USDM 병원이 아마존 클라우드로 인프라를 옮기는 이유

2012년 이후 3개의 의료 기관이 합병해 지금의 USMD 헬스 시스템(USMD Health System)이 탄생했다. 지난 4년 동안 USMD의 CIO 마이크 예리드는 IT 운영을 중앙집중화, 통합화하는 작업을 진행해왔다. 이러한 작업에서 큰 부분은 아마존 클라우드로의 이동이었다.

USMD는 의료 기관으로서 환자 정보 보호에 관해 엄격한 규제 대상임에도 퍼블릭 클라우드로 전환하고 있는 것이다. USMD뿐만이 아니다. IDC의 헬스 인사이트 부문 리서치 책임자인 린 던브랙은 "의료 보건 조직들이 클라우드 기술에 대해 점차 안심하고 있다"고 말했다.

던브랙은 "사이버 공격 위협이 증가하면서 의료 보건 기관들은 자체 IT 조직보다 클라우드 서비스 업체가 인프라와 애플리케이션 보호에 관한 전문성과 리소스를 더 풍부하게 갖추었다는 점을 인식하고 있는 것으로 보인다"고 말했다.

2년 전 IDC가 의료 보건 IT 제공업체를 대상으로 실시한 설문 조사에서 응답자의 87.5%는 클라우드 기술을 안심하고 사용한다고 답했다. 310명의 IT 전문가가 참여한 이 설문에서 향후 신규 인프라 구매 중 클라우드의 예상 비중이 35%였는데, 작년 이 수치는 40%로 높아졌다.

클라우드의 경제학
예리드 관점에서 클라우드 도입의 근거는 경제성에 있다. USMD는 합병을 통해 현재 2개의 종합병원, 4개의 암 센터, 50개의 임상 진료소를 두고 있다. 예리드는 "현실적으로 자본은 조직의 규모를 더 키우는 다른 인수 합병 활동에도 사용되므로 IT 인프라에 대한 투자가 보장되지는 않는다"고 말했다.

예리드에게는 두 가지의 선택안이 있다. IT 인프라의 수요를 예측해서 그 구매 비용을 미리 확보하는 방법, 그리고 쓴 만큼 지불하는 클라우드 인프라를 사용하는 방법이다. 예리드는 자체 인프라를 소유하고 운영하는 것은 효율적이지 않다는 생각이다. "계획대로 사업이 성장하지 않을 경우 결과적으로 필요 없는 장비에 과도한 비용을 지출하게 된다. 정확히 측정했다 해도 일정한 시간이 지나면 장비를 교체해야 한다"고 말했다.

클라우드 모델에서는 수요를 바탕으로 필요한 인프라 리소스를 프로비저닝한다. 예리드는 예리드는 "클라우드 솔루션의 탄력성은 성장하는 회사에게 이상적이다. 지금 USMD의 IT는 매우 신속하게 방향 전환이 가능하다. 이러한 민첩성이 없으면 IT가 오히려 장애물이 될 수 있다. 클라우드를 사용하면 성장에 따라 IT의 보조를 맞출 수 있다"고 말했다.

처음에는 SaaS, 그 다음은 IaaS
USMD의 클라우드 마이그레이션을 통해 가장 쉽게 달성 가능한 결실은 SaaS 애플리케이션이었다. 예리드는 클라우드에서 가장 먼저 넷스위트(NetSuite) 회계 시스템과 ADP의 HR 애플리케이션을 구현했다. 최근에는 실무 관리 시스템을 클라우드로 마이그레이션했다. 이 시스템은 모든 일정, 청구, 등록 업무를 처리하며 조직의 1,500명 직원들에게 주 포털 역할을 한다.

진료용 X-레이를 포함한 의료 영상의 보관도 클라우드로 옮겼다. 이 마이그레이션의 관리를 돕기 위해 USMD는 클리어데이터(ClearDATA)라는 공급업체와 협력 중이다. 클리어데이터는 의료 기관이 의료 보건 개인정보보호 법을 계속 준수하면서 퍼블릭 클라우드로 워크로드를 마이그레이션하도록 지원하는 일을 전문적으로 하는 업체다.

의료 보건 정보 보호에 관한 기본 법은 건강보험 이전과 책임에 관한 법(HIPAA)이다. HIPAA에는 2009년, 의료 기관의 전자 보건 데이터 보호에 관한 새로운 규정인 HITECH가 도입됐다. HITECH는 환자의 권리를 명시하며 의료 기관이 데이터 침해 발생 시 이를 환자에게 알릴 것을 의무화한다.

클리어데이터 창업자인 크리스 보웬은 HIPAA와 HITECH 규정에는 기술과 관련된 다음과 같은 세 가지 주요 초점 영역이 있다고 말했다.

• 관리 통제: 누가 어떤 데이터에 접근할 수 있는지에 관한 정책이 있어야 함
• 기술 통제: 데이터 보호를 위한 규칙이 있어야 함
• 물리적 통제: 데이터 및 인프라 리소스에 대한 물리적 접근 표준을 준수해야 함

보웬은 세 가지 모두 클라우드 환경에서 적절한 예방책을 통해 충족할 수 있다고 말했다. 예를 들어 아마존 웹 서비스 클라우드에서는 클라우드 환경의 모든 활동을 모니터링 및 기록하고, 비정상적인 활동에는 플래그를 지정해 보고하도록 설정함으로써 관리 통제를 충족할 수 있다. AWS의 모든 데이터는 암호화가 가능하다. 또한 아마존은 클라우드를 호스팅하는 아마존 데이터 센터에 대한 물리적 접근에 관해서도 보장할 수 있다. 클리어데이터는 고객이 HIPAA 규정을 기준으로 클라우드 기반 환경을 확인할 수 있는 대시보드를 제공한다. USMD는 클리어데이터가 클라우드 기반 환경의 HIPAA 준수를 책임지도록 하는 비즈니스 협력 계약을 체결했다.

모두가 클라우드에 찬성하지는 않는다
또 다른 의료 기관인 크리스터스 헬스(CHRISTUS Health)의 CTO는 작년에 네트워크 월드와의 인터뷰에서 클라우드로의 전환을 서두르지 않는다고 말한 바 있다. 크리스터스에서 4,000대의 가상 머신을 실행하는 200여 대의 물리적 호스트를 갖춘 데이터센터를 관리하는 린 깁슨은 "이 정도 규모의 조직에서는 외주 업체에 얼만큼의 통제 권한을 넘겨주어야 하는지에 대해 엄격한 분석이 필요하다"고 말했다.

깁슨은 "병원과 의료 보건 조직에게 데이터센터가 필요 없다고 주장하는 사람들도 있다. 개인적으로 그러한 주장은 다소 무모하다고 생각한다. 그렇게 되면 환자 정보와 환자 데이터에 대한 통제 기능을 넘겨주게 된다. 그 정보에는 돈이 몰린다. 그 데이터에서 모든 사람들의 의료 보건의 미래를 좌우할 지식을 얻을 수 있다"고 경고했다.  editor@itworld.co.kr