# 전자의무기록의 관리·보존에 필요한 시설과 장비에 관한 기준
(행정규칙구분=고시, 공포일자=20231214, 시행일자=20231214, 소관부처=보건복지부)
행정규칙번호: 2023-245
출처: 국가법령정보센터

행정규칙명: 전자의무기록의 관리·보존에 필요한 시설과 장비에 관한 기준
행정규칙종류: 고시
발령일자: 20231214
발령번호: 2023-245
시행일자: 20231214
소관부처: 보건복지부
담당부서기관: 보건복지부(의료정보정책과)
현행여부: Y

조문내용:
['   제1장 총칙', '제1조(목적) 이 기준은 「의료법」 제23조제2항, 같은 조 제4항 및 같은 법 시행규칙 제16조에 따라 전자의무기록을 안전하게 관리ㆍ보존하기 위한 시설과 장비에 관한 기준의 구체적인 내용을 정하는 것을 목적으로 한다.', '제2조(정의) 이 기준에서 사용하는 용어의 뜻은 다음과 같다.1. "전자의무기록" 이라 함은 진료기록부 등 의료인이 작성하는 의무기록을 전자서명이 기재된 전자문서로 입력ㆍ관리ㆍ저장하는 기록을 말한다.2. "전자의무기록 시스템"이라 함은 전자의무기록의 관리ㆍ보존과 관련되는 서버, 소프트웨어 및 데이터베이스 등이 전자적으로 조직화된 체계를 말한다.3. "전자의무기록 관리자"라 함은 전자의무기록 시스템을 관리하는 의료인이나 의료기관 개설자를 말한다. 이 경우 「개인정보보호법」제26조에 따라 의료인이나 의료기관 개설자로부터 개인정보의 처리업무를 위탁받아 전자의무기록 시스템을 관리하는 자를 포함한다.4. "로그정보"라 함은 서버나 컴퓨터 등에서 처리한 내용이나 이용 상황을 시간의 흐름에 따라 전자적으로 기록한 정보를 말한다.', '   제2장 전자의무기록 관리ㆍ보존 시설과 장비기준', '제3조(전자의무기록의 생성ㆍ저장 장비 등) 전자의무기록 관리자는 전자의무기록의 안전성과 신뢰성 확보를 위하여 전자의무기록의 생성ㆍ저장과 전자서명을 검증할 수 있는 장비를 갖추어야 한다.', '제4조(전자의무기록의 이력관리를 위하여 필요한 장비) 전자의무기록 관리자는 전자서명이 있은 후 전자의무기록의 추가 기재ㆍ수정 사항과 변경 여부를 확인 할 수 있게 하는 등 전자의무기록의 이력관리를 위하여 필요한 장비를 갖추어야 한다.', '제5조(전자의무기록의 백업 저장장비) 전자의무기록 관리자는 전자의무기록의 분실ㆍ도난ㆍ유출ㆍ위조ㆍ변조 또는 훼손 등의 사고를 대비할 수 있도록 다음 각 호의 구분에 따른 장비와 장소를 확보하여야 한다.1. 전자의무기록을 주기적으로 안전하게 백업할 수 있는 기능을 갖춘 백업 저장장비2. 백업 저장장비에 대한 잠금장치가 구비된 보관장소', '제6조(네트워크 및 전자의무기록 시스템 보안에 관한 시설과 장비 등) 전자의무기록 관리자는 불법적인 접근 및 침해사고를 방지하기 위하여 「의료법 시행규칙」(이하 "규칙"이라 한다) 제16조제1항제4호부터 제6호까지의 시설과 장비에 대하여 「개인정보보호법」제29조에 따른 안전성 확보 조치를 하여야 한다. 이 경우 시설과 장비별 구체적인 조치는 다음 각 호의 구분에 따른다.1. 규칙 제16조제1항제4호ㆍ제5호에 따른 시설 및 장비 : 「개인정보보호법 시행령」 제30조제1항제2호부터 제5호까지에 따른 안전성 확보 조치2. 규칙 제16조제1항제6호에 따른 시설 및 장비 : 「개인정보보호법 시행령」 제30조제1항제6호에 따른 안전성 확보 조치', '제7조(의료기관 외의 장소 관리ㆍ보존시 추가적인 조치) ① 전자의무기록 관리자가 의료기관 외의 장소에서 전자의무기록을 관리ㆍ보존하는 경우에는 규칙 제16조제1항제3호부터 제7호까지에 따른 시설과 장비에 대하여 별표 1에 따른 추가적인 조치를 하여야 한다.② 제1항에도 불구하고 다음 각 호의 어느 하나를 충족하는 클라우드컴퓨팅서비스를 이용하여 전자의무기록을 관리하는 자가 별표 2에 따른 조치를 하면 별표 1에 따른 조치를 한 것으로 간주한다.1. 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제47조에 따른 정보보호 관리체계 인증과 국제표준화기구 및 국제전기기술위원회(ISO/IEC)의 클라우드 서비스 정보보호 관리체계 인증을 받은 서비스2. 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률」 제23조제2항에 따른 클라우드컴퓨팅서비스의 정보보호에 관한 기준을 충족하는 서비스', '   제3장 보 칙', '제8조(규제의 재검토) 보건복지부장관은 「행정규제기본법」 제8조에 따라 이 고시에 대하여 2016년 7월 1일을 기준으로 매 3년이 되는 시점(매 3년째의 6월 30일까지를 말한다)마다 법령이나 현실 여건의 변화 등을 검토하여 개선 등의 조치를 하여야 한다.', '제9조(재검토기한) 보건복지부장관은 이 고시에 대하여 「훈령ㆍ예규 등의 발령 및 관리에 관한 규정」에 따라 202○년 ○월 ○일을 기준으로 매3년이 되는 시점(매 3년째의 12월 31일까지를 말한다)마다 그 타당성을 검토하여 개선 등의 조치를 하여야 한다.']


