의료 기관의 네트워크는 다양한 시스템이 혼재되어 있습니다. 전자의무기록(EMR), 사무용 PC, 의료기기, IoT 센서, 환자 Wi-Fi 등이 모두 동일한 네트워크에 연결되어 있으면, 한 시스템의 침해가 전체 네트워크로 확산될 수 있습니다.
2017년 5월, WannaCry 랜섬웨어가 전 세계를 강타했습니다. 영국 국민보건서비스(NHS)는 가장 큰 피해를 입은 조직 중 하나였습니다. 네트워크 분할 부재로 인해:
| 분할 유형 | 구현 방법 | 장점 | 단점 |
|---|---|---|---|
| 물리적 분할 | 별도의 물리적 네트워크 인프라 | • 최고 수준 격리 • 설정 간단 • 명확한 경계 |
• 높은 비용 • 유연성 낮음 • 공간 필요 |
| 논리적 분할 (VLAN) | 동일 물리 인프라, 가상 분할 | • 비용 효율적 • 유연한 관리 • 동적 재구성 |
• 설정 복잡 • VLAN 호핑 위험 • 스위치 의존 |
전형적인 병원 네트워크는 다음과 같이 여러 세그먼트로 분할되어야 합니다:
┌─────────────────────────────────────────────────────────┐
│ 인터넷 / WAN │
└─────────────────────┬───────────────────────────────────┘
│
┌────────▼────────┐
│ 경계 방화벽 │ (외부 ↔ 내부)
└────────┬────────┘
│
┌─────────────┼─────────────┐
│ │
┌───────▼───────┐ ┌────────▼────────┐
│ DMZ Zone │ │ Internal Zone │
│ (VLAN 10) │ │ │
├───────────────┤ └────────┬────────┘
│ • 웹 서버 │ │
│ • 이메일 │ ┌────────┼────────┬─────────┐
│ • VPN 게이트 │ │ │ │ │
└───────────────┘ ┌─────▼───┐ ┌─▼────┐ ┌▼──────┐ ┌▼────────┐
│ 의료기기 │ │ EMR │ │ 업무용 │ │ 환자용 │
│ (VLAN20)│ │(VL30)│ │(VL40) │ │ (VL50) │
└─────────┘ └──────┘ └───────┘ └─────────┘
VLAN 20 - 의료기기 네트워크 (최우선 보호)
├─ VLAN 21: 생명 유지 장치 (인공호흡기, 투석기)
├─ VLAN 22: 영상 장비 (MRI, CT, X-ray)
├─ VLAN 23: 환자 모니터링
└─ VLAN 24: 수술실 기기
VLAN 30 - EMR 및 임상 시스템
├─ VLAN 31: 데이터베이스 서버
├─ VLAN 32: 애플리케이션 서버
└─ VLAN 33: 의료진 워크스테이션
VLAN 40 - 업무용 네트워크
├─ VLAN 41: 관리자 PC
├─ VLAN 42: 재무/인사
└─ VLAN 43: 일반 직원
VLAN 50 - 환자 및 게스트
├─ VLAN 51: 환자 Wi-Fi (인터넷만)
└─ VLAN 52: 방문객 네트워크
전통적인 VLAN 기반 분할을 넘어, 개별 의료기기 또는 기기 그룹을 격리하는 마이크로 세그먼테이션이 권장됩니다:
디바이스: 인공호흡기 A (IP: 10.20.21.15) 허용된 통신: → EMR 서버 (10.30.31.10) 포트 TCP 443 (HTTPS) 용도: 환자 데이터 전송 → NTP 서버 (10.100.1.5) 포트 UDP 123 (NTP) 용도: 시간 동기화 → 간호사 스테이션 (10.30.33.20) 포트 TCP 5000 (모니터) 용도: 실시간 상태 표시 → 펌웨어 서버 (10.100.2.10) 포트 TCP 443 (HTTPS) 용도: 소프트웨어 업데이트 거부된 통신: ✗ 다른 인공호흡기 (10.20.21.16-30) 이유: 불필요한 기기 간 통신 ✗ 인터넷 (any) 이유: 외부 연결 불필요 ✗ 환자 Wi-Fi (10.50.0.0/16) 이유: 보안 격리 ✗ 업무용 PC (10.40.0.0/16) 이유: 권한 없음 로깅: • 모든 연결 시도 기록 • 거부된 트래픽 알림 • 일일 감사 로그 생성
각 네트워크 존 사이에는 방화벽이 배치되어 트래픽을 제어합니다:
| 출발지 | 목적지 | 허용 프로토콜 | 정책 |
|---|---|---|---|
| 의료기기 | EMR | HTTPS (443), HL7 (2575) | 허용 (화이트리스트) |
