WORM 스토리지 활용 가이드 주식회사 올리브텍 보안스토리지 전문기업

Presentation on theme: "WORM 스토리지 활용 가이드 주식회사 올리브텍 보안스토리지 전문기업"— Presentation transcript:

1 WORM 스토리지 활용 가이드 주식회사 올리브텍 보안스토리지 전문기업
솔루션 가이드 Compliance & Data Security in Medical Industry 의료산업분야 정보 보호를 위한 WORM 스토리지 활용 가이드 WORM 스토리지 전문 기업 주식회사 올리브텍 OLIVETECH, INC. 주소: 경기도 성남시 분당구 구미로 11 포이트타운 7층 701호 전화: ~8 팩스: 홈페이지: 이메일:

2 의료 분야 데이터 컴플라이언스 개인정보보호 가이드라인 [의료기관 편] 2015년 2월 – By 보건복지부, 행정자치부
바. 접속기록의 보관 및 위.변조 방지 개인정보취급자가 개인정보처리시스템에 접속한 기록은 최소 6개월 이상 위.변조 및 도난, 분실되지 않도 록 안전하게 보관하여야 함. 위조 및 변조 방지에 대한 규정 정기적으로 접속기록 백업을 수행하여 개인정보처리시스템 이외의 별도의 보조저장매체나 별도의 저장장치 에 보관하여야 함 접속기록에 대한 위․변조를 방지하기 위해 DVD-ROM, WORM(Write Once Read Many) Disk 등과 같은 덮어쓰기 방지 매체를 사용하는 것이 바람직함 접속기록을 수정 가능한 매체(HDD 또는 테이프 등)에 백업하는 경우에는 무결성 보장을 위해 위․변조 여부 를 확인할 수 있는 별도의 장비에 보관, 관리하는 것이 바람직함 정보보호관리체계(ISMS) 인증 의무대상 의료.교육기관으로 확대 (ISMS: Information Security Management System) 정보통신망법 개정 시행 ( 시행) 매출 1500억 이상인 의료법상 상급종합병원은(대상병원 43개)은 ISMS 인증을 의무적으로 받아야 함. 개인정보보호 가이드라인의 준수가 ISMS 인증에 있어서 가장 중요한 필수 요소 의료법 시행규칙 제15조 [진료에 관한 기록의 보존] 제15조(진료에 관한 기록의 보존)  의료기관의 개설자 또는 관리자는 진료에 관한 기록을 다음 각 호에 정하는 기간 동안 보존하여야 한다. 다만, 계속적인 진료를 위하여 필요한 경우에는 1회에 한정하여 다음 각 호에 정하는 기간의 범위에서 그 기간을 연장하여 보존할 수 있다.  <개정 > 1. 환자 명부 : 5년, 2. 진료기록부 : 10년, 3. 처방전 : 2년 4. 수술기록 : 10년, 5. 검사소견기록 : 5년, 6. 방사선사진 및 그 소견서 : 5년 7. 간호기록부 : 5년, 8. 조산기록부: 5년 9. 진단서 등의 부본(진단서·사망진단서 및 시체검안서 등을 따로 구분하여 보존할 것) : 3년 ② 제1항의 진료에 관한 기록은 마이크로필름이나 광디스크 등(이하 이 조에서 "필름"이라 한다)에 원본대로 수록하여 보존할 수 있다.

