만약 여러분이 의료 서비스 조직을 위한 데이터 보안 분야에서 일하고 있다면, 여러분이 궁금해할 문제라면 조직이 채택한 전송 중 데이터(data-in-transit) 기술에 대해 규제와 법적 책임이 중요한 역할을 하는 이유일 것입니다. 의료 서비스 분야의 IT와 관련해서 발생하는 가장 큰 스트레스 요인 가운데 하나는 HIPAA(Healthcare Insurance Portability and Accountability Act)와 같은 데이터 보안 규제 준수의 중요성입니다.
HIPAA에는 환자와 그러한 환자의 정보를 보호하기 위한 세 가지의 근본적인 규칙이 있습니다.
개인정보 규칙: 보호된 건강 정보 및 문서
위반 알림 규칙: 조직이 당국과 환자에게 보안 위반을 어떻게 보고하는가
보안 규칙: 보호된 건강 정보(PHI) 보관과 전송에 대한 보안 기준 수립
이와 같은 규칙들로 인해 조직은 해당 데이터에 대한 위협을 예측하고 데이터를 보호할 뿐 아니라 보호된 전자 건강 정보(electronic PHI, ePHI)의 기밀성과 보안에 대해 책임을 지게 됩니다. 그렇지만, 이와 같은 규칙들이 특정한 프로토콜, 기술 또는 행동 기준을 명시하지는 않습니다. 이는 사이버 보안 위협이 진화하고 있으며, HIPAA 보안 기술도 진화해야 하기 때문입니다. 어떤 암호화 프로토콜이 필수적인지 명시하는 것은 법의 효력을 특정 기술과 결부시켜 그 효력을 떨어뜨릴 수 있으므로, 이 법안은 단순히 보호된 전자 건강 정보를 보호하기 위해 사용될 때 보안 표준의 강점과 안정성에 대해서만 규정합니다. 이 법안은 미래에 대비하기 위하여, 미국 국립표준기술연구소(National Institute of Science and Technology, NIST)의 지원을 받아 이루어졌습니다. 기업체들은 자신들의 상황에 가장 적절한 솔루션을 선택해서 시스템에 적용시킬 수 있습니다.
HIPAA는 ‘미사용’ 또는 ‘전송 중’ 상태에 따라서 다양한 종류의 암호화 소프트웨어를 요구합니다.
미사용: 미사용 데이터는 하드 드라이브, SSD 또는 태블릿과 같은 장치에 보관된 채로 미사용하는 데이터를 말합니다. 데이터는 고급 암호화, 전체-디스크/가상 디스크 보안 및 모바일 기기 암호화(해당되는 경우)로 보호되어야 합니다.
전송 중: 전송 중은 예를 들어 이메일을 통해 발송되거나, 클라우드로 전송되거나 또는 서버와 모바일 기기를 오가는 것처럼 전송자와 목적지 사이를 활발히 오가는 것을 말합니다.
HIPAA 준수는 무차별 대입 공격이 거의 불가능하고 미국 정부의 기밀 데이터 취급에 대해 승인을 받은 AES-256과 같은 조치에 의해서 이루어집니다. TLS(Transport Layer Security)는 HTTPS, 이메일 또는 IMs와 같은 보안 데이터 전송을 위한 또 다른 프로토콜입니다. 이것 또한 다른 보안 조치와 결합하여 AES-256을 사용합니다. OpenPGP(Pretty Good Privacy)와 S/MIME 또한 HIPAA를 준수하지만, AES-256 및 TLS 1.2와 비교했을 때 사용하기 까다로운 공공 키 관리 요구사항이 있습니다.
일반적인 권장사항은 보안 시스템에서 미사용 데이터에는 AES-256 암호화를 사용하고, 전송 중 데이터에는 TLS를 사용하는 것입니다. 그러나, 이것이 여러분의 보안 조치의 전부가 될 수는 없습니다. 여러분의 HIPPA 준수 보안의 취약점을 찾아내고 경감하는 것이 중요합니다.
