의료 산업은 보안 사고가 증가하고 복구에 오랜 시간이 걸리면서 여전히 공격자들이 선호하는 표적이 되고 있습니다. 빠듯한 예산과 복잡한 인프라 현대화 작업은 필연적으로 사이버 보안의 공백을 초래합니다. 랜섬웨어는 모든 산업 분야를 노리지만, 의료 분야에서는 취약점 악용과 자격 증명 탈취를 비롯한 애플리케이션 수준의 공격이 위협의 주요 원인으로 점차 부상하고 있습니다.
건강보험 이동성 및 책임에 관한 법률(HIPAA), 경제 및 임상 보건을 위한 의료정보기술법(HITECH), 결제 카드 산업 데이터 보안 표준(PCI-DSS)과 같은 규정 준수 요건을 충족하는 것은 비즈니스의 필수 과제이지만, 빠르게 변화하는 의료 산업에서 경쟁력과 고객 신뢰를 유지하려면 개인 건강 정보(PHI)를 보호하는 것이 무엇보다 중요합니다.
이 블로그 게시물에서는 의료 기관이 이제 AI로 한층 강화된 환자 및 의료 서비스 제공자 맞춤형 경험을 제공하는 동시에, 이들을 연결하는 앱과 API를 노리는 날로 증가하는 랜섬웨어 보안 위협을 방어해야 하는 점점 더 어려운 균형을 어떻게 맞추고 있는지 살펴봅니다.
앱, API, AI는 환자 치료에 매우 중요합니다
전자 건강 기록(EHR) 시스템을 통해 환자 포털에 편리하게 온라인으로 접속하고 온라인 결제를 할 수 있는 기능은 이제 기본 요건입니다.
이러한 상황은 악의적인 공격자들의 눈을 피하지 못했습니다. 위협 행위자들은 클라우드 애플리케이션의 취약점을 악용해 민감한 데이터에 무단으로 접근함으로써 공급망을 교란하고 핵심 인프라에 심각한 위협을 가합니다.
Forrester의 예측에 따르면, 미국 10대 건강보험사 중 절반이 가입자 권익 강화를 위해 AI를 사용할 것으로 전망됩니다. 이 분야의 선구자인 Epic은 환자 4명 중 1명이 자신이 이용하는 의료 시스템에서 AI를 사용하지 않을 경우 우려할 것이라고 설명합니다. AI 생태계는 API를 통해 연결되고, 그 기반이 되는 소프트웨어 공급망에는 하이브리드 및 멀티클라우드 환경 전반에 걸친 구성 요소가 포함되므로, AI는 위험 노출을 더욱 확대하고 취약점 악용, 봇과 악성 자동화를 통한 비즈니스 로직 악용 등의 보안 침해 사고를 증가시킬 것입니다. 이러한 위험은 생성형 AI를 통해 고객 경험을 개선하고 진료를 간소화하기 위해 환자와 의료 서비스 제공자에게 공개되는 자연어 처리(NLP) 인터페이스에도 동일하게 적용됩니다.
규정 준수 의무에 실효성이 생기기 시작했습니다
미국 의료 기관들은 빠르게 감당하기 어려운 위험에 처하고 있습니다. 2018년 이후 해킹 관련 침해 사고가 239% 증가했음에도 불구하고, 사이버 보안을 강화하고 개인정보를 보호하는 기술에 대한 투자를 유지할 계획인 기관은 42%에 불과하며, 일부는 오히려 투자를 줄일 수도 있습니다. 정보기관과 업계 협회가 환자 진료 데이터에 대한 임박한 위협을 거듭 경고하고 있는데도 이러한 격차는 여전히 존재합니다. HITECH와 PCI-DSS 규정이 적절한 보안에 대한 책임을 강조하고 있지만, 의료 업계는 이제 단순히 규정 준수 요건을 충족하는 것만으로는 충분하지 않다는 점을 인식해야 합니다.
“기준은 규정 준수가 아니라 사이버 보안 모범 사례입니다.”
앱 공격이 랜섬웨어 확산을 부추기고 있습니다
2024년 의료 분야 랜섬웨어 공격에서 가장 흔한 공격 벡터는 취약점 악용과 탈취된 자격 증명이었으며, 공격의 복잡성과 심각성이 증가함에 따라 복구에도 더 오랜 시간이 걸리고 있습니다. 한 가지 사례로, 애플리케이션 취약점을 악용해 인증 없이 임의 코드를 실행하는 실제 공격이 1월부터 계속되고 있습니다. 위협 행위자들은 해당 버그를 노려 웹 셸을 배포한 뒤, 이를 후속 공격 활동에 악용하고 있습니다.
