---
id: clinicos-topic:clinic-security-incident-first-hour
canonical_url: https://clinic-os.moden.marketing/topics/clinic-security-incident-first-hour
document_type: runbook
audience: 한의원 개원·운영 원장
task_intent: 사고 의심 초기의 안전 확인, 확산 차단, 증거보존, 책임자 이관과 법정 통지·신고 판단을 분리해 상황판으로 관리한다.
clinic_type: korean-medicine-clinic
scope_class: common-applicability-km-document-first
reviewed_at: 2026-08-21
review_by: 2027-02-21
content_status: published
search_aliases: 한의원 개인정보 유출 대응, 한의원 계정탈취, EMR 보안사고, 개인정보 사고 첫 대응, 한의원 랜섬웨어 대응
---

# 한의원 보안사고 의심, 첫 1시간에 할 일

> 보안사고 첫 1시간은 법정 신고기한이 아니라 내부 대응 구간입니다. 한의원은 환자안전을 먼저 보고 차단과 증거보존을 승인 아래 병렬로 수행하며, 사실·미확인과 통지·신고 판단 트랙을 분리해야 합니다.

비정상 로그인이나 환자정보 오발송을 발견했을 때 바로 초기화하거나 전 직원이 각자 비밀번호를 바꾸면 증거를 잃고 추가 피해를 놓칠 수 있습니다. 반대로 조사부터 하느라 위험한 연결을 그대로 두면 문제가 커질 수 있습니다. 첫 1시간에는 환자 안전을 확인하고 격리와 증거보존을 승인 아래 병렬로 진행하며, 법정 통지·신고 판단자를 즉시 세워야 합니다.

## 내 상황부터 고르기

- 낯선 로그인·관리자 변경이 보이면 계정 장악 의심으로 시작합니다.
- 환자정보를 잘못 보냈거나 공개 링크가 열려 있으면 수신·접근 범위와 추가 노출 차단을 함께 진행합니다.
- 분실 기기·악성코드·랜섬웨어가 의심되면 임의 초기화하지 말고 네트워크 격리와 증거보존 순서를 승인받습니다.
- EMR·장비 장애로 안전한 진료가 어렵다면 보안 조사보다 환자 안전과 승인된 수동 진료 절차를 우선합니다.

‘첫 1시간’은 한의원 내부 대응 목표이며 법정 신고기한이 아닙니다. 이 시간의 완료 기준은 사고가 해결됐다는 뜻이 아니라 사건번호, 안전 상태, 격리·계정 조치, 원본 증거, 책임자, 통지·신고 판단 시각과 다음 업데이트가 한 상황판에 연결된 상태입니다.

## 먼저 하지 말아야 할 일

- 의심 기기를 바로 공장초기화하거나 로그·메일을 삭제하지 않습니다.
- 확인되지 않은 상태를 ‘환자정보 유출 확정’ 또는 ‘문제없음’으로 공지하지 않습니다.
- 화면과 환자정보를 직원 개인 메신저로 퍼 나르지 않습니다.
- 공격자 연락·랜섬 요구·배상·과실 판단을 개인이 답하지 않습니다.
- 감염 가능 백업을 운영환경에 바로 복원하지 않습니다.

전원을 끄면 휘발성 증거를 잃을 수 있고, 연결을 유지하면 피해가 커질 수 있습니다. 정답을 한 줄로 고정하지 말고 환자 안전, 확산 위험과 증거보존을 보안 책임자·업체와 함께 판단합니다. 다만 판단을 기다리며 아무 조치도 하지 말라는 뜻은 아닙니다. 발견 시각과 화면을 보존하고 책임자를 즉시 호출합니다.

