EHR을 여러 기관이 공유하면서 HIPAA를 지키는 블록체인 아키텍처

여러 병원이 같은 환자의 기록을 나눠 보되, 누구도 몰래 고치지 못하게 하고, 그러면서도 환자가 삭제를 요청하면 들어줘야 한다. 이 세 요구는 서로 당긴다. 블록체인의 불변성은 첫 번째와 두 번째 요구에 잘 맞지만, 세 번째 요구인 삭제·수정권과는 정면으로 부딪힌다. 헬스케어 도메인에 블록체인을 적용할 때 설계의 출발점은 이 긴장을 어떻게 풀 것인가다.

EHR과 HIPAA가 요구하는 것

EHR(전자건강기록)은 환자 중심 종합 의료기록으로, PHI(보호대상건강정보)를 포함해 HIPAA의 보호 대상이 된다. HIPAA는 기술적·관리적·물리적 보호조치를 요구한다. 접근 통제, 전송·저장 암호화, 감사 로깅, 최소수집 원칙이 그 골자이며, 세부 요건은 개정될 수 있으므로 최신 정보를 확인할 필요가 있다.

블록체인을 적용하는 범위는 나눠서 봐야 한다. 온체인에는 데이터 무결성 증명(해시 앵커링), 동의·정책·키 참조, 감사 로그와 이벤트를 올린다. PHI 원문은 온체인에 두지 않는 게 원칙이다. 오프체인에는 PHI 원문을 Object Storage·HDFS·의료 전용 저장소에 암호화·토큰화해 저장하고, 접근을 감사하며, 참조 지점만 온체인에서 관리한다.

네트워크 유형은 퍼미션드(Hyperledger Fabric, Quorum 등)와 퍼블릭/하이브리드로 나뉜다. 퍼블릭은 공공 검증과 투명성이라는 장점이 있지만 PHI에는 부적합하다. 의료 영역에서는 대체로 퍼미션드가 권장된다.

동의를 코드로, 무결성을 해시로

환자 동의는 목적·범위·기간을 명시하고, 역할 기반 정책(RBAC/ABAC)과 함께 스마트컨트랙트로 모델링한다. OAuth2.1/OIDC와 연동해 단기 토큰을 발급하고 FHIR 스코프 기반으로 접근을 제어하며, 감사 이벤트는 변경 불가능하게 기록한다. 동의가 철회되면 키를 회수하고 재암호화하거나 프록시 재암호화(PR)를 적용한다.

무결성과 출처 증명은 오프체인 EHR 파일의 해시를 온체인에 앵커링하는 방식으로 확보한다. 체인코드로 버전·작성자·타임스탬프를 고정하고, eID나 HSM 기반 키로 작성자를 인증한다. 변경이 생기면 새 버전을 만들어 선형 이력을 구성하고, 분산합의로 위변조를 탐지해 재현 가능한 감사 추적을 제공한다. 변경 불가능한 로그와 지표를 즉시 조회할 수 있어 감사 대응 시간은 80% 단축된다. 이 정량 효과들은 퍼미션드 812 노드, 지역 23 AZ 분산, 표준 FHIR R4, HSM 수준의 키 관리를 가정한 값이다.

프라이버시 강화 메커니즘으로는 저장 시 AES-GCM, 전송 시 TLS 1.3을 쓰고 HSM/KMS로 키를 관리하며 로테이션을 자동화한다. 영지식증명(ZKP)으로 환자 성년 검증이나 동의 존재 증명처럼 최소 공개만으로 검증하는 방식도 쓸 수 있는데, 계산 비용이 높은 만큼 사용처는 제한해야 한다. 가명화·가공 데이터셋과 재식별 위험 평가 도구를 함께 운영한다.

상호운용성은 FHIR R4/R5 리소스 모델과 SMART on FHIR 앱 생태계로 확보한다. DID/VC로 환자·기관 신원을 연동하고 기관 간 신뢰 메타데이터를 교차 공유하며, CloudEvents로 EHR 갱신·철회·감사 이벤트 파이프라인을 표준화한다.

운영·보안 거버넌스는 BAA(비즈니스 제휴 계약) 체결 아래 다기관 컨소시엄으로 운영하고 역할(주문자·검증자·보관자)을 분리한다. 최소권한, 네트워크 분리, 노드 하드닝, 비상키 회수 절차, 재난복구 RTO/RPO를 정의해야 한다. 강한 프라이버시(암호화·ZKP)와 성능, 온체인 데이터 최소화와 쿼리 편의성 사이의 트레이드오프도 설계 단계에서 조율해야 한다.

