주제 1.7 — 정보 거버넌스, 데이터 보호 및 사이버 보안

보건·돌봄에서 정보를 보호하는 일은 돌봄을 제공하는 일과 분리할 수 없다. 생명을 구하는 바로 그 데이터가 잘못 다뤄지면 치료를 가능하게 하는 신뢰를 깨뜨릴 수 있으므로, 이를 어떻게 거버넌스하고, 공유하고, 보호하는지는 사후의 규정 준수 문제가 아니라 임상적, 윤리적, 대중 신뢰의 의무다.

보건·돌봄에서 이것이 중요한 이유#

보건·돌봄 데이터는 한 사람이 평생 만들어 내는 가장 민감한 정보 가운데 하나다. 진단, 약물, 정신건강 에피소드, 성 건강, 이민과 연결된 자격, 허약하고 취약한 삶의 은밀한 세부가 기록된다. 사람들은 임상의에게 이런 것을 암묵적 약속 위에서 털어놓는다. 정보가 자신을 돕는 데 쓰일 것이며 함부로 퍼지지 않으리라는 약속이다. 그 약속이 유출, 랜섬웨어로 인한 중단, 설명되지 않은 데이터 공유 거래로 깨지면, 환자는 정보를 숨기거나, 기록에서 빠지거나, 아예 돌봄을 피한다. 이는 추상적인 해악이 아니다. 임상 안전과 인구 건강을 직접 훼손한다.

위험은 운영상의 것이기도 하다. 현대 병원은 전자 시스템 없이 기능할 수 없다. 오더 소통, 결과, 전자 처방, 영상, 환자 행정이 모두 디지털이다. 이 시스템이 멈추면 구급차는 우회하고, 수술은 취소되며, 임상의는 종이로 돌아가면서 그 자체의 오류를 낳는다. 정보 거버넌스와 사이버 보안은 따라서 돌봄 연속성의 학문이다. 이들은 별도의 규정 준수 사일로가 아니라 임상 안전(주제 1.6 — 임상 안전 및 위험 관리) 곁에 있어야 한다.

마지막으로, 이 주제의 중심에는 진정하고 피할 수 없는 긴장이 있다. 대중은 보건 서비스가 데이터를 사용해 돌봄을 개선하고, 서비스를 계획하고, 내일의 치료법을 찾는 연구를 지원하기를 당연히 기대한다. 동시에 비밀 유지와 통제도 기대한다. 이 목표들은 서로 당기며, 리더의 역할은 그 긴장을 없는 척하는 것이 아니라 공개적으로 관리하는 것이다. 정당한 사용을 가능하게 하면서 안전장치와 환자가 가진 선택권을 눈에 보이고 정직하게 하는 것이다. 이 균형을 어느 방향으로든 잘못 잡으면 진다. 돌봄과 연구에서 데이터를 굶기거나, 전체 시스템이 기대는 신뢰를 허무는 것이다.

핵심 개념#

이 분야의 토대는 정보 거버넌스의 학문, 곧 조직이 정보를 합법적으로, 안전하게, 윤리적으로 다루는 규칙, 역할, 통제의 틀이다. 영국에서 주된 법적 기반은 브렉시트 이후 유지된 EU 규정의 국내판인 영국 일반 데이터 보호 규정(UK GDPR)과 이를 보충하는 Data Protection Act 2018(DPA 2018)이다. 이 둘은 함께 개인정보가 합법적이고, 공정하며, 투명하게 처리될 것과, 모든 처리 활동이 적법 근거에 기대고 있을 것을 요구한다. 건강 정보는 특수 범주 데이터로서 제6조에 따른 적법 근거와 제9조에 따른 추가 조건을 모두 필요로 하며, 직접 돌봄의 경우 흔히 비밀 유지 의무를 지는 전문직이 제공하는 보건 또는 사회적 돌봄이다.

데이터 보호법이 유일한 제약은 아니다. 비밀 유지에 관한 관습법상 의무는 별개의 더 오래된 의무다. 비밀로 제공된 정보는 동의, 법적 요구, 또는 압도적 공익 중 하나 없이는 공개될 수 없다. UK GDPR을 완전히 준수하고도 비밀 유지를 위반할 수 있으므로 둘 다 충족해야 한다.

