	임 두 성 의원 TEL : 784-5369, 788-2913 FAX : 788-3208	한나라당 보건복지가족위 2008년10월 6일

보건관련 정부(공공)기관

질병정보 보호 엉망

“질병관리본부, 암센터, 장기이식센터 등 보건기관

그동안 기본적인 보안장치도 없이 질병정보 취급

국민연금·건보·심평원 보다 훨씬 심각한 수준”

□ 질병정보 다루는 기관에서 보안기능도 없이 개인정보 취급

∘문서보안, 로그관리, DB보안, 보안서버, 인증관리 등 7대 보안기능      모두 갖춘 기관 11개 평가대상 중 3개 기관에 불과

□ 질병정보 부실관리 무더기 적발... “유출가능성 상존”

∘질병관리본부 : 보안조치 없이 개인정보 이메일로 전송, 개인정보

노출․침해 가능성 상존

∘대한적십자사 : 개인정보시스템 외부 위탁, 계약관계 서류도 부실

∘국립암센터 : 외부 웹메일 사용 허용, 대용량자료 유출 가능성 상존

∘장기이식관리센터 : 외부 위탁기관 관리자의 접근방식이 아이디,                           패스워드방식으로 접근되어 해킹 우려 상존

※ 국민연금, 건보공단, 심평원 제외한 대부분 보건 공공기관에서

정보시스템 운영관리를 외부에 위탁 운영

□ 보건복지가족부에 해킹시도 빈번... 44개국에서 연간 수백 건

∘보건복지가족부 해킹시도 건수 : 920건(`07년), 789건(`08년1~9월)

∘2008년 해킹시도 547건 분석...중국(264건), 한국(83건), 미국(48건) 순

□ 그동안 연금·건보공단 등에만 관심집중... 타기관 사각지대 방치

∘국민연금, 건보공단, 심평원 등에만 개인정보관리 관심 집중되는 동안     타 기관들은 사실상 사각지대에 방치된 셈

∘보건의료 공공기관은 가장 민감한 “국민 질병정보 집합소”

어느 기관 하나도 소홀히 다뤄선 안돼....공단수준으로 관리 강화해야

□ 대안은? 산하기관에 대한 정보보안 모니터링체계 도입하고,     질병정보 접근 시 공인인증서 활용하도록 개선해야

- 질병관리본부, 대한적십자사, 국립암센터, 장기이식관리센터 등 보건복지가족부 산하기관들이 보유하고 있는 개인정보가 매우 부실하게 관리되고 있는 것으로 확인됐다. 이러한 사실은 한나라당 임두성 의원(보건복지가족위)이 보건복지가족부로부터 제출받은 <산하기관 개인정보관리실태 점검결과>를 분석한 결과 드러났다.

- 복지부가 질병관리본부, 대한적십자사, 국립암센터를 비롯한 복지부 산하 11개 기관을 대상으로 정보유출방지, 문서보안, 로그관리, DB보안, 서버보안, 보안서버, 인증관리 등 7대 보안기능 구축현황을 점검한 결과, 보안기능을 모두 갖춘 기관은 11개 평가대상 기관 중 3개 기관에 불과한 것으로 나타났다.

- 보안기능을 모두 갖춘 3개 기관은 국민건강보험공단, 국민연금공단, 기초노령연금정보센터인 것으로 확인됐다. 이들 기관이 평소 개인정보 유출사고가 빈번해 국민적 불신의 대상이 되어 왔다는 점을 감안하면, 상대적으로 나머지 대상기관들의 개인정보관리체계가 얼마나 허술한지 가늠해 볼 수 있다.

- 특히 보안기능을 갖추지 못한 것으로 드러난 8개 기관이 취급하고 있는 개인정보는 대부분 국민들이 가장 민감하게 생각하고 있는 질병정보라는 점에서 문제가 더욱 심각하다. 즉 국민의 질병정보를 주로 다루는 국가기관에서 제대로 된 보안기능도 갖추지 못한 채 운영되어 온 것이다.

