의료사물인터넷 위협, 의료기기는 안전할까

보안정보

전문화된 보안 관련 자료, 보안 트렌드를 엿볼 수 있는
차세대 통합보안관리 기업 이글루코퍼레이션 보안정보입니다.

의료사물인터넷 위협, 의료기기는 안전할까

2019.12.02

19,098

%EC%83%81%EB%8B%A8%EC%9D%B4%EB%AF%B8%EC%A7%80.jpg

1. 개요

사물인터넷 기술의 발전에 따라 사물인터넷 기술이 여러 분야의 산업과 융합하여 새로운 시장을 창출하고 있다.

특히, 의료분야의 경우 IoT기술뿐만 아니라 빅데이터부터 AI기술까지 다양한 신기술이 결합하여 의료 서비스의 질과 접근성이 향상되고 있다.

전세계 의료분야의 IoT 시장은 2021년까지 1,367억 달러로 예상되며, 신체의 여러 부분에 연결되고 모니터링 되는 의료기기가 약 370만 개로 추정된다.

의료분야는 사람의 건강과 생명에 직접적인 영향을 주기 때문에 무엇보다 보안성 확보가 가장 중요한데 이점을 악용하려는 해커들에게는 가장 좋은 표적이 되고 있다.

과연, 해킹 공격 속에 의료사물인터넷(IoMT, Internet of Medical Things)은 보안에 안전할까?

[그림 1] 의료기기의 네트워크 (출처 : ZDNet Korea)

2. 의료사물인터넷(IoMT, Internet of Medical Things)란

의료사물인터넷(IoMT, Internet of Medical Things)이란 개인의 생활습관, 질병 이력, 의료이용정보, 유전체 정보 등을 디지털 데이터화해 정보, 기기, 시스템이 하나로 연결되는 기술을 일컫는다.

IoMT의 디바이스는 X-ray, MRI 스캐너 등 고정식 의료 기계, 맥박 조정기와 같은 체내 이식 기기, 웨어러블 워치와 같이 착용 가능한 기기 등이 있으며 IoMT는 인간의 생명과 연결되어 사용되고 있다.

IoMT의 도입은 환자, 의료 제공자, 환자 가족, 보험사 등을 긴밀히 연결해 더 신속하고 편리한 환경에서 더 나은 건강관리를 하도록 도와준다.

또한, 연결된 의료 기기와 지능형 데이터 분석을 통합해 운영 효율성을 높이고, 원격 모니터링, 실시간 환자 참여, 약물 관리, 입원 환자 모니터링, 의료기관의 워크플로우 관리 등을 지원하여 환자 상태를 일상적인 방식으로 꾸준히 파악함으로써 의사의 진료 시간을 최소화하면서도 환자의 건강을 더 긴밀하게 관리해 준다. 이러한 IoMT 도입으로 의료 분야는 전반적인 운영비용 절감, 서비스에 대한 접근성 개선, 의료 서비스의 질적 향상을 가져올 수 있다.

현재 IoMT는 인공 지능(AI)의 발전, 특히 머신러닝 기술의 발전에 의해 주도되고 있으며 네트워크 의료 기기의 증가와 스마트 폰의 채택 증가는 시장의 성장을 더욱 촉진될 것이다. 또한, 클라우드 컴퓨팅 및 빅데이터와 결합한 IoMT는 의료 분야에서 의료 데이터 분석을 통한 예방 솔루션 제공 등의 새로운 서비스를 만들어 내고 있다.

[표 1] IoMT 도입 전 후 차이점

IoMT의 추이로 진단, 모니터링 및 치료를 돕는 연결된 의료 기기 부문은 2017년의 149억 달러에서 2022년이면 522달러로 증가할 것으로 예상된다.

또한, 딜로이트(Deloitte)는 2017년 북미 의료사물인터넷 시장 규모는 13억 달러를 기록했다고 분석했으며 오는 2022년까지 약 246% 성장해 45억 달러 시장으로 확대될 전망이라고 발표했다.

[그림 2] IoMT 시장 동향 (출처 : industrialnetworking)

3. 의료기기 해킹으로 어떠한 위협이 있을까

주민등록번호와 같은 개인정보보다 의료정보의 가치가 높아짐에 따라 의료정보에 대한 해커들의 관심도 증가되고 있다. 파이어아이의 따르면 2018년 10월 1일부터 2019년 3월 31일까지 여러 건의 의료 관련 데이터베이스가 암시장 포럼에서 2,000달러 미만의 가격으로 판매되었다. 또한 최근 해커 그룹은 의료기기와 진단 영역을 포함한 헬스케어 산업, 첨단 기술, 통신 분야를 표적으로 삼고 전략적인 정보를 수집하는 것을 목적으로 활동하고 있는 것으로 알려졌다.

해커들은 돈을 목적으로 의료정보를 활용할 수도 있지만 사람을 공격할 수 있는 수단으로도 사용할 수 있다.

의료기기 해킹으로 어떠한 사고를 일으킬 수 있는지 표로 살펴보자.

[표 2] 의료기기 해킹

사례출처 : https://www.alpinesecurity.com/blog/comprehensive-guide-to-iomt-cybersecurity

4. 의료기기는 왜 해킹에 취약할까

그렇다면 어떠한 점이 취약하길래 의료기기는 해커들의 표적이 되는 걸까 5가지의 이유는 아래와 같다.

