[국내보안뉴스] "검은색으로 가렸지만 복사하면 훤히"... 국립대병원 부실한 문서 마스킹으로 개인정보 대거 노출

국립대학교병원 3곳에서 자체감사 결과 문서를 외부에 공개하는 과정에서 환자 및 직원의 민감한 개인정보를 제대로 삭제하지 않고 임시방편으로 가려 노출시킨 사실이 국정감사를 통해 확인되었습니다. 전문적인 해킹 기술이 없어도 문서 내 검은색 가림 처리된 부분을 마우스로 드래그하여 복사하면 가려진 내용이 그대로 드러나는 허점이 존재했던 것으로 밝혀졌습니다.

국회 보건복지위원회 조사 결과에 따르면, 감사원 공공감사포털에 올려진 국립대병원 자체감사 문서 122건에서 이와 같은 개인정보 가림 처리 부실이 발견되었습니다. 충남대학교병원을 비롯한 대상 기관들의 일부 문서는 최대 3년 5개월이라는 긴 시간 동안 인터넷에 노출되어 있었으며, 이로 인해 환자의 의료 정보와 내부 직원의 인적 사항 등 유출 시 파장이 큰 데이터가 무방비로 방치되었습니다.

이러한 사고는 전자문서의 구조를 이해하지 못하고 겉보기에만 검은색 도형으로 텍스트를 덮는 잘못된 마스킹 방식 때문에 발생합니다. PDF나 오피스 문서에 포함된 개인정보를 완전히 차단하려면 단순히 시각적으로 가리는 것이 아니라, 문서 편집 프로그램의 '영구 삭제(Redaction)' 기능을 활용해 데이터 자체를 제거하거나 마스킹 처리 후 텍스트 정보가 남아있지 않은 이미지 파일 형태로 변환하여 저장해야 합니다.

공공기관과 의료기관은 비식별 조치가 완료된 문서라 할지라도 게시 전 텍스트 추출이 가능한지 반드시 재검증하는 프로세스를 도입해야 합니다. 또한, 문서 작성자를 대상으로 올바른 문서 보안 및 마스킹 방법에 대한 정기적인 보안 교육을 실시하여 관리 소홀로 인한 개인정보 유출 재발을 막아야 합니다.