선택한 단어 수는 입니다.
최소 단어 이상 선택하여야 합니다.
최소 단어 이상 선택하여야 합니다.
선택한 단어 수는 30입니다.
최대 10 단어까지만 선택 가능합니다.
최대 10 단어까지만 선택 가능합니다.
문제 정의
- 본 연구결과는 의료기관에서 효율적인 인식제고 교육을 통한 정보보호 수준 강화를 위한 교육과정을 제시하였다. 또한 스스로 자가평가를 통해 부족한 부분을 확인할 수 있는 도구 활용을 통해 필요한 부분을 빠르게 학습하여 의료기관에서 효율적으로 정보보호 인식수준을 강화하기 위한 방법을 연구 제안하였다. 본 연구결과는 1차, 2차, 3차 병의원, 보건소, 보건지소, 보건진료소, 약국 등에서 정보보호 인식교육을 위해 수준별, 직급별 등으로 필요한 수준에 따라 교과목을 배치함으로써 수준별 커리큘럼을 구성하는데 활용 가능 할 것으로 기대한다.
- 이처럼 스마트의료 환경에서 정보보호에 대한 위험도가 지속적으로 증가하고 있다. 본 논문에서는 의료분야 종사자들(의사, 약사, 간호사 등)에 대한 정보보안 인식수준 실태를 조사/분석하여 정보보호 인식 수준을 강화하기 위한 효과적인 정보보호 교육 교육과정을 연구하고자 한다.
- 본 연구결과는 의료기관에서 효율적인 인식제고 교육을 통한 정보보호 수준 강화를 위한 교육과정을 제시하였다. 또한 스스로 자가평가를 통해 부족한 부분을 확인할 수 있는 도구 활용을 통해 필요한 부분을 빠르게 학습하여 의료기관에서 효율적으로 정보보호 인식수준을 강화하기 위한 방법을 연구 제안하였다.
- 본 연구에서는 스마트의료 환경에서 의료분야 종사자들의 보안인식제고를 위한 NCS 기반의 효과적인 정보보호 인식교육을 위한 교육과정을 연구한다. 본 논문의 II장에서는 의료분야 보안사고 사례 및 관련 연구와, III장에서는 의료분야 정보보안 실태조사를 통해 문제점과 연구대상인 의료기관 정보보호 인식교육을 위한 교육과정과 타당성 분석을 연구하였으며, IV장에서는 활용방안, 마지막으로 V장에서는 본 논문의 결론으로 끝을 맺는다.
- 의료분야 특성상 사람의 생명을 다루기 때문에 정보보호는 매우 중요한 요소이다. 본 연구에서는 의료기관의 보안성을 향상시키기 위한 의료기관 정보보호 인식교육 교육과정을 연구하여 제안하였다.
제안 방법
- “접근통제(14)”, “암호통제(2)”, “물리적 및 환경적 보안(15)”, “운영보안(14)”, “통신보안(7)”, “정보시스템 취득 개발 및 유지보수(13)”, “공급자 관계(5)”, “정보보안 사고관리(7)”, “업무연속성 관리(4)”, “준수(8)” 114개 통제항목을 기준으로 의료분야 정보보호관리체계 표준인 ISO/IEC 27799:2016의 정보보호 요구사항을 맵핑하여 비교/분석을 통해 중복되는 항목과 의료정보보호에 고유한 통제항목을 도출하는 1차 필터링 과정을 통해 의료기관에 필요한 정보보호 통제항목을 도출 하였다.
- 교육과정은 국가직무능력표준(이하, NCS)의 능력 단위 “정보보호”, “보안엔지니어링”, “보건/의료” 를 기반으로 하였으며, ISO 27001:2013, ISO 27799:2016 및 정보보호 관련 교육기관과 교육과목을 참고하여 개발 하였다.
