의료 파일 전송 HIPAA 준수 가이드

개인정보보호위원회(PIPC)와 미국 OCR 모두 암호화되지 않은 의료 데이터 전송을 가장 빈번한 위반 원인으로 꼽는다. HIPAA 준수 의료 파일 전송에는 전송 중 TLS 1.3 암호화, 저장 중 AES-256-GCM 암호화, 접근 통제, 감사 로그, 그리고 PHI를 처리하는 모든 벤더와의 사업 제휴 계약(BAA)이 필수다. 실무 스택: HIPAA 지원 EHR(Epic, Cerner, athenahealth), 의료기관 간 Direct Secure Messaging, FHIR 기반 API, 그리고 BAA를 체결한 암호화 전송 서비스(HexaTransfer 포함)가 표준이다. 45 CFR Section 164.312가 구체적인 기술 안전조치를 규정한다.

HIPAA가 파일 전송에 실제로 요구하는 것

HIPAA 보안 규칙(45 CFR Part 164, Subpart C)은 세 가지 안전조치 범주를 정의한다.

관리적 안전조치: 인력 교육, 접근 관리, 사고 대응
물리적 안전조치: 워크스테이션 보안, 장치 통제, 시설 접근
기술적 안전조치: 접근 통제, 감사 로그, 무결성 통제, 전송 보안

Section 164.312(e)(1)은 전자 통신망으로 전송되는 전자 PHI에 대한 무단 접근을 막는 기술적 조치를 명시적으로 요구한다. HIPAA에서 "addressable(처리 가능)"은 선택 사항이 아니라, 해당 조치를 구현하거나 동등한 대안이 왜 충분한지 서면으로 정당화해야 한다는 뜻이다. 실무에서 PHI의 비암호화 전송은 변명의 여지가 없다.

BAA: 모든 것을 합법화하는 계약

사업 제휴 계약(BAA)은 45 CFR Section 164.314(a)에 따라 귀하를 대신해 PHI를 생성·수신·유지·전송하는 모든 벤더와 반드시 체결해야 한다. BAA 없이 PHI를 전달하는 것은 위반이다.

BAA를 체결하는 주요 벤더:

클라우드 스토리지: AWS(적용 서비스), Azure, Google Cloud, Dropbox Business Advanced, Box Enterprise
이메일: Paubox, Hushmail, Virtru 연동 Gmail/Outlook, Proton Mail Business
전송 서비스: Citrix ShareFile, Tresorit, Kiteworks, HexaTransfer Enterprise
협업: Microsoft 365 Enterprise, Google Workspace Business Plus 이상

개인용 Gmail, 무료 Dropbox, 소비자용 WeTransfer는 BAA를 체결하지 않는다. 실제 침해가 발생하지 않더라도 이를 PHI에 사용하면 HIPAA 위반이다.

의료기관 간 교환: Direct, FHIR, C-CDA

의료 제공자 간 전송에는 세 가지 표준이 지배적이다.

Direct Secure Messaging: DirectTrust 신뢰 프레임워크 기반의 S/MIME 보안 이메일. Meaningful Use와 Cures Act 하에서 진료 전환에 광범위하게 사용되며, 모든 인증 EHR이 지원한다.

FHIR (Fast Healthcare Interoperability Resources): HTTPS 기반 RESTful API 교환. ONC Cures Act 상호운용성 규칙 하에서 FHIR R4가 현재 필수 버전이다. 시점별 파일 전송 대신 실시간 기록 접근을 가능케 한다.

C-CDA (Consolidated CDA): 환자 진료를 요약하는 XML 기반 구조화 문서. 의뢰 및 진료 전환에 여전히 널리 사용된다.

환자 대상 파일 전송: 21세기 치료법(Cures Act)

Cures Act는 정보 차단을 금지하고 환자가 인증된 API를 통해 기록에 접근할 수 있도록 요구한다. 환자 포털의 보안 메시지 기능은 HIPAA 준수, 추적 가능, 별도 비밀번호 불필요라는 장점이 있다. OCR은 포털 접근 차단을 정보 차단으로 간주하며, 이는 민사 금전 제재(CMP) 적용 대상이다.

연구 전송 전 비식별화

HIPAA 개인정보 보호 규칙은 두 가지 비식별화 방법을 제공한다.

Safe Harbor (164.514(b)(2)): 이름, 주소, 전화번호, 주민등록번호 등 18개 특정 식별자 제거.

전문가 결정 (164.514(b)(1)): 통계 전문가가 재식별 위험이 매우 낮다고 인증.

비식별화된 데이터는 BAA 없이 공유 가능하다. 제한적 데이터 세트는 데이터 이용 계약이 필요하지만 완전한 BAA는 요구되지 않는다.

의료 영상: DICOM과 CD 방식의 한계

DICOM이 영상 표준이다. 흉부 CT는 300MB~1GB, 심장 CT는 최대 2GB, 전체 슬라이드 병리 이미지는 슬라이드당 1~5GB에 달한다.

의료기관 간 영상 전송의 현대적 접근법은 DICOM Web 서비스(WADO-RS, STOW-RS)나 클라우드 영상 교환 플랫폼(Ambra Health, LifeImage)이다. 병원들은 CD를 통한 영상 교환을 점차 폐기하고 있는데, 속도가 느리고 물리적으로 취약하며 최신 워크스테이션에서 판독이 어렵기 때문이다. 임시 채널로 영상을 전송해야 할 때는 AES-256-GCM으로 DICOM 아카이브를 암호화하고, BAA를 체결한 전송 서비스를 사용하며, 전송 로그를 보관해야 한다.

침해 알림 타이머

PHI가 안전하지 않은 전송으로 침해되면 타이머가 시작된다.

발견 후 60일 이내: 영향받은 개인에게 통지(164.404)
500명 이상 영향: 60일 이내 HHS에 통지(164.408)
500명 이상 해당 주 거주자 영향: 60일 이내 주요 언론에 통지(164.406)

HITECH Act 등급에 따른 벌금은 위반당 $100~$50,000이며, 연간 동일 위반에 대해 최대 $150만 달러가 상한이다. 2024년 OCR 합의금은 정기적으로 $100만~$600만 달러에 달한다.

임시 전송을 위한 실용적 패턴

BAA를 체결한 E2EE 또는 서버측 AES-256-GCM 전송 서비스 사용
별도 채널(전화통화)로 공유한 패스프레이즈로 파일 비밀번호 보호
7~14일 내 만료 설정
문서 시스템에 전송 로그 기록
수신 확인 후 발신 장치에서 소스 파일 삭제

HexaTransfer는 이 패턴에 적합하다. 클라이언트 측 AES-256-GCM 암호화로 서버는 평문을 보유하지 않는다.

최소 HIPAA 전송 스택

BAA 포함 EHR: Epic, Cerner, athenahealth, eClinicalWorks
의료기관 교환: Direct Secure Messaging
현대 통합: FHIR API
영상 교환: Ambra, LifeImage, 또는 DICOM Web
임시 전송: BAA를 체결한 E2EE 서비스
이메일: Paubox, Virtru, 또는 Proton for Business
문서화: 정보 보안 정책, 사고 대응 계획, 인력 교육 로그

https://hexatransfer.com — 무료, 계정 불필요, 최대 10 GB.