<붙임 1>

『의료기관 개인정보보호 가이드라인(안)』공청회 개최안

□ 개 요

○ 최근 급증하고 있는 사이버공격에 대한 의료기관의 정보보호(보안)강화를 위하여, 500병상 이상 규모의 의료기관에 적용 가능한 관리적․기술적․물리적 정보보호가이드라인(안)을 마련하여, 다양한 의견을 수렴하고자 함

○ 일시 : 2010년 1월 26일(화) 15:00 ～ 17:30

○ 장소 : 서울아산병원 교육연구관 1층 대강당

□ 세부 일정(안)

시 간	내 용	비 고
14:30~15:00	등 록
15:00~15:05	개회 및 진행순서 소개	진행 사회자
15:05~15:10	개회사	보건복지가족부 기획조정실장
15:10~15:15	축 사	울산대학교 의과대학장
15:15~15:45	발 표 : 의료기관 개인인정보보호가이드라인(안)	김장한 교수 (울산 의대)
15:45~17:00	지정 토론 - 대한병원협회 등 9인	좌장(김석화 교수)
17:00~17:30	종합 토론

□ 오시는 길

○ 약 도

<붙임 2>

(500병상 이상 의료기관을 대상으로 하는)

「의료기관 개인정보보호 가이드라인(안)」_ 요약

□ 목 적

이 가이드라인은 문서, 컴퓨터, 정보의 처리 또는 송수신 기능을 가진 이동식 기기 장치에 의하여 의료기관에서 처리되는 진료와 관련된 개인정보의 보호 및 보안에 관한 사항을 정함으로써, 의료기관의 개인정보 처리 업무의 적정한 수행을 도와주고 국민의 권리를 보호함을 목적으로 한다.

□ 기본 원칙

○ 의료기관이 환자를 진료하는 과정에서 얻은 개인정보는 적절한 절차를 통하여 보호 및 보안되어야 한다.

○ 환자의 진료 과정에서 얻어진 개인정보는 환자 본인의 진료 목적과 이에 수반되는 진료 지원 업무에 사용되어야 한다.

○ 환자 본인의 진료와 이에 필수적으로 수반되는 진료지원업무 외에 개인정보를 사용하기 위해서는 환자의 동의를 얻거나, 법률에 이를 허용하는 근거가 있어야 한다.

□ 적용 범위

의료기관이 개인정보를 처리하는데 있어서 의료법, 정보통신망 이용촉진 및 정보보호 등에 관한 법률”(이하 정통망법) 또는 “공공기관의 개인정보보호에 관한 법률(이하 공공정보법)” 등의 법률 적용을 받는 경우에는 해당 법률, 시행령, 시행 규칙이 규정하는 바에 의한다.

□ 개인정보보호 위원회

○ 개인정보보호위원회는 위원장과 개인정보보호위원회 위원은 보호(Privacy) 및 보안(Security) 실무 책임자를 포함하여 적정한 인원으로 구성하여야 한다.

○ 개인정보보호위원회의 업무

- 개인정보 보호 및 보안을 위한 기본 계획, 관련 조직에 대한 설치 근거, 계획 실시 절차에 관한 사항

- 개인정보 보호 및 보안 점검 및 감사에 관한 사항

- 개인정보 보호 및 보안 관련 교육 및 예방조치에 관한 사항

- 개인정보 보호 및 보안 정책의 위반에 대한 처벌 관한 사항

- 기타 개인정보보호에 관한 중요한 사항

○ 연구에 관련되어 연구계획서 심의와 함께 개인정보를 다루는 경우에 개인정보보호위원회는 그 권한을 병원내의 연구윤리심의위원회에 위임할 수 있다.

○ 위원장은 보호 실무책임자 또는 보안실무책임자로부터 보고받은 발생한 문제가 개인의 사생활 또는 개인정보 보안에 미치는 영향이 경미하다고 판단되는 경우에는 위원장이 직접 이를 결정할 수 있다. 이러한 위원장의 신속 결정 사항은 위원회의 정규 회의에서 보고하여 승인받고 문서화하여야 한다.

○ 개인정보보호위원회의 개최 주기

- 개인정보보호위원회는 연 2회 이상 정례적으로 개최하여야 한다.

- 위원장은 정례적인 회의 이외에 개인정보보호와 관련한 중요한 사안에 대해 필요한 경우 회의를 소집할 수 있다.