| 의료기기 | 인터넷 | 없음 | 거부 |
| EMR | 의료기기 | 없음 | 거부 (단방향만) |
| 업무용 | 의료기기 | 없음 | 거부 |
| 환자 Wi-Fi | 내부 | 없음 | 거부 (인터넷만) |
| 관리자 | 의료기기 | SSH (22), RDP (3389) | 허용 (MFA 필수) |
차세대 방화벽(NGFW)은 단순히 포트를 확인하는 것을 넘어 패킷 내용을 분석합니다:
의료 영상 전송 표준인 DICOM은 원래 보안을 염두에 두고 설계되지 않았습니다:
완화 조치:
병원 정보 시스템 간 데이터 교환 표준:
# HL7 v2.x 보안 (레거시) 기본 HL7: TCP 포트 2575 (평문) 보안 HL7: TLS 포트 2576 (암호화) 권장 설정: • TLS 1.2 이상 강제 • 상호 인증 (클라이언트 인증서) • 메시지 서명 (변조 방지) # FHIR (Fast Healthcare Interoperability Resources) - 최신 표준 프로토콜: HTTPS (RESTful API) 인증: OAuth 2.0 + SMART on FHIR 암호화: TLS 1.3 권한: RBAC (역할 기반 접근 제어) FHIR 보안 장점: ✓ 기본적으로 HTTPS 사용 ✓ 표준화된 인증/권한 부여 ✓ JSON/XML 스키마 검증 ✓ 세밀한 권한 제어
무선 의료기기는 증가하고 있지만, Wi-Fi 보안은 종종 간과됩니다:
| Wi-Fi 네트워크 | SSID | 보안 | 용도 |
|---|---|---|---|
| 의료기기 전용 | MedDevice (숨김) | WPA3-Enterprise + 802.1X | 생명 유지 장치, 모니터 |
| 의료진 | MedStaff | WPA3-Enterprise | 의사, 간호사 노트북/태블릿 |
| 관리자 | AdminNet | WPA3 + VPN | IT 관리, 유지보수 |
| 환자/방문객 | GuestWiFi | WPA2 + Captive Portal | 인터넷 접속만 (격리) |
병원 무선 네트워크를 모니터링하여 이상 활동 탐지:
NAC 솔루션은 네트워크에 연결하려는 모든 기기를 검증합니다:
┌─────────────┐ ┌───────────┐ ┌─────────────┐
│ 의료기기 │ │ 스위치/AP │ │ RADIUS 서버 │
│ (Supplicant)│ │(Authenticator)│ │ │
└──────┬──────┘ └─────┬─────┘ └──────┬──────┘
│ │ │
│ 1. EAPOL-Start │ │
├──────────────────>│ │
│ │ 2. EAP-Request │
│<──────────────────┤ │
│ 3. EAP-Response │ │
│ (인증서) │ 4. RADIUS Access │
├──────────────────>│ Request │
│ ├──────────────────>│
│ │ │ 5. 인증서 검증
│ │ │ + 정책 확인
│ │ 6. RADIUS Access │
│ │ Accept │
│ │<──────────────────┤
│ 7. EAP-Success │ │
│<──────────────────┤ │
│ │ 8. VLAN 할당 │
│ │ (예: VLAN 21) │
│ 9. 네트워크 접근 │ │
│ 허용 │ │
인증 실패 시:
→ 격리 VLAN으로 이동 (VLAN 99)
→ 제한된 리소스만 접근 (패치 서버, WSUS)
→ 관리자 알림
NAC는 연결된 기기의 특성을 분석하여 자동으로 분류하고 적절한 VLAN에 할당합니다:
전통적인 성벽 모델("내부는 신뢰, 외부는 불신")을 넘어, 제로 트러스트는 모든 통신을 의심합니다:
분할된 네트워크는 지속적으로 모니터링되어야 합니다:
많은 의료기기는 최신 보안 표준을 지원하지 않습니다:
보상 제어 (Compensating Controls):
네트워크 분할은 의료기기 보안의 핵심 방어선입니다. 적절히 설계된 네트워크 아키텍처는 공격 표면을 크게 줄이고, 침해 발생 시 피해 확산을 제한하며, 환자 안전을 보호합니다.
의료 기관은 물리적 또는 논리적 분할, 방화벽 정책, 마이크로 세그먼테이션, 제로 트러스트 원칙을 조합하여 다층 방어를 구축해야 합니다. 또한 레거시 기기에 대한 현실적인 접근법을 마련하고, 지속적인 모니터링을 통해 이상 활동을 조기에 탐지해야 합니다.
다음 장에서는 의료기기 펌웨어 업데이트 관리와 보안 부팅 메커니즘을 살펴보겠습니다.