공공기관 보안센터 구축, 미룰 일이 아니다

김순석 한국수자원공사 정보통신팀장 인터뷰

“사이버 위협 사전 예방이 가장 중요”

공공기관 사이버 침해가 심각한 수준에 올라있는 가운데 최근 한 기관이 대대적인 예산을 투입해 사이버보안 관제센터를 구축, 공공기관 보안강화에 새로운 모델로 자리 잡을 것으로 보인다.

한국수자원공사(이하 K-water)가 지난해 12월 사이버보안센터를 구축하고 본격적인 운영체제에 들어갔다. K-water의 이번 센터 구축은 논란이 되고 있는 공공기관 사이버 침해에 대한 인식 변화를 예고해 벌써부터 여러 기관에서 벤치마킹을 위한 문의가 쇄도하고 있다.

김순석 K-water 정보통신팀장은 “많은 공공기관이 무인 자동화 시스템으로 전환하는 시점에서 물리적 보안보다 사이버 보안이 더 중요하다는 것을 인식 할 때”라며 “이에 따라 공사는 보다 안전하고 체계적인 관리를 위해 보안관제 시스템을 구축했다”고 말했다.

▲K-water가 공공기관에서는 이례적으로 사이버보안관제센터(CSC)를 구축했다.

우리공사는 사무자동화(OA망)와 설비운영자동화(FA망)가 조기에 완료돼 많은 정보시스템이 운영되고 있어서 그동안 정보보안에 많은 관심을 가져왔다. 또 사업장이 전국에 산재돼 있어 개별적 보호와 관제가 어렵기 때문에 보안센터를 구축, 통합관제를 실시하는 것이 효과적이라고 판단했다.

특히 지난 2003년 10월 보안관제시스템 구축 계획 수립을 시작으로 ‘04년 경영정보망(OA), ’05년 로그분석시스템, 발전통합망 보안관제시스템(ESM) 등이 구축됐지만 각 시스템이 처실별로 운영되는 까닭에 정보보안에 어려움이 많았다.

이에 따라 시스템통합관제와 정보보안 강화를 위해 2005년부터 30여억 원을 투자, 경영정보망, 수도통합망, 댐·발전 통합망 등 단위 보안관제시스템을 중앙 집중화하고 시스템별 정보를 유기적으로 수집·종합할 수 있는 사이버보안센터(Cyber Security Center)를 지난해 12월 구축을 완료 했다.

▲사이버 위협이 우리나라뿐만 아니라 세계적으로 큰 문제가 되고 있는데 공공기관은 어떻게 대응해야 하나

우리나라의 경우 해커들의 사이버공격 경유지로 가장 많이 활용돼 IT 강국이라는 위상에 맞지 않게 사이버 취약점이 드러나고 있다. 지난해 국가정보보호백서에 의하면 2006년 공공분야 사이버 침해사고 발생건수가 4200여 건으로 집계돼 사이버테러의 위험 증가에 대한 대처방안 마련이 시급한 실정이다.

과거에는 사이버 위협을 이벤트성으로 간주, 인력이나 예산에 대한 투자가 이루어 지지 않았다. 특히 공공기관의 경우 사업에 대한 투자에 급급해 기관 내부 정보보호에 소홀했던 것도 사실이다. 그러나 이제는 내부정보유출방지와 개인정보보호 중요성에 대한 인식과 과감한 투자가 필요할 때이다.

정보보호시스템 도입을 위해서는 정보화예산 대비 4%이상 예산과 정보보안 전담인력(3~5명) 확보가 돼야 한다. 또 우리나라 정보보안을 총괄하고 있는 국정원, 한국정보보호진흥원 등과 업무협력·기술공유로 국가 전체 기관이 유기적으로 상호 공조체계를 유지해야 중국 등 타 국가의 사이버 위협으로부터 안전하게 대응할 수 있을 것으로 본다.

▲대부분의 공공기관이나 기업이 보안에 대한 적극적인 예산을 투자하고 있지 않은 시점에서 보안의 중요성을 강조한다면?

우리가 정보보안 즉 사이버보안을 강조하는 이유는 현재 우리사회가 정보화 사회로 접어들었기 때문이다. 그런데 정보화 사회의 발전은 우리에게 여러 가지 편리를 제공하지만 한편으론 심각한 문제점을 보이기도 한다.

컴퓨터나 통신매체의 극히 일부분 사고로 사회전체 기능이 마비될 수 있고 해커(hacker)나 위저드(wizard) 등 컴퓨터 범죄자에 의한 데이터·소프트웨어 파괴 등은 정보화 사회의 또 다른 불안의 씨앗으로 자라고 있다.

대부분 공공기관이나 기업에서 보안에 대한 적극적인 예산을 투자하지 않는 것은 아직 보안에 대한 심각성과 경각심이 부족하기 때문이다. ‘문제시 되지 않는 다면 없어도 그만’이라는 생각에 젖어 위험한 미래보다 안일한 과거를 현실로 받아들이기 일쑤다. 사이버 위협으로부터의 해방은 과감한 투자와 체계적인 보안시스템 도입 일 것이다.

▲김 팀장님이 평소 생각하는 보안에 대한 철학이나 앞으로의 보안 발전 가능성을 본다면?

보안성이 없는 정보화 사회는 사상누각(砂上樓閣)이다. 보안을 강조하다보면 틀림없이 통제와 불편함이 뒤따를 것이다. 이는 아직까지 보안이 생활화 돼 있지 않기 때문일 것이다. 과거처럼 기관별이 아닌 기관간의 유기적인 협업을 통해 최신 보안정보와 기술공유를 해야 한다.

보안은 만의 하나를 위해 존재한다. ‘언제, 어디서나, 무엇이나, 누구나’ 사용할 수 있는 유비쿼터스 네트워크 사회를 만들기 위해서 보안 확보나 프라이버시 보호 등에 철저히 유의하면서 실현해 나가야 할 것이다.

[배군득 기자(boan3@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)