Health-ISAC의 2026 CISO 벤치마킹 보고서 에 따르면, 조사 대상 CISO 중 단 22%만이 사고 발생 후 운영 복구 역량 수준을 최고 두 단계로 평가했습니다. 이 보고서는 의료기관, 제약회사, 의료기기 회사, 보험사, 의료 IT 기업 등 다양한 분야의 보안 책임자 76명을 대상으로 설문조사를 실시한 결과입니다. 실제로 응답자의 4분의 1 이상이 NIST 사이버보안 프레임워크 복구 기능에서 스스로를 1단계 또는 2단계로 평가했습니다.
다른 모든 CSF 기능은 더 높은 점수를 받았으며, 탐지(Detect) 기능이 60%로 4단계 또는 5단계 성숙도를 보고하여 가장 높은 수준을 기록했고, 그 뒤를 보호(Protect) 55%, 식별(Identify) 48%, 대응(Respond) 44%가 이었습니다. Health-ISAC은 또한 대규모 조직조차 복구(Recover) 기능에서 평균 3단계에 그친다고 지적했습니다. 마찬가지로, 어떤 기능에서든 5단계에 도달하는 프로그램은 6~10%에 불과합니다.
해당 분야는 여러 부문을 포괄하기 때문에 제시된 수치는 해당 부문 전체를 광범위하게 설명합니다. 규모별 구분은 병상 수가 아닌 직원 수와 매출액을 기준으로 합니다.
탐지 역량은 충분히 갖추었지만 복구 역량이 부족한 경우, 조직은 공격을 명확히 인지하면서도 임상 시스템을 얼마나 빠르게 복구할 수 있을지 확신할 수 없습니다. Health-ISAC은 이러한 격차를 임상적 위험으로 규정하고, 비즈니스 연속성 및 재해 복구 투자를 이사회 차원의 우선순위로 격상할 것을 권고했습니다.