개정문

⊙보건복지부고시 제2023-245호

  전자의무기록의 관리ㆍ보존에 필요한 시설과 장비에 관한 기준 일부를 다음과 같이 개정한다.

    2023년 12월 14일

        보건복지부장관

전자의무기록의 관리ㆍ보존에 필요한 시설과 장비에 관한 기준 일부개정고시

전자의무기록의 관리ㆍ보존에 필요한 시설과 장비에 관한 기준 일부를 다음과 같이 개정한다.

제7조 제목 외의 부분을 제1항으로 하고, 같은 조 제1항(종전의 제목 외의 부분) 중 "별표"를 "별표 1"로 하며, 같은 조에 제2항을 다음과 같이 신설한다.

  ② 제1항에도 불구하고 다음 각 호의 어느 하나를 충족하는 클라우드컴퓨팅서비스를 이용하여 전자의무기록을 관리하는 자가 별표 2에 따른 조치를 하면 별표 1에 따른 조치를 한 것으로 간주한다.

  1. 「정보통신망 이용촉진 및 정보보호 등에 관한 법률」 제47조에 따른 정보보호 관리체계 인증과 국제표준화기구 및 국제전기기술위원회(ISO/IEC)의 클라우드 서비스 정보보호 관리체계 인증을 받은 서비스

  2. 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률」 제23조제2항에 따른 클라우드컴퓨팅서비스의 정보보호에 관한 기준을 충족하는 서비스

별표를 별표 1로 하고, 별지와 같이 변경한다.

[별표 생략]

별표 2를 별지와 같이 신설한다.

[별표 생략]

          부칙

이 고시는 공포한 날부터 시행한다.


