보건행정 핵심 해설
이 문제는
전자의무기록(EMR) 시스템의 보안 관리 원칙을 묻고 있어요.
개인정보보호법과
의료법에 따라 환자의 민감한 건강정보를 다루는 EMR 시스템은 최소한의 필수 보안 조치를 마련해야 하는 법적 의무가 있습니다.
핵심 개념 분석 (Key Concept): EMR 보안의 핵심은
기밀성(Confidentiality), 무결성(Integrity), 가용성(Availability)의 3대 원칙을 지키는 것이에요. 이를 위해 기술적·관리적·물리적 보호조치를 마련해야 하며, 문제의 선택지들은 대표적인 관리적·기술적 조치들입니다.
정답 근거 (Answer Rationale): 정답은 ③번이에요.
핵심! 공용 컴퓨터에 자동 로그인을 설정하는 것은, 권한이 없는 제3자가 해당 컴퓨터를 사용하면 즉시 환자 기록에 접근할 수 있게 만드는 매우 위험한 행위입니다. 이는 보안을 강화하는 조치가 아니라,
접근 통제(Access Control) 원칙을 정면으로 위반하여 보안을 현저히 약화시키는 행위에 해당해요.
오답 분석 (Distractor Analysis):
①
혼동 주의! 강력한 비밀번호 정책(정기 변경, 복잡성 요구)은 사용자 인증의 기본이며, 보안 강화의 필수 조치입니다.
② 중요 데이터 전송 시 암호화(SSL/TLS 등)는 도청이나 변조를 방지하여 데이터 무결성과 기밀성을 보호하는 핵심 기술적 조치입니다.
④
최소 권한의 원칙(Principle of Least Privilege)에 따라, 사용자 역할(의사, 간호사, 행정직)에 맞게 접근 권한을 세분화하는 것은 불필요한 정보 노출을 차단하는 필수 관리 조치입니다.
⑤ 접근 로그 보관은
책임 추적성(Accountability)을 확보하는 핵심 수단입니다. 누가, 언제, 어떤 기록에 접근했는지 확인할 수 있어 불법 접근 시 조사 및 대응의 근거가 됩니다.
연관 개념 정리 (Related Concepts): EMR 보안은 단순 기술이 아닌 체계적인
정보보호 관리체계(ISMS)의 일환이에요. 또한,
개인정보 영향평가(PIA)를 통해 보안 위험을 사전에 평가하고 조치해야 합니다.
개념 정리
| 용어 | 의미 | 관련 법규/기준 |
|---|
| 접근 통제 | 인가된 사용자만 시스템/데이터에 접근하도록 제한 | 개인정보보호법 제29조 |
| 암호화 | 데이터를 변조해 권한 없는 자가 읽지 못하게 함 | 의료법 시행규칙 별표 11 |
| 감사 로그 | 시스템 사용 내역을 기록해 책임 추적 | 전자의무기록 표준규격 고시 |
| 최소 권한 원칙 | 업무 수행에 필요한 최소한의 권한만 부여 | 정보보호 관리체계(ISMS) 인증기준 |
한눈에 비교!
| 보안 강화 조치 (O) | 보안 약화 행위 (X) | 구분 포인트 |
|---|
| 이중 인증(2FA) 도입 | 비밀번호 공유 또는 게시 | 인증 수단의 독점성 유지 |
| 화면 보호기 암호 설정 | 자동 로그인 또는 세션 유지 | 물리적 자리 비움 시 접근 차단 |
| 정기적인 보안 교육 | 의료진 편의를 명목한 보안 우회 | 보안 의식 강화 vs. 편의 추구 |
실무 포인트
- 절차: 신규 직원 권한 부여 → 역할 기반 접근 제어(RBAC) 설정 → 정기 권한 검토(퇴직/부서 이동 시 반드시 회수) → 접근 로그 주기적 점검
- 서류: 정보시스템 접근권한 관리대장, 보안 서약서, 접근 로그 점검 보고서
- 기한: 비밀번호 변경 주기(예: 90일), 접근 로그 보관 기간(법정 5년 이상)
- 담당: 보건의료정보관리사 (기록 보안 총괄), 정보보호 담당자(기술적 조치)
암기 팁
"
비(밀번호)암(호화)접(근제한)로그"라고 외우세요! EMR 보안 4대 필수 조치(비밀번호 관리, 암호화, 접근 권한 제한, 접근 로그 관리)를 연상할 수 있어요. 여기에 "자동 로그인은 절대 No!"만 추가하면 됩니다.
국시 빈출 포인트
EMR 보안은
매년 출제되는 고정 주제예요. 특히 "보안을 약화시키는 행위"를 고르는 역발상 문제, 또는
개인정보보호법상 의무 조치(암호화, 접근통제 등)를 묻는 형태로 자주 나옵니다.
기출 변형 주의!
- 사례형: "간호사 A가 교대 근무를 위해 공용 컴퓨터에 자신의 ID를 로그인 상태로 둔 채 자리를 비웠다. 이로 인해 발생할 수 있는 법적 문제는?" → 개인정보 유출 및 과태료 부과를 지목해야 함.
- 법규 연결형: "의료법 시행규칙 별표 11에 명시된 EMR 표준 보안 조치에 포함되지 않는 것은?" → 동일한 개념을 법조문에 직접 연결해 출제.