두 가지 보건 특화 프레임워크가 이 의무를 실천으로 옮긴다. Caldicott 원칙은 기밀 환자 정보를 다루기 위한 원칙의 집합(현재 여덟 개)으로, 1997년 Caldicott 보고서에서 처음 제시되었고 각 조직 내에서 Caldicott Guardian이 지킨다. 환자 비밀을 보호하고 적절한 정보 공유를 가능하게 할 책임을 지는 고위 인물이다. 국가 수준에서 보건 및 사회적 돌봄 국가 데이터 수호자(NDG)는 환자 데이터를 어떻게 사용하고 보호해야 하는지 조언하는 독립적 법정 목소리다. 국가 데이터 옵트아웃은 환자가 자신의 기밀 정보가 계획이나 연구 같은 직접 돌봄 외의 목적에 사용되지 않도록 막는 수단이며, 조직은 이를 존중해야 한다.

운영적으로, 데이터 보호 영향 평가(DPIA)는 고위험 가능성이 있는 처리 — 대부분의 새로운 보건 데이터 사업이 그렇다 — 를 하기 전에 완료해 개인정보 위험을 식별하고 완화하는 구조화된 평가다. 각 조직은 규정 준수를 자문하고 모니터링할 책임을 지는 독립적 역할인 정보보호책임자(DPO)를 임명해야 한다. 잉글랜드에서 Data Security and Protection Toolkit(DSPT)은 보건 및 돌봄 조직이 NHS 데이터를 다루는 데 필요한 데이터 보안과 정보 거버넌스 표준을 충족함을 입증하는 연례 자기 평가다.

보안 측면에서 국가사이버보안센터(NCSC)는 권위 있는 영국 지침을 제공하며, 사이버 평가 프레임워크(CAF)를 통해 사이버 회복탄력성을 측정하는 구조화된 방법을 제공한다. 건전한 실천은 잘 확립된 기본에 기댄다. 단일 실패가 파국적이지 않도록 여러 통제를 겹겹이 쌓는 심층 방어, 사람과 시스템에 진정으로 필요한 접근만 주는 최소 권한 원칙, 규율 있는 패치와 시험된 백업, 그리고 갈취를 위해 시스템을 암호화하는 악성코드인 랜섬웨어에 대한 대비다. 예방만으로는 결코 버티지 못하므로, 성숙한 조직은 운영에도 투자한다. 로그와 원격 측정을 모니터링해 침입을 탐지하고 봉쇄하는 역량(사내든 공유든)인 보안 관제 센터(SOC)와, 탐지에서 복구까지 빠르게 이동하는 숙달된 사고 대응 프로세스다. 잉글랜드 NHS 트러스트의 약 3분의 1을 마비시키고 추정 9,200만 파운드의 피해를 낸 2017년 WannaCry 랜섬웨어 공격은 여전히 대표적인 경고 사례이며, 그 피해는 특이한 해킹이 아니라 대체로 패치되지 않은 시스템에서 비롯되었다.

모범 사례#

1. 모든 데이터 사업을 DPIA로 시작하고, 서류 작업이 아니라 설계로 다루라. 개인정보를 처리하는 무엇이든 구축하거나 조달하기 전에, DPO 및 Caldicott Guardian과 함께 데이터 보호 영향 평가를 거치라. 일찍 하면 이미 내려진 결정에 고무도장을 찍는 대신 수집하는 데이터를 최소화하고, 가명화를 선택하고, 접근을 조이는 등 설계를 형성한다. 가동 때까지 미뤄 둔 DPIA는 거버넌스가 연극이라는 경고 신호다.

2. 적법 근거와 비밀 유지 근거를 명시적으로 밝히고 기록하라. 건강 데이터의 모든 흐름마다 제6조 적법 근거, 제9조 특수 범주 조건, 그리고 비밀 유지에 관한 관습법상 의무가 어떻게 충족되는지(동의, 법정 통로, 공익)를 진술하라. 여기서의 모호함이 사업이 멈추거나 출시 후 철회되는 곳이다. 명시적이면 환자에게 쉬운 말로 처리를 설명할 수 있으며, 이것 자체가 법적 요건이다.

3. 어디서나 최소 권한과 역할 기반 접근을 적용하라. 임상의, 행정 직원, 연구자, 시스템에 역할이 요구하는 접근만 부여하고, 사람이 이동하고 떠남에 따라 정기적으로 검토하라. 민감한 기록에 대한 접근을 기록하고 감사하라. 탐지의 신빙성 있는 위협이 어떤 기술적 통제만큼이나 부적절한 호기심을 억제하기 때문이다. 현실의 대부분의 침해는 정교한 침입이 아니라 평범하다. 엉뚱한 사람이 엉뚱한 기록을 보는 것이다.

