NHS 연계 시스템 침해… “임상 서비스는 영향 없어”

영국의 의료 정보 및 임상 의사결정 지원 시스템 제공업체 DXS International plc가 자사 사무용 서버를 대상으로 한 사이버 보안 사고가 발생했음을 공식 공시했다. 회사는 해당 사실을 12월 18일(현지시간) 규제 정보 서비스(RIS)를 통해 시장에 알렸다.

DXS 이사회에 따르면, 이번 보안 사고는 12월 14일 일요일 새벽 시간대에 발견됐다. 사고는 회사의 오피스 서버에 영향을 미쳤으며, 발견 직후 내부 IT 보안팀과 NHS England가 협력해 즉각적인 차단 조치를 취했다.

DXS는 사고 인지 이후 외부 사이버 보안 전문기관을 선임해, 침해의 성격과 범위를 규명하기 위한 정밀 조사를 진행 중이라고 밝혔다. 현재까지 조사 결과는 진행 단계에 있으며, 회사는 추가로 공시해야 할 중대한 변경 사항이 발생할 경우 시장에 알리겠다고 설명했다.

회사는 또한 Information Commissioner's Office를 포함한 관련 규제 기관과 사법 당국, 그리고 NHS 관련 기관들에 사고 사실을 통보했으며, 모든 조사에 전면 협조하고 있다고 밝혔다.

이는 영국 데이터 보호 체계 하에서 의료·보건 데이터와 연계된 IT 시스템 사고가 발생했을 경우 요구되는 절차에 따른 조치다.

DXS는 이번 보안 사고가 사무용 서버에 국한된 사건이며, 회사가 제공하는 일선 임상 서비스(front-line clinical services)에는 영향을 미치지 않았다고 강조했다. 이에 따라 의료 현장에서 사용되는 의사결정 지원 시스템과 진료 흐름은 정상적으로 운영되고 있다고 설명했다.

또한 회사는 현재 시점에서 이번 사고가 재무 상태나 2026년 4월 30일로 종료되는 회계연도 실적 전망에 중대한 악영향을 미칠 것으로 예상하지 않는다고 밝혔다.

이는 시장의 즉각적인 불확실성을 최소화하기 위한 공시상 표현으로, 사고의 성격을 운영상 중대 리스크로 확대 해석하지 말아 달라는 메시지로 읽힌다.

DXS는 이번 발표가 영국 자본시장 규정(MAR, Market Abuse Regulation) 제7조에 해당하는 내부자 정보(inside information)에 해당한다고 명시했다. 이에 따라 규제 정보 서비스를 통해 공시한 시점부터 해당 정보는 공개 정보로 간주된다고 설명했다.

이는 사이버 보안 사고가 단순한 기술 문제가 아니라, 상장사의 공시 의무 대상이 되는 경영 리스크임을 분명히 하는 대목이다. 특히 의료 IT 기업의 경우, 시스템 안정성과 데이터 보호는 투자자 판단에 직접적인 영향을 미칠 수 있는 요소로 평가된다.

DXS는 NHS의 임상위원회(CCG)와 기타 공신력 있는 의료 출처의 최신 치료 가이드라인을 의사·간호사·약사에게 제공하는 임상 의사결정 지원 시스템(CDSS)을 운영하는 기업이다. 이 시스템은 진료 현장에서 실시간으로 활용되며, 의료 서비스의 효율성과 비용 절감에 기여하는 것을 목표로 한다.

이러한 사업 구조상, DXS와 같은 기업은 NHS와의 시스템 연계, 의료 데이터 및 임상 워크플로우 접근,
공공 의료 인프라와의 신뢰 관계라는 세 가지 요소를 동시에 관리해야 한다. 이번 사고 공시는, 의료 IT 기업에게 사이버 보안이 더 이상 부차적 문제가 아니라 핵심 경영 요소임을 재확인시킨 사례로 볼 수 있다.

현재까지 공시된 내용만 놓고 보면, DXS는 사고를 조기에 인지했고 NHS와 공조해 즉각 차단했으며
규제 기관에 신속히 보고했고 임상 서비스 중단이나 재무적 충격은 없다는 입장을 명확히 했다.

다만 외부 전문기관의 조사가 진행 중인 만큼, 침해의 원인과 실제 데이터 영향 범위는 추가 공시를 통해 확인될 필요가 있다.

이번 사건은 영국 의료 IT 생태계 전반에서 사이버 보안 사고가 ‘예외적 사건’이 아닌 상시 관리 대상 리스크로 다뤄지고 있음을 보여주는 또 하나의 사례다.

DXS는 향후 조사 결과에 따라 추가로 공시가 필요한 사항이 발생할 경우, 시장에 알리겠다고 밝혔다.