주제 4.2 — 신원 및 접근 관리

보건·돌봄에서 환자의 기록으로 누가 무엇을 보고 할 수 있는지 통제하는 일은 IT 관리 업무가 아니라 임상 안전, 비밀 유지, 대중 신뢰를 좌우하는 최전선의 결정 요인이다.

보건·돌봄에서 이것이 중요한 이유#

모든 임상 결정은 임상의 앞에 있는 기록이 올바른 기록이고, 올바른 환자의 것이며, 올바른 사람이 접근했다는 가정 위에 서 있다. 신원 및 접근 관리(IAM)는 이 세 가지 가정을 참으로 만드는 기제다. 이것이 작동하면 구급대원이 제때 알레르기를 보고, 안전 보호 메모는 필요한 사람에게만 닿으며, 감사 추적은 "누가 이 기록을 왜 보았는가?"라는 질문에 답할 수 있다. 실패하면 엉뚱한 이름으로 열린 기록 때문에 환자가 해를 입고, 직원이 친척이나 유명인을 몰래 들여다보며, 디지털 사업 전체에 대한 신뢰가 무너진다.

보건·돌봄은 세 가지 면에서 일반 기업의 경우보다 위험을 높인다. 첫째, 데이터가 한 사람이 평생 만들어 내는 가장 민감한 것들 — 정신건강, 성 건강, 약물 사용, 성 정체성, 안전 보호 우려 — 이어서 비밀 유지 침해는 불편이 아니라 지속되는 해악이다. 둘째, 인력이 이동하고, 순환하며, 여러 조직에 걸쳐 있다. 수련의는 몇 달마다 순환하고, 파견 및 대체 직원은 한 교대만을 위해 도착하며, 통합 돌봄은 지역 간호사가 병원 기록을 정당하게 필요로 할 수 있음을 뜻한다. 셋째, 돌봄의 의무는 마찰에 관대하지 않다. 새벽 3시 소생술에서 너무 느린 접근 통제는 그 자체로 안전 위해 요인이다. 따라서 이 분야의 IAM은 데이터를 잠그는 것과 적절한 사람을 빨리 들이는 것 사이의 끊임없는 협상이다.

이 주제는 주제 1.7 — 정보 거버넌스, 데이터 보호 및 사이버 보안에서 다루는 더 넓은 의무 밑에 놓인 접근 통제의 깊이를 다룬다. 그 주제가 법적, 조직적 틀 — 영국 일반 데이터 보호 규정, Data Security and Protection Toolkit, 비밀 유지 의무 — 을 정한다면, 이 주제는 신원을 증명하고 일을 하는 데 필요한 최소한의 접근을 부여하는 구체적 기제에 관한 것이다.

핵심 개념#

신원 및 접근 관리는 적절한 개인이 적절한 시점에 적절한 자원에 적절한 접근을 갖고 있으며 이를 사후에 증명할 수 있도록 보장하는 학문이자 기술의 집합이다. 흐리기 쉽고 잃으면 위험한 구별 위에 서 있다. 인증과 인가의 차이다.

인증은 "당신은 자칭하는 그 사람인가?"에 답한다. 요소로 증명한다. 아는 것(비밀번호나 PIN), 가진 것(스마트카드, 휴대전화, 하드웨어 토큰), 그 자신인 것(지문이나 얼굴)이다. 인가는 다른 질문에 답한다. "이제 누구인지 알았으니, 무엇을 보고 할 수 있는가?" 전문의와 접수 직원은 둘 다 완벽히 인증할 수 있지만 기록의 매우 다른 부분에 인가된다. 둘을 혼동하면 신원은 강하게 확인하고 나서 모두가 모든 것을 보게 하는 시스템이 된다.

보건·돌봄에서 인가는 보통 역할 기반 접근 통제(RBAC)로 조직된다. 권한이 "응급실 간호사", "일반의", "의료 비서" 같은 역할에 붙고, 사람은 권한을 하나씩 부여받지 않고 역할을 가짐으로써 상속한다. RBAC는 최소 권한 원칙이 다스린다. 각 사람과 각 시스템 계정은 일을 하는 데 필요한 최소한의 접근만 가져야 한다. 최소 권한은 우발적 오류와 침해된 계정의 영향 범위를 모두 제한한다.

현대의 인증은 둘 이상의 요소를 결합해 도난당한 비밀번호만으로는 충분하지 않게 하는 다중 인증(MFA)으로 "누구인지 증명"하는 단계를 강화한다. 한 번 인증된 세션이 반복 로그인 없이 많은 애플리케이션에 접근을 허용하는 싱글 사인온(SSO)으로 마찰을 줄이며, 임상의가 한 시간에 열두 개 시스템을 오가야 할 때 이는 진정한 안전 이점이다. 조직 경계를 넘는 SSO는 연합 신원에 의존한다. 한 조직이 사용자를 보증하여 다른 조직이 자격 증명을 보유하지 않고도 그를 신뢰할 수 있게 한다.