4. 고급 도구를 사기 전에 사이버 기본을 제대로 하라. NCSC의 지침은 화려하지 않지만 효과적이다. 특히 인터넷에 노출된 시스템과 임상 시스템을 신속히 패치하고, 다중 인증을 강제하고, 감염이 자유롭게 퍼지지 못하도록 네트워크를 분할하며, 오프라인으로 시험된 백업을 유지하라. WannaCry는 패치되지 않은 Windows 시스템을 통해 퍼졌고 교훈은 변함없다. 기본 위생이 대부분의 사고를 막는다. 기본에 먼저 지출하고, 기본이 튼튼해진 뒤에 정교한 탐지를 구매하라.

5. 공격받는다고 가정하고 대응을 연습하라. 시스템을 쓸 수 없다고 가정하는 사고 대응과 업무 연속성 계획을 유지하고 훈련하라. 종이로의 임상 대안과 직원 및 환자를 위한 소통 계획을 포함한다. 백업을 실제로 복원해 시험하라. 한 번도 복원해 보지 않은 백업은 통제가 아니라 희망이다. 팀이 랜섬웨어 중단을 처음 처리하는 때가 실제 상황이 되지 않도록 도상 훈련을 실시하라.

6. DSPT를 정직하게 완료하고 진짜 평가로 활용하라. Data Security and Protection Toolkit은 NHS 데이터를 다루기 위한 요건이지만, 그 가치는 체크박스 의례가 아니라 정직한 연례 점검으로 다룰 때 나온다. 표준을 충족할 수 없는 곳에서는 입장을 부풀리는 대신 격차와 신뢰할 만한 개선 계획을 기록하라. 부풀려진 DSPT 제출물은 이사회에 거짓 보증을 주며, 이는 없는 것보다 나쁘다.

7. 정보 공유를 장애물이 아니라 설계된 역량으로 만들라. 통합 돌봄 시스템(ICS) 전반에서 좋은 돌봄은 트러스트, 일반의 진료소, 사회적 돌봄, 지역사회 제공자 사이의 조직 경계를 넘나드는 데이터에 달려 있다. 명확한 정보 공유 협약(ISA)과 데이터 공유 협약을 마련하고, 적법 근거와 비밀 유지 근거를 공동으로 합의하며, 적절한 전문가가 돌봄 현장에서 적절한 정보를 보도록 공유 기록을 설계하라. 목표는 안전한 공유이지 무공유가 아니다. 임상의가 필요로 하는 데이터를 보류하는 것 자체가 환자 안전의 실패다. 이는 주제 4.3 — 상호운용성 및 데이터 표준과 직접 이어진다.

8. 환자의 선택을 존중하고 2차 사용에 투명하라. 모든 2차 사용 흐름에서 국가 데이터 옵트아웃을 존중하고, 데이터가 계획과 연구에 어떻게 쓰이는지에 대한 명확하고 접근 가능한 정보를 공표하라. 데이터가 상업적 파트너와 공유되거나 모형 훈련에 쓰일 때는 유출을 통해 드러나게 두는 대신 선제적으로 공개하라. 숨겨진 약정은 반복해서 대중의 반발과 옵트아웃 급증을 촉발했다. 투명성은 호의가 아니라 데이터가 애초에 계속 흐르게 하는 것이다.

9. 기록을 전체 수명주기에 걸쳐 관리하라. NHS Records Management Code of Practice에 기반한 보존 일정을 적용하여, 보존 기간이 끝나면 기록을 안전하게 폐기하고 그 기간 동안에는 접근 가능하고 온전하게 유지하라. 부실한 기록 관리는 위험(더는 필요 없는 데이터를 보유함)과 피해(임상의가 의존하는 데이터를 잃음)를 모두 낳는다. 시스템 간 이전은 고위험 순간이므로 데이터 품질, 매핑, 보관을 의도적으로 계획하라.

10. 조달과 공급업체 관리에 거버넌스를 내장하라. 데이터 보호와 보안 요건을 계약에 녹여 넣으라. 데이터 처리 조건, DSPT 또는 그에 상응하는 인증, 침해 통지 기한, 감사 권리다. 공급업체의 허술한 보안은 우리의 사고와 헤드라인이 되므로, 자체 경계뿐 아니라 공급망을 평가하라. 주제 6.3 — 조달 및 상업 계약에서 다루는 대로 상업 담당 동료와 함께 이를 수행하고, 데이터가 어디에 호스팅되며 누가 접근할 수 있는지 명확한 답을 요구하라.