## 5분 준비: 상황판과 연락망 열기

평소 승인된 사고 상황판과 오프라인 연락망을 엽니다. 계정이 잠기면 같은 클라우드의 절차서를 열지 못할 수 있으므로 원장·개인정보 보호책임자·대체자, EMR·SaaS·통신·보안업체, 법률·보험 연락 경로를 별도로 준비합니다.

| 상황판 필드 | 처음 적을 내용 | 완료 증거 |
|---|---|---|
| 사건번호 | 연도-일련번호 | 모든 티켓·로그와 연결 |
| 발견 | 시각·신고자·본 화면·직전 행동 | 원문 메모·캡처 위치 |
| 영향 | 시스템·계정·환자·진료 안전 | 확인 사실/미확인 구분 |
| 차단 | 세션·권한·링크·기기 격리 | 수행자·시각·관리 로그 |
| 증거 | 메일·헤더·접속·권한·다운로드 로그 | 원본 보관자·해시·접근자 |
| 이관 | 내부 책임자·업체 티켓·전문가 | 수신 확인·다음 회신 시각 |
| 법적 판단 | 통지·신고 판단자·확인 법령 | 결정·근거·재판단 시각 |
| 다음 상태 | 수동업무·복구 조건·업데이트 | 담당자별 다음 과업 |

비밀번호와 환자정보 원문을 상황판에 필요 이상 복사하지 않습니다. 원본 증거와 분석 사본, 관찰한 사실과 추정, 내부 기록과 대외 문구를 분리합니다.

## 첫 1시간 실행 순서

### 1. 탐지 사실과 시간을 고정합니다

발견자가 본 것을 그대로 적습니다. ‘유출’이라고 단정하기보다 비정상 로그인 알림, 모르는 관리자, 잘못된 수신자, 파일 암호화, 공개 링크처럼 관찰 사실을 씁니다. 사건번호를 만들고 원장·사고 책임자와 대체자에게 지정 채널로 알립니다.

정상이라면 발견 시각, 신고자, 최초 화면, 영향을 의심하는 시스템과 다음 상황 공유 시각이 같은 사건번호에 남습니다. 캡처할 때 정렬·필터 조건과 기기 시각도 적습니다.

### 2. 환자·진료 안전을 확인합니다

EMR·장비·네트워크 장애가 환자 식별, 진료기록 열람, 처방·조제, 예약·수납에 영향을 주는지 확인합니다. 안전한 진료가 불가능하면 신규 작업을 보류하고 승인된 수동 절차와 환자 안내로 전환합니다. 보안 조치를 이유로 필요한 진료기록을 임의 삭제하거나 환자 식별을 생략하지 않습니다.

안전 상태를 ‘영향 없음·수동 운영 가능·진료 보류 필요·확인 중’으로 표시하고 결정자를 적습니다. 확인 중이라면 다음 확인 시각을 붙입니다.

### 3. 격리와 계정 차단을 승인해 실행합니다

의심 계정의 세션 종료, 권한 제한, 비밀번호·토큰 변경, 공개 링크 차단, 기기 네트워크 격리를 검토합니다. 관리자 계정이 장악됐을 수 있으면 같은 계정으로만 조치하지 말고 공급업체의 공식 복구·보안 채널로 티켓을 엽니다.

기기 전원 차단·초기화나 대량 삭제는 증거를 훼손할 수 있으므로 임의로 하지 않습니다. 책임자와 보안 담당자가 위험을 보고 조치 순서를 승인하고, 변경 전후 시각·수행자·대상·결과를 남깁니다. 정상이라면 승인된 관리 화면에서 의심 세션·권한·토큰 상태의 변경 로그를 확인할 수 있습니다.

### 4. 원본 증거를 보존합니다

알림 메일 원문과 헤더, 사용자·세션·IP·접속·권한변경·다운로드·발송 로그, 파일명·해시·시각, 오발송 수신자를 가능한 원형으로 확보합니다. 업체에 다음 문장을 보냅니다.

> 사건번호 `[번호]`와 관련해 `[시각·시간대]`부터 `[시각]`까지 `[계정·시스템]`의 로그인·세션·권한 변경·다운로드·발송 로그를 보존해 주세요. 현재 로그 보존기간, 확보 가능한 항목과 시간대, 보존 완료 여부, 담당자와 티켓번호를 회신해 주세요. 임의 삭제·초기화 전에 한의원 사고 책임자와 협의해 주세요.

