경에서 호스팅되는 경우가 허다합니다. 여기에 잘못된 설정까지 겹칠 경우 환경은 더욱 취약해질 수 있습니다. 

이 부분적 목록은 지속적 진료 생성과 헬스케어 기업의 위협 표면 크기 감소에 필요한 데이터의 범위를 보여 줍니다.

• 전자 의료 기록(EHR) - 디지털 의료 차트, 의료 기록, 실험실 및 검사 결과, 기타 데이터

• 환자 또는 질병 등록 체계 - 특정 진단이나 상태를 공유하는 환자 임상 결과가 포함된 데이터베이스

• 청구 데이터 - 헬스케어 서비스 제공업체가 보험 회사에 제출한 청구 코드 데이터 

• 건강 설문 조사 - 공중 보건 조직이 공중 보건 리스크를 평가하고 공중 보건 정책 및 관행을 알리기 위해 수집하는 데이터 

• 의료영상저장전송시스템(PACS) - CT 또는 MRI 스캔 등 의료 영상 장치에서 생성되어 의사, 연구원 또는 기타 승인된 의료 직원이 접속할 수 있도록 보관된 데이터

• 임상 시험 데이터 - 의료 기기, 의약품, 기타 혁신 개발에 사용되는 민간 또는 공공 임상 연구 결과에 대한 데이터

이 위협 영역을 줄이고 연방 권고에 명시된 백업 접근 방식에 대한 조언(최소 두 가지 형식으로 3개의 사본을 저장하고 1개는 오프라인에 저장)을 받아들이려는 의료 CSO들이 하이브리드 접근 방식을 모색하는 경우가 늘고 있습니다. 온프레미스 데이터 스토리지를 사용하면 보안을 보다 효과적으로 제어할 수 있지만 비용이 많이 들 수 있고, 특히 팬데믹으로 촉발된 현재의 의료 데이터 급증과 헬스케어 디지털 전환에 맞춰 필요한 속도로 확장하기가 어려울 수 있습니다. 퍼블릭 클라우드 데이터 스토리지는 보다 비용 효율적이지만 중단 위험이 있으며, 데이터가 어떻게 보호되는지 파악하기 어려울 수 있습니다. 

하이브리드 접근 방식을 사용하면 민감한 데이터는 온프레미스에 보관하고 덜 민감한 데이터는 클라우드에 저장할 수 있습니다. 하지만 두 가지 스토리지 유형 간에 전송되는 데이터를 보호하고 데이터 전송 및 조회 권한이 있는 사람에게만 접속을 허용하는 보안 조치를 마련해야 하기 때문에 이 방법도 완벽하지는 않습니다. 기관이 제로 트러스트 네트워크 접속 아키텍처 구축을 위한 7대 핵심 요구사항을 추진하면 역할에 필요한 애플리케이션에만 접속할 수 있는 권한을 사용자에게 부여해 데이터를 보호하고 멀티팩터 인증 (MFA)으로 보안을 강화할 수 있습니다. 

헬스케어의 위기 극복 지원 

헬스케어 서비스 제공업체들은 21세기 디지털 경험을 구축하고 있습니다. Akamai는 언제 어디서나 환자 치료를 지원하고 성공적인 헬스케어 서비스를 제공할 수 있는 혁신적인 방법을 통해 이 새로운 온라인 헬스케어 시대를 여는 것을 도울 수 있어 영광으로 생각합니다. 

Akamai를 통해 헬스케어 업계에서 어떤 지원을 받을 수 있는지 자세히 알아보세요.