별표

별표 0001: 의료기관 외의 장소에 전자의무기록 보관시 필요한 추가적인 조치

[별표 1] 의료기관 외의 장소에 전자의무기록 보관시 필요한 추가적인 조치

┌───────────────┬───────────────────────┐

│구   분                       │세 부 조 치 내 용                             │

├──────┬────────┼───────────────────────┤

│1.          │1.1. 시스템     │ - 전자의무기록 등의 정보를 백업할 경우, 전   │

│전자의무기  │무중단 백업     │자의무기록 시스템을 중단하지 않고 백업업      │

│록의 백업   │                │무를 할 수 있도록 장비를 마련하여야 한다.     │

│저장장비    ├────────┼───────────────────────┤

│            │1.2.            │ - 백업된 데이터는 필요시 신속하게 복구될     │

│            │백업데이터      │수 있도록 관련된 시스템 및 관리절차를 갖      │

│            │긴급복구        │추어야 한다.                                  │

│            ├────────┼───────────────────────┤

│            │1.3.            │ - 백업된 데이터의 위?변조 및 비정상적으로   │

│            │백업데이터      │삭제되지 않도록 백업데이터의 보호조치를       │

│            │위?변조 방지   │하여야 한다.                                  │

│            ├────────┼───────────────────────┤

│            │1.4.            │ - 백업을 위한 장비 및 시스템은 전자의무기록  │

│            │백업설비의      │시스템을 위한 장비 및 설비와 분리하여 운영    │

│            │물리적 분리     │되어야 한다.                                  │

├──────┼────────┼───────────────────────┤

│2.          │2.1. 이중화된   │ - 의료데이터 전송을 위한 이중화된 네트워크를 │

│네트워크    │네트워크의      │구성하여야 하며 아래 조건을 충족하여야        │

│보안에      │구성            │한다.                                         │

│관한        │                │  ?물리적 또는 그에 준하는(논리적 포함) 둘   │

│시설과      │                │이상의 회선 분리                              │

│장비        │                │  ?둘 이상의 경로를 제공하는 내부망 구성     │

│            │                │  ?라우터의 이중화 구성                      │

│            │                │  ?장애발생 시에도 지속적인 서비스 제공 대책 │

│            │                │수립                                          │

│            ├────────┼───────────────────────┤

│            │2.2. 네트워크   │ - 침입차단시스템, 침입탐지시스템 등 인증된   │

│            │보호시스템      │정보보호시스템을 운영하여 내?외부 네트워     │

│            │운영            │크를 보호하여야 한다.                         │

├──────┼────────┼───────────────────────┤

│3.          │3.1. 인증된     │ - 국가정보원장이 인증 필요성을 인정하는 정보 │

│전자의무    │정보보호?보안  │보호시스템의 경우 CC 인증 제품 등 도입        │

│기록        │제품의 사용     │요건을 만족한 제품을 사용하여야 한다.         │

│시스템      ├────────┼───────────────────────┤

│보안에      │3.2. 데이터 및  │ - 전자의무기록 및 소프트웨어의 무결성을 확   │

│관한        │소프트웨어의    │인하여야 하며, 데이터 처리에 대한 위변조      │

│시설과      │무결성 보장     │방지 등 보호기능을 제공하여야 한다.           │

│장비        │및 암호화       │ - 전자의무기록 시스템 운영을 통해 관리되고   │

│            │                │있는 중요정보에 대해 암호화하여야 한다.       │

│            ├────────┼───────────────────────┤

│            │3.3. 접근통제   │ - 안전성 및 신뢰성 향상을 위해 필요한 외주   │

│            │강화를 위한     │개발 보안, 시스템 주기적 모니터링, 시각       │

│            │시스템의        │동기화 등 기술적 보호조치를 위한 시스템       │

│            │구성 등         │(장비)을 구성하여야 한다.                     │

│            │                │ - 비인가자의 접근을 통제할 수 있도록 접근    │

│            │                │통제 영역 및 범위, 접근통제 규칙, 방법 등을   │

│            │                │포함하여 접근통제 정책을 별도 수립하여야      │

│            │                │한다.                                         │