연합과 현대 인증의 배관은 개방형 표준 위에 구축된다. OAuth는 위임된 인가, 곧 애플리케이션이 비밀번호를 넘기지 않고 사용자를 대신해 행동하게 하는 표준이다. OpenID Connect는 OAuth 위에 인증을 얹어 애플리케이션이 사용자가 누구인지 알게 하고, 더 오래된 XML 기반의 Security Assertion Markup Language(SAML)가 기업 SSO에서 비슷한 일을 한다. 사람이 입사하고, 이동하고, 떠나면서 접근을 부여, 변경, 회수하는 신원의 수명주기는 흔히 입사자/이동자/퇴사자(JML)라 불리는 프로비저닝 프로세스가 처리한다.

전략적 방향은 제로 트러스트 아키텍처다. 어떤 사용자나 기기도 단지 네트워크 안에 있다는 이유로 신뢰할 수 없다는 가정이다. 강화된 경계에 기대지 않고 모든 요청을 인증하고, 인가하고, 기기 상태, 위치, 데이터의 민감도 같은 맥락에 비추어 점검한다. 직원이 클리닉, 집, 구급차, 파트너 사업장에서 일하는 분야에서 경계는 사실상 해체되었고, 제로 트러스트는 그에 대한 정직한 대응을 이름 붙인 것이다.

모범 사례#

1. 인증과 인가를 별개의 설계 결정으로 다루라. 먼저 주어진 시스템에 대해 신원을 얼마나 강하게 증명해야 하는지, 그리고 별도로 각 역할이 그 뒤에 할 수 있는 것을 얼마나 세밀하게 통제해야 하는지 결정하라. 모두에게 전체 접근을 주는 시스템의 강한 로그인은 거짓 안심이고, 약한 비밀번호 뒤의 세밀한 권한도 똑같이 공허하다. 모든 임상 시스템에 대해 두 결정을 명시적으로 문서화하고, 데이터 민감도나 사용자 집단이 바뀌면 다시 검토하라.

2. 역할 기반 접근 통제가 실제 임상 역할을 반영하게 하고 깨끗하게 유지하라. 조직도나 공급업체 기본 구성의 변덕이 아니라 돌봄이 실제로 제공되는 방식을 중심으로 역할을 설계하고, 각 역할을 필요한 최소한의 기록과 기능에 대응시키라. 시간이 지나면 RBAC는 수백 개의 겹치는 역할이 쌓여 아무도 각각이 무엇을 부여하는지 말할 수 없는 "역할 폭발"로 퇴화한다. 주기적인 역할 합리화를 일정에 넣고, 모든 접근 요청을 새로운 맞춤 역할을 만들어 해결하려는 유혹에 저항하라.

3. 최소 권한을 사람과 기계 계정 모두에 적용하라. 최소 권한은 일상적으로 임상의에게 적용된 뒤, 흔히 가장 넓은 접근을 가진 서비스 계정, 통합 엔진, 보고 도구에는 잊힌다. 대시보드를 위해 데이터를 가져오는 자동화 인터페이스는 쓰기 접근이나 식별 가능한 자유 서술이 필요한 경우가 드문데도 자주 그것을 받는다. 비인간 신원의 목록을 만들고, 범위를 좁히고, 일정에 따라 자격 증명을 교체하라.

4. 원격 및 특권 접근에 다중 인증을 의무화하고, 환경에 맞는 요소를 선택하라. 비밀번호만으로는 신뢰된 기기 밖에서 환자 데이터에 닿는 어떤 것에도 더는 방어할 수 없으며, MFA는 이제 NHS 시스템 전반의 기본 기대다. 임상 환경에서 살아남는 요소를 선택하라. 특권 및 원격 접근에는 피싱에 강한 하드웨어 토큰이나 플랫폼 인증기를, 신호가 나쁘고 휴대전화를 공유하는 병동에서는 SMS 코드를 경계하라. 보안 이득을 소생술 도중의 임상의가 두 번째 요소를 더듬거릴 수 없다는 현실과 균형을 잡으라.

5. 직원을 안전하지 않은 우회책으로 밀어내는 마찰을 없애는 데 싱글 사인온을 사용하라. 직원이 열 개 시스템에 따로 로그인해야 하면 비밀번호를 포스트잇에 적고, 스마트카드를 공유하고, 세션을 열어 둔다. 모두 안전과 비밀 유지의 위험이다. 잘 구현된 SSO는, 이상적으로 공유 임상 워크스테이션의 "탭 인, 탭 아웃" 근접 배지와 결합하여 보안을 개선하고 임상의에게 시간을 돌려준다. SSO를 단순한 편의가 아니라 환자 안전 개입으로 다루고, 없앤 로그인 시간을 측정하라.

