보건행정 핵심 해설
이 문제는
전자의무기록(EMR) 시스템 도입 시,
정보 보호 및 보안 관리의 우선순위를 묻고 있어요. 보건의료정보관리사는 환자의 민감한 개인정보와 진료 정보를 안전하게 관리하는
핵심! 책임을 지고 있기 때문에, 시스템 도입 시 기술적 기능보다도 법적·윤리적 요구사항을 먼저 충족시켜야 해요.
핵심 개념 분석 (Key Concept)
개인정보보호법과
의료법은 의료기관에게 환자 정보의 안전한 관리와 보호를 법적 의무로 규정하고 있어요. 전자의무기록(EMR)은 종이 기록보다 접근과 복제가 용이한 대신, 대규모 유출이나 불법 접근의 위험이 크기 때문에, 시스템 도입 단계부터
'보안과 접근 통제'를 최우선 설계 원칙으로 삼아야 해요. 이는 단순한 기술 선택이 아니라, 법적 책임과 환자 신뢰의 기반이 되는 핵심 요소예요.
정답 근거 (Answer Rationale)
정답이 ③번인 이유는,
핵심! 개인정보보호법 제29조(안전성 확보 조치)와
의료법 제21조의2(의료정보의 보호)에서 정보처리자(의료기관)에게 관리적·기술적·물리적 보호 조치를 의무화하고 있기 때문이에요. 시스템 도입 시 '보안 기능(암호화, 백업, 복구)'과 '접근 통제 체계(역할 기반 접근 제어(RBAC), 접근 로그 기록)'를 검증하는 것은 이러한 법적 의무를 이행하기 위한 첫걸음이에요. 다른 요소들은 중요하지만, 법적 책임과 직결된 보안 요건보다 후순위로 고려됩니다.
오답 분석 (Distractor Analysis)
혼동 주의! 각 오답은 시스템 도입 시 고려해야 할 중요한 요소이지만, 환자 정보 보호라는
법적·윤리적 최우선 과제의 관점에서는 후순위에 해당해요.
①
구매 비용과 예산: 경영적 측면에서 중요하지만, 보안이 취약한 저가 시스템을 선택하는 것은 막대한 법적 리스크(과태료, 손해배상)를 초래할 수 있어요. 보안은 비용이 아니라 필수 투자예요.
②
벤치마킹: 좋은 참고 방법이지만, 타 병원의 성공 사례가 우리 병원의 보안 요구사항과 법적 환경을 완전히 대체할 수는 없어요.
④
처리 속도와 저장 용량: 시스템 성능과 관련된 중요 요소지만, 보안이 확보되지 않은 빠른 시스템은 오히려 정보 유출의 통로가 될 수 있어요.
⑤
사용자 인터페이스(UI): 업무 효율성과 직관성을 높이지만, 보안 절차(예: 복잡한 비밀번호, 2단계 인증)를 간소화하도록 설계된다면 보안을 약화시킬 위험이 있어요.
연관 개념 정리 (Related Concepts)
전자의무기록(EMR) 보안의 3대 축은
기밀성(Confidentiality), 무결성(Integrity), 가용성(Availability)이에요. 접근 통제는 기밀성을, 시스템 검증은 무결성과 가용성을 보장하기 위한 활동이에요. 또한,
의료정보교환망(HI-N)을 통한 자료 조회 시에도 동일한 보안 원칙이 적용됩니다.
개념 정리
| 개념 | 내용 | 관련 법령 |
|---|
| 전자의무기록(EMR) 보안 | 환자 정보의 불법적 접근, 사용, 변경, 유출, 파괴를 방지하기 위한 모든 조치 | 개인정보보호법, 의료법, 정보통신망법 |
| 접근 통제(Access Control) | 권한이 부여된 사람만이 필요한 정보에 접근할 수 있도록 제한하는 체계 (예: RBAC) | 개인정보보호법 시행령 별표 5 |
| 안전성 확보 조치 | 관리적(내부관리계획), 기술적(암호화), 물리적(출입통제) 조치를 총칭 | 개인정보보호법 제29조 |
한눈에 비교!
| 고려 사항 | 중요성 | 고려 시점 | 비고 |
|---|
| 보안 기능/접근 통제 | 최우선 (법적 의무) | 도입 전 검증, 도입 후 지속 관리 | 법적 리스크와 직결 |
| 시스템 성능/비용 | 높음 (경영적) | 도입 전 비교 평가 | 보안 요건 충족 후 고려 |
| 사용자 편의성 | 중간 (업무 효율) | 도입 전 사용성 테스트 | 보안과의 균형 필요 |
실무 포인트
보건의료정보관리사의 EMR 도입 검증 체크리스트 (보안 편):
1.
접근 로그: 모든 접속 이력을 자동으로 기록·보관(
5년)하는가?
2.
역할 기반 접근 제어(RBAC): 의사, 간호사, 원무직 등 직무에 따라 화면과 기능 접근 권한을 세분화할 수 있는가?
3.
암호화: 저장 및 전송 중인 데이터가 암호화되는가?
4.
재해 복구: 시스템 장애 시 데이터 복구와 업무 연속성 계획(BCP)이 있는가?
5.
개인정보 영향평가(PIA): 도입 전 법정 평가를 수행했는가?
암기 팁
"
보안은 비용이 아니라 기본!"
시스템 도입 시 생각해야 할 순서:
법(보안) > 안(성능/안정성) > 편(편의성) > 돈(비용)으로 기억하세요. 법적 요구사항을 먼저 충족시켜야 나중에 더 큰 비용(벌금, 소송)을 막을 수 있어요.
국시 빈출 포인트
이 주제는
사례 적용형으로 자주 출제돼요. "EMR 도입 시", "원격진료 시스템 운영 시", "의료정보를 연구용으로 제공할 때" 등 구체적인 상황에서
우선적으로 해야 할 보호 조치를 묻는 패턴이 많아요. 항상 '환자 정보 보호'와 '법적 준수'를 최우선 기준으로 삼아야 해요.
기출 변형 주의!
동일한 개념을 다음과 같이 변형하여 출제될 수 있어요:
-
계산/수치형: "개인정보 유출 시 과태료는 최대 얼마인가?" (개인정보보호법 제75조)
-
진위형: "EMR 시스템의 접근 기록 보존 기간은 3년이다. (O/X)" (정답: X, 5년)
-
다지선다형: "환자 정보 보호를 위한 기술적 조치로 옳은 것 모두 고르시오." (암호화, 접근통제, 백업 등)