│            ├────────┼───────────────────────┤

│            │3.4. 데이터     │ - 데이터 무결성을 보장하기 위한 보호조치     │

│            │관리방안 수립   │및 데이터변경에 대한 관리방안을 마련하고,     │

│            │및 모니터링     │모니터링하여야 한다.                          │

│            │                │ - 데이터 훼손?유출이 발생한 경우, 이를 즉시 │

│            │                │의료기관에 통보하여야 한다.                   │

├──────┼────────┼───────────────────────┤

│4.          │4.1. 출입통제   │ - 전자의무기록 시스템이 위치한 공간의 출입   │

│전자의무    │구역의 설치     │통제가 가능해야 한다.                         │

│기록        │                │ - 전자의무기록 시스템이 위치한 보호구역내    │

│보존장소에  │                │에서의 작업 절차를 수립하고 작업에 대한       │

│대한        │                │기록을 주기적으로 검토하여야 한다.            │

│물리적      ├────────┼───────────────────────┤

│접근방지    │4.2. 출입 통제  │ - 출입통제 및 이력관리 시스템을 갖추어 출    │

│시설과      │및 현황정보     │입자(권한)별 감사기록을 생성, 저장하여야      │

│장비        │모니터링        │하며, 출입통제시스템에 대한 접근통제 및       │

│            │                │암호화 기능을 갖추어야 한다.                  │

│            ├────────┼───────────────────────┤

│            │4.3. 물리적     │ - 전자의무기록 시스템 및 그 백업장비의 물    │

│            │위치의 한정     │리적 위치는 국내로 한정한다.                  │

├──────┼────────┼───────────────────────┤

│5.          │5.1.            │ - 전자의무기록시스템의 전산자원(H/W) 및      │

│전자의무기  │전자의무기록    │소프트웨어(프로그램)의 동작여부와 상태를      │

│록시스템을  │시스템 실시간   │점검할 수 있는 장비를 갖추어, 이상이 발       │

│실시간으로  │점검            │생한 경우 이를 기록하여 관리자에게 알려       │

│점검할 수   │                │주어야 한다.                                  │

│있는        ├────────┼───────────────────────┤

│시설과      │5.2. 네트워크   │ - 스위치?라우터 등 네트워크 장비에서 발생하 │

│장비        │시스템          │는 트래픽을 기록하고 실시간으로 네트워크      │

│            │모니터링        │상태를 점검할 수 있어야 한다.                 │

├──────┼────────┼───────────────────────┤

│6. 예비     │6.1.            │ - 전자의무기록 시스템 장애 시 안정적인 서    │

│장비        │보조시스템      │비스 제공을 보장할 수 있도록 보조서버가       │

│            │운영            │작동?운영될 수 있어야 한다.                  │

├──────┼────────┼───────────────────────┤

│7.          │7.1. CCTV       │ - 전자의무기록 관리시설은 사각지대 없이 24   │

│폐쇄회로    │설치운영        │시간 CCTV 실시간 촬영(월단위 백업)이 되       │

│텔레비전    │                │어야 한다.                                    │

│등의 감시   │                │ - CCTV 시스템에 대한 접근통제 정책을 마련    │

│장비        │                │하여야 한다.                                  │

│            ├────────┼───────────────────────┤

│            │7.2. 외부       │ - 아래 조건을 충족하는 침입감지장치를 설치   │

│            │침임감지장치    │운영하여야 한다.                              │

│            │설비 운영       │  ?침입감지시 관리자에게 신속히 알리는 기능  │

│            │                │  ?침입감지, 경보장치와 연결된 침입 발생위치 │

│            │                │확인 기능                                     │

│            ├────────┼───────────────────────┤

│            │7.3. 출입현황   │ - 출입통제장치로부터 출입현황정보를 확인할   │

│            │정보의 확인     │수 있는 장비를 갖추어야 한다.                 │

│            │                │ - 정당한 관리자만이 감사기록을 조회하고, 감사│

│            │                │기록을 백업한다.                              │

├──────┼────────┼───────────────────────┤

│8.          │8.1.            │ - 화재발생에 대비하여 연기감지장치, 온도감지 │