6. 작동하는 것을 깨뜨리지 않으면서 NHS 신원을 스마트카드 너머로 현대화하라. NHS Care Identity Service(이전의 Care Identity Service, 그 전에는 스마트카드 기반의 Registration Authority 체제)는 NHS 직원을 인증하고 Spine 같은 국가 시스템에 대한 접근을 이끈다. 국가의 방향은 이제 현대적이고 표준 기반의 인증 — MFA와 OpenID Connect를 쓰는 CIS2 — 으로, 고장 나고, 공유되고, 돌봄을 막는 물리적 스마트카드와 카드 리더에 대한 의존을 줄인다. 이전을 의도적으로 계획하라. 현대적 토큰의 유연성을 채택하면서 스마트카드 모델의 보증과 등록 엄밀성은 유지한다.

7. 입사자/이동자/퇴사자를 통제되고 감사 가능한 프로세스로, 특히 퇴사자를 운영하라. 보건·돌봄에서 가장 흔한 심각한 IAM 실패는 사람의 필요보다 오래 사는 계정이다. 순환한 수련의, 떠난 파견 간호사, 접근이 한 번도 회수되지 않은 계약자다. 권위 있는 원천(보통 전자 직원 기록)에서 프로비저닝을 자동화하여 역할의 시작, 변경, 종료가 정의된 짧은 시간 안에 그에 맞는 접근 변경을 촉발하게 하라. 퇴사자와 조사 중인 직원의 당일 회수를 열망이 아니라 엄격한 요건으로 다루라.

8. 접근을 정기적으로 재인증하고 관리자에게 책임을 지우라. 첫날 적절했던 접근은 사람이 팀을 옮기고 더는 필요 없는 권한을 쌓으면서 표류한다. "권한 크리프(privilege creep)"다. 책임 있는 관리자나 시스템 소유자가 각 사람이 각 권한을 여전히 필요로 하는지 적극적으로 확인하는 주기적 접근 검토(재인증)를 운영하되, 침묵은 유지가 아니라 제거를 기본으로 하라. 검토가 의미 있도록 아무 관리자도 해석할 수 없는 원 권한 코드가 아니라 쉬운 임상 역할 언어로 제시하라.

9. 특권 접근을 그 자체로 하나의 범주로 거버넌스하라. 관리자, 데이터베이스 소유자, 인프라 엔지니어는 어떤 기록이든 읽거나 바꿀 수 있고 기록을 보호하는 바로 그 통제를 끌 수 있으므로, 그들의 접근은 일반 사용자보다 강한 처리가 필요하다. 특권 접근 관리를 구현하라. 관리자 신원을 일상 계정과 분리하고, 상시가 아니라 적시에 시간 제한을 두고 상승된 권한을 부여하며, 독립 검토를 위해 특권 세션을 기록하라. 공급업체나 "비상 개방(break-glass)" 계정이 영구적이고 모니터링되지 않는 마스터 키가 되게 두지 말라.

10. 모든 접근 결정을 감사 가능하게 만들고, 감사를 실제로 읽으라. 사후에 검토할 수 없는 접근 통제는 절반의 통제일 뿐이다. "누가 이 기록에 언제, 어떤 근거로 접근했는가?"에 답하는 능력은 비밀 유지 조사와 환자 안전 모두를 떠받친다. 포괄적이고 변조가 드러나는 감사 로깅을 구성하고, 결정적으로 자기 조회, 동료나 VIP 조회, 비정상적 접근량에 대한 경보를 포함한 선제적 감사에 자원을 대라. 아무도 살펴보지 않는 감사 추적은 아무도 억제하지 못한다.

11. 비상 상황은 지원하고 남용은 잡아내도록 비상 개방 접근을 설계하라. 임상의는 때로 일상적으로 인가되지 않은 기록, 곧 의식 없는 환자나 조직 간 응급 상황의 기록이 정당하게 필요하다. 직원이 규칙과 환자 중 하나를 택하게 강요하는 대신, 필수 사유 입력, 즉각 표시, 의무적 사후 검토와 함께 비상 접근을 부여하는 명시적 "비상 개방" 경로를 제공하라. 목표는 안전한 비상 조치를 쉽게, 정당하지 않은 조치를 눈에 보이게 만드는 것이다.