* 의료기관 규모별 적용 방안

< 500병상 이상 병원 >

- 병원내 상설 기구로서 개인정보보호위원회를 설치하여야 한다.

- 동 위원회는 보호 실무책임자, 보안 실무책임자, 비 의료인으로서 기관 외 종사자 1인이 포함된 5인 이상의 위원으로 구성된다.

- 연구윤리심의위원회 등과 통합 운영할 경우에는 양측의 구성 요건을 맞추어야 한다.

□ 개인정보관리책임자, 보호 및 보안 실무책임자

○ 의료기관은 정보보호 및 보안 업무를 총괄 관리하고 시행 할 수 있는 개인정보관리책임자를 지정하여야 한다. 개인정보보호위원회 위원장은 개인정보관리책임자를 겸할 수 있다.

○ 개인정보관리책임자는 개인정보보호 실무책임자와 보안 실무책임자와 함께 개인정보보호위원회 규정과 규정 시행을 위한 시행 규칙 등을 집행한다.

○ 개인정보 보호실무책임자의 업무에는 다음이 포함되어야 한다.

- 개인정보 보호를 위한 각종 활동 계획의 수립

- 개인정보보호 관련 정책 및 규정 수립의 지원

- 개인정보보호 관련 교육, 훈련

- 관련법령 및 규범 등에 대한 문서화 및 유지관리

- 개인정보 수집/이용/제공/파기 등 관리 관련 업무

- 환자(이용자)의 개인정보보호 관련 불만 및 고충처리 관련 업무

○ 개인정보 보안실무책임자의 업무에는 다음이 포함되어야 한다.

- 개인정보 시스템을 외부의 부당한 침입, 접근 및 해킹 등으로부터 보호하여 개인정보가 부당하게 이용, 노출되지 않도록 하는 업무

- 기관의 개인정보 시스템을 관련 법률과 기관의 개인정보보호 규정에 적합하도록 관리하는 업무

* 의료기관 규모별 적용 방안

1. 1000병상 이상은 개인정보보호 실무책임자(또는 실무담당자)와 보안실무책임자(또는 실무담당자)를 각각 전임자로 하여 2인을 두어야 하며, 필요에 따라서 2인 중 1인은 아웃소싱 직원으로 임명할 수  있다.

2. 1000병상 미만 500병상 이상은 개인정보보호 실무책임자(또는 실무담당자)와 보안실무책임자 (또는 실무담당자)중 1인을 전임자로 임명하여야 한다.

3. 전임자는 정규직으로서 해당(정보보호 또는 정보보안) 업무를 주된 업무로 해야 한다.

□ 개인정보보호 감사 및 외부안전진단

의료기관은 개인정보보호위원회 규정에 의하여 개인정보 보호 및 보안 관리 체계의 적합성 및 운용 상황을 정기적으로 감사하거나 외부안전진단을 받아야 하고, 감사와 안전진단 결과에 따른 적정한 시정 조치를 취하여야 한다.

* 의료기관 규모별 적용 방안

1. 1000병상 이상 의료기관의 경우, 개인정보보호위원회에서 제정한 규정에 따라 감사를 시행한다. 외부 안전진단은 2년에 한번 시행하여야 한다. 안전진단을 시행한 경우, 해당 년의 감사는 생략할 수 있다. 감사 및 안전진단 결과는 동 위원회 정기 회의에 보고한다.

2. 500병상 이상 1000병상 미만의 의료기관의 경우, 개인정보보호위원회에서 제정한 규정에 따라 감사를 시행한다. 외부 안전진단은 3년에 한번 시행하여야 한다. 안전진단을 시행한 경우, 해당 년의 감사는 생략할 수 있다. 감사 및 안전진단 결과는 동 위원회 정기 회의에 보고한다.

3. 외부 안전진단 사항과 이를 시행할 수 있는 자의 자격은 정통망법상(제46조의 3)의 안전진단 수행기관의 기준에 의한다.

□ 인적 자원의 관리

○ 채용시 관리

- 의료기관의 임직원 또는 외부위탁 직원의 정보보호 역할과 책임을 문서화하고, 채용 및 외주 계약시 개인정보보호 및 보안을 위한 적절한 신원검증과 보안서약서를 받아야 한다.