- 이 중에서도 로그기록 관리가 제대로 안되고 있다는 점을 가장 큰 문제점으로 꼽을 수 있다. 로그관리가 안된다는 것은 업무외의 목적으로 누군가 자료를 임의 열람하더라도 누가, 언제, 어떤 자료를 열람했는지 확인이 불가능하다는 것을 의미하기 때문이다.

<보건복지가족부 소속 주요기관 보안 기능 구축현황>

[※범례 : ○ 구축운영, △ 부분구축, × 미구축, ‘07.12월 기준]

구 분	정보유출방지	문서보안	로그관리	DB보안	서버보안	보안서버	인증관리
질병관리본부	×	×	×	×	×	△	△
국립암센터	×	×	×	×	△	○	△
사회서비스 관리센터	×	×	×	×	△	○	△
일산병원	×	×	×	○	○	○	△
대한적십자사	×	×	×	○	×	○	○
국립의료원	○	△	×	○	○	○	×
장기이식 관리센터	○	△	×	○	○	○	△
기초노령연금정보센터	○	○	○	○	○	○	○
건강보험심사평가원	△	○	○	○	○	○	○
국민건강 보험공단	○	○	○	○	○	○	○
국민연금공단	○	○	○	○	○	○	○

※ 자료 : 보건복지가족부, 2008. 10

주 : 2008년1월 실시한 개인정보관리실태 점검 결과에 기초해 작성된 자료임.

- 각 기관별 개인정보관리상의 문제점을 살펴보면, 질병관리본부는 질병정보 등 개인정보를 보안조치 없이 이메일로 전송하고 있어 질병정보가 외부로 노출될 가능성이 상존하는 것으로 지적됐다.

- 국립암센터는 외부웹메일을 사용할 수 있도록 함으로써 대용량 연구자료들이 유출될 가능성이 높은 것으로 나타났고, 장기이식관리센터는 외부 위탁기관 관리자의 접근방식이 아이디, 패스워드방식으로 되어 있어 해킹 우려가능성이 상존한다는 지적을 받았다.

- 또한 대한적십자사를 비롯한 질병관리본부, 암센터, 장기이식관리센터, 사회서비스관리센터, 일산병원, 국립의료원 등 대부분의 기관들이 개인정보시스템을 외부에 위탁관리하고 있어, 외부업체에 의한 정보유출 가능성이 있다는 지적을 받았다.

<보건복지가족부 개인정보관리실태 점검 결과 기관별 주요 지적사항>

기관명	주요 지적사항
기초노령연금 정보센터	∘개인정보보호관련 지침은 최근 개인정보보호 관련 법률 변경에 따른 개정 필요
질병관리본부	∘본부와 개별 팀 단위로 인력과 정보시스템을 이중 관리운영하고 있어, 본부차원의 체계적인 개인정보보호 대책이 미흡한 실정으로 본부차원에서의 보안 지침 및 절 차가 필요 ∘외부용역/계약직 직원에 대한 개인정보보호 교육 강화 필요
국립암센터	∘홈페이지에 개인정보보호책임자 내용 현행화 필요 ∘개인정보 취급자(외부용역 인력)에 대한 보안관리 필요 ∘개인정보 유통에 대한 이력관리 강화가 필요
사회서비스 관리센터	∘외주 용역인력에 대한 보안대책 필요
일산병원	∘침해대책 등에 대한 구체적인 대응체계 마련 필요 ∘개인정보 관련 직원 정기교육 실시 필요
대한적십자사	∘자료가 공유되는 위탁기관과의 계약관계 서류 등이 필요 ∘개인정보 중 민감한 자료 취급자에 대한 별도관리 및 교육 필요
국립의료원	∘인력부족으로 개인정보 관리규정에 대한 전반적인 이해가 부족 ∘개인정보 관련 직원 정기교육 실시 필요 ∘사용자의 발령, 퇴직 등에 의한 권한부여 및 통제관리 필요
장기이식 관리센터	∘개인정보 관련 위탁직원 정기교육 실시 필요 ∘위탁기관 및 담당자에 대한 계약관계 서류, 보안각서 등을 보완 필요 ∘외부 위탁기관 관리자의 접근이 아이디, 패스워드방식으로 접근되어 해킹이 우려 됨으로 대책 필요
심사평가원	∘침해대책 등에 대한 구체적인 대응체계 마련 필요 ∘개인정보파일의 보유기간 만료 시 파기 기한 설정 필요
국민건강 보험공단	∘개인정보취급자 수준별/계층별 교육프로그램 운영이 필요함
국민연금공단	∘개인정보취급자 수준별/계층별 교육프로그램 운영이 필요함