12. 제로 트러스트를 방향으로 채택하고 현실적으로 순서를 매기라. "신뢰된 네트워크, 안은 열려 있음"에서 모든 요청을 신원, 기기 상태, 맥락에 비추어 검증하는 쪽으로 옮겨 가서, 사내 LAN의 침해된 노트북이 더는 자동으로 신뢰받지 않게 하라. 이것은 사는 제품이 아니라 강한 신원, 기기 준수, 조건부 접근, 마이크로 분할을 거치는 수년의 여정이다. 기본(MFA, 최소 권한, 깨끗한 JML) 뒤에 순서를 매기고, 주제 4.0 — 기술 아키텍처, 클라우드 및 레거시의 자산 업무와 정렬하라.

팀과 논의할 질문#

1. 접근의 마찰을 임상 안전과 의도적으로 맞바꾸는 곳은 어디이며, 그 균형을 누가 결정했는가? 추가되는 로그인, 두 번째 요소, 인가 단계마다 비밀 유지를 보호하지만 비상 상황에서는 그 자체로 안전 위험이 되는 몇 초의 비용이 든다. 이 질문은 팀이 보안 통제가 돌봄을 지연시킬 수 있는 구체적 지점 — 소생술 로그인, 공유 병동 워크스테이션, 시간외 시스템 — 을 명명하고, 현재의 균형이 임상과 보안의 결과를 모두 이해하는 사람들이 선택한 것인지 공급업체의 설정으로 기본 정해진 것인지 묻게 한다. 긴장을 정직하게 토론하라. 지나치게 팽팽한 통제는 막으려는 위험보다 나쁜 포스트잇 비밀번호와 공유된 스마트카드를 낳고, 지나치게 느슨한 통제는 몰래 들여다보기와 침해를 부른다. 나쁜 균형의 구체적 신호를 찾으라. 자격 증명을 공유하는 직원, 열려 있는 세션, 일상적으로 쓰이는 비상 개방이다. 좋은 답은 각 상충 관계의 소유자를 식별하고, 정해질 때 임상의가 그 자리에 있었음을 보여 주며, 가정이 아니라 측정된 로그인 시간과 우회 비율을 가리킨다. 역할, 시스템, 위협이 변함에 따라 균형을 다시 검토하겠다고도 약속한다.

2. 퇴사자나 이동자가 올바른 접근을, 올바른 시간 안에, 매번 잃는다고 얼마나 확신하는가? 필요보다 오래 사는 계정은 전형적인 IAM 실패이며, 순환하고 여러 조직에 걸친 보건 인력에서는 위험이 심각하다. 이 질문은 입사자/이동자/퇴사자가 권위 있는 원천에서 이끄는 신뢰할 만한 자동화된 프로세스인지, 누군가 바쁠 때 조용히 실패하는 수작업 이메일의 집합인지 탐색한다. 어려운 사례를 논의하라. 트러스트 사이를 순환하는 수련의, 한 교대의 파견 간호사, 계약자, 조사 중 정직된 직원이다. 각각에 대해 "올바른 시간"이 무엇을 뜻하는지 생각하라. 정직에는 당일 회수가 타협할 수 없지만 일상적인 내부 이동에는 더 부드러울 수 있다. 좋은 답은 의도가 아니라 증거를 가리킬 수 있다. 마지막 퇴사자 감사 결과, 찾아 닫은 휴면 계정의 수, 누군가 떠난 뒤 접근이 끝나기까지의 시간이다. 격차에 대해 정직하고 이를 닫을 책임자를 명명한다.

3. 기록에 문제가 생겼을 때 누가 무엇을 했는지 실제로 재구성할 수 있으며 — 사건이 촉발하지 않아도 오용을 알아챌 수 있는가? 감사는 비밀 유지와 안전을 사후에 시행 가능하게 하는 통제지만, 로그가 완전하고, 보호되며, 진정으로 검토될 때만 작동한다. 이 질문은 팀이 흔히 뒤섞는 두 가지를 구분한다. 민원이 도착할 때 사후 대응적으로 조사하는 능력과, 누군가 불평하기 전에 선제적으로 오용을 탐지하는 역량이다. 로그가 실제로 무엇을 포착하는지, 변경될 수 있는지, 얼마나 오래 보관되는지, 그리고 더 어려운 질문으로, 사건이 없을 때 누가 로그를 보는지 탐구하라. 현실적인 위협을 생각하라. 가족, 동료, 공인의 기록을 조회하는 직원, 침해된 계정이 대규모로 기록을 빼돌리는 것이다. 좋은 답은 감사가 휴면 보관소가 아니라 경보가 있는 활성 기능으로 자원을 받고 있음을 보여 주며, 조직이 탐지하고 조치한 오용의 실제 사례를 댈 수 있다. 감사를 공정성에도 연결하여, 검토가 특정 직원 집단을 불균형적으로 표적으로 삼지 않도록 한다.

