Q1.		제도개선 의의 및 내용은?

☞ 발전된 정보통신기술을 활용하여 전자의무기록을 보다 안전하고 효율적으로 보관·관리하기 위한 조치로

- 현행처럼 의료기관 내부에서 보관·관리하는 경우 개인정보보호법을 준용하여 현재의 관리수준을 유지할 수 있도록 하고,

- 의료기관 외부장소에 보관·관리하는 경우 정보보호 우려 등을 감안하여 내부 보관시보다 강화된 시설·장비 기준을 마련·적용하였습니다

< 의료법 시행규칙 및 고시 주요내용 >

(시행규칙) 제16조 제1항		(고시) 시설·장비 세부기준
구분	조문내용	공통 조치사항	외부보관시 추가 조치사항
제1,2호	ㅇ전자의무기록 생성 및 전자서명	‣전자의무기록 생성·저장 및 전자서명 검증 ‣전자의무기록 이력관리
제3호	ㅇ백업저장장비	‣주기적 백업 ‣잠금장치가 구비된 보관장소	‣무중단 백업 및 긴급복구 ‣백업데이터 위변조 방지 ‣백업설비 분리 운영
제4,5호	ㅇ네트워크 및 전자의무기록 시스템 보안	‣접근통제 및 권한제한 ‣개인정보의 암호화 ‣접속기록의 보관 ‣보안프로그램 설치 등	‣네트워크이중화 ‣인증된 보호제품 사용 ‣데이터 무결성 보장 ‣접근통제시스템 구성 ‣데이터 관리방안 마련 등
제6호	ㅇ물리적 접근 방지 시설과 장비	‣보관시설의 마련 ‣잠금장치의 설치 등	‣출입통제구역 설치 ‣출입통제 및 모니터링 ‣장비소재지 국내로 한정
제7호	ㅇ외부보관시 필요 시설과 장비		‣실시간 모니터링 ‣장애대비 예비장비 운영 ‣CCTV설치·운영 ‣침입감지장비 운영 ‣재해예방시설 설치 등

< 백업저장장비 >

Q2.		(내부보관) 전자의무기록을 주기적으로 안전하게 백업할 수 있는 기능을 갖춘 백업저장장비는 무엇이며, 적정 주기는?

☞ 전자의무기록의 손실 등에 대비하여 주기적으로 자료를 복사할 수 있는 전자의무기록시스템과는 독립된 저장장치(USB, 외장하드 등 포함)를 말합니다.

- 백업의 주기는 일․주․월 단위 백업이 가능하며, 자료규모․운영 여건 등을 고려하여 적정 주기를 기관에서 선택하고, 개인정보보호법 제29조에 따른 내부관리계획에 반영하여 운영하시면 됩니다.

Q3.		(내부보관) 잠금장치가 구비된 보관장소는 어떤 곳인가? 의료기관이 잠금장치(비밀번호 도어락 출입문)를 하고 있다면 기준을 충족한 것으로 볼 수 있는 것인가?

☞ 보조저장매체 등 백업저장장치를 시건장치가 있는 서랍․캐비넷 또는 별도 공간에 보관하라는 의미입니다.

- 의료기관의 출입문 잠금장치만으로 동 기준을 충족한다고 보기는 어려울 것입니다.

Q4.		(외부보관) 의료기관 외부에 보관하고 있는 전자의무기록의 백업데이터 위·변조 및 삭제방지의 보호조치라는 것은 구체적으로 어떤 내용인가요 ?

☞ 제3자가 백업데이터에 불법적으로 접근하여 자료 위변조와 삭제를 하지 못하도록 전자 인증처리 등으로 본인확인․부인방지를 하도록 함

Q5.		(외부보관) 백업설비 분리 운영시 물리적에 준한 논리적 분리 운영이 가능한가 ?

☞ 백업장비는 전자의무기록의 분실․도난․유출․위변조 또는 훼손 등의 사고를 대비하기 위한 장비이므로 전자의무기록시스템과  물리적으로 분리 운영되어야 합니다.

< 네트워크 및 시스템 보안 >

Q6.		(외부보관) 둘 이상의 경로를 제공하는 내부망 구성은 어떻게 해야 하는지?