- 또한 “HIPPA”, “IHE”, “HL7”, “개인정보보호법”, “의료기관 인증기준”, “보건의료분야 개인정보보호 가이드라인” 등을 분석하여 1차병원·진료소·약국 설문항목은 12개 영역 47개 항목을 도출하고, 2차·3차·보건소·지소 설문항목은 14개 영역 178개 점검항목을 도출하였다.
- 또한 보건의료분야 기관이 개인정보를 안전하게 보호하기 위한 통제 항목으로 “개인정보의 안전성 확보조치”, “개인정보의 기술적 관리적 보호조치”, “의료법”과 함께 의료기관, 약국, 사회복지시설 개인정보보호 가이드라인을 비교/분석하여 점검항목을 도출하였다.
- 정보보호 수준을 측정하기 위한 분석방법으로 설문지를 작성하여 의료기관에 방문하기 전 담당자에게 사전 배포하여 인터뷰 내용을 사전에 인지할 수 있도록 하였다. 또한 의료기관 담당자의 인터뷰를 설문지 기반으로 하여 문서검토, 의료기관 실사 등을 진행하였다. 실태조사 점검결과는 의료기관 정보보호 수준측정을 위해 활용한다.
- 마지막으로 설문대상의 규모에 따라 1차·진료소·약국 등 소규모를 대상으로 “업무연속성, 준거성 및 정보보호 투자가 어려운 환경 등의 여건을 고려하여 12개 영역 47개 항목을 도출하여 대상 의료기관의 정보보호 실태조사를 실시하였다.
- 실태조사는 의료·보건·약국 등 18개 기관을 대상으로 현장조사를 수행하였다. 실태조사는 인터뷰와 설문, 현장실사 등을 통해 자산과 정보를 식별하고 정보보호 수준을 측정하였다.
- 또한 NIST 800-16(Information Technology Security Training Requirements:A Role-and Performance-Based Model), 800-50(Building an Information Technology Security Awareness and Training Program)의 정보보호 교육 프레임워크 참조하였다[21, 22]. 실태조자 결과에 따른 의료기관의 정보보호 수준 및 의료종사자의 수준에 따라 교육을 진행할 수 있도록 크게 4단계(Lv1 ~ 4)로 구분하였다. 교과목을 단계별로 배치하여 중복교육을 방지하였다.
- 의료기관 정보보호 인식교육을 위한 교육과정 개발을 위하여 “ISO/IEC 27001 Information security management systems", "ISO/IEC 27799 Health informatics - Information security management"를 기반으로 HL7 및 HIPPA, IHE 등에서 요구하는 보안 요구사항을 포함하여 ISO 27001:2013의 14개 영역 114개 기준으로 설문지를 작성하여 배포하고, 의료기관 담당자 인터뷰를 진행하였다.
- 의료기관의 정보보호 실태조사 결과를 토대로 의료기관에서 가장 필요한 보안교육 분야를 분석하여 NCS 기반의 정보보호 인식교육을 위한 교육과정을 개발하였다. 이는 규모 및 환경, 직무분야에 따라 필요한 교육 항목이 다를수 있다.
- 이는 NCS에서 기본적으로 요구하는 교육대상자 요구사항으로 본 연구에서는 이를 적극적으로 반영하여 교육과정 구성에 활용하였으며, Table 3.와 같이 교육에서 필요한 지식·기술·태도 기준을 정의하였다[19].
- 또한 “HIPPA”, “IHE”, “HL7”, “개인정보보호법”, “의료기관 인증기준”, “보건의료분야 개인정보보호 가이드라인” 등을 분석하여 1차병원·진료소·약국 설문항목은 12개 영역 47개 항목을 도출하고, 2차·3차·보건소·지소 설문항목은 14개 영역 178개 점검항목을 도출하였다. 이를 기반으로 실태조사는 의료기관에서 반드시 준수해야 하는 정보보호 요구사항을 도출하고 정보호호 수준을 측정하여 교육과정에 활용하였다. 정보보호 수준을 측정하기 위한 분석방법으로 설문지를 작성하여 의료기관에 방문하기 전 담당자에게 사전 배포하여 인터뷰 내용을 사전에 인지할 수 있도록 하였다.
