Уникальное положение «публичного учреждения» позволило Сеульскому университету избежать обязательной отчетности по кибербезопасности

공공기관 분류 탓, 의무 대상서 빠져 빅 5 병원 중 유일하게 공시 안 해 북한 해킹·직원 실수 등 유출 ‘빈번’ [헤럴드경제=고재우 기자] 서울대병원이 수년간 정보보호공시를 하지 않은 것으로 드러났다. 상급종합병원은 정보보호공시 의무 대상이지만, 서울대병원의 경우 ‘공공기관’으로 분류되는 탓이다. 문제는 서울대병원이 북한 해킹 공격으로 환자 정보 ‘83만명’ 유출을 겪는 등 전적이 있다는 점이다. 국내 의료기관을 대상으로 한 사이버 침해 사고가 급증하고 있는 가운데, 서울대병원의 정보보호 인식이 안일하다는 지적이 나온다. 25일 헤럴드경제 취재를 종합하면 서울대병원은 유일하게 빅 5 병원 중 2022년부터 올해까지 정보보호공시를 하지 않았다. 반대로 세브란스병원, 서울성모병원, 서울아산병원, 삼성서울병원 등은 2022년부터 매해 정보보호공시를 통해 정보보호 부문 전담 인력, 정보보호 부문 투자액 등을 공시하고 있다. 정보보호공시란 이용자의 알 권리 보장 및 기업 정보보호 투자 유도를 위해 시행 중인 제도다. 상급종합병원의 경우 민감한 의료정보를 다룬다는 점에서 정보보호공시 의무 대상으로 포함된다. 서울대병원이 정보보호공시로부터 자유로울 수 있었던 이유는 기타 공공기관으로 분류된 탓이다. 공공기관, 중소기업, 금융회사, 일부 전자금융업 등은 정보보호공시 의무 대상에서 제외되는데, 서울대병원은 ‘공공기관의 운영에 관한 법’에 따라 공공기관으로 분류돼 정보보호공시를 하지 않은 것이다. 문제는 서울대병원에서 개인정보 유출 문제가 심심찮게 발생했다는 것이다. 서울대병원은 지난 2021년 북한 해킹 조직으로부터 해킹 공격을 받고 환자, 전·현직 직원 등 약 83만명 개인정보 유출 홍역을 앓은 바 있다. 이와 관련 경찰은 북한 해킹 조직이 취약했던 서울대병원 웹 게시판에 악성 프로그램을 심어 정보를 빼갔다고 발표했다. 공격 근원지 아이피(IP) 주소 등이 기존 북한 해킹 사건의 주소와 같다고도 했다. 올해 3월에도 직원의 실수로 산모 이름, 생년월일, 임신 주수 등 개인정보뿐만 아니라 민감한 의료정보 등이 유출됐다. 특히 서울대병원과 달리 분당서울대병원을 비롯한 국립대병원 등 정보보호공시 의무 대상이 아닌 병원들은 ‘자율’로 정보보호 공시 중이다. 민감한 의료정보를 취급하는 곳이란 책임감 때문이다. 서울대병원은 ‘공공기관 알리오’를 통해 관련 내용을 공개하고 있다는 입장이지만, 의료계에서는 서울대병원의 개인정보 유출 전력 등을 고려할 때 아쉬운 조치라고 지적한다. 서울대병원은 “알리오를 통해 관련 내용을 공시하고 있다”면서도 “내년부터 정보보호공시를 별도로 진행할 예정”이라고 답했다. 이에 대해 의료계 관계자는 “기타 공공기관 지정에 따라 서울대병원은 정보보호공시 의무 대상에서 제외돼 있다”며 “병원이 국내에서 갖는 위상, 북한으로부터 해킹, 직원 실수로 인한 개인정보 유출 전력 등을 고려했을 때 정보보호공시에 적극적으로 나서야 한다”고 꼬집었다. 한편 의료기관을 겨냥한 랜섬웨어 등 사이버 위협은 점증하고 있다. 한국사회보장정보원이 올해 발간한 자료에 따르면 국내 의료기관 침해사고는 2020년 18건에서 2024년 71건으로 ‘약 3.9배’ 늘었다. 향후 5년 동안 침해사고로 인한 의료기관 누적 손실액은 1조5324억원에 달할 것으로 전망된다. [email protected]