정부기관, 사이버 방어대회가 “무서워”

서상기 의원, 상반기중 8개 기관으로 확대 실시 계획

“정부기관의 사이버 보안에 대한 체질개선 시킬 것”

<한나라당 서상기 의원이 "올해 상반기에 8개 정부기관으로 대상을 확대, 모의 해킹을 실시해 사이버 보안의 체질을 개선해 나가겠"고 말하고 있다. ⓒ보안뉴스(사진 장성협 기자)

국회 내에서 연구회를 조직하기 위해서는 12명 이상의 의원이 정회원으로 참여해야 하고 정회원들은 3개 이상의 당으로 구성돼야 승인이 된다고 한다. 현재 국회 ‘디지털 포럼’은 16명의 의원들이 정회원으로 활동하고 있으며, 정부기관의 IT 관련 문제점들에 대해 지적하고 올바른 개선방향을 제시하는 역할을 해오고 있다.

서상기 의원(한나라당, 과학기술정보통신위원회 소속)은 지난해 디지털 포럼을 조직하고 활발한 활동을 하고 있으며, 지난해 말 국가공공기관을 대상으로 모의 해킹훈련을 실시해 기관들의 사이버 보안에 대한 경각심을 일깨우는 등 각급 기관 IT 보안담당자들에게는 경계대상 1호로 알려져 있을 정도다.

서상기 의원은 <보안뉴스>와의 인터뷰에서 “21세기 디지털 시대의 신성장 동력으로서 디지털 산업을 육성하고, 올바른 디지털 문화를 정립하기 위해 법제도 개선 방향과 정책 대안을 연구해 디지털 강국을 실현하는데 기여하기 위해 디지털 포럼을 조직했다”고 밝혔다.

디지털 포럼의 주요 업무 내용을 살펴보면, 우선 국가 주요 정보보호를 위한 각종 법제화 시도, 국가공공기관 대상 모의 해킹훈련을 통해 보안경각심 고취와 사이버 안전실태를 파악하는 역할을 담당하고 있다. 또, 비즈니스 환경에서 혁신과 노력을 통해 성과를 얻고 있는 기업을 발굴해 ‘대한민국 디지털 경영혁신 대상’을 수여하고 있고, 디지털 산업 육성을 위한 각종 IT 세미나를 개최해 국산 소프트웨어 사용과 한글정보화사업 등 활성화에 기여하고 있다.

지난해 실시한 모의 해킹 결과에 대해 서의원은 “사이버 방어대회에 참여한 37개 기관 중 정부 및 산하기관 할 것 없이 15개나 되는 기관의 취약점이 발견됐다”며, “이는 정부 및 산하기관의 보안의식 등의 문제도 있겠지만, 정보보호 예산이 미미하고 전담조직이 부족하거나 전무하기 때문”이라고 강조했다.

서의원 말에 따르면, 올해 우리나라 정보화 예산중 정보보호 예산은 4.6% 760억원으로 추정되며, 이는 미국 등 선진국의 8%에 비해 턱없이 부족한 상황이라고 한다.

서의원은 또 “이번 점검은 단순침투로 정보유출이나 자료의 위ㆍ변조 및 삭제 등은 포함되지 않은 모의 사이버 방어훈련이었다”며, “공공기관의 정보보호 실태와 수준을 파악하고 정책을 세우는 자료로 활용할 것”이라고 밝혔다.

한편, 서의원은 국내 정보보호의 현실에 대해서도 날카로운 지적을 아끼지 않았다. 그는 “국가간 정보전이 본격화되고 각국간 정보수집을 위한 해킹이 자행되고 있는 상황이다. 이에 컴퓨터바이러스 유포, 개인정보의 침해 등 정보화 역기능 문제가 심각한 사회문제로 대두되고 있다”며, “특히, 최근 정보화에 따른 각종 스팸메일이나 타인의 주민등록 도용으로 인한 피해는 개인뿐 아니라 사회ㆍ경제적으로 파급될 수 있으며, 우리의 생명과 재산까지도 위협할 수 있을 것으로 우려된다”고 말했다.

덧붙여 그는 “국민이 바라는 유비쿼터스 사회 실현은 완벽하고 보다 안전한 사이버 정보보안을 구현해 안락하고 편안한 디지털 세상의 밝은 미래를 그려나가야 한다”고 강조했다.

올해 디지털 포럼은 제4차 사이버 방어대회를 상반기 중 실시할 계획이다. 이번에는 대상기관을 확대해 통일ㆍ외교ㆍ국방ㆍ산자ㆍ건교ㆍ과기ㆍ정통ㆍ국회사무처 등 8개 기관을 대상으로 광범위한 점검을 한다는 계획을 세워두고 있다. 정부기관의 느슨한 사이버 보안에 대한 체질을 개선하겠다는 의지로 보여진다. 이에 대상기관들은 벌써부터 방어대회 후폭풍을 걱정하며 초긴장상태에 놓여있다고 관계자는 전했다.

<사이버방어대회 결과에 따른 9가지 보안권고 시정사항>

1. 해킹에 자주 악용되는 파일 업로드, XSS 취약점 등은 보완조치 할 것.

2. 인증에 필요한 사용자 ID, 패스워드 등 사용자 개인정보는 암호화 저장할 것.

3. 시스템 개발과정에서 생산된 시험파일(시험 데이터, 프로그램 소스) 등은 개발완료시 즉시

삭제토록 할 것.

4. 중요자료 취급기관은 인터넷과 내부망을 물리적으로 분리 운영할 것.

5. 패스워드 8자리 이상 주기적으로 변경 사용하도록 할 것.

6. 홈페이지 구축 등 웹 프로그램 개발단계에서 보안취약점을 검사 실시하도록 할 것.

7. 전산망 신증설시 국가정보원에 보안성검토 실시 및 승인된 정보보호제품을 사용할 것.

8. 온라인 민원 등 중요 시스템 운영시 국가정보원에 전산망 안전측정 요청을 할 것.

9. 해킹ㆍ웜바이러스 등 이상 트래픽 탐지시 국가사이버안전센터에 즉시 신고할 것.

[길민권 기자(reporter21@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)