11. 예방만이 아니라 탐지에 투자하라. 일부 공격은 방어를 뚫는다고 가정하고, 이를 볼 수 있는 역량을 구축하라. 중앙집중 로깅, 핵심 시스템 모니터링, 보안 관제 센터(사내든, ICS가 공유하든, NCSC와 NHS England의 사이버 운영 같은 국가 서비스에 의존하든)로 의심스러운 활동이 몇 주 뒤에 발견되는 대신 포착되고 봉쇄되게 하라. 이를 지속적인 취약점 관리 및 위협 탐지와 짝지어 공격자가 실제로 악용하는 약점을 패치하라. 탐지는 사고가 중단이 되기 전에 봉쇄할 시간을 벌어 준다.

12. 심각한 사이버 공격을 임상 연속성 사건으로 다루라. 누가 사고를 선언하고, 누가 기술 대응을 이끌고, 시스템이 다운된 동안 누가 임상 안전과 외부 소통을 책임지는지 명시하는 사이버 사고 대응 계획을 작성하고, 자원을 대고, 훈련하라. 이를 업무 연속성 및 재해 복구 체계(주제 3.9 — 업무 연속성 및 재해 복구 참조)와 중대 사고 및 EPRR 프로세스(주제 3.10 — 비상 대비, 회복탄력성 및 대응 참조)에 직접 연결하여, 랜섬웨어 중단이 환자 돌봄에 대한 어떤 위협과도 같은 규율로 처리되게 하라. IT 부서에만 존재하는 계획은 공격이 임상적 위기가 되는 순간 실패한다.

팀과 논의할 질문#

1. 우리 서비스의 어디서 너무 적게 공유하고, 어디서 너무 많이 공유하고 있으며 — 우리는 그것을 어떻게 알 수 있을까? 정보 거버넌스의 실패는 양방향으로 일어난다. 과잉 공유는 침해와 약화된 신뢰로 나타나고, 과소 공유는 조용히 나타난다. 알레르기를 볼 수 없었던 임상의, 기관 사이로 떨어진 안전 보호 우려, 지역사회 팀이 맥락을 알지 못해 잘못된 퇴원이 그렇다. 자신의 환경에서 구체적 사례를 논의하라. 보류가 자동으로 안전하다고 보는, 흔히 방어적인 편향이 있는가? 공유 경계가 환자를 해치고 있음을 알려 주는 신호는 무엇이며, 그것을 알아차릴 책임은 누구에게 있는가? 성숙한 팀은 두 실패 양상의 사례를 모두 댈 수 있고 각각을 상향 보고할 경로가 있다.

2. 내일 아침 랜섬웨어 공격으로 우리 임상 시스템이 오프라인이 된다면, 첫 한 시간에 실제로 무슨 일이 일어날까? 종이 위의 계획을 넘어 체감되는 현실로 가 보라. 누가 사고를 선언하며, 이메일과 인트라넷이 다운되었을 수 있을 때 직원은 어떻게 알게 되는가? 처방, 결과, 환자 확인을 위한 임상 대안은 무엇이며, 일선 직원이 연습해 본 적이 있는가? 환자 안전이 저하되기 전에 각 서비스는 종이로 얼마나 버틸 수 있으며, 우회하거나 취소하는 결정은 어떻게 내리는가? 작동함을 증명하려고 백업에서 마지막으로 복원한 것은 언제인가? 이 대화의 정직함, 특히 사람들이 인정하기 꺼리는 격차가 어떤 프레임워크 점수보다 회복탄력성의 더 나은 척도다.

3. 회의적인 환자에게 우리의 데이터 사용을 어떻게 설명하겠으며, 환자는 우리가 솔직했다고 느끼겠는가? 대중의 신뢰는 법적 고지가 아니라 쉬운 말로 얻는다. 조직에서 실제로 일어나는 2차 사용 하나, 곧 서비스 계획, 연구 파트너십, 공급업체 약정, AI 도구를 골라 평범한 사람에게 설명해 보라. 어떤 데이터를, 무슨 목적으로, 누가 이익을 얻고, 어떤 안전장치가 있고, 어떤 선택권이 있는가? 설명이 불편하거나 회피적으로 되는 곳은 어디인가? 그 불편함은 대개 바꾸거나 더 공개적으로 소통해야 할 무언가를 가리킨다. 국가 데이터 옵트아웃과 투명성 자료가 불신하는 성향의 사람에게 어떻게 보일지 생각하고, 이를 주제 8.4 — AI 및 신기술 거버넌스의 AI 거버넌스와 연결하라.

