美 의료기관 노린 사이버 공격 급증… ‘제로 트러스트’로 방어 나선다

보건의료기관들이 사이버 공격의 집중 타깃으로 떠오르면서 위협에 대응하기 위한 보안 전략이 갈수록 정교해지고 있다. 2024년 상반기 동안 보고된 사이버 공격은 400건에 육박하며, 올해 2월 한 달에만 120만 명 이상의 환자 개인정보가 유출되는 등 피해는 갈수록 심각해지고 있다. 이에 따라 메인 라인 헬스(Main Line Health)는 엘리시티(Elisity)와 같은 전문 보안 기업과 협력하며 제로 트러스트(Zero Trust) 전략을 강화하고 있다.

메인 라인 헬스의 최고정보보안책임자(CISO) 아론 와이스만은 최근 미국 샌프란시스코에서 개최된 RSAC 2025 컨퍼런스에서 “위협 행위자들의 공격 수법이 더욱 악랄해지고 있으며 의료 시스템은 특히 큰 표적이 되고 있다”고 경고했다. 그는 “환자 프라이버시의 훼손과 규제 위반은 공격자에게 수익원이 되고 있으며, 이런 이유로 병원 시스템이 집중적으로 노려지고 있다”고 덧붙였다.

이와 같은 위협에 대응하기 위해 메인 라인 헬스는 엘리시티가 제공하는 최소 권한 제어 접근 모델에 기반한 솔루션을 도입하고 있다. 엘리시티의 CEO 제임스 와인브레너는 “MRI 기기가 5층에 설치된 CCTV와 통신할 필요는 없다”며 “환자 모니터링 시스템과의 통신만 허용되는 식으로 체계적이고 맥락에 따른 통제 정책이 필요하다”고 설명했다.

병원 내에는 IoT 기기를 포함해 데스크톱, 노트북, 무선 장비 등 다양한 디지털 장치가 혼재돼 있으며, 이들 간의 통신을 정교하게 관리하지 않으면 보안 취약점이 확대될 수 있다. 이에 엘리시티는 소프트웨어 정의 제어 계층을 구축하고, 고객 인프라에 연결돼 있는 각 장치의 메타데이터를 수집해 신원 확인과 컨텍스트 정보를 결합함으로써 전방위적인 보안 가시성을 확보하고 있다.

흥미로운 점은 의료 현장의 치료 담당자들도 이러한 기술적 변화에 점차 적극적인 태도를 보이고 있다는 것이다. 와이스만 CISO는 “임상의들은 기술이 환자 서비스에 미치는 영향을 깊이 인식하고 있으며, 보안 관련 기술 설계에 참여하는 데 큰 관심을 보이고 있다”고 강조했다. 그는 “임상 언어로 효과적으로 소통하면 기술팀과 의료진 간 협업이 훨씬 원활해질 수 있다”며 이 접근법이 다른 산업군에서도 충분히 적용 가능하다고 덧붙였다.

복잡한 의료 IT 환경에서 사이버 위협을 방어하는 일은 단순한 툴 도입만으로는 불가능하다. 메인 라인 헬스와 엘리시티의 협력 사례는 변화하는 사이버 위협 환경 속에서 보건의료기관이 취할 수 있는 전략 중 하나로 주목받고 있다. 특히 제로 트러스트와 최소 권한 접근 모델은 앞으로 보건의료뿐 아니라 정부와 금융 등 다른 핵심 인프라 보안에도 필수적인 접근법으로 자리잡을 것으로 보인다.