바이오인

커넥티드 의료기기 보안 동향 및 이슈

I. 서론

의료기기 해킹, 유전체 해킹 등 환자의 생명을 위협하는 휴먼 해킹 이슈가 전세계적인 사회문제로 등장하고 있다. 미국 식품의약국(FDA)은 2019년 6월 Medtronic MiniMed™ 인슐린 펌프가 잠재적인 사이버보안 위협을 지니고 있다는 경고문을 공지하였다. FDA의 경고문에서는 허가받지 않은 사람이 보안 취약점을 가진 인근 MiniMed 인슐린 펌프에 무선 연결, 펌프설정 변경이 가능하여, 인슐린 과다 공급 또는 중단 등으로 인한 생명의 위협이 발생할 수 있다고 발표하였다. 2018년 FDA는 또한 St. Jude Medical사의(현재는 Abbott Laboratory에 인수) 심장박동기 및 전송중계기기의 보안 취약점을 발표하였고, 46만 여대의 심장박동기에 대해 리콜 조치를 취하였다. 이 취약점을 악용하면 공격자가 심장박동기에 무단 접속하여 설정을 변경하거나, 기기의 기능들을 방해할 수 있으며 배터 리 소모공격, 개인정보 유출 등의 가능성이 있다.

2017년에 WannaCry 랜섬웨어의 경우 미국, 영국 등 다수의 의료기기도 감염되어 피해를 보았다. 영국의 경우 81개 의료기관이 피해를 보았으며, 그로 인해 20,000건의 수술 또는 진단 등의 약속이 취소되는 일이 있었다. 의료산업을 겨냥한 대표적인 해킹공격인 MEDJACK의 경우 TrapX에 의해 2015년부터 2017년까지 3차례 발견되어 보고가 되었 다. MEDJACK은 X레이, MRI 등 의료기기를 통해 네트워크에 침투하는 공격으로 의료기 기 백도어, 의료기기 봇넷, 탐지시스템 우회, 패치되지 않은 구형 OS가 탑재된 저사양 의료기기 선별 공격 등 점점 공격이 지능화되는 추세이다. 그 외 2016년 약물주입기 공격, 2015년 원격수술로봇 공격 등 다양한 의료기기에 대한 사이버공격 사례가 지속적 으로 보고되고 있다.

Zingbox에서 발표한 2015년 이후 현재까지의 통계를 보면, 90%의 병원이 사이버공격 의 피해를 보았고, 병원 네트워크 트래픽 중 75%는 감시되지 않고 있으며, 확인된 공격의 17%는 커넥티드 의료기기로부터 시작되었고, 의료기기의 95%는 엔드포인트 보안이 적용 되지 않고 있는 것으로 나타났다.

이처럼 커넥티드 의료기기의 사이버 공격 피해가 증가함에도 불구하고 보안에 대한 기 술적 대책이 미비한 것은 의료기기 고유의 특성 때문이다. 예를 들어, 현재 병원에 설치된다수의 의료기기는 오래된 장비로 구형 운영체제 및 소프트웨어가 탑재되어 있으며, 보안 이 고려되지 않고 설계된 것이다. 또한, 의료기기의 보안 패치나 업데이트가 제공되지 않 는 경우가 많고, 외산 의료기기가 다수를 차지하고 있기 때문에 기존에 설치된 의료기기에 대한 보안대책 마련이 쉽지 않은 상황이다. 의료기기의 가용성 때문에 의료기기 백신 등의 추가적인 소프트웨어 설치도 어려운 상황이다. [그림 1]은 의료기기에 대한 일반적인 구조 및 보안 위협을 보여준다.

이제, 의료기기도 IoT화 되어 무선/네트워크 연결성이 확대되는 IoMT(Internet of Medical Thing) 형태로 진화하고 있어, 이에 대한 보안 위협을 해소할 수 있는 대책마련 이 시급하다. 본 고에서는 이러한 의료기기의 보안 위협을 해소하기 위한 국내외 동향을 살펴보고 현재 화두되고 있는 주요 보안 이슈들을 살펴본다.

...................(계속)

☞ 자세한 내용은 내용바로가기 또는 첨부파일을 이용하시기 바랍니다.