4. 공급업체나 파트너가 우리 환자의 데이터를 보유할 때, 누구의 사고인가 — 그리고 제때 알 수 있다고 확신하는가? 대부분의 보건·돌봄 조직은 이제 제3자의 사슬에 의존한다. EPR 공급업체, 클라우드 호스트, 관리 서비스 제공자, 병리 또는 영상 파트너다. 그 사슬 어디서든 일어나는 침해나 중단은 우리의 임상적 위기와 헤드라인이 되지만, 계약, 인증, 침해 통지 시계는 우리 자신의 경계보다 훨씬 적은 검토를 받는 경우가 많다. 데이터가 어디에 호스팅되는지, 누가 접근할 수 있는지, 문제가 생길 때 공급업체가 얼마나 빨리 알려 줄 계약적 의무가 있는지 실제로 아는 바를 논의하라. 그 통지 경로를 시험해 본 적이 있는가, 공급업체의 DSPT나 그에 상응하는 보증을 믿고 넘어가는 대신 실제로 본 적이 있는가? 핵심 공급업체가 금요일 밤에 스스로 랜섬웨어에 당하면 어떻게 되는가? 정직한 답은 지금 책임을 물을 수 없는 공급업체를 명명하고 이를 주제 6.3 — 조달 및 상업 계약과 연결한다.

5. 여기서 정보 거버넌스 위험을 진정으로 소유하는 사람은 누구이며 — 문제가 위기가 되기 전에 그들이 들을 수 있겠는가? 종이 위에서는 DPO와 Caldicott Guardian이 비밀 유지와 데이터 보호 위험을 소유하고 이사회가 사이버 회복탄력성을 소유한다. 실제로 이 역할들은 자원이 부족하거나, 늦게 자문받거나, 목소리가 아니라 승인 절차로 취급되는 경우가 많아, 위험은 사고로 드러날 때까지 표면화되지도 상향 보고되지도 않는다. Caldicott Guardian과 DPO가 실제로 결정에 일찍 끌려 들어오는지, 안 된다고 말하고 그 말이 받아들여질 수 있는지, 사이버 위험이 이사회가 끄덕이며 넘기는 기술 보고서가 아니라 이해하고 소유하는 것으로 이사회에 도달하는지 솔직히 이야기하라. 부적절한 접근을 본 일선 임상의나 패치되지 않은 핵심 시스템을 발견한 엔지니어는 그것을 제기하는 법을 알고 무언가 이루어지리라 믿겠는가? 소유권의 시험은 조직도가 아니라 불편한 소식이 위로 빠르게 올라가는가이며, 이는 주제 1.6 — 임상 안전 및 위험 관리에서 논의한 안전 문화와 이어진다.

6. 어떤 데이터를 보관하고, 무엇을 삭제하고, 누가 아직 접근해야 하는지를 어떻게 결정하며 — 마지막으로 실제로 그렇게 한 것은 언제인가? 거버넌스의 관심은 데이터를 수집하고 공유하는 데 집중되지만, 보존, 폐기, 접근 검토는 조용한 위험이 쌓이는 곳이다. 적법 보존 기간을 한참 지나 보유한 기록, 여전히 라이브 시스템을 여는 휴면 계정, 사람이 역할을 바꿀 때 따라갔지만 회수되지 않은 접근 권한이 그렇다. 더는 필요 없는 모든 기록은 우리가 저장하는 부채이고, 모든 오래된 자격 증명은 공격자나 호기심 많은 내부자가 들어오는 길이다. 보존 일정이 현실에서도 NHS Records Management Code of Practice를 따르는지 정책에서만 따르는지, 접근 권한을 마지막으로 검토하고 정리한 것이 언제인지, 시스템을 이전하거나 폐기하는 고위험 순간을 어떻게 다루는지 논의하라. 삭제를 누르는 책임은 누구에게 있으며, 그것으로 평가받는 사람이 있는가? 정직한 답은 대개 몇 해 동안 아무도 소유하지 않은 데이터와 접근의 축적을 드러낸다.

