중소형 종합병원의 마이그레이션과 클라우드 보안 제고 방안에 관한 연구 = A Study on Migration and Cloud Security Enhancement Measures in Small and Medium-Sized General Hospitals

다국어 초록 (Multilingual Abstract)

A Study on Migration and Cloud Security Enhancement Measures in Small and Medium-Sized General Hospitals

Small and medium-sized general hospitals in Korea continue to operate their medical information systems on legacy on-premises IT infrastructure. The closed network separation model, once regarded as a security standard, has revealed fundamental limitations in the face of increasing cyber threat such as ransomware, Advanced Persistent Threats （APT）, and insider data breaches. Recent incidents at Daejeon Eulji Hospital, Pusan National University Dong Hospital, and Ewha Womans University Seoul Hospital demonstrate that such threats extend beyond information protection issues to directly threaten the reliability and operational continuity of healthcare institutions.

Small and medium-sized hospitals face structural vulnerabilities including the absence of dedicated security personnel, outdated operating systems, and delayed adoption of security solutions due to budget constraints. While full-scale cloud migration is considered as an alternative, the high cost, resource requirements, and strict domestic regulatory environment pose significant barriers. In this context, a phased and selective hybrid transition model based on data sensitivity emerges as a realistic solution.

This study proposes a Data Tiering-based hybrid cloud model and a vulnerability assessment framework tailored for small and medium-sized general hospitals with fewer than 500 beds. The proposed model classifies medical data from Electronic Medical Record （EMR）, Order Communication System （OCS）, and Picture Archiving and Communication System （PACS） based on sensitivity, access frequency, and legal retention period. Highly sensitive clinical data is retained in on-premises environments, while less sensitive data is strategically migrated to domestic Cloud Service Providers （CSPs） such as NCP and KT Cloud, in compliance with the Personal Information Protection Act and the Medical Service Act.

Furthermore, this study identifies security threats across migration phases and develops an integrated vulnerability assessment checklist covering five domains: system, network, cloud, data, and management. The checklist is designed based on international standards including the KISA guidelines, CSA Cloud Controls Matrix （CCM） v4.0, and NIST SP 800-144, while reflecting the practical constraints of small and medium-sized hospitals.


The contributions of this study are threefold. First, it complements existing cloud migration research that has primarily focused on large hospitals by presenting a specialized model that reflects the resource limitations and regulatory environment of small and medium-sized institutions. Second, it advances the theoretical concept of data tiering into a practically applicable structure by directly linking it to the legal retention obligations of medical data. Third, it provides a practical guideline in the form of a checklist that field personnel can directly utilize, integrating security threats across both migration and operational phases.
Keywords: Medical Data Migration, Hybrid Cloud, Data Tiering, Vulnerability Assessment, Small and Medium-sized Hospitals, Healthcare Information Security

목차 (Table of Contents)

• 제1장 서 론 1
• 제1절 연구의 목적 1
• 제2절 연구의 범위 및 방법 6
• 1. 연구의 범위 6
• 2. 연구의 방법 7
• 제2장 관련 기술 및 의료 클라우드 환경 현황 11
• 제1절 의료 클라우드 컴퓨팅과 인프라 현황 11
• 1. 클라우드 컴퓨팅의 개념과 하이브리드 모델 10
• 2. 국내 중소형 종합병원 IT 인프라 및 보안 현황 13
• 제2절 클라우드 마이그레이션의 이해 18
• 1. 클라우드 개념 및 유형 16
• 2. 의료환경에서의 마이그레이션 특수성 20
• 제3절 핵심 의료정보시스템의 이해 24
• 1. 의료정보시스템의 구조와 특성 24
• 2. 의료 클라우드 전환의 규제적 제약 27
• 제4절 관련 연구 검토 28
• 1. 선행연구의 주요 흐름 29
• 2. 기존 연구의 한계 29
• 3. 본 연구의 차별성 30
• 제3장 데이터 티어링 기반 하이브리드 클라우드 전환 모델 31
• 제1절. 데이터 티어링의 개념 및 메커니즘 31
• 1. 데이터 티어링 정의와 기본 원리 31
• 2. 핫, 웜, 콜드 티어의 계층 구조와 특성 32
• 3. 자동화된 계층 간 데이터 이동 메커니즘 35
• 제2절. 의료 데이터 티어링 적용 모델 36
• 1. 의료 데이터 분류 및 평가 기준 37
• 2. 시스템별 티어링 최적화 상세 설계 39
• 제3절. 하이브리드 클라우드 아키텍처 설계 41
• 1. 하이브리드 클라우드 인프라 전반적 구성 41
• 2. 네트워크 연결 및 보안 체계 42
• 3. 데이터 보호 메커니즘 및 암호화 44
• 4. 중소형 의료기관 적용 시 고려사항 45
• 제4장 클라우드 보안 위협과 취약점 진단 47
• 제1절 클라우드 보안 위협 분석 47
• 1. 마이그레이션 단계별 보안 위협 47
• 2. 하이브리드 클라우드 환경의 구조적 위협 48
• 3. 의료기관 특유의 보안 위협 49
• 4. 책임 공유 모델에서의 위협 영역 분석 50
• 제2절 취약점 진단 항목 체계 52
• 1. 취약점 진단 항목 도출 방법론 52
• 2. 표준 프레임워크의 분석 및 참조 53
• 3. 실무 진단 환경에서의 확인되는 주요 취약 영역 55
• 4. 중소형 의료기관 특화 진단 영역: 시스템 진단 56
• 5. 네트워크 및 데이터 진단 항목의 구성 58
• 제3절 중소형 의료기관 적용 체크리스트 60
• 1. 체크리스트 구성 원칙 59
• 2. 통합 취약점 체크리스트 61
• 제5장 결론 62
• 참 고 문 헌 64
• ABSTRACT 68