4. 임상의가 일상적으로 인가되지 않은 기록이 정당하게 필요할 때, 우리의 비상 개방 경로는 안전한 조치를 쉽게 하고 정당하지 않은 조치를 눈에 보이게 하는가? 보건·돌봄이 일반 기업 IT와 다른 것은 규칙이 때로 눈앞의 환자에게 양보해야 하기 때문이다. 의식 없는 도착, 조직 간 응급 상황, 낯선 환자 명단을 맡은 시간외 임상의다. 이 질문은 비상 접근이 명시적이고, 사유가 있고, 표시되는 경로로 설계되었는지, 직원이 조용히 접근 정책과 환자의 안녕 중 하나를 택하도록 강요받는지 묻는다. 양쪽 끝의 실패 양상을 파고들라. 너무 번거로워 임상의가 피하고 대신 자격 증명을 공유하는 비상 개방 경로, 또는 너무 마찰이 없고 검토되지 않아 일상적인 진입로가 되어 RBAC를 완전히 속 비우는 경로다. 누가 비상 개방 사건을 검토하는지, 얼마나 빨리, 몇 퍼센트가 정당하지 않은 것으로 드러나는지 논의하라. 0에 가까운 비율은 통제가 깨끗하다기보다 쓰이지 않는다는 뜻일 수 있다. 좋은 답은 임상의가 밟는 정확한 단계, 사유 입력, 기록의 소속 조직에 대한 즉각적 표시, 고리를 닫는 사후 검토를 설명할 수 있고, 비상 상황이 진정으로 지원되고 남용이 진정으로 잡힘을 보여 줄 수 있다. 비상 개방 건수가 더 깊은 인가 격차를 시사하는 방향으로 가고 있는지에 대해서도 정직하다.

5. 특권 접근과 비인간 접근을 임상의만큼 철저히 거버넌스하는가 — 아니면 진짜 노출이 거기에 있는가? 환자 데이터를 보호하는 통제는 그 자체를 누군가 관리하며, 관리자, 데이터베이스 소유자, 통합 엔진, 보고 계정은 어떤 기록이든 읽거나 바꿀 수 있고 다른 모두를 제약하는 안전장치를 끌 수 있는 경우가 많다. 이 질문은 최소 권한의 규율이 가장 건너뛰기 쉬운 접근을 끌어낸다. 상시 관리자 계정, 공급업체 원격 지원 로그인, 신과 같은 권한을 가진 서비스 계정, 필요한 적 없는 식별 가능한 자유 서술을 조용히 끌어오는 자동화 인터페이스다. 관리자 신원이 일상 계정과 분리되어 있는지, 권한 상승이 적시에 시간 제한이 있는지 영구적인지, 특권 세션이 기록되고 독립적으로 검토되는지 논의하라. 비인간 자산을 구체적으로 생각하라. 각 서비스 계정을 누가 소유하는지, 자격 증명이 마지막으로 교체된 것이 언제인지, 오늘 누군가 그것을 열거할 수 있는지다. 좋은 답은 임상의에게 적용된 기본이 사무실 뒤편에도 적용될 것이라고 가정하는 대신, 특권 접근을 지정된 소유자, 적시 권한 상승의 증거, 기계 신원의 실제 목록과 함께 그 자체의 범주로 다룬다. 공급업체에 대해, 그리고 영구적이고 모니터링되지 않는 마스터 키가 된 계정에 대해 솔직하다.

6. 우리 신원이 통제 밖의 당사자에게 얼마나 의존하며, 그 의존에 대해 의도적인가? 현대 보건·돌봄 신원은 설계상 연합되어 있다. 공유 기록은 각 파트너 조직의 주장을 신뢰하고, NHS Care Identity Service와 CIS2 같은 국가 서비스가 직원을 보증하며, NHS login이 시민을 보증한다. 이는 접근 통제의 강도가 의존하는 신원 제공자와 서로를 묶는 표준만큼일 뿐임을 뜻한다. 이 질문은 팀이 신뢰가 위임되는 곳을 지도로 그리게 한다. 어느 조직이 어느 사용자를 인증하는지, 파트너의 입사자/이동자/퇴사자 프로세스가 실패하면 어떻게 되는지, 다른 고용주의 직원이 떠날 때 연합 로그인이 어떻게 회수되는지다. 스마트카드에서 표준 기반 인증(MFA와 OpenID Connect를 쓰는 CIS2)으로 진행 중인 이전과, 국가 방향을 채택하는 것과 새벽 3시에 지역 워크플로가 작동하게 유지하는 것 사이의 긴장을 따져 보라. 회복탄력성 각도도 생각하라. 국가 신원 서비스를 쓸 수 없을 때 임상의가 필요한 기록에 안전하게 닿을 수 있는가, 아니면 연합이 단일 장애점이 되는가. 좋은 답은 팀이 누구의 보증에 기대는지 정확히 알고, 조직 간 회수와 사건을 어떻게 다룰지 합의했으며, 현대 NHS 인증으로의 이동에 끌려가지 않고 의도적으로 순서를 정하고 있음을 보여 준다. 아직 연합할 수 없는 자산의 부분과 그동안 그것을 어떻게 잇는지에 대해 현실적이다.

