Current Issue

보건 의료데이터는 개인정보 보호법 제23조에 따른 민감정보의 하나로 건강에 관련된 정보를 의미한다. 보건 의료데이터는 20년도 8월 개정된 개인정보 보호법이 시행됨에 따라 가명정보 활용에 대한 법적인 근거가 마련되었으며, 추가정보와의 결합 없이 개인을 식별할 수 없도록 하는 식별자, 인적사항 등에 대한 처리 방법과 절차를 정의하여 보건 의료데이터의 가명처리 후 사용이 가능하게 됨에 따라 의료데이터의 비식별화가 중요해지고 있다[7]. 보건복지부에서 2020년도 발표한 보건의료데이터 활용 가이드라인에 따르면 과학적 연구를 위해 다음과 같은 표 1의 경우 비식별화된 보건데이터의 사용이 가능하도록 하고 있다[8]-[10].

비식별화는 데이터가 타인에 의해 식별될 수 없도록 하는 과정을 의미한다. 국내에서는 한국인터넷진흥원에서 발간한 개인정보 비식별 조치 가이드라인에서 비식별 조치에 대한 관리 절차와 비식별 조치 예시를 보이고 있다. 제시된 비식별 조치 단계는 4단계로 구성되어있으며, 각각 사전검토, 비식별 조치, 적정성 평가, 사후관리로 구성되어있다[11][12].

사전검토의 경우 활용이 요구되는 데이터의 개인정보 해당여부를 검토하며, 비식별 조치단계에서는 개인정보에 해당하는 데이터에 대해 특정한 개인을 식별할 수 없도록 하는 조치를 취한다. 다음으로 적정성 평가에서 비식별 조치 적정성 평가단을 통해 개인의 식별 가능 여부를 평가하며, 마지막으로 사후관리를 통하여 비식별 정보의 안전조치를 취하고, 재식별 가능성을 지속적으로 모니터링하여 활용하는 과정에서 재식별을 방지하기 위한 수단을 취하도록 되어있다[13][14].

개인정보의 비식별 조치 기법에는 데이터를 다른 내용으로 변경하는 가명처리, 데이터의 정보를 합산하여 처리하는 총계처리, 데이터에서 민감한 부분을 삭제하는 데이터 삭제, 데이터를 일정한 범주로 구분하는 데이터 범주화, 민감한 정보에 대해 잡음 또는 공백등을 추가하여 식별이 불가능하도록 하는 데이터 마스킹의 큰 범주가 존재하며, 각각에 대하여 소범주에 속하는 다양한 기법이 존재한다[15]-[17].

인공지능이 다양한 서비스와 연구에 접목됨에 따라 빅데이터 연구가 보다 본격적으로 활성화되고 있으며, 가명처리된 가명정보가 정보주체의 동의 없이 사용이 가능해짐에 따라 의료계에서도 분석을 위한 빅데이터의 중요성이 강조되고 있다.

선종수(2021)는 빅데이터 환경에서 학습을 위해 요구되는 데이터의 습득을 위해서는 정보주체의 동의가 선결되어야만 하며, 수집된 데이터의 활용을 위해서는 의료기관 사이에서 공유되어야만 의료 빅데이터로서의 활용이 가능함을 지적하며, 개인의료정보에 대한 법적 한계를 설정하는 것은 특수한 영역으로 단순히 정의할 수 없음을 지적하였다[18].

김정선(2020)은 기업에서의 가명정보 활용을 위해서는 기존의 정보보호 관리체계를 확장하여 프 라이버시 보호가 요구됨을 언급하며, 데이터 3법이 개정됨에 따라 가명데이터의 활용을 위해 요구되는 기술과 프로세스를 정리하였다[19].

천지영(2020)은 데이터 3법이 개정되어 가명처리된 개인정보가 정보주체의 동의 없이 사용이 가능해짐에 따라 다양한 연구 및 서비스에서 유용하게 활용될 수 있으나 프라이버시 침해를 막고 데이터의 신뢰성을 보장할 수 있는 환경이 요구됨을 지적하였다[20]-[22].

이처럼 의료데이터의 실질적인 이용을 위해서는 가명처리가 되지 않은 데이터가 의료기관간에 적극인 공유가 진행되어야만 의료 빅데이터를 완성할 수 있으나 비식별 처리가 진행된 가명정보는 빅데이터로서 활용하기에 많은 어려움을 가지고 있다. 따라서 본 논문에서는 비식별처리된 정보를 무작위로 비식별화 한 뒤 스토리지 서버에 기록하여 데이터간의 관계성을 파악할 수 없도록 하여 데이터의 기밀성을 강화함과 동시에 데이터의 검색 기능 수행시 원형 데이터 기반의 검색 수행을 통해 가용성을 높이는 메커니즘을 제안한다.