직원 및 교육(소셜 엔지니어링): 일반적으로, 사람은 사이버보안에서 가장 취약한 연결고리이며, 이것은 의료 서비스 산업에서도 별반 다를 것이 없습니다
분실 또는 도난된 기기: 앞서 말한 것처럼, 보호된 전자 건강 정보를 담고 있는 노트북, 플래시 드라이브, 전화기 또는 다른 기기를 분실하면 엄청난 액수의 벌금을 물게 될 수 있습니다
제3자 파트너: 보호된 전자 건강 정보를 취급하는 모든 제3자 클라우드 또는 IT 공급업체는 의료 서비스 제공자 또는 그들이 협력하는 다른 서비스 제공자와 마찬가지로 기술적 보안 기준을 동일하게 준수해야 합니다
비보안 이메일 시스템/서버: 여러분 조직의 누군가가 아직도 비보안 이메일 클라이언트 또는 서버를 사용하고 있다면, 차단시키십시오
약한 암호화: 퀀텀 컴퓨팅을 비롯한 컴퓨터 기술의 발전은 오랫동안 충분하다고 생각되어 왔던 기존의 암호화 표준이 현대의 사이버 범죄자들에게 위험해질 수 있다는 것을 의미합니다
암호화 키와 인증서를 교체하지 않기: 미국 국립표준기술연구소가 권장하는 기간을 넘어서, 또는 데이터 위반 이후에도 사용되고 있는 암호화 키는 조직을 위태롭게 만들 수 있습니다
HIPAA의 기술적 보호 조치는 혼란스러울 수 있는데, 암호화 요구사항에서 ’다룰 수 있는 것’으로 불리기 때문입니다. 보호된 건강 정보의 암호화를 위한 표현은 모호합니다. “...기업은 적절하다고 판단할 때마다 보호된 건강 정보를 암호화하는 메커니즘을 구현해야 합니다”.
이런 맥락에서, ‘다룰 수 있는 것’은 보호 조치 또는 이와 동급의 조치를 구현해야 함을 의미하며, 아니면 보호 조치가 적용되지 못한 합당한 이유를 문서화해야 함을 의미합니다. 일례로, 방화벽을 통해 보호되는 내부 서버를 통한 내부 통신은 보호된 건강 정보 무결성에 대해 외부 소스로부터 어떠한 위험도 노출시키지 않습니다. 그러나, 기업체를 방화벽에 보호되도록 놔두면서 보호된 전자 건강 정보를 포함하는 통신을 수행하는 것은 이제 다룰 수 있는 보호 조치를 활용해서 처리되어야 합니다.
보호된 전자 건강 정보가 적절하게 보호될 때에만 기업체는 공개된 네트워크의 이메일을 통해서 해당 정보를 전송할 수 있습니다. 보호된 전자 건강 정보의 기밀성, 무결성 및 가용성에 대한 위험을 식별하기 위해 위험 분석이 이뤄져야 하며, 이와 같은 위험을 적절한 수준으로 낮추기 위하여 위험 관리 계획을 세울 수 있습니다.
메시지에 대한 범용 암호화는 위험 관리를 위한 일반적인 방법이지만, 암호화 대신 동등한 수준의 보호를 사용할 수 있습니다.
분실하거나 도난된 노트북과 플래시 드라이브와 마찬가지로, 일터에서 사용하는 개인용 모바일 기기도 보호된 건강 정보의 무결성을 약화시킬 수 있습니다. 약 4~5명의 의료 서비스 전문가가 작업 흐름 관리를 위해 태블릿을 사용하고 있습니다. 의료 서비스 조직에서 암호화되지 않은 기기의 사용을 금지하는 것은 통신은 물론 의료 서비스 산업의 여타 부분에 대해서도 큰 혼란을 일으킬 수 있습니다.
보안 메시지 플랫폼은 미사용 상태의 보호된 건강 정보와 전송 중인 보호된 건강 정보 모두를 암호화해서 HIPAA 암호화 규정을 준수하므로, 이러한 문제에 대해 잠재적인 해결책을 제시합니다. 보호된 건강 정보를 담고 있는 통신은 가로채거나 권한 없이 접근하는 경우 해독할 수 없습니다. 보안 메시지 솔루션은 HIPAA 이메일 암호화 요구사항을 충족할 뿐 아니라, 접근 통제, 감사 통제, 무결성 통제 및 ID 인증에 대한 요구사항도 충족합니다. 이 솔루션은 의료 정보(영상 포함)가 안전하게 공유되도록 해주므로, 종이보다 더욱 유용합니다.
기술이 발전하고 사이버 범죄가 더욱 정교화되면서, 환자의 전송 중인 건강 정보를 보호하기 위하여 HIPAA 및 여타 법안에 대한 규제 준수의 필요성이 더욱 중요해지고 있습니다.
#KingstonIsWithYou
전문가에게 묻기
올바른 솔루션을 계획하려면 프로젝트의 보안 목표를 이해해야 합니다. Kingston의 전문가들이 안내해 드리겠습니다.
일반 정보 보호 규정 공표 후(post-GDPR)의 세계에서 고객 데이터를 최적으로 보호하기 위해 조직이 어떤 전략을 활용할 수 있을까요? Kingston은 일반 정보 보호 규정(GDPR) 도입 후 데이터 보호가 어떻게 변했는지 논의하기 위해 영국의 사이버 보안 분야의 가장 숙련된 평론가 몇몇의 지식을 모아 보았습니다.