- 이는 규모 및 환경, 직무분야에 따라 필요한 교육 항목이 다를수 있다. 이를 위해 NCS에서 제공하고 있는 교육수준 자가평가 방법을 기반으로 의료기관에 정보보호 교육 유형(인식, 훈련, 교육)에 따라 수준을 평가하기 위한 자가평가 방법을 Fig 4.와 같이 연구 제안한다. 이를 활용하여 교육 대상자 스스로 자가평가를 실시하여 교육 대상자의 정보보호, 개인정보보호, 의료 정보보호 교육수준을 평가 할 수 있다.
- 이를 기반으로 실태조사는 의료기관에서 반드시 준수해야 하는 정보보호 요구사항을 도출하고 정보호호 수준을 측정하여 교육과정에 활용하였다. 정보보호 수준을 측정하기 위한 분석방법으로 설문지를 작성하여 의료기관에 방문하기 전 담당자에게 사전 배포하여 인터뷰 내용을 사전에 인지할 수 있도록 하였다. 또한 의료기관 담당자의 인터뷰를 설문지 기반으로 하여 문서검토, 의료기관 실사 등을 진행하였다.
- 의료기관 영역별 보안수준 평가결과와 같이 전반적으로 전체 영역별 평균에 비해 1차 병원, 보건지소, 진료소의 경우 보안수준이 매우 미흡한 것으로 조사되었다. 조사한 의료기관의 정보보호 현황은 의료기관의 규모 및 매출에 따라서 정보보호 투자 예산의 차이가 크기 때문에 규모별로 정보보호 수준을 분류하였다. 정보보호 전문조직 및 전담인력을 보유한 의료기관과 전담인력 없이 겸직을 하고 있는 의료기관 간의 보안수준의 차이가 발생하고 있었으며, 의료기관의 안전성(Safety)을 확보하기 위해서는 정보보호 전담조직 과 정보보호 인력 확보, 정보보호 인식, 적절한 예산편성이 매우 중요한 것으로 확인되었다.
- 교육과정은 국가직무능력표준(이하, NCS)의 능력 단위 “정보보호”, “보안엔지니어링”, “보건/의료” 를 기반으로 하였으며, ISO 27001:2013, ISO 27799:2016 및 정보보호 관련 교육기관과 교육과목을 참고하여 개발 하였다. 특히 NCS의 지식 (Knowledge), 기술(Technology), 태도(Attitude) 개념을 적극적으로 도입하여 교과목에서 요구하는 최소 요구사항을 도출함으로써 각각의 교육과정을 수준별로 분류하고, 자가평가를 통해 개인별로 부족한 교과목을 선정하여 효율적으로 학습할 수 있는 교육과정을 연구한다.
- 현업에 종사하는 정보보호 및 의료분야 전문가 20인을 대상으로 교육과정 개발의 방법론과 결과에 대하여 리뷰를 진행하였으며, 각 항목에 대해서 타당성을 검증하였다. CVR 분석결과 교육과정에 대한 전문가의 타당도 비율(CVR)은 Table 5와 같으며, 0.
대상 데이터
- 실태조사는 의료·보건·약국 등 18개 기관을 대상으로 현장조사를 수행하였다.
데이터처리
- 교과목을 단계별로 배치하여 중복교육을 방지하였다. 연구된 의료기관 정보보호 인식 교육과정은 정보보호 전문가 및 의료분야 전문가를 통해 타당도 비율(Content Validity Ratio, CVR) 방법론을 적용하여 타당성 분석을 진행하였다.
이론/모형
- 연구 및 개발된 의료기관 정보보호 인식교육과정 결과는 각 과정마다 개발된 내용의 타당성을 타당도 비율(Content Validity Ratio, CVR) 방법론을 활용하였다. CVR을 구하는 산식은 CVR = (Ne - N/2)/(N/2) (N: 응답자 수, Ne: 타당성 정도)를 활용하였다[17, 19].
