[디지털데일리 김보민기자] 마이크로소프트(MS)가 이달 윈도10 공식 지원을 종료하는 가운데, 의료기관의 보안 취약점이 커질 수 있다는 경고가 나왔다. 운영체제(OS) 전환에 대한 비용 부담으로 즉각 대응이 어려울 경우, 신규 보안 위협에 대응할 수 없을 것이라는 진단이다.

황연수 병원정보보안협의회 학술분과장은 지난달 30일 서울 코엑스에서 열린 대한민국 사이버보안 컨퍼런스에서 2025년 의료 환경에서 주목한 정보보안 키워드 10개를 소개하며 그 중 하나로 '윈도10 지원 종료'를 꼽았다.

황 분과장은 "MS는 오는 10월14일 윈도10 기술 지원을 종료한다"며 "이후에는 보안 업데이트와 패치가 더 이상 제공되지 않기 때문에, 이를 계속 사용하는 시스템은 사이버 공격에 매우 취약해질 수밖에 없다"고 말했다.

이어 "문제는 현재 많은 의료기관의 핵심 시스템, 검사 장비 등이 아직도 윈도10을 기반으로 운영되고 있다는 점"이라며 "기술 지원 종료 이후 윈도10을 이용할 경우, 보안 취약점이 그대로 방치돼 랜섬웨어나 악성코드 공격의 주요 대상이 될 수 있다"고 강조했다. 그러면서 "환자 정보 유출, 진료 차질 등 심각한 보안 및 운영 위험(리스크)으로 이어질 수 있다"고 예측했다.

기술지원 종료란, 새로 발견되는 보안 취약점에 대한 업데이트가 중단된다는 것을 의미한다. 앞서 한국인터넷진흥원(KISA)은 윈도10 지원 종료 시점에 맞춰 운영체제(OS) 버전을 업그레이드할 것을 권고하며 "백신 프로그램 설치를 통해 일부 피해를 예방할 수 있으나, 새로운 보안 취약점으로 인한 위협이 발생할 수 있어 보다 안전한 컴퓨터 사용을 위해 운영체제 업그레이드를 권한다"고 밝힌 바 있다.

황 분과장은 의료기관 특성상 운영체제 변경에 즉시 대응하기 어렵다고 설명했다. 그는 "의료기관이 신속하게 대응하지 못하는 이유는 비용 부담, 기존 시스템 간의 호환성, 중소병원의 정보기술(IT) 인프라 부족 등 세 가지가 있다"며 "OS 전환은 단순한 소프트웨어 업데이트가 아닌 하드웨어 교체, 라이선스 비용 (부담), 시스템 검증 및 테스트 등 복합적인 작업이기 때문"이라고 부연했다.

현재 상급종합병원을 비롯한 주요 의료기관은 윈도10 지원 종료를 계기로 차기 계획을 검토 중인 것으로 전해진다. 황 분과장은 "의료기관은 더 이상 대응을 미룰 수 없다"며 "OS 전환을 준비하는 첫 단계는 현재 운영 중인 시스템 호환성을 점검해 사전 테스트를 하는 것"이라고 제언했다. 이어 "의료기관이 윈도10 지원 종료를 단순한 IT 이슈로 보지 않고, 환자 안전과 서비스의 문제로 인식해 선제 대응할 시점"이라고 역설했다.

한편 황 분과장은 올해 협의회가 선정한 다른 키워드도 소개했다. '윈도10 지원 종료'와 더불어 꼽힌 키워드로는 ▲인공지능(AI) 시대 위협 대응 ▲마이데이터 전송요구권 ▲클라우드 네이티브 보안 ▲사이버 회복력(레질리언스) ▲무경계 보안 전략(제로트러스트) ▲모바일 보안 혁신 ▲의료사물인터넷(IoMT) 보안 강화 ▲예방 중심 보안관제 시스템 ▲보건의료 데이터 통합 보호가 있었다.

특히 의료 환경에서 AI 위협이 커질 것으로 내다봤다. 황 분과장은 "AI 기술은 이제 의료 현장에서도 빠르게 확산되고 있다"며 "진단 보조, 치료 계획 수립, 환자 관리 시스템 등 여러 영역에서 이미 AI 기반 서비스가 도입되는 추세"라고 전했다. 그러면서 "기술 발전 이면에는 새로운 보안 위협도 따라오고 있다"며 "민감한 의료 정보를 다루는 AI 시스템의 경우 사이버 공격자들에게 매우 매력적인 목표가 되기 때문에, AI 보안을 단순 기술적 이슈를 넘어 환자 안전과 직결되는 문제로 받아들여야 한다"고 말했다.

IoMT 측면에서는 이미 보안 위협이 현실화되고 있다고 경고했다. 이날 황 분과장이 소개한 자료에 따르면 그간 국내외에서는 맥박 조정기 및 약물주입펌프 해킹 등 실제 IoMT를 통로로 악용한 사고가 발생했다.

황 분과장은 의료기관을 노린 사이버 공격이 거세지고 있는 만큼, 의료 특화 보안 전략도 필요하다고 제언했다. 정보보호 3대 원칙 중 하나인 '가용성'을 개선하기 위한 대책이 필요하다는 취지다. 황 분과장은 "병원은 (치료 등) 빠른 조치를 위해 정보시스템에 즉시 접속해야 하는데, (보안을 이유로) PC 화면이 잠겨 있거나 대기 모드(mode)를 해제하기 위해 올바른 암호를 입력해야 하는 절차를 거쳐야 한다"며 "사용자 편의성을 해치지 않으면서, 병원의 정보보안을 보호할 방안을 찾아야 한다"고 강조했다.

- Copyright ⓒ 디지털데일리. 무단전재 및 재배포 금지 -