[논문 리뷰] Mobile Technology in Healthcare Environment: Security Vulnerabilities and Countermeasures

Sajedul Talukder, Shalisha Witherspoon외 2명|arXiv (Cornell University)|2018. 07. 29.

Electronic Health Records Systems참고 문헌 1인용 수 4

한 줄 요약

이 논문은 모바일 헬스케어 애플리케이션의 보안 취약점을 평가하며, 특히 Epic Rover에 초점을 맞추고, HIPAA 및 NIST 기준과 일치하는 종합적인 위험 완화 프레임워크를 제안한다. 기술적, 행정적, 물리적 보호 조치를 적절히 시행할 경우 모바일 도입이 안전하고 규정 준수 가능하며, 이는 임상 효율성 향상과 오류 감소로 이어질 수 있음을 입증한다.

ABSTRACT

Mobile devices and technologies offer a tremendous amount of benefits to users, although it is also understood that it introduces a set of challenges when it comes to security, compliance, and risks. More and more healthcare organizations have been seeking to update their outdated technology, and have considered the adoption of mobile devices to meet these needs. However, introducing mobile devices and technology also introduces new risks and threats to the organization. As a test case, we examine Epic Rover, a mobile application that has been identified as a viable solution to manage the electronic medical system. In this paper, we study the insights that the security team needs to investigate, before the adoption of this mobile technology, as well as provide a thorough examination of the vulnerabilities and threats that the use of mobile devices in the healthcare environment brings, and introduce countermeasures and mitigations to reduce the risk while maintaining regulatory compliance.

연구 동기 및 목표

• 모바일 기기 도입과 관련된 보안 취약점과 위협을 평가하기 위해.
• 전자 환자 헬스 정보(EPHI) 접근을 위한 모바일 솔루션으로서 Epic Rover의 실현 가능성과 보안 수준을 평가하기 위해.
• HIPAA 및 NIST 사이버보안 프레임워크와 일치하는 위험 완화 전략을 식별하고 구현하기 위해.
• 모바일 기기 도입이 의료 기관에 타당한지 여부를 판단하기 위해 정성적 위험 평가를 수행하기 위해.
• BYOD 및 기업 소유 기기 모델을 포함한 안정적인 배포를 위한 실질적인 권고 사항을 제공하기 위해.

제안 방법

• Epic Rover에 대한 위협 및 취약점 분석을 수행하여 12개의 주요 위협과 관련된 취약점을 식별했다.
• HIPAA 보안 규칙에서 제시한 행정적, 물리적, 기술적 보호 조치를 NIST 사이버보안 프레임워크의 기능에 매핑했다.
• 위협 발생 확률, 영향도, 본질적 위험, 잔여 위험을 평가하기 위한 정성적 위험 평가 행렬(표 IV)을 개발했다.
• 엔드 투 엔드 암호화, 안전한 무선 액세스, 안전한 전송 프로토콜(예: HTTPS, S/MIME)과 같은 기술적 통제 조치를 제안했다.
• 양자 인증, 역할 기반 액세스, 의무적 사용자 교육과 같은 행정적 통제 조치를 구현했다.
• 원격 삭제, 전체 디스크 암호화, 자동 OS/앱 업데이트와 같은 기기 수준의 보호 조치를 권고했다.

실험 결과

연구 질문

• RQ1 의료 환경에서 Epic Rover와 같은 모바일 기기를 사용할 경우 발생하는 주요 보안 취약점과 위협은 무엇인가요?
• RQ2 기존의 규제 기준(HIPAA)과 산업 프레임워크(NIST CSF)는 모바일 헬스케어 보안 요구사항과 어떻게 일치합니까?
• RQ3 EPHI 노출 위험을 줄이기 위해 효과적인 기술적, 행정적, 물리적 통제 조치는 무엇인가요?
• RQ4 권고된 대응 조치를 시행한 후 잔여 위험 수준은 어떻게 되며, 모바일 도입은 여전히 타당한가요?
• RQ5 Epic Rover와 같은 모바일 헬스 애플리케이션을 배포할 때 사용성, 효율성, 보안을 어떻게 균형 있게 조율할 수 있나요?

주요 결과

• Epic Rover는 환자 데이터, 즉 병력, 검사 결과, 생명 징후에 대한 실시간 액세스를 가능하게 하여 임상 워크플로우를 향상시키고 문서 오류를 감소시킨다.
• 연구에서 총 12개의 중대한 위협을 식별하였으며, 비인가 액세스, 데이터 泄露, 기기 분실 등 고위험 또는 중간 위험 수준의 위협이 포함되어 있다.
• 암호화, 원격 삭제, 양자 인증, 안전한 네트워크 프로토콜의 구현을 통해 잔여 위험 수준을 수용 가능한 수준으로 낮췄다.
• 정성적 위험 평가 행렬(표 IV)은 적절한 통제 조치가 시행된 경우 모바일 도입의 이점이 위험을 초월함을 확인했다.
• 기기 암호화, 액세스 제어, 정기적 패치 적용을 강제함으로써 조직은 HIPAA 준수를 달성하고 공격 표면을 줄일 수 있다.
• 사용자 교육 및 인식 프로그램은 기기 분실 및 피싱과 같은 인간 요인에 기인한 위험을 완화하기 위해 필수적임이 밝혀졌다.