EHR 데이터 흐름과 정책 검증

⤢✕

어떤 네트워크를 고를 것인가

항목	퍼미션드(L2/컨소시엄, Fabric/Quorum)	퍼블릭 L1(Ethereum 등)	롤업(L2, 하이브리드)
성능	고성능(수천 TPS), 낮은 지연	중간~낮음, 수수료 변동	높음, 비용 최적화
확장성	컨소시엄 노드 수 확장 용이	전 세계 노드 확장, PHI 부적합	데이터 가용성 설계 필요
일관성	즉시 최종성 또는 짧은 확정	확정 시간 길 수 있음	빠른 최종성(구성에 따름)
안정성	SLA/BAA 기반 운영	퍼블릭 환경 리스크	운영 복잡도↑
운영 편의	접근제어·거버넌스 용이	규제·프라이버시 대응 난이도↑	브리지·보안 관리 필요

의료 EHR 용도는 퍼미션드를 우선 선택하도록 권고한다.

실무 시나리오

다기관 EHR 교환은 기관 A가 생성 → 오프체인 저장 → 해시 앵커 → 동의 정책 배포 → 기관 B 요청 → 정책 검증 → 토큰 발급 → 제공·감사 순서로 진행된다. FHIR 리소스를 교환하고 기관 간 DID로 상호인증하며 감사 추적의 불변성을 확보하는 게 메커니즘의 핵심이다. 기관 간 재현성 검증이 자동화되면서 기록 대조·조회 시간이 70% 이상 단축된다.

보험 청구·심사 자동화는 진료 이벤트를 온체인에 기록하고 스마트컨트랙트로 청구 조건을 검증한 뒤 필수 항목만 제공하고 지급 승인 이벤트를 기록하는 흐름이다. 자동화율이 오를수록 온체인에 세부 정보가 과도하게 노출될 위험도 커지므로 최소 정보 공개 원칙을 지켜야 한다. 스마트컨트랙트 기반 규칙 검증으로 청구 오류율은 30~50% 감소한다.

임상연구·데이터 마켓플레이스는 데이터셋을 가명화하고 ZKP로 기준 충족을 증명한 뒤 연구 기관에 접근권을 부여하고 사용량 기반으로 정산하는 방식이다. 사용권 계약을 체인코드화하고 소비 로그로 로열티를 투명하게 분배한다.

HIPAA 준수를 체크리스트로 보면

기술적 보호조치로는 전송·저장 암호화, 키 수명주기·로테이션, OAuth2/OIDC와 ABAC를 결합한 세분화된 접근 제어, 그리고 불변 감사 로깅·시계 동기화·UEBA 기반 경보·탐지가 필요하다. 관리적 보호조치로는 BAA, 위험평가(Risk Assessment), 교육, 사고 대응 계획(IRP), 데이터 최소화·보존정책, 공급망 보안(벤더 실사)이 요구된다. 물리적 보호조치로는 데이터센터 인증(SOC2/ISO 27001), HSM 물리 보안, 원격 접근 통제를 갖춰야 한다.

불변성과 삭제 요청이 상충하는 문제는 온체인에 PHI를 저장하지 않고 오프체인 데이터는 키 폐기(암호학적 삭제)로 대응하는 방식으로 풀어야 한다. 수정·삭제 요구는 신규 버전을 발행하고 이전 버전 접근을 불가 처리하는 방식으로 합리화한다.

도입 순서

준비 단계에서는 규제를 검토하고 데이터를 PII/PHI로 분류하며 위협모델을 정의하고 BAA를 체결한다. 아키텍처 설계 단계에서는 퍼미션드 네트워크, 키·비밀관리, 오프체인 저장, FHIR 게이트웨이, 감사 데이터 레이크를 구성한다. 파일럿 단계에서는 전원 요약·검사결과 같은 단일 유스케이스로 PoC를 진행해 성능·지연·감사 지표를 검증한다. 확장 단계에서는 다기관을 합류시키고 CI/CD·체인코드 릴리스 같은 자동화 파이프라인과 SRE·DR 계획을 세운다. 운영 단계에서는 연 1~2회 규정 준수 감리, 키 재발급·노드 감쇠 테스트, 정기 취약점 점검을 수행한다.