입력 데이터는 CSV와 같이 2차원 배열로 구성된 데이터로 가정한다. 데이터는 나이, 신장, 체중과 같이 정해진 수치값을 가지는 고정형 데이터와 이름 등의 다양한 입력값인 비고정형 데이터로 구분한다. 이후 고정형 데이터의 경우 해시연산을 수행하며, 비고정형 데이터의 경우 공개키 기반 암호화를 수행한다.

이때, 사용되는 공개키는 기록하는 관리자의 비밀키에 의해 복원할 수 있는 공개키만을 사용하며, 외부 기관의 데이터 요청시에는 해당 기관의 공개키로 암호화를 수행하도록 한다.

1차적으로 암호화 및 해시연산을 수행한 암호문은 무작위 순서화를 진행한다. 무작위 순서화는 가장 처음의 인덱스값에 기반하여 다음 인덱스에 기록될 값의 위치값 연산을 수행한다. 위치값 연산을 수행하기 위한 초기 난수범위 지정값은 사용자에 의해 지정된다. 무작위 위치값 연산의 수행을 위해 인덱스는 먼저 수치화 과정을 진행한다. 식 (1)은 인덱스값을 수치화 데이터로 변경하는 과정을 보이는 것이다.

식 (2)는 초기 난수범위 지정값의 범위를 보이는 것이며, 식 (3)은 무작위 위치값 연산을 수행하는 것을 보이는 것이다. 초기 난수범위 지정값은 행 또는 열의 최댓값보다 작은 숫자여야하며, 범위가 작을수록 보다 복잡한 난수화가 진행된다.

위의 식에 의해 연산된 무작위 위치값에 해당하는 값은 처음 인덱스의 다음 순서로 기록된다. 그림 2는 행에 대해 무작위 위치 연산을 수행한 결과의 예시를 보이는 것이다.

Fig. 2. 
Example of performing 1st random position calculation

이 과정을 반복하며, 연산된 인덱스의 위치에 해당하는 값이 없는 경우 입력되지 않은 앞자리의 인덱스부터 위의 과정을 반복하여 수행한다. 행에 대해 무작위 순서화 과정을 진행한 다음 열에 대해 위와 동일한 순서에 의해 무작위 순서화를 진행한다. 초기 난수범위 지정값은 이후 무작위로 설정된 암호문의 복호화를 위한 키로 사용된다.

그림 3은 열에 대해 무작위 위치 연산을 수행한 결과의 예시를 보이는 것이다.

Fig. 3. 
Example of performing 2nd random position calculation

행과 열에 대해 동일한 초기 난수범위 지정값을 설정하는 경우 하나의 초기 난수범위 지정값이 비밀키가 된다.

원장 데이터 검색 단계에서는 사용자에 의해 검색이 요구되는 대상자 또는 수치값을 입력값으로 사용하여 검색을 수행하여 무작위로 변환된 암호문에서 해당 데이터를 검색하는 단계이다. 고정형 데이터는 초기 난수범위 지정값을 가지는 경우, 원하는 수치값에 대해 검색의 수행이 가능하나 비고정형 데이터의 경우 원장을 보유하고 있는 기관에서 데이터를 요구하는 기관의 공개키로 다시 한번 암호화를 수행하여 기록할 필요성이 존재한다.

먼저 사용자에 의해 특정한 값에 대한 요청이 발생하는 경우 어플리케이션 서버는 스토리지 서버에서 암호문을 요청한다. 암호문을 받은 어플리케이션 서버는 열에 대해 복원을 수행하기 위해 기록되어있는 첫 번째 인덱스의 값을 식 (4)를 이용하여 상수값으로 변환하고, 식 (5)를 이용하여 열의 두 번째 인덱스값의 위치를 변경한다.

위의 과정을 반복하여 수행하되, 위치값이 열의 최댓값보다 커지는 경우 열의 공백 중 가장 앞에서부터 시작하여 위의 과정을 반복한다. 모든 열에 대해 복원이 수행된 이후, 행에 대해서 위의 과정을 수행하여 고정형 데이터와 비고정형 데이터가 비식별화 또는 암호화되어있는 1차 암호문으로 복호화한다.

이후 사용자의 검색값에 대해 해시연산을 수행하고, 해시 결과값을 대입하여 검색을 수행한다. 고정형 데이터의 범위 검색의 경우 입력된 최솟값에서부터 최댓값까지의 값에 대한 해시연산을 수행 후 검색을 수행한다. 이를 통하여 검색된 결과는 사용자에게 반환한다.