☞ 통신망 또는 네트워크 카드의 장애로 인한 서비스 중단이 없도록 전자의무기록 시스템에 물리적으로 분리된 네트워크카드를 두 개 이상 구성해야 합니다.

Q7.		전자의무기록 시스템 운영을 통해 관리되고 있는 중요정보에 대해 암호화할 때, 중요정보라 함은 무엇인가 ?

☞ 개인정보보호법 제11조 및 안전성 확보조치 고시 제7조제1항에서 고유식별정보, 비밀번호 및 바이오정보를 반드시 암호화하도록 하고 있으며,

- 이와 더불어 의료기관에서 자체적으로 중요하다고 판단되는
정보를 추가적으로 암호화하면 됩니다.

Q8.		전자의무기록 시스템 운영을 통해 관리되고 있는 중요정보에 대해 암호화할 때, 암호화 가이드라인(종류, 기법 등)은 있는가 ?

☞ 중요정보에 대한 암호화 관리시에는 국정원의 CC인증제품 또는 암호화 알고리즘을 적용하셔야 합니다.

Q9.		(외부보관) CC인증제품은 국내 또는 국제기준을 준수해도 무방한지, CC인증이 필수적인 제품군은 무엇인가?

☞ 국내 국정원의 보안적합성 검증제도를 근거로 하고 있고, 보안기능이 있는 정보통신제품을 도입할 경우 아래 유형에 대해서는 반드시 CC인증을 받은 제품을 사용하여야 합니다.

<CC인증 필수제품 유형, ’16.1.1일>

제품 유형(24개)
1	스마트카드	13	소프트웨어기반 보안USB
2	복합기 완전삭제	14	스마트폰 보안관리 제품
3	침입차단시스템(FW)	15	통합보안관리제품
4	네트워크 자료유출방지 제품	16	망간자료전송 제품
5	웹 응용프로그램 침입차단 제품	17	패치관리시스템
6	가상사설망 제품	18	스팸메일 차단시스템
7	서버 접근통제 제품	19	DDoS 대응장비
8	DB 접근통제 제품	20	소스코드 보안약점 분석도구
9	네트워크 접근통제 제품	21	안티바이러스 제품
10	인터넷전화 보안제품	22	침입방지시스템(IPS)
11	무선랜 인증 제품	23	호스트 자료유출방지 제품
12	무선침입방지시스템	24	가상화 제품

< 물리적 접근 방지 시설과 장비 >

Q10.		위탁 운영중인 데이터센터(IDC 또는 CDC)에 전자의무기록이 보존 및 저장 되어 있고, 해당 데이터센터가 ISMS 인증을 받았다면 추가적인 조치를 하여야 하는가 ?

☞ ISMS 인증은 정보보호 관리체계에 관한 사항으로 인증기준이 정보보호관리 및 보호대책으로 구성되어 있습니다. ISMS인증을 받은
기관은 적정 보안조치가 보장될 수 있으나, 기준이 100% 일치되는 것은 아니므로 세부사항을 확인하여 추가 보완 조치가 필요합니다.

< 기타 >

Q11.		(외부보관) 의료기관 개설자는 위탁사업자와의 위탁계약을 통하여 전자문서의 보관, 도난, 소실에 대한 면책이 가능하지 여부 ?

☞ 개인정보보호법 제26조제6항에 따르면, 수탁자가 위탁받은 업무와 관련하여 개인정보를 처리하는 과정에서 이 법을 위반하여 발생한 손해배상책임에 대하여는 수탁자를 위탁자의 소속 직원으로 보도록 하고, 위탁자에게 사용자 책임을 부담하도록 하고 있습니다.

- 따라서 수탁자의 잘못으로 개인정보가 유출된 경우, 위탁자가
배상책임을 지게 됩니다.

Q12.		(외부보관) 위탁사업자와의 표준계약서 형식은 없는가?

☞ 개인정보보호법 제26조에 근거하여 제3의 전문기관에 업무를
위탁하는 것으로 외부보관계약과 관련한 별도의 표준계약 양식은 없습니다.

- 다만, 개인정보보호포털(www.privacy.go.kr)에서 가이드하고 있는 표준 개인정보처리 위탁계약서를 참조하시고, 장애시 처리기준 등 제공서비스 수준과 위반시 책임소재 등 권리의무관계를 명확히 할 수 있도록 추가사항을 포함하는 것을 권고합니다.