분석은 사본에서 하고 원본 접근자를 제한합니다. 로그를 내보낼 권한이 없거나 보존기간이 짧다면 업체 티켓에 긴급 보존 요청과 다음 회신 시각을 남깁니다. 증거보존 과정에서 환자정보가 새 개인기기나 일반 공유폴더로 확산되지 않게 합니다.

### 5. 확인 사실과 미확인을 나누고 보고를 판단합니다

계정 장악과 개인정보 열람·다운로드·전송은 같은 사실이 아닙니다. 영향 계정, 정보 종류, 추정 시작·종료, 수신자와 외부 접근 여부를 ‘확인·가능성·미확인’으로 나눕니다. 업체의 “조사 중” 답변만으로 닫지 않고 티켓번호, 요청한 로그, 다음 회신 시각을 적습니다.

[개인정보 보호법 제34조](https://law.go.kr/LSW/lsLawLinkInfo.do?chrClsCd=010202&lsJoLnkSeq=1006184273)를 클릭하고 [KISA 개인정보 유출 등 사고 대응 매뉴얼](https://www.kisa.or.kr/2060301/form?lang_type=KO&page=4&postSeq=30)을 엽니다. 개인정보 보호책임자와 필요한 법률·보안 전문가가 사고 시점의 현행 법·시행령, 실제 인지 사실을 대조해 정보주체 통지와 기관 신고의 대상·내용·기한·예외를 판단합니다. 첫 1시간을 법정 기한으로 쓰거나 정확한 범위를 모두 알 때까지 판단 시작을 미루지 않습니다.

### 6. 정상화 조건과 다음 책임자를 정합니다

격리 직후 운영 복구를 서두르지 않습니다. 비밀번호·토큰 교체, 악성 요소 제거, 안전한 복원점, 패치·설정, 필요한 로그 확보가 확인돼야 합니다. 감염 가능 백업을 바로 덮지 않고 별도의 복구시험 결과와 업무 안전을 확인합니다.

첫 1시간 종료 시 원장에게 확인 사실·미확인, 환자안전, 격리 결과, 보존된 증거, 외부 티켓, 통지·신고 판단 상태와 다음 업데이트 시각을 보고합니다. 각 미완료 항목에는 담당자와 기한을 붙입니다. 정상화 확인은 권한 없는 접근이 차단되고 안전한 업무 경로가 승인됐으며 모니터링과 다음 의사결정이 이어지는 상태입니다. 사고 종결과는 다릅니다.

## 상황별로 막히면 이렇게 대응하기

관리자 로그인이 안 되면 반복 로그인으로 계정을 더 잠그지 말고 공급업체 공식 계정복구·보안 채널에 소유 증빙과 사건번호를 제출합니다. 로그를 못 받으면 확보 가능 기간과 항목을 서면 확인하고 보존 요청을 먼저 남깁니다. 오발송 수신자에게는 추가 열람·전달을 멈추고 삭제 확인을 요청하되 위협하거나 확인 전 법적 결론을 보내지 않습니다.

랜섬웨어 화면이나 공격자 연락이 있으면 개인이 협상·결제·삭제를 결정하지 않습니다. 원장, 보안·법률·보험 담당에게 원문을 보존해 넘깁니다. 진료 안전이 회복되지 않으면 수동 업무나 진료 보류 판단을 계속 유지하고 환자에게 필요한 운영 안내만 승인된 한 창구로 보냅니다.

대외 문의가 먼저 오면 다음처럼 답합니다.

> 현재 `[관찰 사실]`을 확인해 추가 영향을 줄이기 위한 조치와 사실 확인을 진행하고 있습니다. 확인되지 않은 범위나 원인을 미리 단정하지 않겠습니다. 법령에 따른 통지·신고 대상과 필요한 안내는 책임자가 확인 중이며, 다음 업데이트는 `[시각]`에 제공하겠습니다.