○ 직무수행 관리

- 개인정보관리책임자는 직원(외부직원을 포함)에게 의료기관의 정보보호 규정, 지침을 준수하도록 요구하고 관리한다.

- 직원이 의료기관의 정보보호 정책, 규정 및 지침 등을 위반하였을 경우 적용되는 공식적인 징계절차를 수립한다.

○ 직무 변경 및 퇴직 관리

- 퇴직 및 직무 변경 시 개인정보 보호 및 보안에 관한 책임과 절차가 명시적으로 규정되어야 한다.

- 모든 임직원, 계약직원 및 제3자는 퇴직 및 계약 종결 시 업무를 위하여 소유 및 이용하던 의료기관의 모든 자산을 반납하여야 한다.

- 개인정보 및 정보처리시설에 대한 모든 임직원, 계약직원 및 제3자의 접근권한은 퇴직, 계약 종결 또는 역할 조정 등의 사유가 발생할 경우 제거되어야 한다.

○ 외부자 및 위탁 업체에 대한 관리

- 의료기관의 업무상 외부자 및 위탁업무에 따라 외부조직이 개인정보에 접근 및 취급해야 하는 경우 관련 보호 및 보안 요구사항을 파악하고 적절한 통제와 관리를 하여야 한다.

□ 정보자산관리

○ 정보자산의 목록화

- 각 부서, 의국, 의료기기에 포함된 개인정보 자산은 명확하게 식별, 인식될 수 있도록 조사하고, 중요 자산의 목록은 관리되어야 한다.

․목록을 작성하여 관리하여야 하는 정보자산에는 전자정보자산, 문서정보자산,  시스템자산, 시설자산을 포함한다.

- 정보자산목록의 중복방지를 위한 번호 체계를 갖추도록 한다.

- 정보자산목록은 정보자산형태, 위치, 백업정보, 라이센스 정보 및 가치, 중요도, 관리자 등을 포함하여 분류한다.

- 정보 자산의 중요도에 근거하여 보호 수준을 정한다.

○ 정보자산의 보안 등급 평가

- 정보의 분류는 법적 요구사항, 민감도, 그 자체의 가치 및 침해 발생시 발생할 치명성을 고려하여 등급을 부여하여 분류하고 등급에 따른 취급 절차를 문서화 하여야 한다.

○ 개인정보 취급의 특정

- 의료기관은 의료기관내에서 수집, 이용, 제공하는 모든 개인정보를 파악하고 관리하기 위한 절차를 확립하고 개인정보 보호 관리시스템에서 이를 유지 관리하여야 한다.

․개인정보의 취급 내역 파악

․개인정보 일람표(리스트) 문서화

□ 정보시스템의 운영 및 보안 관리

○ 운영 및 보안관리 절차

- 의료정보시스템에 대한 운영절차는 정보 보안정책에 의해 문서화되어 관리되어야 하여 다음의 각항의 내용을 포함하여야 한다,

․정보시스템의 취급방법과 절차가 문서화 되어야 한다.

․정보시스템의 백업에 대한 절차.

․정보시스템 장애시 재사용을 위한 시스템의 재개 및 복구절차를 문서화 하여야 한다.

․예상치 못한 운영상의 혹은 기술적 문제점을 연락할 수 있는 기술지원팀의 연락처

○ 정보시스템의 과부하 모니터링

- 의료정보시스템의 적절한 처리 능력과 저장용량을 확보하기 위하여 시스템의 처리 속도와 용량에 대하여 주기적으로 모니터링 하여야 한다.

○ 정보시스템의 보안 관리

- 조직의 다른 의료정보시스템마다 해당관리자에 의해 계정이 생성되고 사용하게 됨으로서의 계정의 취약성을 파악해야 한다.

- 업무의 특정영역을 할당받은 특수계정 사용자에게는 일반계정의 사용자권한을 주지 않도록 한다.

- 사용자의 상태를 명확히 구분하여야 한다.(시설직원, 계약자 등을 표시)

○ 정보시스템의 접근 통제

- 의료정보시스템에 의료정보서비스를 제공받기 위해 접근하고자 하는 경우에는 직종별 업무별 보안수준 및 업무분장에 따라 결정된 보안정책에 따라 서비스의 제공을 제한 할 수 있어야 한다.

․의료정보시스템에 접근을 통제하기 위한 관리기능을 제공하여야 한다.