3 의료산업에서의 랜섬웨어 위협의 심각성 병원정보시스템(HIS)과 잠재적 보안 위험
CYBERATTACKERS DEMAND $3.6M RANSOM FROM HOLLYWOOD HOSPITAL As Ransomware Crisis Explodes, Hollywood Hospital Coughs Up $17,000 In Bitcoin Hollywood Hospital Victimized by Ransomware Locky Spreading Fast A Hospital Paralyzed by Hackers  이 랜섬웨어…의료기관만 노린다 한 주 만에 병원 세 곳이 랜섬웨어에! 의료계 위기 국내 주요 의료기관 랜섬웨어 대응현황 긴급진단 랜섬웨어 피해 입은 미국 병원, 끝내 1만 7,000달러 비용 지불 SAMSAM: THE DOCTOR WILL SEE YOU, AFTER HE PAYS THE RANSOM Check Point Threat Alert: SamSam and Maktub Ransomware Evolution 의료기관 서버 취약점 노리는 ‘삼삼’과 감염 확산 위해 파일 압축하는 ‘마크텁’ 발견 삼삼 랜섬웨어, 특정 기업 노리는 표적형으로 진화 Samsam may signal a new trend of targeted ransomware  병원정보시스템(HIS)과 잠재적 보안 위험 대부분 의료 기관들은 병원 내 의료 및 행정업무를 관리하기 위한 병원정보시스템(Hospital Information System, 이하 HIS)을 사용한다. 이 시스템은 진료 현황부터 의약품관리, 재무관리, 환자관리 및 각종 의료 영상 정보까지 관리하는 통합 시스템이다. 특히 HIS의 핵심이라 할 수 있는 전자의료기록(Electronic Medical Record, EMR), 처방전 전달 시스템(Order Communication System, OCS), 의료 영상 저장 및 전송 시스템(Picture Archiving & Communication System, PACS)은 민감한 환자 정보를 다루고 있고 네트워크를 통한 시스템간 유기적인 연동이 가능해야 한다.  특히 PACS는 여러 가지 의료 영상 장비(MRI, CT, X-ray 등)로부터 획득한 의료 영상 정보를 저장 및 전송하는 시스템으로, 환자의 치료 및 생명과도 직결되는 만큼 안전하게 관리되어야 하는 중요 시스템이다. 또한 의료 영상 및 그 소견서의 법적 의무 보관 기간이 5년이므로 혹시 발생할 수 있는 사고에 대비하여 자료에 대한 백업 관리도 중요하다. 만약 NAS((Network Attached Storage) 영역을 활용하여 저장된 PACS의 의료 영상 정보가 영상판독 뷰어가 설치된 클라이언트 시스템을 통해 유입된 랜섬웨어에 의해 암호화가 되고, 백업 데이터까지도 동일 네트워크상에 위치한 저장 장소에 관리되어 암호화가 된다면 병원 보안 담당자로서는 상상하기도 싫은 사태가 발생하게 될 것이다

4 WORM 스토리지 개요 및 의료 기관 활용 용도 WORM (Write Once Read Many) 스토리지 개요
광-디스크 처럼 파일을 한 번 기록하면 어떠한 권한으로도 저장된 파일을 삭제하거나 수정할 수 없도록 하는 기능을 제공하는 하드디스크 기반의 대용량 표준 네트워크 스토리지 시스템. 파일에 대한 보존기간 지정 (분,시,일,주,년,영구) 보존기간 동안 파일 삭제 수정 불가 보존기간 경과 후 파일 삭제 후 공간 활용 혹은 보존기간 연장 가능 (파일에 대한 수정은 허용 안됨) 파일에 대해 디지털 지문 생성(SHA 256 기반)을 통한 무결성 검증 일반 NAS 와 같은 산업 표준 인터페이스 사용 WORM 볼륨, 일반 NAS 볼륨, iSCSI 볼륨을 한 시스템에서 구성 가능 의료 분야 주요 WORM 스토리지 필요 분야 개인정보 접속 및 활용 기록 저장 – 위.변조 방지에 대한 개인정보보호법 규정 충족 및 ISMS 평가 기준 충족 랜섬웨어에 대비한 PC 및 각종 서버 데이터의 안전한 백업 PACS 영상 등 데이터 베이스를 제외한 파일로 존재하는 다양한 데이터에 대한 안전한 백업 통합로그관리시스템 – 내.외부 보안 사고에 대비해 보안 사고 해결에 주요 근거가 되는 각종 로그의 원본의 보존

5 WORM 스토리지 구성안 개인정보 접속기록관리 솔루션 통합로그관리 혹은 SIEM 솔루션 랜섬웨어 대비 PC 및 서버 백업 솔루션 PACS 영상 및 각종 의료 데이터 백업 및 이중화 WORM Volume #1 WORM Volume #2 WORM Volume #3 WORM Volume #4 WORM 스토리지 바이러스, 랜섬웨어, 우발적 삭제 및 훼손 위협으로 부터 각종 의료 데이터 원본을 안전하게 보존하며 의료 분쟁에 대비, 데이터의 법적 증거력 확보 급증하는 랜섬웨어로부터 의료진이 사용하는 물리적 PC 및 가상화된 VDI PC에 대한 안전한 백업 및 각종 서버데이터에 대한 안전한 백업 네트워크장비, 보안장비, 서버,스토리지, OS 및 각종 Application 에서 발생하는 로그 원본 보존  내부통제 및 보안사고추적을 위한 근거자료 보호 및 외부 감사 대비 근거 자료 보존 개인정보보호법 및 ISMS인증 대비 개인정보 접속 및 활용 기록 위.변조 방지 저장 ** 참고 사항: 용량,성능 및 기타 솔루션 요구 사항에 맞추어 단일 WORM 스토리지에 통합 저장 혹은 기능별로 별도의 WORM 스토리지로 분리 구성

6 올리브텍 WORM 주요 도입 고객 공 공 부 문 금 융 부 문 제조 및 기타