※ 자료 : 보건복지가족부, 2008. 10

주 : 2008년1월 실시한 개인정보관리실태 점검 결과에 기초해 작성된 자료임.

- 이러한 보안상의 취약점과 더불어, 보건복지가족부 관련 사이트를 대상으로 연간 수백 건의 해킹시도가 이뤄지고 있는 것으로 밝혀져 충격을 주고 있다. 현재 대전에 위치한 정부통합전산센터에서 모니터링 되고 있는 보건복지가족부 관련 38개 사이트에 대한 해킹시도 건수를 집계한 결과, 지난해에만 900여건이 감지되었다. <38개 사이트목록 첨부(7p)>

- 2007년 한해 동안 총 920건, 월평균 77건의 해킹시도가 감지되었고, 2008년에는 9월까지 총 789건, 월평균 66건의 해킹시도가 있었던 것으로 파악됐다.

<보건복지가족부 해킹시도 건수(2007~2008.9)>

구분	계	`07.1	`07.2	`07.3	`07.4	`07.5	`07.6	`07.7	`07.8	`07.9	`07.10	`07.11	`07.12
건수	920	32	167	167	86	46	37	198	48	33	40	168	77
구분	계	`08.1	`08.2	`08.3	`08.4	`08.5	`08.6	`08.7	`08.8	`08.9
건수	789	31	129	117	105	102	82	72	92	59

※ 자료 : 정부통합전산센터, 2008. 10

- 2008년도에 발생한 해킹시도 중 침입국가 파악이 가능한 547건을 분석한 결과, 총 44개국에서 해킹을 시도한 것으로 나타났다. 국가별로는 중국이 264건으로 가장 많았으며, 한국 83건, 미국 48건 순으로 나타났다. 독일, 브라질, 터키도 각각 19건, 18건, 15건으로 상위에 랭크됐다.

- 이토록 많은 국가에서 다양한 형태의 침입시도가 있었다는 사실은 정부기관에 집적된 국민들의 개인정보와 방대한 양의 정부자료를 노리는 세력들이 상시 존재하고 있으며, 철저한 보안관리시스템이 작동하지 않을 경우 언제든지 외부로 유출될 가능성이 있음을 보여주는 것이다.

<보건복지가족부 국가별 해킹시도 현황(2008년)>

국가명	계	네덜란드	대만	덴마크	독일	라트비아	러시아	루마니아	모로코	몽골	미국	베네수엘라	브라질	스웨덴	스위스
건수	547	6	8	3	19	1	9	1	1	1	48	1	18	1	2
국가명	스페인	슬로바키아	싱가포르	아르헨티나	알바니아	에콰도르	영국	오스트리아	우루과이	이스라엘	이탈리아	인도	일본	중국	체코
건수	3	3	2	1	1	1	7	3	1	2	1	4	4	264	1
국가명	칠레	캐나다	케냐	타이완	태국	터키	페루	포르투칼	폴란드	프랑스	핀란드	한국	헝가리	호주	홍콩
건수	1	5	1	1	2	15	1	2	4	9	1	83	1	3	1

※ 자료 : 정부통합전산센터, 2008. 10 (임두성의원 재구성)

- 이러한 실태와 관련해 임두성 의원은 “가장 철저하고 안전하게 관리되어야 할 국민 질병정보가 정부기관에 의해 허술하게 관리되고 있음이 밝혀져 유감이다. 그동안 국민연금, 건보공단, 심평원 등 대형기관의 개인정보 관리에 관심이 집중되는 동안, 타 기관들은 사실상 사각지대에 방치된 셈이다”라고 주장했다.