실제 사례: 보건·돌봄 예시#

Meadowford 통합 돌봄 시스템은 병원 임상의, 일반의, 지역 간호사, 사회복지사가 각 사람에 대한 통합된 시야를 볼 수 있도록 공유 진료 기록을 가동하고 있다. 프로그램은 임상의에게 인기가 있고 정치적으로 눈에 띄며, 빨리 움직이고 싶은 유혹이 있다.

프로그램 책임자는 거버넌스를 구축 뒤에 두지 않고 나란히 순서를 잡을 것을 고집한다. DPIA가 처음부터 열리며, DPO와 파트너 조직에서 나온 수석 Caldicott Guardian이 공동으로 이끈다. 이는 초기에 유용한 결정을 강제한다. 기록은 모든 과거 문서가 아니라 선별된 임상 요약을 보여 주고, 제3자 정보가 있는 사회적 돌봄 기록은 더 엄격한 규칙으로 다루며, 접근은 역할 기반이되 전문가가 자신의 돌봄 하에 있는 사람의 기록만 열 수 있도록 정당한 관계 확인을 거친다. 모든 접근은 기록되고 감사되며, 직원에게 이 사실을 분명히 알린다.

파트너들은 비밀 유지에 관한 관습법상 의무와 적법 근거 — 제6(1)(e)조와 제9(2)(h)조에 따른 직접 돌봄 — 를 다루는 단일 정보 공유 협약에 합의하고, 공유 기록이 직접 돌봄에만 쓰이므로 국가 데이터 옵트아웃이 이를 제한하지 않음을 확인한다. 같은 데이터를 인구 건강 분석에 쓰자는 별도의 제안이 오자, 팀은 이를 기존 협약을 조용히 확장하는 대신 자체 DPIA, 자체 적법 근거, 옵트아웃 준수, 대중 소통을 갖춘 별개의 흐름으로 다룬다.

가동 6주 전 보안 책임자가 도상 랜섬웨어 훈련을 실시한다. 훈련은 공유 기록이 이용 불가가 될 경우의 임상 대안이 없고 백업이 시험 복원된 적이 없음을 드러낸다. 가동은 한 달 늦춰지고, 그동안 팀은 매일 밤 갱신되는 오프라인 읽기 전용 사본을 추가하고, 복원이 작동함을 증명하고, 일선 직원에게 종이 대안을 교육한다. 지연은 인기가 없었지만, 석 달 뒤 공급업체의 패치 오류로 주 시스템이 아침 한나절 오프라인이 되었을 때 돌봄은 대안 위에서 이어지고 예약은 하나도 잃지 않는다. 프로그램의 신뢰성, 그리고 기록에 대한 임상의의 신뢰는 온전히 살아남는다. 상충 관계는 명시적이었다. 더 느린 출시가, 더 빠른 출시라면 도박에 걸었을 회복탄력성을 샀다.

부문별 관점#

스타트업#

보건 기술 스타트업은 가장 강한 기술적 보안 본능을 갖추고 있으면서도 보건 특유의 비밀 유지와 NHS 특유의 기대에 대한 이해는 가장 약한 경우가 많다. 스타트업이라면 NHS 기관이 데이터를 공유하기 전에 DSPT를 완료하거나 그에 상응하는 보증을 입증해야 하고 DPO를 일찍 임명하거나 계약해야 한다. 가장 큰 위험은 분석, 모형 훈련, 파트너십 같은 데이터 사용에서 업계가 요구하는 적법 근거, DPIA, 투명성 없이 빠르게 움직이다가, 그것이 드러나는 순간 하루아침에 NHS 고객을 잃는 것이다. 정보 거버넌스를 간접비가 아니라 시장 진입 요건으로 다루고, 규모가 작을 때 내장하라.