- 의료기관 정보보호 인식교육을 위한 교육과정은 “국가직무능력표준(NCS, National Competency Standards)"을 기반으로 ISO 국제표준의 요구사항과 의료분야 정보보호 요구사항, 교육기관의 정보보호 교육과정을 참조하여 작성하였다. 또한 NIST 800-16(Information Technology Security Training Requirements:A Role-and Performance-Based Model), 800-50(Building an Information Technology Security Awareness and Training Program)의 정보보호 교육 프레임워크 참조하였다[21, 22]. 실태조자 결과에 따른 의료기관의 정보보호 수준 및 의료종사자의 수준에 따라 교육을 진행할 수 있도록 크게 4단계(Lv1 ~ 4)로 구분하였다.
- 연구 및 개발된 의료기관 정보보호 인식교육과정 결과는 각 과정마다 개발된 내용의 타당성을 타당도 비율(Content Validity Ratio, CVR) 방법론을 활용하였다. CVR을 구하는 산식은 CVR = (Ne - N/2)/(N/2) (N: 응답자 수, Ne: 타당성 정도)를 활용하였다[17, 19].
- 의료기관 정보보호 인식교육을 위한 교육과정은 “국가직무능력표준(NCS, National Competency Standards)"을 기반으로 ISO 국제표준의 요구사항과 의료분야 정보보호 요구사항, 교육기관의 정보보호 교육과정을 참조하여 작성하였다.
성능/효과
- 현업에 종사하는 정보보호 및 의료분야 전문가 20인을 대상으로 교육과정 개발의 방법론과 결과에 대하여 리뷰를 진행하였으며, 각 항목에 대해서 타당성을 검증하였다. CVR 분석결과 교육과정에 대한 전문가의 타당도 비율(CVR)은 Table 5와 같으며, 0.42보다 높은 값으로 전체적으로 타당하다는 결론을 도출하였다.
- 각 의료기관의 정보보호 현황을 분석하여 14개 영역의 평균은 Fig 1. 의료기관 영역별 보안수준 평가결과와 같이 전반적으로 전체 영역별 평균에 비해 1차 병원, 보건지소, 진료소의 경우 보안수준이 매우 미흡한 것으로 조사되었다. 조사한 의료기관의 정보보호 현황은 의료기관의 규모 및 매출에 따라서 정보보호 투자 예산의 차이가 크기 때문에 규모별로 정보보호 수준을 분류하였다.
- 조사한 의료기관의 정보보호 현황은 의료기관의 규모 및 매출에 따라서 정보보호 투자 예산의 차이가 크기 때문에 규모별로 정보보호 수준을 분류하였다. 정보보호 전문조직 및 전담인력을 보유한 의료기관과 전담인력 없이 겸직을 하고 있는 의료기관 간의 보안수준의 차이가 발생하고 있었으며, 의료기관의 안전성(Safety)을 확보하기 위해서는 정보보호 전담조직 과 정보보호 인력 확보, 정보보호 인식, 적절한 예산편성이 매우 중요한 것으로 확인되었다. 특히, 정보보호 인식교육은 추가 예산이나 비교적 적은 노력으로 의료기관의 정보보호 수준을 빠르게 강화할 수 있으므로, 의료기관의 효과적인 정보보호 인식교육을 위한 방법의 연구가 필요하다.
- 최종적으로 도출한 의료기관 정보보호 교육과정은 교육단위 교과목 마스터는 총 26개 교육단위 요소로 구성되며, 영역별로는 산업보안(5), 의료보안 동향(2), 의료보안 위험관리(8), 의료보안감사(2), 정보보안이론(1), 의료보안기술(5), 병원 정보시스템 이해(1), 정보보안동향(2)로 개발되었다. 이는 주기적으로 의료분야 현장의 요구사항과 정보보안동향 등을 분석하여 지속적으로 연구 및 개발되어야 할 것이다.