- 이어 임의원은 “보건의료 관련 정부 및 공공기관은 가장 민감하고 중요한 국민 질병정보의 집합소인 만큼, 어느 기관 하나도 관리를 소홀히 해선 안 된다. 복지부 산하 모든 기관들이 국민연금 및 건강보험공단 수준의 개인정보관리시스템을 갖추도록 집중적인 투자가 필요하다. 특히 복지부는 산하기관에 대한 정보보안 모니터링체계를 도입하고, 질병정보 등 모든 개인정보에 접근 시 공인인증서를 활용하도록 관리시스템을 개선해야 한다”고 대책마련을 촉구했다.

<보건복지가족부 웹해킹 탐지 대상 시스템 목록>

연번	홈페이지명	URL	비 고
1	대표 홈페이지	www.mw.go.kr
2	우리부 대표 영문홈페이지	english.mw.go.kr
3	구)국가청소년위원회 홈페이지	youth.go.kr	통합예정
4	구)청소년위 원격교육시스템	lms.go.kr	폐지예정
5	보건복지가족부 영상갤러리	photo.youth.go.kr	통합예정
6	청소년스스로지킴이정보센터	y-patrol.go.kr
7	아동청소년정책실	www.dl.go.kr
8	풍선(사이버 카운셀링)	e-learning.go.kr
9	유해환경감시단(업무용홈페이지)	wg.youth.go.kr
10	청소년쉼터행정지원시스템	shelter.youth.go.kr
11	국제교류네트워크	iye.youth.go.kr
12	식품안전지키미	foodsafety.mohw.go.kr
13	건강보험 심사청구 시스템	hisimpan.mw.go.kr
14	전국공설장사시설 정보안내	jangsa.mohw.go.kr
15	전자도서관 홈페이지	library.mw.go.kr
16	전자도서관 홈페이지	pda.mohw.go.kr
17	전자도서관 홈페이지	ebook.mohw.go.kr
18	주민서비스 포털 홈페이지	oklife.go.kr
19	사회서비스 바우쳐홈페이지	socialservice.or.kr
20	지역사회복지 홈페이지	www.e-welfare.go.kr
21	국가복지정보시스템	www.w4c.go.kr
22	면허재교부/증명서 온라인신청	lic.mw.go.kr
23	국제식품규격위원회 자료 열람	codex.mohw.go.kr
24	보건복지콜센터 홈페이지	www.129.go.kr
25	오송바이오생명단지	team.mw.go.kr/osong
26	국민기초생활보장제도	team.mw.go.kr/blss
27	마약류대책협의회	team.mw.go.kr/drug
28	저출산고령사회정책	www.precap.go.kr
29	기초노령연금 홈페이지	bop.mw.go.kr
30	통계포털홈페이지	stat.mw.go.kr
31	보고통계시스템 홈페이지	hap.mw.go.kr
32	가족친화지수	ffi.mw.go.kr
33	장애인정책 홈페이지	able.mw.go.kr
34	국립의료원 홈페이지	www.nmc.go.kr
35	국립서울병원	www.snmh.go.kr
36	국립재활원	www.nrc.go.kr
37	국립춘천병원	www.cnmh.go.kr
38	국립망향의동산관리소	www.nmhc.go.kr

※ 자료 : 보건복지가족부․정부통합전산센터, 2008. 10