전자진료기록에 접근권한을 부여할 때 적절한 방법은?

최소권한과 개인별 인증은 무단 열람을 줄이고 접근기록 추적을 가능하게 한다.

전자진료기록(EMR)은 환자의 진단명, 투약 기록, 검사 결과, 사회력 등 민감한 개인정보가 집약된 시스템입니다. 치과 병·의원에서도 진료 협조와 보험 청구를 위해 치과위생사가 전자진료기록에 접근하는 일이 빈번하므로, 접근 권한을 어떻게 설계하고 운영하는지는 정보 보안과 환자 안전의 핵심 과제입니다. 이 문제는 단순히 ‘정답을 고르는’ 암기형 문항이 아니라, 실제 임상에서 전자진료기록을 다룰 때 반드시 적용해야 하는 최소 권한의 원칙(Principle of Least Privilege)을 묻고 있습니다.

최소 권한의 원칙이란
사용자가 맡은 업무를 수행하는 데 필요한 최소한의 접근 권한만 부여하고, 그 이상의 불필요한 권한은 주지 않는 보안 설계 원칙입니다. 근거 자료에서 제시한 Cerberus 접근 제어 체계는 환자 코호트 연구 플랫폼에서 사용자가 이용 가능한 데이터의 폭을 활용하도록 하면서도 접근 권한에 대한 엄격한 통제를 강제하는 것을 핵심 과제로 봅니다. 이는 연구용 플랫폼에 국한된 이야기가 아니라, 진료 현장의 전자진료기록 운영에도 동일하게 적용됩니다. 치과위생사가 진료 협조를 위해 차트를 열람하고 기록을 입력해야 한다면, 그 업무에 필요한 ‘해당 환자의 진료 기록’과 ‘자신의 기록 입력 권한’만 부여하면 충분합니다. 다른 직원의 개인 계정이나 인사·재무 정보까지 열람할 권한은 필요하지 않습니다.

오답이 위험한 이유
1번 ‘전 직원이 같은 계정을 공유’하는 방식은 누가 어떤 기록을 열람하고 수정했는지 추적할 수 없게 만듭니다. 의료법상 진료기록의 작성 주체와 책임 소재가 불분명해지고, 사고가 발생했을 때 법적 분쟁에서 불리해질 수 있습니다. 2번 ‘퇴직자의 계정을 유지’하는 것은 퇴직 후에도 내부 정보에 접근할 수 있는 경로를 남기는 것이므로 심각한 보안 취약점입니다. 퇴직 즉시 계정을 비활성화하거나 삭제해야 합니다. 3번 ‘접속기록을 남기지 않는 것’은 진료기록의 무결성과 신뢰성을 훼손합니다. 전자진료기록은 누가, 언제, 어떤 기록에 접근했는지에 대한 접근 로그(access log)가 남아야 하며, 이는 의료법과 개인정보보호법에서 요구하는 핵심 관리 사항입니다. 5번 ‘비밀번호를 공개 게시’하는 것은 접근 통제 자체를 무력화하는 행위로, 권한 없는 제3자의 무단 접근을 초래할 수 있습니다.

혼동 주의! ‘편의성’과 ‘보안’을 맞바꾸는 선택지는 모두 오답입니다. 계정 공유, 비밀번호 공개, 접속기록 미보존은 당장은 편해 보여도 환자 정보 유출과 법적 책임이라는 더 큰 위험을 만듭니다.

임상·국시 적용 포인트
치과위생사 국가고시와 임상 실무에서는 전자진료기록 접근 권한과 관련하여 다음 사항을 연결해 이해해야 합니다. 첫째, 개인별 계정을 부여하고 업무에 필요한 최소 권한만 설정하는 것이 기본 원칙입니다. 둘째, 접속 기록은 정기적으로 점검하여 비정상적인 접근 시도를 탐지해야 합니다. 셋째, 퇴직이나 부서 이동 시에는 즉시 권한을 회수하거나 변경해야 합니다. 이는 단순한 행정 절차가 아니라 환자 개인정보를 보호하고 의료기관의 법적 리스크를 줄이는 필수 조치입니다. 근거 자료의 접근 제어 체계가 ‘설계, 구현, 배포’에 이르는 권한 관리의 전 생애주기를 다루는 것처럼, 전자진료기록 권한 관리도 부여 시점부터 회수 시점까지 지속적으로 관리되어야 합니다.