- 또한 의료정보의 악용은 생명에 영향을 끼칠 수 있으므로 높은 수준의 정보보호가 필요하다. 하지만 ICT 도입을 통한 스마트의료 분야는 정보보호 대한 교육이나 관리체계가 매우 미흡한 것이 실태조사를 통해 확인되었다. 정보보호를 위해 가장 필요한 부분은 인적자원에 대한 정보보호 인식교육이다.
후속연구
- 자가평가 결과는 Table 6. 교육수준 자가평가 기준에 따라 정보보호, 개인정보보호, 의료정보보호 분야에 따라 필요한 교육 유형을 선택하여 직무에 따라 필요한 정보보호 인식교육 교육과정을 개발 할 수 있을 것으로 기대한다.
- 앞으로 나아갈 방향으로, 먼저 본 연구에서 제시한 의료기관의 인식교육 교육과정을 토대로 실 환경에서의 교육을 통해 보안성 향상을 검증하고 우선순위를 설정하여 효과적으로 보안위협에 대처할 의료보안 인식교육 프로세스 및 보안검증 방법에 대한 연구가 필요할 것이다. 또한 안전하게 스마트의료가 확산되고 정착이 되기 위해서는 주기적으로 의료현장의 요구사항과 보안기술 동향을 파악하여 지속적으로 개발되고 개선되어야 할 것이다. 또한 현재 의료분야는 정보보호 인식의 초기단계이며, 가장 기초적인 정보보호 인식교육이 선행적으로 적용되어야 할 필요가 있다.
- 또한 스스로 자가평가를 통해 부족한 부분을 확인할 수 있는 도구 활용을 통해 필요한 부분을 빠르게 학습하여 의료기관에서 효율적으로 정보보호 인식수준을 강화하기 위한 방법을 연구 제안하였다. 본 연구결과는 1차, 2차, 3차 병의원, 보건소, 보건지소, 보건진료소, 약국 등에서 정보보호 인식교육을 위해 수준별, 직급별 등으로 필요한 수준에 따라 교과목을 배치함으로써 수준별 커리큘럼을 구성하는데 활용 가능 할 것으로 기대한다.
- 또한 현재 의료분야는 정보보호 인식의 초기단계이며, 가장 기초적인 정보보호 인식교육이 선행적으로 적용되어야 할 필요가 있다. 실효성 있는 교육을 위해서는 의료분야(1차, 2차, 3차 병의원, 보건소, 보건지소, 보건진료소, 약국 등) 별 정보보호 교육을 의무화 강제화 하고, 직급별 직무별에 따른 인식 훈련 교육을 위한 체계 연구가 필요하다.
- 앞으로 나아갈 방향으로, 먼저 본 연구에서 제시한 의료기관의 인식교육 교육과정을 토대로 실 환경에서의 교육을 통해 보안성 향상을 검증하고 우선순위를 설정하여 효과적으로 보안위협에 대처할 의료보안 인식교육 프로세스 및 보안검증 방법에 대한 연구가 필요할 것이다. 또한 안전하게 스마트의료가 확산되고 정착이 되기 위해서는 주기적으로 의료현장의 요구사항과 보안기술 동향을 파악하여 지속적으로 개발되고 개선되어야 할 것이다.
- 최종적으로 도출한 의료기관 정보보호 교육과정은 교육단위 교과목 마스터는 총 26개 교육단위 요소로 구성되며, 영역별로는 산업보안(5), 의료보안 동향(2), 의료보안 위험관리(8), 의료보안감사(2), 정보보안이론(1), 의료보안기술(5), 병원 정보시스템 이해(1), 정보보안동향(2)로 개발되었다. 이는 주기적으로 의료분야 현장의 요구사항과 정보보안동향 등을 분석하여 지속적으로 연구 및 개발되어야 할 것이다.
※ AI-Helper는 부적절한 답변을 할 수 있습니다.