[메디게이트뉴스 이지원 기자] 의료기관의 인공지능(AI) 활용이 진료를 넘어 병원 운영 전반으로 확대되면서 사이버 보안 위협에도 변화가 나타나고 있다. AI가 의료진의 업무 효율성을 높이는 도구인 동시에 공격자에게 새로운 공격 수단으로 활용될 수 있기 때문이다.

특히 의료기관은 EMR을 비롯해 의료영상, 환자 모니터링, 병원 홈페이지, 각종 애플리케이션과 API 등 다양한 시스템이 연결돼 있다. 서비스가 빠르게 개발·배포되면서 새로운 공격 표면이 지속적으로 생겨나는 만큼 기존의 정기적인 보안 점검만으로 변화하는 취약점을 지속적으로 확인하는 데는 한계가 있다는 지적이 나온다.

이에 오는 9월 3일 서울 코엑스에서 열리는 메디게이트뉴스 ‘제3회 미래 헬스케어 트렌드 컨퍼런스’에서 티오리 곽경주 Xint 제품 총괄은 ‘AI 해커가 병원을 노린다…의료AI 시대의 보안 취약점과 대응’을 주제로 발표한다.

의료기관이 직면할 수 있는 사이버 보안 위협과 기존 보안 점검의 한계를 짚고, AI가 공격자의 관점에서 취약점을 찾고 실제 침투 가능성까지 검증하는 AI 기반 취약점 자동 진단 에이전틱 시스템 ‘Xint(진트)’를 소개할 예정이다.

‘취약점이 있는가’에서 ‘실제로 공격할 수 있는가’로

기존 보안 취약점 점검 방식의 한계 중 하나는 발견된 취약점이 실제 공격으로 이어질 수 있는지를 확인하기 어렵다는 점이다.

규칙이나 시그니처를 기반으로 하는 스캐너는 알려진 공격 패턴을 중심으로 취약 가능성을 탐지한다. 이에 따라 여러 기능을 연결하거나 서비스의 업무 흐름을 이해해야 발견할 수 있는 비즈니스 로직 취약점은 별도의 분석이 필요할 수 있다.

보안 전문가가 직접 서비스를 분석하고 공격 시나리오를 구성하는 방식은 정확성을 높일 수 있지만, 점검 대상과 빈도를 확대하는 데는 한계가 있다.

티오리는 이러한 방식의 보완책으로 AI 기반 취약점 자동 진단 시스템 ‘진트(Xint)’를 개발했다.

진트는 점검 대상 웹 애플리케이션을 탐색한 뒤 기능과 데이터 흐름을 파악하고, 이를 바탕으로 공격 시나리오를 생성해 실제 악용 가능성을 확인하는 방식이다. 정찰, 공격, 검증, 리포팅 단계로 점검이 진행되며 여러 엔드포인트를 연결해야 확인할 수 있는 비즈니스 로직 취약점도 점검 대상으로 삼는다. 권한 우회나 IDOR(Insecure Direct Object Reference·안전하지 않은 직접 객체 참조), 결제 로직 우회 등이 대표적인 사례다.

다만 운영 중인 서비스에 공격 시나리오를 적용하는 만큼 안전장치도 중요하다. 진트는 데이터 수정·삭제나 데이터베이스 직접 변경을 제한하고 요청 횟수를 제어하는 ‘Safe Mode’를 제공한다. 관리자 페이지 등 민감한 영역을 점검 대상에서 제외하거나 필요한 경우 스캔을 중단할 수도 있다.

삼성전자·우리금융 등 대기업 보안 점검에도 활용

티오리 측에 따르면 삼성전자는 대규모 IT 자산의 보안 점검을 위해 진트를 도입했다. 수많은 서버와 도메인, API 등을 운영하는 기업 환경에서 자동화된 보안 점검을 활용하는 사례다. 우리금융그룹 역시 진트 웹을 활용해 보안 점검을 자동화하는 체계를 구축했다.

진트는 현재까지 2400개 이상의 도메인에서 누적 3만 시간 이상 스캔을 수행했다. 전체 스캔의 85% 이상은 12시간 이내에 완료됐다. 

이런 가운데 대형병원 역시 EMR과 홈페이지, 모바일 서비스, 의료영상 시스템, 환자용 애플리케이션, API 등 다양한 디지털 자산을 운영하고 있다. 의료 AI와 디지털 헬스케어 서비스가 늘어날수록 병원이 관리해야 할 시스템과 외부 접점도 확대될 수밖에 없다. 이에 따라 기존의 정기적인 보안 점검과 함께 변화하는 공격 표면을 지속적으로 확인하는 자동화 방식에 대한 관심도 커질 것으로 전망된다.

회사 측은 "의료 AI의 확산은 진료 효율성과 병원 운영의 변화를 가져오는 동시에 새로운 보안 과제를 만들고 있다. 특히 의료기관은 환자 개인정보와 임상 데이터를 다루는 만큼 일반 기업보다 보안 사고의 파급력이 클 수 있다"라며 "결국 의료기관의 AI 전환은 새로운 솔루션을 도입하는 데서 끝나는 것이 아니라 데이터를 안전하게 활용하고 변화하는 공격 표면을 지속적으로 관리할 수 있는 보안 체계를 함께 구축하는 것이 중요한 과제"라고 강조했다.