소규모 사업체#

확립된 소규모 제공자 — 일반의 진료소, 지역 약국, 요양원, 재가 돌봄 기관, 단일 사업장 클리닉, 또는 소규모 보건 기술 공급업체 — 는 대형 트러스트와 같은 법적 의무를 지지만 역량은 일부다. 사내 IT도 전담 DPO도 없고, 소유주나 진료소 관리자가 열두 가지 다른 일과 함께 데이터를 거버넌스하는 경우가 많다. 현실적인 길은 감당할 수 없는 역량을 구축하는 대신 공유되고 외부의 도움에 기대는 것이다. 계약한 DPO, 일차 진료 네트워크가 공유하는 Caldicott Guardian, ICS의 사이버 지원, NCSC의 소규모 조직 지침이 그것이다. DSPT를 정직하게 완료하라. 많은 소규모 제공자에게 이는 계약상 요건이자 가장 잘 구조화된 체크리스트이므로, 제출물을 부풀리는 대신 실제 격차를 기록하라. 감당할 수 있는 기본, 곧 다중 인증, 신속한 패치, 오프라인으로 시험된 백업, 최소 권한 접근, 단순한 종이 대안을 먼저 제대로 하라. 이들이 대부분의 사고를 막고 돈보다 시간이 든다. 공급업체 종속과 클라우드 약정에 특히 주의하라. 조건을 협상할 영향력은 작을 수 있지만 환자 데이터가 어디에 있고 누가 접근할 수 있는지는 여전히 알아야 한다.

대기업#

대형 트러스트나 확립된 공급업체는 성숙한 정책을 갖추었으나 규모, 레거시, 파편화로 어려움을 겪는다. 수십 개의 시스템, 일관되지 않은 접근 통제, 패치되지 않은 자산, 여러 팀에 얇게 퍼진 거버넌스다. 과제는 일관성이다. 위험에 대한 단일한 시야, 실제 자산 목록, 도구만 사는 대신 기본을 고칠 만큼의 보안 투자다. WannaCry가 대형 조직을 가장 심하게 때린 것은 바로 패치되지 않은 레거시 자산 때문이었다. DSPT와 NCSC 사이버 평가 프레임워크를 활용해 진정한 개선을 이끌고, 이사회 수준의 소유권이 보이지 않는 곳으로 위임되는 대신 실재하도록 하라.

정부#

국가 기관과 구매자는 Caldicott 원칙, 국가 데이터 수호자의 지침, 국가 데이터 옵트아웃, DSPT 같은 틀을 정하며 인구 규모의 대중 신뢰에 대한 책임을 진다. 이들의 데이터 사업은 크고, 눈에 띄고, 정치적으로 민감하며, 과거 프로그램은 숨겨졌거나 잘 설명되지 않은 데이터 공유가 얼마나 빨리 반발과 대규모 옵트아웃을 촉발하는지 보여 주었다. 확대 후가 아니라 확대 전에 투명성, 의미 있는 대중 참여, 독립적 감독을 앞세우라. 여러분이 소유한 상충 관계를 인식하라. 지나치게 신중한 국가 정책은 돌봄과 연구에서 데이터를 굶기고, 부주의한 정책은 데이터의 주인인 대중의 동의를 잃는다.

흔한 실패 양상#

• 연극으로서의 거버넌스. 가동 후에 완료되는 DPIA, 규정을 지키는 것처럼 보이려고 부풀린 DSPT 제출물, 아무도 따르지 않는 정책. 이는 인정된 약점보다 위험한 거짓 보증을 낳는다.
• 번쩍이는 도구를 사는 동안 방치된 보안 기본. 패치되지 않은 시스템, 다중 인증 부재, 평평한 네트워크, 시험되지 않은 백업 — WannaCry가 퍼지게 한 바로 그 조건 — 을 비싼 탐지 플랫폼으로 치장하는 것.
• 안전으로 위장한 방어적 과잉 신중. 임상의가 정당하게 필요로 하는 데이터의 공유를 거부하며 "안 된다"를 위험 없는 것으로 취급하는 것. 놓친 알레르기나 안전 보호 격차 자체가 심각한 환자 피해다.
• 숨겨진 2차 사용. 새로운 적법 근거, 옵트아웃 준수, 대중 투명성 없이 돌봄을 위해 수집한 데이터를 분석, 상업적 거래, 모형 훈련으로 확장하는 것 — 유출되어 신뢰가 무너질 때까지.
• 복원해 본 적 없는 백업. 라이브 랜섬웨어 사고 중에 백업이 불완전하거나, 손상되었거나, 다른 모든 것과 함께 암호화되었음을 발견하는 것.
• 고아가 된 책임. 조직도에는 있지만 자문받지 않고, 자원을 받지 못하며, 경청되지 않는 DPO나 Caldicott Guardian. 위험이 드러나지도 소유되지도 않는다.