│재해예방    │화재경보장치    │장치 등의 설비를 갖추어야 한다.               │

│시설        ├────────┼───────────────────────┤

│            │8.2. 소화장치   │ - 소규모 및 대규모 화재에 대비한 소화장치를  │

│            │                │구비하되, 시스템에 악영향을 미치지 않는       │

│            │                │소화약제를 사용하여, 시스템의 오작동에 대     │

│            │                │처하여야 한다.                                │

│            ├────────┼───────────────────────┤

│            │8.3. 수재       │ - 시스템 및 네트워크설비 등이 물에 노출되지  │

│            │예방설비        │않도록 바닥으로부터 이격하여 설치하고 콘      │

│            │                │센트 등 전원접속장치는 바닥으로부터 이격      │

│            │                │하여 설치하여야 한다.                         │

│            ├────────┼───────────────────────┤

│            │8.4. 전원       │ - 정전발생시 지속적인 업무의 수행이 가능하   │

│            │공급시설        │도록 추가연료보충 없이 2시간 이상 발전할      │

│            │                │수 있는 자가발전설비, 30분이상 전원을 공      │

│            │                │급해 줄 수 있는 무정전 전원공급장치(UPS)      │

│            │                │설비를 갖추어야 한다.                         │

│            ├────────┼───────────────────────┤

│            │8.5. 온도 및    │ - 온도 및 습도를 일정하게 유지하기 위한 항   │

│            │습도 유지       │온?항습장비를 갖추어 시스템의 오작동에 대    │

│            │                │비할 수 있어야 한다.                          │

└──────┴────────┴───────────────────────┘

별표 0002: 클라우드컴퓨팅서비스 정보보호에 관한 요건 충족 시 필요한 추가적인 조치

[별표 2] 클라우드컴퓨팅서비스 정보보호에 관한 요건 충족 시 필요한 추가적인 조치

┌──────────────┬───────────────────────┐

│구   분                     │세 부 조 치 내 용                             │

├──────┬───────┼───────────────────────┤

│2.          │2.1. 이중화된 │ - 의료데이터 전송을 위한 이중화된 네트워크를 │

│네트워크    │네트워크의    │구성하여야 하며 아래 조건을 충족하여야        │

│보안에      │구성          │한다.                                         │

│관한        │              │  ㆍ물리적 또는 그에 준하는(논리적 포함) 둘   │

│시설과      │              │이상의 회선 분리                              │

│장비        │              │  ㆍ둘 이상의 경로를 제공하는 내부망 구성     │

│            │              │  ㆍ라우터의 이중화 구성                      │

│            │              │  ㆍ장애발생 시에도 지속적인 서비스 제공 대책 │

│            │              │수립                                          │

├──────┼───────┼───────────────────────┤

│4.          │4.3. 물리적   │ - 전자의무기록 시스템 및 그 백업장비의 물    │

│전자의무    │위치의 한정   │리적 위치는 국내로 한정한다.                  │

│기록        │              │                                              │

│보존장소에  │              │                                              │

│대한        │              │                                              │

│물리적      │              │                                              │

│접근방지    │              │                                              │

│시설과      │              │                                              │

│장비        │              │                                              │

└──────┴───────┴───────────────────────┘


부칙

['부칙 이 고시는 2016년 8월 6일부터 시행한다.', '부칙 이 고시는 발령한 날부터 시행한다.', '부칙 (일몰기한 정비를 위한 27개 보건복지부고시의 일괄개정고시)이 고시는 발령한 날부터 시행한다.', '        부칙 이 고시는 발령한 날부터 시행한다.']

부칙 공포정보: ['20160806', '20181002', '20210105', '20231214'] (공포번호: ['2016-140', '2018-212', '2021-2', '2023-245'])