실제 사례: 보건·돌봄 예시#

Meadowvale 통합 돌봄 시스템은 병원, 지역사회, 정신건강, 일반의, 성인 사회적 돌봄 직원이 각 사람에 대한 통합된 시야를 볼 수 있도록 공유 진료 기록을 도입하고 있다. 디스커버리 초기에 프로그램은 진짜 위험이 기록을 구축하는 것이 아니라 그에 대한 접근을 통제하는 것임을 깨닫는다. 다섯 조직에 걸친 단일 시야는 적절한 임상의가 적절한 정보를 보는 안전 이점과 엉뚱한 사람이 민감한 것을 보는 해악을 모두 곱한다.

팀은 접근 통제를 일급 설계 흐름으로 삼는다. "지역 간호사", "승인된 정신건강 전문가", "요양원 관리자" 같은 임상 언어로 표현된 역할 모델에 합의하고, 각 역할을 필요한 최소한의 데이터에 대응시키며, 정신건강과 성 건강 기록은 더 엄격하고 별도로 인가된 접근을 적용한다. 인증은 연합된다. 각 파트너 조직이 NHS Care Identity Service나 OpenID Connect를 쓰는 지역 신원 제공자를 통해 자기 직원을 인증하고, 공유 기록은 자체 자격 증명을 발급하는 대신 그 주장을 신뢰하므로, 관리할 새 비밀번호가 없으며 입사자/이동자/퇴사자는 권위 있는 직원 기록이 있는 고용 조직에 남는다.

구급대원이나 시간외 임상의가 일상적으로 인가되지 않은 기록이 때로 필요할 것이므로, 팀은 명시적 비상 개방 경로를 구축한다. 사유를 입력하면 비상 접근이 부여되고, 기록의 소속 조직에 즉시 표시되며, 48시간 안에 검토된다. 비상 개방 사건을 검토하고, 자기 조회와 표시된 개인의 조회에 대한 경보를 운영하며, ICS 이사회에 분기마다 보고하는 소규모 공동 정보 거버넌스 및 감사 기능을 세운다.

가동 6개월 뒤, 경보가 한 돌봄 코디네이터가 자기 담당 환자 명단에 활성적으로 관여하지 않는 사람의 기록을 반복해서 여는 것을 표시한다. 감사 기능이 조사하여 접근이 전문적이 아니라 개인적이었음을 확인하고, 고용 조직이 징계 조치를 취한다. 환자 안전 사건은 일어나지 않았고, 침해는 선제적으로 포착되었으며, 통제가 눈에 띄게 작동했기 때문에 공유 기록에 대한 대중의 신뢰는 유지되었다. 이사회는 같은 감사 역량이 이제 Data Security and Protection Toolkit 제출을 위한 증거로도 쓰임을 기록한다(주제 1.7 — 정보 거버넌스, 데이터 보호 및 사이버 보안 참조).

부문별 관점#

스타트업#

예를 들어 원격 모니터링 앱을 만드는 소규모 디지털 보건 기업은 레거시가 없다는 이점이 있다. 첫날부터 현대적 인증, MFA, 표준 기반 연합을 채택하고, 자체 신원 시스템을 발명하는 대신 시민을 위한 NHS login과 임상의를 위한 CIS2와 통합할 수 있다. 위험은 속도가 규율을 앞지르는 것이다. 하드코딩된 관리자 자격 증명, 공유된 "창업자" 슈퍼유저 계정, 신과 같은 권한의 서비스 계정, "모두가 서로를 아니까" 없는 퇴사자 프로세스다. 최소 권한과 감사는 열 명일 때는 간접비처럼 느껴지지만 백 명이 되면 회복할 수 없는 기술 부채가 된다. 실용적인 수는 신원을 관리형 서비스로 사고, 첫 커밋부터 MFA와 RBAC를 시행하며, DTAC(Digital Technology Assessment Criteria) 요건을 NHS 배치의 최소 기준으로 다루는 것이다.