1) 오래된 운영체제 사용

의료기관에서 사용되는 의료기기를 보면 업데이트가 중단된 운영체제를 많이 사용하고 있다. 그 이유는 보통 의료 기기가 설계 후 FDA의 승인을 받아 시장에 출시될 때까지 5~6년이 걸리기 때문이다. 즉, 최신 기기임에도 5년 이상 된 오래된 운영체제를 가지고 출시하기에 알려진 취약점을 활용하여 해커들이 침투하기 쉽다.

2) 업데이트에 대한 어려움

의료 서비스를 하는 곳은 업데이트에 관련된 일정을 세우기가 매우 까다롭다. 응급 환자 및 지속적인 진료로 인해 의료기기 사용을 중단하기 어려울 수 있으며 업데이트 시 비용의 손실이 발생함으로 업데이트에 어려움을 가진다.

3) 망 분리의 부재

병원 내 네트워크는 이더넷(Ethernet) 환경으로 구성되어 있으며, 의료정보망과 업무망, DMZ 구간으로 구분된다. 대부분의 병원에서는 비용적인 측면과 시간적인 측면 때문에 의료정보망과 업무망을 완벽히 분리하지 않고 운영하고 있다.

4) 인프라의 복잡성

의료 기기 산업은 단일 벤더, 단일 제품 시장이 아니다. 각 제조업체와 장치에는 고유한 보안 프로토콜이 포함된 자체 통신 프로토콜이 있으며, 제대로 이해하고 구성 및 유지 관리하지 않으면 취약점이 발생할 수 있다. 또한, 이러한 다양한 벤더사 제품을 사용함으로써 다른 운영 체제, 통신 프로토콜 및 데이터 저장소를 사용하는 시스템, 네트워크 및 구성 요소의 패치 워크는 복잡하고 유지 관리하기가 어렵다.

5) 보안 인식 문제

장치 보안에 대한 책임은 여러 주요 이해 당사자들에게 퍼져 있다. 취약점을 모니터링하고 제조업체를 통해 필요한 패치 또는 재구성을 조정하는 책임은 병원에 있다. 그러나 병원 관리자는 종종 장치 제조업체가 장치의 IoMT 보안에 책임이 있다고 생각하게 되고 이러한 기대 격차는 해킹에 취약하게 만든다.

5. 대응방안

의료기기는 사람의 생명과 연결되기에 다양한 관점의 보안과 철저한 보안이 필요하다. 해커에 의한 의료사물인터넷(IoMT, Internet of Medical Things) 공격에 어떻게 대응하는 것이 좋을까

[그림 3]은 KISA 스마트 의료기기 가이드에 명시된 보안 요구 사항이다. 보안 요구사항 중에서도 해커에 진입을 막기 위해 네트워크의 철저한 엑세스 관리가 필요하며 망 분리를 통해 해커가 침투하더라도 내부자료를 가져가지 못하도록 관리 하는 것이 좋다. 또한, IoMT 장치에서 수집 및 저장된 데이터를 제한하고 가능하면 암호화하여 저장해야 한다. 암호화 저장을 통해 해커가 해당 데이터를 탈취해도 쉽게 의료정보 데이터를 거래하거나 열람할 수 없기 때문이다. 해커들의 타깃이 IoMT로 넘어오면서 취약점을 찾아내려고 노력하고 있다. 이에 대응하기 위해 제조업체 및 공급업체와 협업하여 취약점에 대한 즉각적인 조치가 필요하다.

[그림 3] 스마트 의료기기 보안 요구 사항 (출처 : kisa 스마트 의료기기 보안 가이드)

6. 마무리

의료 사물 인터넷을 통해 연결된 의료 기기는 빠르게 발전하는 기술만큼 의료기관에 도입 되는 수도 급속이 증가하고 있다.

의료기기 보안은 단순히 다방향 네트워크 통신을 차단하는 것만으로 충분하지 않다, 이러한 위협에 지능적으로 대응하려면 지속적인 모니터링 관리와 의료 기기 통신 프로토콜 및 정상적인 트래픽 패턴을 이해해야 하며 무엇보다 꾸준한 관심과 업데이트가 필요하다. 또한, 의료기관은 정보자산을 역할에 맞는 사용자에게 권한을 부여하고 적절한 인증 절차를 통해 관리해야 한다.

과학기술정보통신부, 한국인터넷진흥원(KISA), IoT 보안 얼라이언스는 2018년 공동으로 “스마트의료 사이버보안 가이드” 문서를 작성·배포하였다. 스마트의료 분야에서의 정보보호에 대한 기본적인 보안 권고사항 및 요구사항을 소개하였으나 법적 효력을 갖거나 반드시 준수해야 하지 않아도 된다. 미국에서는 미국 연방 시행령 21 CFR 820.30(g)에 의해 의료기기의 소프트웨어 검증 및 리스크 분석의 한 부분으로 사이버보안 위협 및 취약점들을 관리하도록 권고하고 있다고 한다. 이에 따라 우리나라도 점차 증가되고 있는 의료기기 해킹에 대해 경각심을 가지고 검증하고 지속으로 취약점을 관리 할 수 있는 제도를 만들어야 하지 않을까 싶다.