최근 대규모 사이버 침해사고가 잇따라 발생하고 있는 가운데 병원들도 해킹 사고에 대한 경각심을 한층 높여야 할 것으로 보인다.

중대한 과실로 해킹 등 침해사고가 반복될 경우 막대한 과징금을 부담해야 하고, 정보보호위원회 운영과 사고 대응체계 구축 등 정보보호 관련 의무도 대폭 강화됐기 때문이다.

특히 대형병원뿐 아니라 일정 요건을 충족하는 중소병원 역시 적용 대상이 될 수 있는 만큼 개별 병원들은 관련 의무 대상에 해당하는지 면밀한 확인이 필요하다는 지적이다.

병원계에 따르면 과학기술정보통신부가 마련한 개정 ‘정보통신망 이용 촉진 및 정보보호 등에 관한 법률 시행령’이 금년 10월 1일부터 시행에 들어갔다.

이번 개정의 핵심은 반복적인 침해사고에 대한 경제적 제재 강화다. 고의 또는 중과실로 5년 이내 2회 이상 침해사고가 발생할 경우 매출액을 기준으로 과징금을 부과토록 했다.

과징금 기준금액은 최근 침해사고가 발생한 연도의 매출액에서 침해사고와 관련 없는 매출액을 제외한 금액을 토대로 산정된다.

침해사고 중대성에 따라 △매우 중대한 사고 2.1~2.7% △중대한 사고 1.5~2.1% 미만 △보통 사고 0.9~1.5% 미만 △약한 사고 0.03~0.9% 미만의 부과기준율을 적용한다.

여기에 사고 지속기간, 사고를 통해 얻은 이익이나 비용 절감 규모 등을 고려해서 1차 조정하고 조사 협조 여부와 피해 회복 및 방지 조치, 정보보호 투자 및 활동 등을 반영해 재조정한다.

때문에 동일 규모 침해사고라 해도 평소 정보보호 인력과 예산을 얼마나 확보했는지, 정보보호위원회 운영했는지, 사고 이후 적극 대응했는지에 따라 과징금 규모가 달라질 수 있다.

매출 1000억 병원, 과징금 최대 27억

병원 입장에서 가장 부담스러운 부분은 과징금 산정기준 자체가 ‘매출액’과 연동된다는 점이다.

예를 들어 과징금 산정 대상이 되는 매출액이 1000억원인 병원에서 ‘매우 중대한 침해사고’가 발생해 최고 부과기준율인 2.7%가 적용될 경우 기준금액만 27억원에 달한다.

같은 방식으로 계산하면 매출액 500억원인 병원은 13억5000만원, 2000억원이면 54억원, 3000억원이면 81억원, 5000억원이면 135억원이다.

특히 법률에서 정한 과징금 상한이 해당 매출액의 3%인 만큼 단순 상한액을 병원 매출 규모별로 환산하면 부담 규모는 분명해진다.

연간 매출액을 단순 가정할 경우 △500억원은 15억원 △1000억원은 30억원 △2000억원은 60억원 △3000억원은 90억원 △5000억원은 150억원 △1조원 병원은 300억원 수준이다.

물론 실제 과징금은 병원 전체 매출액에 일률적으로 3%를 곱해 부과하는 방식은 아니다.

법령에 따라 침해사고와 관련 없는 매출액은 제외되며 사고 중대성과 각종 가중·감경 사유를 거쳐 최종 금액이 결정된다.

그럼에도 매출 규모가 큰 병원일수록 침해 사고가 경영에 미칠 잠재적인 재무적 충격 역시 상당할 수밖에 없는 구조다.

‘보안 투자했나’…과징금 산정에 반영

이번 시행령은 단순히 사고 발생 여부만 따지는 데 그치지 않고 의료기관이 평소 정보보호를 위해 어떤 노력을 기울였는지도 과징금 산정 과정에서 들여다보도록 했다.

정보보호 인력 및 예산 확보, 정보보호 수준 평가, 정보보호위원회 운영, 정보보호 관리체계 인증, 침해사고 예방·대응 매뉴얼 작성 등이 2차 조정 과정에서 고려된다.

즉, 해킹 사고 이후 ‘몰랐다’거나 ‘대비하지 못했다’는 해명만으로는 충분하지 않고, 사고 이전부터 병원 차원의 정보보호 체계를 갖춰 왔다는 사실을 입증하는 게 중요해졌다는 의미다.

특히 정보보호 최고책임자(CISO)를 지정·신고해야 하는 정보통신서비스 제공자는 정보보호위원회를 의무적으로 설치·운영해야 한다.

위원회는 정보보호 전문인력 및 예산 확보 등을 심의하며 정보보호 및 개인정보 처리 업무 등 관련 부서의 장으로 구성한다. 심의 결과는 최고경영자에게 보고하도록 했다.

정보보호가 전산실이나 보안 부서만의 업무가 아니라 병원 최고경영진이 직접 챙겨야 하는 경영 현안으로 격상된 셈이다.

침해사고 관리·대응 매뉴얼 역시 중요해졌다. 정보보호 최고책임자를 지정·신고해야 하는 사업자는 침해사고 관리·대응 매뉴얼을 작성해야 한다.

과학기술정보통신부는 정보보호 공시 여부와 최근 침해사고 발생 이력, 서비스 이용자 수 등을 고려해 매뉴얼 작성 및 실제 운용실태를 점검할 수 있다.

시정명령 버티면 매일 이행강제금

침해사고 발생 이후 정부 시정명령을 제대로 이행하지 않을 경우에는 하루 단위로 이행강제금도 쌓인다.

시행령은 침해사고 피해 확산 방지와 사고 대응, 복구 및 재발 방지를 위해 필요한 조치를 이행하지 않아 시정명령을 받은 병원이 이를 이행하지 않을 경우 이행강제금을 부과토록 했다.

1일 부과금액은 원칙적으로 1일 평균매출액의 1만분의 2다.

가령 연간 매출액이 1000억원이라고 단순 가정하면 하루 평균매출은 약 2억7400만원으로, 여기에 1만분의 2를 적용하면 기본적인 이행강제금은 하루 약 5만5000원이다.

매출 3000억원이면 하루 약 16만4000원, 매출 5000억원이면 약 27만4000원 수준이다. 여기에 명령 이행을 위한 노력이나 불이행 정도 등에 따라 정해진 범위에서 가중·감경될 수 있다.

금액 자체보다 중요한 것은 시정명령 불이행 기간이 길어질수록 매일 제재금이 누적되는 구조다.

결국 이번 제도 변화 핵심은 사이버 보안이 병원의 단순한 전산 문제가 아닌 재무·경영 리스크로 직결됐다는 점이다.

최근 의료기관을 겨냥한 사이버 위협이 이어지고 있는 상황에서 병원의 중대한 과실까지 인정될 경우 상당한 규모의 과징금으로 이어질 수 있기 때문이다.

병원계 관계자는 “각 병원이 해당 법령 적용 대상인지 확인하고 정보보호위원회 운영, 전문인력과 예산 확보, 대응 매뉴얼 등 내부 체계를 선제적으로 점검할 필요가 있다”고 말했다.