소규모 사업체#

확립된 소규모 제공자 — 일반의 진료소, 지역 약국, 요양원, 재가 돌봄 기관, 단일 사업장 클리닉, 또는 매출 이전 단계를 지난 소규모 보건 기술 공급업체 — 는 대형 트러스트와 같은 비밀 유지 및 접근 통제 의무를 지지만, 장부에는 실제 환자가 있고, 직원은 소수이며, 이를 충족할 전담 IT 역량은 거의 없다. 여기서의 실용적 위험은 이국적이지 않다. 안내 데스크의 공유 로그인, 모니터에 붙인 임상 시스템 비밀번호, 새 카드를 등록하는 데 너무 오래 걸려 동료의 스마트카드를 받은 대체 의사, 아무도 그 일을 소유하지 않아 계정이 비활성화되지 않은 퇴사자다. 실용적인 길은 구매하는 시스템에 이미 내장된 신원 기능에 기대는 것이다. MFA와 개인별 계정을 시행하고, 공급업체의 감사 로깅을 켜며, 자체 제작 자격 증명 대신 NHS CIS2와 NHS login을 쓰라. 그리고 그 사람이 손으로 하는 진료소 관리자라 해도 한 명의 책임자를 명명하는 단순한 입사자/이동자/퇴사자 루틴을 적어 두라. 최소 권한과 당일 퇴사자 회수는 직원 열 명에게도 만 명만큼 중요하며, 차이는 여기서는 전담 신원 팀이 아니라 프로세스와 구성으로 달성해야 한다는 것이다.

대기업#

대형 NHS 트러스트나 ICS는 서로 매우 다른 나이의 수십 개 임상 시스템을 운영하며 각각 자체 신원 모델이 있어, 중심 과제는 규모에서의 통합과 수명주기다. 스마트카드, SSO, "탭 인, 탭 아웃" 워크플로, 전자 직원 기록에서 이어지는 신뢰할 만한 JML 파이프라인은 어떤 영리한 단일 통제보다 여기서 더 중요하다. 실패 양상이 양의 실패이기 때문이다. 수천 개의 휴면 계정, 역할 폭발, 아무도 검토할 역량이 없는 감사 로그다. 자산에 닿는 관리자와 공급업체의 수를 감안하면 특권 접근 관리가 중요하다. 진전은 각 애플리케이션에 덧붙인 점 해결책이 아니라 역할을 합리화하고, 시스템 전반에 연합하며, 상설 감사 기능에 자원을 대는 신원 전략에서 나온다.

정부#

NHS England 같은 국가 기관은 신원을 시스템 전체의 공유 인프라로 운영한다. 직원을 위한 NHS Care Identity Service와 CIS2, 시민을 위한 NHS login, 수백 개 조직이 서로를 신뢰하게 하는 표준과 보증 체제다. 그 결정은 진행 방향을 정한다. 스마트카드에서 현대적 인증으로의 이동, OpenID Connect의 채택, 제로 트러스트 추진이다. 그 책임은 보안과 공평한 접근 모두에 대해 의회와 대중에게 있다. 긴장은 중앙 표준화와 지역 유연성 사이에 있다. 너무 경직되게 의무화하면 지역 워크플로를 깨고, 너무 느슨하게 하면 연합이 비일관성으로 무너진다. 따라서 정부의 렌즈는 상호운용 가능한 표준(주제 4.3 — 상호운용성 및 데이터 표준 참조)을 정하고, 신뢰할 만한 공유 서비스를 제공하며, 모든 트러스트를 세세히 간섭하지 않고 준수를 보증하는 것이다.

흔한 실패 양상#

• 고아가 되고 휴면인 계정. JML이 수작업 통지에 의존하기 때문에 퇴사자, 순환한 직원, 오래된 계약자가 라이브 접근을 유지한다. 해결은 권위 있는 원천에서의 자동 프로비저닝 해제와 정기적인 휴면 계정 점검이다.
• 역할 폭발과 권한 크리프. RBAC가 수백 개의 겹치는 역할로 퇴화하고 개인이 더는 쓰지 않는 권한을 쌓는다. 주기적 재인증과 일정에 따른 역할 합리화로 대응하라.
• 자격 증명 공유와 공유 워크스테이션. 느린 로그인과 서툰 스마트카드가 직원이 카드를 공유하고 세션을 열어 두게 만든다. 직원에게 행실을 바로 하라고 훈계하는 대신 SSO, 근접 배지, 빠른 전환으로 근본 원인을 해결하라.
• 상시 특권 접근. 관리자와 공급업체가 통제 자체를 끌 수 있는 영구적인 신과 같은 계정을 쥐고 있다. 적시에 시간 제한이 있고 기록되는 권한 상승으로 옮겨 가라.
• 장식으로서의 감사. 로그는 모이지만 검토되지 않아 오용이 사후 대응적으로만 발견된다. 자기 조회와 VIP 조회 경보가 있는 선제적 감사에 자원을 대라.
• 허점으로서의 비상 개방. 비상 접근이 있으나 모니터링되지 않아 최소 저항의 일상 경로가 된다. 사유를 요구하고, 모든 사용을 표시하며, 사후에 검토하라.
• MFA 연극. MFA가 활성화되었으나 약하고 피싱당할 수 있는 요소이거나, 가장 바쁜 특권 사용자에게 면제된다. 위험이 가장 높은 곳에서는 피싱에 강한 요소를 선호하라.

