의료 사업자들에게 마감 기한이 되어가고 있다. 즉 이제 더 이상은 환자의 ID로 주민등록번호를 사용하거나 혹은 개인 정보용으로 그런 편리한 무선 차트에 완전히 의지할 수는 업게 된다. HIPAA(Health Insurance Portability and Accountablity Act of 1996)로 인해 기업 서류 캐비넷과 컴퓨터 데이터베이스에 저장된 개인 정보를 소유하고 있는 개인과 의료 사업자들은 엿보는 시선들로부터 정보 보안을 유지해야 하는 게 의무 사항이 되었다. 이번 호에서는 HIPAA(Health Insurance Portability and Accountablilty Act)를 지키는 데 필요로 하게 될 툴들을 살펴봤다.

HIPAA는 의료 기록의 안전한 EDI(Electronic Data Interchange)를 필요로 하며, 의료 계획안들, 즉 HMO, 메디케어(Medicare) 및 메디케이드(Medicaid) 프로그램과 같은 의료안들과 전자적 의료정보를 저장 및 처리하는 정보센터 등과 같은 곳에서는 PHI(Protected Health Information)로 알려져 있다. HIPAA 규정에는 프라이버시와 보안 규정 방안들이 함께 CFR 타이틀 45 파트 164(Code of Federal Regulations)에 포함돼 있다. 프라이버시 규정은 4월14일 이래 효력을 발휘했으며, 최종 보안 규정은 대부분의 의료안들의 경우 2005년 4월 20일자로 효력이 발휘됐다(보다 작은 의료안들은 2006년 4월 20일까지 시간이 있다).
HIPAA 보안 규정은 전자적 형태로만(인터넷, 엑스트라넷, 전용망 및 임대 회선과 다이얼업 회선) PHI의 비허가 전송에 대해 보호를 해준다. PHI를 전송하는 데 사용되는 다른 기술들, 즉 전화기를 통한 음성, 종이 대 종이 팩스기, 그리고 화상회의와 음성 메일 시스템 등은 아날로그 트랜잭션이다. 따라서 HIPPA의 보안 규정의 범위를 벗어난다. HIPAA에 의하면 해당되는 각 가관의 책임자는 보안 정책과 프로시저를 개발 및 이행해야 할 책임이 있다.

보안 규정 완전 해부
HIPAA의 보안 규정은 중소기관들에서의 모든 보안 및 규모 면을 포괄적으로 다루는 것을 목표로 하지만, 특정 기술과는 연관이 없다. 대신 신기술에 대해서 규정을 충족시킬 수 있게 총체적인 가이드라인이 마련돼 있다. 일반적으로 표준을 정하고 사양을 이행하는 다양한 규정들에는 여러 가지 솔루션들이 요구된다.
HIPAA 보안 규정은 세 가지 분야, 즉 관리적, 물리적 및 기술적 안전수칙을 다루고 있다. 관리적인 정책과 프로시저가 가장 중요하며, 물리적·기술적 안전수칙에 영향을 미친다. 관리적인 안전 수칙에는 직원용 보안 지각 교육, 보안 사건들에 대한 보고 및 대응용 프로시저, 그리고 장애복구용 대책안 개발 등이 포함될 수 있다.

기술적 준수
HIPAA의 기술적인 안전 수칙에서는 감사 제어 및 인증 방안에 대한 표준이 요구된다. 기관들은 PHI를 포함한 정보 시스템에서의 활동을 기록 및 평가하는 하드웨어, 소프트웨어나 프로시저 메커니즘를 이행해야 한다. 정보 시스템은 공통의 기능성을 공유하고 같은 관리 기관 아래서 오는 상호접속된 자원들(하드웨어, 소프트웨어, 정보, 데이터, 애플리케이션, 통신 및 사람들)로 정의된다.
감사 영역에서의 기술적인 준수를 위해서는 감사 추적뿐만 아니라 데이터 무결성 제어와 시스템 작동에 대한 명확한 뷰를 제공할 수 있는 바인드뷰 폴리시 오퍼레이션 센터(Bindview Policy Operations Center)나 노벨 엔슈어 오디트(Novell Nsure Audit) 같은 제품들을 알아 보라. 모바일 및 무선 사용자가 있다면 데이터미러 라이브오딧(DataMirror LiveAudit)을 알아 보라.
전자적 PHI로의 액세스를 원하는 사람이나 기관의 신원은 반드시 검증돼야 한다. 이러한 필요조건을 충족시키기 위해서는 다중사용자 운영시스템, 즉 리눅스, 윈도 및 유닉스 등이 사용자 및 그룹 할당과 함께 설정될 수 있다. 보다 규모가 큰 환경에서는 액티브 디렉토리, 노벨의 e디렉토리, 썬의 자바 시스템 디렉토리 서버 및 기타 LDAP 기반 디렉토리 등과 같은 디렉토리들이 사용될 수 있다