성숙도 모델#

체크리스트#

• 모든 새 데이터 사업의 시작에 DPIA가 열리고 DPO가 승인한다.
• 각 데이터 흐름의 적법 근거, 특수 범주 조건, 비밀 유지 근거가 문서화되어 있다.
• Caldicott Guardian과 정보보호책임자가 임명되고, 자원을 받으며, 실제로 자문받는다.
• 최소 권한, 역할 기반 접근이 강제되고 민감한 기록에 대한 접근이 기록되고 감사된다.
• 시스템이 신속히 패치되고, 다중 인증이 강제되며, 네트워크가 분할되어 있다.
• 백업이 수행되고, 오프라인으로 보관되며, 정기 일정에 따라 시험 복원된다.
• 종이로의 임상 대안을 포함한 사고 대응 및 업무 연속성 계획이 문서화되고 훈련된다.
• DSPT가 기록된 격차와 신뢰할 만한 개선 계획과 함께 정직하게 완료된다.
• ICS 파트너 전반에 합의된 근거를 가진 정보 공유 협약이 마련되어 있다.
• 국가 데이터 옵트아웃이 모든 2차 사용에 적용되고 투명성 자료가 공표된다.
• 기록 보존과 안전한 폐기가 NHS Records Management Code of Practice를 따른다.
• 데이터 보호 및 보안 요건이 공급업체 계약에 명시되고 공급망이 평가된다.

주요 출처#

• Information Commissioner's Office (ICO) — UK GDPR, DPIA, 적법 근거에 관한 지침.
• National Data Guardian — 데이터 보안과 Caldicott 원칙에 관한 검토 및 지침.
• NHS England — Data Security and Protection Toolkit 및 국가 데이터 옵트아웃.
• National Cyber Security Centre (NCSC) — 사이버 보안 지침과 Cyber Assessment Framework.
• UK Caldicott Guardian Council — Caldicott Guardian의 역할과 책임.
• National Audit Office — WannaCry 사이버 공격과 NHS에 대한 조사(2017–18).
• NHS Records Management Code of Practice.

참고문헌#

1. Information governance — Wikipedia — https://en.wikipedia.org/wiki/Information_governance
2. General Data Protection Regulation — Wikipedia — https://en.wikipedia.org/wiki/General_Data_Protection_Regulation
3. Data Protection Act 2018 — Wikipedia — https://en.wikipedia.org/wiki/Data_Protection_Act_2018
4. Duty of confidentiality — Wikipedia — https://en.wikipedia.org/wiki/Duty_of_confidentiality
5. Caldicott guardian — Wikipedia — https://en.wikipedia.org/wiki/Caldicott_guardian
6. National Data Guardian for Health and Social Care — Wikipedia — https://en.wikipedia.org/wiki/National_Data_Guardian_for_Health_and_Social_Care
7. Data protection impact assessment (Privacy impact assessment) — Wikipedia — https://en.wikipedia.org/wiki/Privacy_impact_assessment
8. Data protection officer — Wikipedia — https://en.wikipedia.org/wiki/Data_protection_officer
9. National Cyber Security Centre (United Kingdom) — Wikipedia — https://en.wikipedia.org/wiki/National_Cyber_Security_Centre_(United_Kingdom)
10. Defense in depth (computing) — Wikipedia — https://en.wikipedia.org/wiki/Defense_in_depth_(computing)
11. Principle of least privilege — Wikipedia — https://en.wikipedia.org/wiki/Principle_of_least_privilege
12. Ransomware — Wikipedia — https://en.wikipedia.org/wiki/Ransomware
13. WannaCry ransomware attack — Wikipedia — https://en.wikipedia.org/wiki/WannaCry_ransomware_attack
14. Guide to the UK GDPR — Information Commissioner's Office — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/
15. Data Security and Protection Toolkit — NHS England — https://www.dsptoolkit.nhs.uk/
16. National data opt-out — NHS England — https://digital.nhs.uk/services/national-data-opt-out
17. Cyber Assessment Framework — National Cyber Security Centre — https://www.ncsc.gov.uk/collection/cyber-assessment-framework
18. Investigation: WannaCry cyber attack and the NHS — National Audit Office — https://www.nao.org.uk/reports/investigation-wannacry-cyber-attack-and-the-nhs/
19. Information security operations center — Wikipedia — https://en.wikipedia.org/wiki/Information_security_operations_center
20. Incident response — Wikipedia — https://en.wikipedia.org/wiki/Incident_response