․의료정보의 자료의 읽기/쓰기/삭제/출력 등의 권한은 사용자 그룹별로 설정하여야 하며 민감한 의료정보의 경우에는 작업로그를 관리할 수 있어야 한다.

․민감한 정보를 다루는 의료정보시스템의 출력물이 인쇄되는 위치는 정확히 파악되어야 한다.

․허가되지 않은 부정한 접근을 방지하기 위해  의료정보 시스템의 사용 가능시간을 규정하고, 작업 중이 아닌 접속은 지정한 시간이 지나면 자동 타임아웃으로 세션을 종료하여야 한다.

○ 로그온 절차

- 로그온 작업이 정상적으로 완료 될 때까지 시스템의 정보 혹은 프로그램식별자를 화면에 나타내지 않아야 한다.

- 패스워드 입력 시 타인이 볼 수 없도록 화면에는 입력한 문자 대신 고정된 암호문자(* 등)로 표기한다.

- 네트워크 상에서 패스워드는 암호화되어 전송되어야 한다.

○ 악성코드 통제

- 인가되지 않은 소프트웨어 사용을 금지하도록 사용자 교육을 실시한다.

- 예방차원에서 정기적으로 악성코드를 검사하며, 악성코드를 치료할 수 있는 소프트웨어를 설치하고 소프트웨어의 정기적인 갱신이 이루어져야 한다.

- 의료정보 보호정책에 따라 실행권한이 있는 모바일코드만이 실행될 수 있도록 통제하여야 한다.

- 인가되지 않은 소프트웨어 설치를 방지하는 시스템을 운영하는 것을 추천한다. (선택)

□ 정보 시스템의 도입 및 변경

○ 정보시스템 도입 절차

- 요구되는 컴퓨터의 성능 및 용량을 산정하여 문서로 작성한다.

- 컴퓨터의 장애복구 및 재가동절차를 문서화하고, 재가동하기 전까지의 각 업무단위별 비상계획을 수립하여 모의훈련을 실시한다.

- 정상적인 의료정보 시스템의 가동에 대한 절차를 문서화 한다.

- 신규 또는 증설되는 시스템은 기존의 보안통제지침을 준수하여야 하여야 한다.

○ 정보시스템 변경 관리

- 의료정보 시스템을 변경하는 작업은 문서화 된 절차에 따라 의료기관에 공식적으로 승인을 얻어야 한다.

- 운영체제 및 응용프로그램 및 응용프로그램 라이브러리의 갱신은 적절한 인가를 받은 훈련된 관리자가 실행하여야 한다.

- 프로그램의 변경이 이루어지기 전에 이전상황으로 복귀할 수 있는 절차가 명시되어야한다.

- 이전버전의 프로그램은 비상조치로서 유지, 보관되어야 한다.

- 시스템의 변경사항에 대하여 기록하고 변경사항에 대하여 정확히 인지하여야 한다.

□ 네트워크 관리

○ 네트워크 접근 통제

- 사용자들은 사용이 허가된 네트워크 접속 서비스에 대해서만 접근권한을 가져야한다.

- 외부망에서 의료기관망으로 연결된 네트워크는 방화벽의 기능으로 외부로부터 차단되어야 한다.

- 방화벽에서 제공하는 접속제어 프로그램에 의해 전자우편, 파일전송 및 사용자별 혹은 그룹별로 네트워크 연결서비스에 대한 통제정책을 설정한다.

○ 유무선 네트워크 보안 관리

- 공중망 또는 무선네트워크를 통해 전달되는 자료의 기밀성과 무결성을 확보하고 연결된 시스템 및 프로그램을 보호하기 위하여 적절한 통제수단을 사용한다.

- 무선을 통한 연결은 보안성이 검증된 인증방식을 사용하여야 하며, 허가되지 않은 무선연결은 제한되어야 한다.

- 네트워크 보안에 관련된 로깅과 모니터링은 적절히 기록되고 수행되어야 한다.(선택)

- 보호되지 않은 환경에서 이동 전산기기(예: 노트북 등)를 사용할 경우의 위험으로부터 보호하기 위한 통제 대책 및 지침을 수립, 유지하여야 한다.(선택)

○ 원격 네트워크 접속 제어

- 원격 네트워크 연결은 가능한 한 허가하지 않으며 업무상 불가피할 경우에는 관리자의 승인을 받아야 한다.