성숙도 모델#

체크리스트#

• 모든 임상 시스템에 대해 인증 강도와 인가 범위를 따로 결정하고 문서화했다.
• 모든 원격 및 특권 접근에 임상 환경에 적합한 요소로 MFA가 시행된다.
• 로그인 마찰과 자격 증명 공유를 없애도록 싱글 사인온과 빠른 워크스테이션 전환이 배치되어 있다.
• 역할 모델이 임상 언어로 표현되고, 최소 권한에 대응되며, 일정에 따라 합리화된다.
• 입사자/이동자/퇴사자가 권위 있는 직원 원천에서 자동화되며, 퇴사자와 정직의 당일 회수가 있다.
• 책임 있는 관리자가 주기적 접근 재인증을 실행하며, 확인되지 않은 접근은 제거가 기본이다.
• 특권 접근이 별도 신원, 적시 권한 상승, 세션 기록을 갖춘 별개의 범주로 관리된다.
• 비인간 및 통합 계정이 목록화되고, 최소 권한으로 범위가 정해지며, 자격 증명이 교체된다.
• 자기, 동료, VIP 조회에 대한 선제적 경보와 함께 포괄적이고 변조가 드러나는 감사 로깅이 마련되어 있다.
• 비상 개방 접근이 필수 사유, 즉각 표시, 사후 검토로 설계되어 있다.
• 스마트카드에서 현대 NHS 인증(CIS2 / OpenID Connect)으로의 이전이 계획되고 순서가 정해졌다.
• 제로 트러스트 로드맵이 합의되어 기술 아키텍처 전략과 정렬되어 있다.

주요 출처#

• NHS England — NHS Care Identity Service 및 Care Identity Service 2 (CIS2) 지침
• NHS England — Data Security and Protection Toolkit
• National Cyber Security Centre (NCSC) — Zero Trust Architecture Design Principles
• National Cyber Security Centre (NCSC) — 다중 인증과 신원/접근 관리 지침
• NIST — Special Publication 800-207, Zero Trust Architecture
• NIST — Special Publication 800-63, Digital Identity Guidelines
• NHS England / NHS login — 시민 신원 확인 서비스 문서
• DTAC — 보건 및 사회적 돌봄을 위한 Digital Technology Assessment Criteria
• Caldicott 원칙과 비밀 유지에 관한 관습법상 의무 (영국)

참고문헌#

1. Identity management (identity and access management) — Wikipedia — https://en.wikipedia.org/wiki/Identity_management
2. Authentication — Wikipedia — https://en.wikipedia.org/wiki/Authentication
3. Authorization — Wikipedia — https://en.wikipedia.org/wiki/Authorization
4. Role-based access control — Wikipedia — https://en.wikipedia.org/wiki/Role-based_access_control
5. Principle of least privilege — Wikipedia — https://en.wikipedia.org/wiki/Principle_of_least_privilege
6. Multi-factor authentication — Wikipedia — https://en.wikipedia.org/wiki/Multi-factor_authentication
7. Single sign-on — Wikipedia — https://en.wikipedia.org/wiki/Single_sign-on
8. Federated identity — Wikipedia — https://en.wikipedia.org/wiki/Federated_identity
9. OAuth — Wikipedia — https://en.wikipedia.org/wiki/OAuth
10. OpenID (and OpenID Connect) — Wikipedia — https://en.wikipedia.org/wiki/OpenID
11. Security Assertion Markup Language (SAML) — Wikipedia — https://en.wikipedia.org/wiki/Security_Assertion_Markup_Language
12. Provisioning (technology) — Wikipedia — https://en.wikipedia.org/wiki/Provisioning_(technology)
13. Zero trust architecture — Wikipedia — https://en.wikipedia.org/wiki/Zero_trust_architecture
14. NHS Care Identity Service 2 (CIS2) — NHS England — https://digital.nhs.uk/services/care-identity-service
15. Data Security and Protection Toolkit — NHS England — https://www.dsptoolkit.nhs.uk/
16. Zero Trust Architecture Design Principles — National Cyber Security Centre — https://www.ncsc.gov.uk/collection/zero-trust-architecture
17. Special Publication 800-207: Zero Trust Architecture — National Institute of Standards and Technology (NIST) — https://csrc.nist.gov/pubs/sp/800/207/final
18. Special Publication 800-63: Digital Identity Guidelines — National Institute of Standards and Technology (NIST) — https://pages.nist.gov/800-63-3/
19. Digital Technology Assessment Criteria (DTAC) — NHS England — https://www.nhs.uk/digital-technology-assessment-criteria-dtac/
20. NHS login — NHS England — https://www.nhs.uk/nhs-services/online-services/nhs-login/