## 첫 1시간 완료 확인

- [ ] 사건번호·발견 시각·신고자와 최초 관찰 사실이 있습니다.
- [ ] 환자·진료 안전 상태와 수동 운영·보류 결정자가 있습니다.
- [ ] 격리·세션·권한·토큰 조치의 승인·시각·결과가 있습니다.
- [ ] 원본 로그·메일·헤더·파일의 보관자와 무결성 정보가 있습니다.
- [ ] 확인 사실·가능성·미확인이 분리돼 있습니다.
- [ ] 내부 책임자와 업체 티켓, 외부 전문가의 수신을 확인했습니다.
- [ ] 통지·신고 판단자, 확인할 법령과 다음 판단 시각이 있습니다.
- [ ] 정상화 조건, 미완료 과업의 담당자와 다음 업데이트가 있습니다.

하나라도 빠졌다면 첫 상황 공유에서 누락으로 표시하고 즉시 담당자를 붙입니다. ‘문제없음’이라는 구두 보고이나 비밀번호 변경만으로 닫지 않습니다. 실제 시스템·업체·보험·법무·개인정보 책임자 연락망, 로그 확보 경로, 차단 권한과 수동 진료 경로의 전수대조 및 탁상훈련 1회는 원본 연구의 open gate로 유지합니다.

## 자주 묻는 질문

### 첫 1시간 안에 개인정보 유출 신고를 마쳐야 하나요?

첫 1시간은 내부 대응 목표이지 법정 신고기한이 아닙니다. 사고 시점의 법·시행령과 확인 사실을 책임자·전문가가 즉시 대조해 대상과 기한을 별도로 판단합니다.

### 의심 기기를 바로 끄거나 초기화해야 하나요?

전원 차단·초기화는 증거를 잃을 수 있고 연결 유지는 피해를 키울 수 있습니다. 환자안전을 먼저 보고 책임자와 보안 전문가가 격리·보존 순서를 승인해야 합니다.

### 계정이 탈취되면 개인정보 유출도 확정인가요?

같은 사실이 아닙니다. 계정 장악과 실제 열람·다운로드·전송, 영향 정보와 기간을 로그와 업체 자료로 나눠 확인하고 미확인은 그대로 표시합니다.

### 비밀번호를 바꾸면 정상화된 것인가요?

아닙니다. 세션·토큰·권한, 악성 요소, 안전한 복원점과 로그 확보를 확인하고 승인된 업무 경로와 모니터링이 작동해야 정상화 단계로 넘어갈 수 있습니다.

## 자료 출처와 확인 기록

1. [국가법령정보센터 · 개인정보 보호법 제34조](https://law.go.kr/LSW/lsLawLinkInfo.do?chrClsCd=010202&lsJoLnkSeq=1006184273) — 유출 등을 알게 된 경우 정보주체 통지 내용과 일정 경우 기관 신고의 법적 구조
   - 적용 한계: 구체 기한·대상·예외는 현행 시행령을 사건 시점에 재확인
   - 확인일: 2026-08-21
2. [KISA · 개인정보 유출 등 사고 대응 매뉴얼](https://www.kisa.or.kr/2060301/form?lang_type=KO&page=4&postSeq=30) — 개인정보 유출 사고의 공식 대응 절차와 참고 서식
   - 확인일: 2026-08-21
3. [KISA · ISMS 침해사고 대응 참고 통제](https://pims.kisa.or.kr/board/file/bbs_0000000000000014/26/FILE_000000000001089/20241004171033627-1946155955.pdf) — 의심 계정 차단·변경, 시스템 점검, 외부 접속기록 증거보존, 로그분석과 내부 보고 통제
   - 적용 한계: MVNO 대상 안내서로 한의원의 법적 의무가 아닌 통제 참고
   - 확인일: 2026-08-21
4. [개인정보보호위원회 · 안전성 확보조치 기준 안내서](https://www.pipc.go.kr/np/cop/bbs/selectBoardArticle.do?bbsId=BS217&mCode=&nttId=11641) — 사고 예방과 대응에 연결되는 접근권한·접속기록 등 현행 안전조치 해설
   - 확인일: 2026-08-21

## 갱신 조건

- 개인정보 유출 통지·신고 법령 변경
- KISA 대응 매뉴얼 개정
- 계정·시스템·보안업체·연락망 변경
- 실제 사고·모의훈련 결과