의료 IT 플랫폼 케어클라우드, 잠재적 데이터 유출 조사 중

핵심 요약

의료 IT 플랫폼 케어클라우드에서 전자 건강 기록 환경과 관련된 사이버 보안 사고가 발생하여 잠재적 데이터 유출 가능성을 조사 중입니다. 이 사고는 민감한 개인 건강 정보(PHI)를 포함하는 전자 건강 기록 시스템의 보안 취약점 또는 설정 오류로 인해 발생했을 가능성이 있으며, 이는 데이터 접근 통제 및 암호화 등 기본적인 보안 통제 미흡을 시사합니다. IT 감사인은 민감 정보 처리 시스템의 접근 통제, 데이터 암호화, 보안 설정 검토 및 침해 사고 대응 체계의 실효성을 중점적으로 감사하여 유사 사고 발생 위험을 사전에 식별하고 대응 역량을 강화해야 함을 권고합니다.

💡 개선 권고안

• ✔기술적 조치전자 건강 기록 등 민감 개인정보를 처리하는 시스템에 대해 데이터베이스 암호화, 전송 구간 암호화(TLS 1.2 이상), 그리고 저장 데이터 암호화(AES-256 등)를 포함한 강력한 암호화 통제를 적용해야 함을 권고함.
• ✔기술적 조치클라우드 환경에서 운영되는 시스템에 대해 CSPM(Cloud Security Posture Management) 솔루션을 도입하여 S3 버킷 공개 노출, 보안 그룹 과도 허용 등 보안 설정 오류를 실시간으로 탐지하고 자동으로 수정하는 체계를 구축해야 함을 권고함.
• ✔관리적 조치개인정보 유출 사고 발생 시 정보주체 및 관계 기관에 대한 통지 절차를 포함한 침해 사고 대응 매뉴얼을 최신화하고, 법적 요구사항(예: 72시간 이내 통지) 준수 여부를 정기적인 모의 훈련을 통해 검증 및 개선할 것을 권고함.
• ✔관리적 조치민감 개인정보를 다루는 모든 시스템에 대해 접근 통제 정책을 강화하고, 최소 권한 원칙(Principle of Least Privilege)에 따라 사용자 및 시스템 계정의 접근 권한을 주기적으로 검토 및 조정할 것을 권고함.
• ✔관리적 조치정보보호최고책임자(CISO) 주관 하에 정보보호 및 개인정보보호 교육을 강화하여 임직원의 보안 인식 수준을 향상시키고, 잠재적 보안 위협에 대한 경각심을 고취할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문