- 요구된 원격지 접속 환경에 대한 적정성을 파악한다.

- 원격지로부터 의료기관의 조직내부로 접속하는 접근에 대한 필요성 및 그에 따르는 네트워크 연결에 대한 위험평가와 보안수준을 고려하여야 한다.

- 일반인과 같이 있는 상태에서의 원격 접속일 경우, 다른 사람으로부터 정보 또는 자원에 대한 인가되지 않은 접근에 대한 위험성을 고려하여야 한다.

- 홈 네트워크 사용 및 무선 네트워크 서비스 구성의 보안 요구사항 또는 제한 사항을 고려하여야 한다.

- 바이러스 방지 및 단말기에 대한 방화벽 요구사항을 고려하여야 한다.

□ 로그 관리

○ 정보시스템 사용 로그 모니터링

- 의료행위와 관련된 전자 매체에 대한 로그 관리에는 사용자 ID, 날짜와 시간, 접근통제 권한은 반드시 기록되어야 한다. 그 외 사용한 프로그램명, 사용된 데이터베이스의 테이블 명 등과 같은 사항에 로그 관리는 개별 의료기관의 선택에 의한다.

- 비인가자에 의한 행위는 실패 또는 거절된 사용자의 활동내역, 접근정책 위반 내역과  방화벽에 대한 로그기록, 침입탐지 시스템으로부터의 경고기록 등이 포함되어야 한다.

- 시스템에 대한 로그 기록에는  감독자, root, 관리자권한이 부여된 계정의 사용내역, 시스템의 시작 및 중지에 대한 기록 등이 포함되어야 한다.

- 기록된 로그 정보 변경 불가.

○ 컴퓨터 보안 감사 로그

- 민감한 의료정보자료의 접근 또는 중요한 트랜잭션의 처리에 대한 로그가 축적되고 관리되도록 설계에 반영한다.

- 감사 로깅에 대한 기록은  다음과 같은 항목이 포함되어져야 한다.

․사용자 ID / 접속시작시간과 접속종료시간의 날짜, 시간 및 주요 이벤트의 항목 / 단말기 확인 또는 가능하다면 단말기가 위치한 장소 / 접근 시도하였던 의료정보 시스템의 로그 / 의료정보시스템을 승인된 자가 변경작업을 실시하였을 때 기록 보관된 시스템의 구성변경 로그기록 / 사용자계정의 특권 / 응용프로그램의 사용기록 / 네트워크 주소 및 프로토콜(/etc/services 목록) / 기록된 로그 정보 변경 불가

□ 정보 유출 방지

○ 응용 프로그램 사용시의 정보 유출 방지

- 숨겨진 악성코드로 인한 정보 유출을 예방하기 위해 사용자의 PC가 외부 인터넷 망과 통신하고 있는 것을 모니터링하여야 한다.

- 의료정보 서비스 프로그램은 사용 시 무결성을 보장하여야 한다.

- 법 또는 규정이 정하는 바에 따라 개인의 사용기록 및 시스템의 이용내역에 대해 정기적으로 모니터링 한다.(선택)

- 컴퓨터 시스템 자원의 사용량을 모니터링 한다.(선택)

□ 백업 및 저장매체 관리

○ 의료정보에 대한 백업

- 의료정보의 보안수준에 따라 백업의 수준을 결정한다.

- 정확하고 완전한 백업 및 문서화된 복구절차를 마련한다.

- 업무의 성격에 따라 백업의 수준정책을 달리한다.

- 백업된 자료는 본 의료정보 시설로부터 발생한 재난을 피하기에 충분한 거리에 있는 원격지에 보관한다.

- 중요한 의료정보와 소프트웨어는 주기적으로 백업되어야 한다.

- 재난에 대한 대비 조치를 취하여야 한다.

- 백업이 제대로 되었는지를 확인하는 과정을 거쳐야 한다(선택).

○ 저장매체의 관리

- 정보 보안대상으로 관리되는 매체에 대해서는 사용 및 폐기 인가절차를 마련하여야 하며, 매체에 의한 불법적인 정보유출을 방지하기 위해 취약점 분석을 위한 점검 작업을 주기적으로 활용해야 한다.

- 모든 매체는 매체의 보관 방식에 따라 안전한 보안환경에서 보관되어져야 한다.

