Spire Healthcare, F5로 디지털 서비스 혁신을 안전하게 추진

38개 병원과 3,700명 이상의 전문의를 보유한 영국의 대표적인 민간 의료 서비스 제공업체인 Spire Healthcare는 더 많은 서비스가 온라인으로 전환됨에 따라 애플리케이션 보안을 강화해야 했습니다. 매우 민감한 환자 데이터를 보유하고 영국 국민보건서비스(NHS) 및 주요 보험사를 비롯한 파트너들과 협력하는 Spire는 자사의 보안이 업계 최고 수준이며 신뢰할 수 있음을 이해관계자들에게 입증해야 했습니다. 이에 2016년 F5와 Silverline(F5의 클라우드 기반 관리형 애플리케이션 서비스 플랫폼)을 도입했습니다.

비즈니스 과제

Spire는 진료 예약, 개인정보 조회 및 결제가 가능한 MySpire 포털과 같은 고객용 디지털 서비스를 확대하면서 더 많은 민감한 환자 데이터를 온라인에 저장하게 되었습니다.

위험 수준이 높아지면서 기술팀은 사용자 행동에 관한 핵심 정보가 부족한 상황에 놓였습니다. 기존 시스템으로는 고객이 어떤 기기를 사용해 Spire의 서비스에 접속하는지, 그리고 언제 안전하지 않은 방식으로 접속할 가능성이 있는지 파악할 수 없었습니다. 이러한 가시성 부족으로 인해 기술팀은 중요한 보안 업그레이드를 수행하는 데 어려움을 겪었습니다.

기술 운영 관리자인 롭 시슨스는 “예를 들어 TLSv1.0을 지원하지 않는 기기로 접속하는 사용자가 있는지 알 수 없었기 때문에 SSLv3를 통한 접속을 제한할지 결정할 수 없었습니다”라고 회상했습니다.

IT 팀은 중요한 기술적 변경을 결정하는 데 필요한 정보가 부족했을 뿐만 아니라, 사내에서 제기되는 데이터 보안 관련 문의에도 제대로 답변하지 못하는 경우가 많았습니다. 또한 Spire에 환자를 정기적으로 의뢰하는 주요 보험사와 NHS가 자사 데이터가 안전하게 저장되고 있는지 확인하기 위해 실시하는 감사에도 대비해야 했습니다.

Spire는 고객의 디지털 서비스 접근성을 저해하지 않으면서 보안을 강화하기 위해 애플리케이션 보안 관리형 서비스 제공업체를 찾기로 결정했습니다.

솔루션

진화하는 보안 요구 사항을 충족하기 위해 Spire는 F5의 고객 지원 보안 전문가들이 모인 보안 운영 센터(SOC)의 연중무휴 지원과 함께 F5® Silverline® 웹 애플리케이션 방화벽(WAF) 및 F5® Silverline® DDoS Protection을 매니지드 서비스로 도입하기로 했습니다.

“SOC는 우리에게 실질적인 가치를 제공하는 핵심 요소입니다.”라고 시슨스는 말했습니다. “변경 사항을 적용할 때 전문 지식을 갖춘 또 다른 사람이 이를 면밀히 검토해 준다는 확신을 줍니다. 또한 우리가 추진하려는 작업을 최적화할 방법에 대해 팀으로부터 권고를 받는 경우도 많습니다.”

SOC 팀은 타사 개발자가 만든 애플리케이션을 비롯해 Spire가 새로운 애플리케이션을 개발하고 구현하는 과정에서 핵심적인 역할을 담당하게 되었습니다. Spire는 빈 템플릿에서 시작해 반복적인 테스트를 통해 식별된 오탐을 허용 목록에 추가하는 방식으로 WAF 정책을 수립합니다.

“무언가를 개방해 달라고 요청하면 SOC에서 저희가 제안한 내용을 다시 한번 확인합니다.”라고 시슨스는 설명했습니다. “특수한 임상 애플리케이션은 보안 수준이 기대에 미치지 못하는 경우가 있습니다. 몇 차례는 F5의 의견을 바탕으로 타사 소프트웨어 개발자에게 다시 연락해 해당 애플리케이션의 문제점을 지적하기도 했습니다.”

Spire가 F5와 협력해 온 동안 애플리케이션 에코시스템은 지속적으로 다각화되고 더욱 복잡해졌습니다. 여기에는 보험사가 환자를 의뢰하고 환자 정보를 보다 쉽게 전송할 수 있도록 지원하는 API 도입도 포함됩니다. Silverline은 Spire가 고객, 의료진 및 주요 파트너에게 제공하는 디지털 서비스를 지속적으로 개발하고 개선하는 데 필요한 보안을 제공합니다.

SOC의 지원을 바탕으로 Silverline 서비스는 Spire가 저장하는 민감한 데이터에 적합한 수준의 애플리케이션 보안을 구현하고, 간헐적으로 발생하는 중대한 사고에 신속하게 대응할 수 있도록 지원했습니다.

또한 Silverline은 사용자 행동에 대한 가시성과 데이터를 제공하여 IT 팀이 전반적인 보안 정책을 개선할 수 있도록 지원함으로써 Spire의 전사적 보안 정책 발전에 기여합니다. 아울러 이전에는 파악할 수 없었던 고객의 서비스 이용 방식도 상세히 보여줍니다.

시슨스는 “예를 들어 TLS 보안을 강화할 때 정보 보안 팀은 유입되는 연결과 안전하지 않은 연결의 출처에 관해 Silverline이 제공하는 데이터에 크게 의존해 왔습니다”라고 말했습니다.

맞춤형 상시 지원

Silverline의 또 다른 주요 이점은 Spire 네트워크에 대한 실제 위협에 대응할 수 있다는 점입니다. 최근 발생한 대규모 DDoS 공격 당시 SOC는 공격 출처에 관한 정보를 제공하고 Spire의 인터넷 서비스 제공업체와의 논의에 참여하는 등 대응 과정에 적극적으로 동참했습니다. Sissons는 “그런 대규모 공격은 상황이 빠르게 전개되기 때문에 공격이 진행되는 동시에 조사해야 합니다”라고 회상했습니다. “대응하는 내내 SOC와 열린 소통 채널을 유지했고, SOC는 전화 회의에도 함께 참여하며 매우 귀중한 지원을 제공했습니다.”

일상적인 상황에서도 Spire는 SOC의 전문가들이 언제든 지원할 수 있다고 확신합니다. Sissons는 “관리형 서비스의 일환으로, 촉박하게 요청하더라도 뛰어난 전문가와 바로 연락할 수 있습니다”라고 덧붙였습니다. “지금까지 SOC가 처리하지 못한 요청은 단 하나도 없었습니다.”

이해관계자를 위한 신뢰 보장

Silverline은 Spire의 광범위한 생태계에도 긍정적인 영향을 미치고 있습니다. 제3자로부터의 환자 의뢰는 Spire 비즈니스 모델의 중요한 부분이며, F5가 매니지드 서비스 제공업체로 참여함으로써 데이터 보안 정책과 보호 체계가 엄격한 기준을 충족한다는 확신을 파트너들에게 심어주는 데 도움이 되었습니다. Silverline은 보험 파트너의 감사 대응은 물론, NHS의 보건·사회복지 네트워크(HSCN)에 가입하기 위한 필수 조건인 보안 툴킷에도 활용되었습니다. Sissons는 “외부 감사에서 이러한 서비스를 보호하는 전문 보안 팀을 갖추고 있다고 말할 수 있다는 점은 우리에게 큰 도움이 됩니다”라고 덧붙였습니다.