요구되는 사양 對 어드레싱 가능한 사양들
HIPAA의 기술적인 안전수칙 규정으로는 액세스 제어, 데이터 무결성 및 전송 보안용 표준 등 보다 세부적인 필요조건들이 포함돼 있다. 이러한 각각의 표준에는 요구되거나 어드레싱이 가능한 이행 사양들이 있다.
요구되는 사양들로는 액세스 제어용 표준이 있는데, 이것은 특정 액세스 권한을 허가받은 사람이나 소프트웨어로만 PHI로의 액세스를 제한하는 프로세서라고 정의된다. 이러한 규정을 충족시키는 사양으로는 비상시 모든 사용자와 프로시저에게 데이터로의 액세스를 할 수 있는 고유의 ID(사용자 이름이나 숫자)를 할당하는 메커니즘이 포함돼 있다
중복 및 페일오버가 있는 마이크로소프트, 노벨, 혹은 썬의 디렉토리 방안을 이행함으로써 비상시 액세스를 보장할 수 있다. 예를 들어 BNX의 오쎈티케이티드 사인온(Authenticated Sign-On)과 지멘스(Siemens)의 하이패스 디어엑스 컴팩트 포 헬스케어(Hipath DirX Compact for Healthcare)툴과 같은 보다 전문적인 솔루션들은 필요를 보다 잘 충족시켜 줄 것이다. BNX의 툴은 시스템과 애플리케이션으로 사인온이나 인증 방안을 관리한다. 지멘스의 제품은 비즈니스 프로세스와 통합되는 신원 관리를 제공하며, 애플리케이션과 서비스용 인증을 지원한다.
액세스 제어용의 다른 이행 사양들로는 사전 정의된 비활동 시간 및 암호화/암호해독 기능들 이후에 전자 세션을 종료하기 위한 자동 로그오프 프로시저가 포함된다.
이렇듯 가능한 이행 사양들은 기관들에게 보안 표준을 준수하는 데 있어서의 유연성을 준다. 조직에서는 어드레싱 가능한 이행안이 ‘합리적인지’와 보안 프레임워크 안에서 ‘접합한지’ 여부를 자체적으로 결정해야 한다. 이를 위해서는 PHI 위험 분석이 필요한데, 각각의 기관은 기밀성, 무결성 및 전자적 PHI의 가용성을 보장하기 위해 반드시 이 PHI를 해야만 한다.
게다가 조직에서는 위험과 취약성을 줄여야 한다. 위험 관리를 해결하기위해서는 NIST(National Institute of Standards and Technology)의 ‘정보기술 시스템에 대한 위험 관리 가이드(csrc.nist.gov/publications/nistpubs/ 800-30/sp800-30.pdf)’를 보기바란다.
위험 평가 후, 합리적이고 적합한 어드레싱 가능한 이행 사양이 있다면 기관에서는 이것을 이행해야 한다. 만약 이행이 비합리적이거나 부적합하다고 결정이 된다면 이것을 뒷받침해줄 문서가 필요하다. 그런 다음 기관에서는 어드레싱 가능한 사양과 같은 목표를 수행하는 대안을 이행하거나 어떤 솔루션도 이행하지 말아야 한다.
데이터 무결성을 보호하기 위한 표준에는 부적절한 변경이나 파괴로부터 PHI를 보호하기 위해 고안된 단 하나의 어드레싱이 가능한 이행 사양이 포함된다. 이러한 요건을 충족시키는 제품은 전자적 PHI가 허가되지 않은 방식으로 변경되거나 파괴되지 않는다는 것을 정식으로 확인(corroborate)해준다. 우선 시만텍, 맥아피, 혹은 포티넷의 안티바이러스 소프트웨어가 환경에 포함돼 있는지를 확인해야 하지만, 완전 준수에는 데이터의 전자적, 혹은 종이 카피가 필요하다는 사실을 알아야 한다.

전송 보안 제품들
전송 보안은 통신 네트워크를 통해 전송되는 전자적 PHI로의 허가받지 않은 액세스에 대해 보호를 해준다. 에어이스페이스, 체크포인트 소프트웨어 테크놀로지스 및 RSA 시큐리티 등에서 다양한 제품들이 이러한 요건을 충족시키도록 도울 수 있다. 이러한 안전 수칙을 충족시키는 이행 사양은 둘다 어드레싱이 가능하다(이것이 합리적이고 적합한 경우에만 해야 한다).
허밍버드 엔터프라이즈(Hummingbird Enterprise)와 스텔런트 유니버설 콘텐트 매니지먼트 시스템(Stellent Universal Content Management System)의 문서 관리 시스템 등과 같은 적절한 처분이 있을 때까지는 무결성 제어를 적용시킴으로써 그 생명 주기 동안에 탐지가 없이 PHI가 부적절하게 변경되지 않도록 보장해주는 제품을 찾아야 한다. 또한 써드파티에 의해 변경될 가능성이 낮은 형태로 데이터를 전송해주는 암호화 툴을 고려해 보라.