- 의료기관내에서 더 이상 사용하지 않는 매체는 복구불능의 상태로 폐기되어야 한다.

- 모든 저장 매체는 더 이상 사용되지 않을 경우 정식 절차에 따라 안전하게 폐기하여야 한다.

- 개인의 휴대용 저장매체 사용을 위한 절차를 마련하여야 한다(선택).

□ 사용자 인증 및 접근권한 관리

○ 접근 통제 정책의 수립

- 개개인의 업무에 대한 보안 요구도에 따라 보안수준을 결정한다.

- 접근 통제의 주기적인 검토를 실시한다.

- 접근권한의 할당과 관리기능을 분리, 운영한다(선택)

○ 사용자 등록 및 해지

- 사용자들이 자신의 업무에 대해 연관된 책임을 질 수 있도록 유일한 사용자 아이디를 사용하도록 한다. 그룹 아이디 사용은 업무 또는 경영상의 필요가 있는 경우에만 허용되어야 한다.

- 사용자가 의료정보 서비스를 사용함에 대하여 시스템 소유자로부터 적절한 인가절차를 받았는지 점검해야 한다.

- 허가된 접근수준이 업무목적에 적합한지를 검토하여 필요 이상으로 할당된 권한을 제거하여야 한다.

- 의료정보 서비스를 사용하기 위해 등록된 모든 계정사용자의 공식적인 로그기록을 유지하여야 한다.

- 의료기관의 제 규범 또는 제반 업무 절차를 변경함으로 인해 혹은 기관을 떠난 사용자의 접근권한은 즉시 재 할당 되거나 제거되어야 한다.

○ 사용자 패스워드의 할당

- 사용자는 개인 패스워드를 기밀로 유지하고 그룹 패스워드는 단지 그룹 멤버 내에서만 사용한다는 문서에 서명하도록 해야 한다. 서명된 문서는 고용 약정 및 조건에 포함될 수 있다.

- 사용자가 자신의 패스워드를 잊어버리거나 사용기간이 만기된 경우, 안전한 임시 패스워드가 제공되어져야 한다.

- 패스워드는 반드시 암호화 된 상태에서 저장되어야 한다.

□ 사용자 지침

○ 패스워드 사용 및 관리

- 다음 각 목의 문자 종류 중 2종류 이상을 조합하여 최소 10자리 이상 또는 3종류 이상을 조합하여 최소 8자리 이상의 길이로 구성.

․영문 대문자(26개) / 영문 소문자(26개) / 숫자(10개) / 특수문자(32개)

- 연속적인 숫자나 생일, 전화번호 등 추측하기 쉬운 개인정보 및 아이디와 비슷한 비밀번호는 사용하지 않는 것을 권고

- 비밀번호에 유효기간을 설정하여 반기별 1회 이상 변경

○ 자리비움시의 정보시스템 보안

- 모든 사용자는 자리를 비울 때 비 인가된 접근으로부터 의료정보시스템 및 데이터를 보호하기 위한 책임을 갖고 있다는 것을 인식하여야 하며, 이에 상응하는 조치(예: 로그아웃, 화면보호기 등)를 시행하여야 한다.

○ 클린데스크 및 클리어스크린

- 사용자는 의료정보 등이 포함된 출력물 또는 화면 보호를 위하여 클린데스크 및 클리어스크린을 수행하여야 한다.

□ 침해사고 예방 및 대응

○ 기술적 보안 취약점 관리

- 사용 중인 의료기관 정보시스템의 기술적 보안 취약점에 대한 정보를 획득하여 취약성을 평가하고, 발견된 취약성을 제거하는 적절한 대책을 세우고, 이를 실행하여야 한다.

○ 침해사고의 대응계획 및 체계 수립

- 보안사고의 정의 및 범위, 긴급연락체계 구축, 보안사고 발생 시 보고 및 대응 절차, 사고 복구조직의 구성, 교육계획 등을 포함한 보안사고 대응계획 및 체계를 수립ㆍ시행하여야 한다.

○ 보안 침해 사고의 보고

- 침해사고 증거 수집 활동이 포함된 긴급 대응 절차 및 보고 절차를 수립한다.

- 대응 부서는 침해사고를 즉시 보고하고, 시의 적절하게 대응할 수 있는 대응체계를  수립한다.