취약점뿐만 아니라 앱과 API를 통해 노출되는 비즈니스 로직도 본질적으로 봇의 악용에 취약합니다. F5 Labs에 따르면, 로그인 절차를 노리는 지능형 지속 봇은 의료 업계에서 가장 많이 나타납니다. 예를 들어, 유전자 검사 기업 23andMe의 쇠퇴는 부분적으로 고객의 건강 및 혈통 정보를 노출한 크리덴셜 스터핑 공격에서 비롯된 것으로 평가됩니다. 봇은 정상적인 자격 증명을 사용하며 소프트웨어 취약점을 악용하려는 것이 아니므로 보안 경보가 울리지 않을 수 있습니다. 다단계 인증(MFA)은 크리덴셜 스터핑을 방지하는 데 도움이 될 수 있지만, 실시간 피싱 프록시(RTPP)가 증가하면서 완벽한 해결책은 아닙니다.
새로운 기준선이 필요합니다
다행히도 보안 업계는 이미 한발 앞서 있습니다. 여러 조직은 수년간 동적인 정책 기반 SSL/TLS 트래픽 조정을 통해 보안 검사 역량을 최적화해 왔으며, 이를 통해 투자 효과를 극대화하고 정책을 간소화하는 한편, 심층 방어 접근 방식으로 인프라와 애플리케이션 내의 랜섬웨어를 탐지해 왔습니다.
웹 앱 및 API 보호 플랫폼은 랜섬웨어에 대한 애플리케이션 보안 방어를 한층 더 강화합니다. 통합 제어 기능은 클라이언트 브라우저, 모바일 기기, 클라우드, 새로운 대화형 인터페이스, 소프트웨어 개발 수명 주기 등 다양한 환경에서 웹, API 및 AI 앱의 취약점 악용을 완화하고 비즈니스 로직이 악용되지 않도록 보호할 수 있습니다.
의료 분야를 위한 F5 솔루션은 모든 앱과 API를 어디서나 랜섬웨어로부터 보호하여 규정 준수 요건을 충족하고 환자 및 의료 서비스 제공자 데이터의 노출 위험을 줄임으로써 조직이 확산세를 꺾을 수 있도록 지원합니다.
자세한 내용은 의료 분야를 위한 F5 솔루션을 확인하세요.
작성자 소개
관련 블로그 게시물
성평등을 향한 여정: 사이버 보안 분야에서 성공적인 커리어를 개척하는 방법에 관한 Jenn Gile과의 Q&A
F5의 ‘성평등을 향한 여정’ 시리즈 네 번째 Q&A에서는 Rachael Shah와 NGINX 제품 마케팅 책임자 Jenn Gile이 사이버 보안 직종에 대한 오해를 바로잡고, 사이버 보안 분야의 성별 격차를 해소하기 위한 조언과 그 이점에 대해 이야기합니다.
TLS 검사에서 피터 파커 원칙 다루기
“큰 힘에는 큰 책임이 따른다.” 볼테르와 처칠도 이와 비슷한 말을 남겼지만, 이 문구는 스파이더맨 코믹스에서 벤 삼촌의 말로 가장 널리 알려져 있습니다. 물론 이 문구가 문화적으로 널리 통용되는 이유 중 하나는 TLS 검사를 비롯해 수많은 상황과 주제에 적용할 수 있기 때문입니다.
Venafi와 F5를 통한 머신 아이덴티티 보호
‘머신 아이덴티티’란 간단히 말해 자동화된 프로세스가 자신의 신원을 식별할 수 있도록 하고, 다른 자동화 시스템과 프로세스가 관련 리소스에 적절한 수준의 접근 권한을 부여하도록 하는 방법을 의미합니다. 이 개념 자체는 새로운 것이 아닙니다. 비교적 새로운 점은 이를 구현해야 하는 규모입니다.
마이너와 미니언: 데이터 유출만이 비용을 초래하는 것은 아닙니다
물론 데이터 유출은 더 큰 비용을 초래할 수 있고(적어도 지금은), 실패 사실을 세상에 드러낼 수밖에 없게 합니다(통지 의무가 있으니까요). 하지만 보안을 단순히 데이터 노출 문제로만 봐서는 안 됩니다. 요즘은 데이터가...
내 클라우드에서 나가!
F5의 Jay Kelley가 전하는 최신 소식에는 Microsoft Office 365용 신규 ID 및 액세스 솔루션을 배포할 때 고려해야 할 사항이 정리되어 있습니다.
Shift(웹 앱) 보안 레터
웹 앱 보안을 개발 초기 단계로 앞당기세요. F5 블로그에서 DevOps 파이프라인 초기에 보안을 통합하여 취약점을 예방하고 시간을 절약하는 방법을 알아보세요.