- 침해사고에 대한 모든 임직원 및 계약자, 제3자의 보고 및 대응 부서의 비상연락 체계를 수립한다.

- 모든 임직원 및 계약자, 제3자에 대한 침해사고대응 훈련절차를 수립한다.

□ 프로그램 개발 지침

○ 정보시스템의 보안 요구사항 분석 및 명세화

- 단위업무인 의료정보시스템을 신규로 개발하거나 확장하고자 할 때에는 요구되는 개발업무 명세서에는 보안 통제를 위한 사항이 명확히 포함하여야 한다.

- 단위업무로 의료정보시스템을 추가, 증설하고자 하는 경우에는 기존의 접근 통제 규칙을 프로그램 명세서에 명확히 기술하고, 이에 따라 프로그램 개발이 진행되도록 한다.

○ 프로그램의 내부프로세스 검증

- 처리오류 및 고의적인 행위를 통한 정보의 변조를 탐지하기 위해 무결성 점검기능이 응용프로그램 내에 구현되어야 한다.

○ 시험 데이터의 보호

- 개발자가 의료정보시스템을 추가하거나 유지, 보수하기 위하여 사용하는 시험자료에 대하여 개인정보 보안차원에서 보안수준을 강화시키고, 문서에서 명시한 통제정책을 준수하여야 한다.

- 시험에 사용된 정보 자료는 시험이 완료된 후에는 즉시 삭제되어야 하며 시험자료에 대한 입력, 정정, 삭제, 출력에 대한 로그는 정보 서비스 프로그램에 정의된 통제정책에 따라 통제를 받도록 하여야 한다.

○ 프로그램 소스코드에 대한 접근 통제

- 운영시스템에는 의료정보 시스템 프로그램 운용에 직접적인 관련이 없는 라이브러리의 설치는 하지 않아야 한다.

- 프로그램 소스 및 라이브러리에 대한 관리, 통제 정책을 수립하여야 한다.

- 프로그램 소스를 프린트하는 행위는 안전한 구역에서 실시되어야 한다.

○ 외주 소프트웨어의 개발

- 외주업체와의 계약 시, 라이센스 협정, 프로그램 소스 코드에 대한 소유권 여부 및 지적재산권에 대해 명시하여야 한다.

- 개발된 프로그램의 질적수준 및 자료처리의 정확도를 보증하여야 한다.

- 외주업체가 프로그램 개발에 실패할 경우에 대비하여 이행에 대한 “보증(escrow)”을 받아야 한다.

- 개발 완료된 프로그램이 의료기관의 보안 및 접근권한에 대하여 정확히 준수하고 있는 지를 감사하여야 한다.

- 개발 완료된 프로그램은 설치이전에 악성코드를 검사하여야 한다.

□ 진료 정보 등의 교환 지침

○ 의료기관간 교환협정

- 진료 정보 등을 타 병원(조직)과 교환할 경우 정보 데이터 보호, 정보 데이터 손실 등의 보안사고 발생 시 책임 등에 대한 교환협정을 체결한 후 교환하여야 한다.

- 정보 주체인 환자 본인의 요청이 있거나 요청이 없더라도 본인의 치료 등을 위하여 필요한 경우에는 교환 협정 없이 의료기관간 정보 교환이 가능하다.

○ 진료 정보 등의 교환 방법

- 통신기기를 통해 이루어지는 정보의 교환을 보호하는 정책, 절차 및 보호방안이 수립되어야 한다.

․교환된 정보를 보호하기위해 자료의 무결성을 보장하는 대책을 수립한다.

․악성코드 탐지와 방지를 위한 절차를 수립하여야 한다.

․첨부물형식으로 의료정보를 전달하는 것에 대한 절차를 수립한다.

․전자통신장치의 사용법에 관한 정책과 지침을 마련하여 문서로 공표한다. (전화, 팩스, 이메일 등을 이용한 개인정보의 송, 수신에 대한 지침서)

□ 암호화

○ 암호화 통제

- 진료 정보 등은 안전하게 보호되어야 한다는 전제 원칙을 포함하여 조직전반에 걸쳐 암호통제에 의한 관리적 방법이 고려되어야 한다.

- 위험평가를 근간으로, 계정의 종류별로 그에 맞는 보호수준이 명시되어야 하며, 또한 암호규칙의 수준도 계정별에 달리 명시되어야 한다.