뚫릴 때마다 “정보보호 올인” 외치더니 또… 정보보안의 암담한 현주소
지난 20일 외부 공격에 의해 국내 주요 방송사와 일부 금융기관의 전산망이 일제히 마비되면서 ‘3·20 대란’이 우리나라 정보 보안 능력의 현주소를 그대로 보여줬다는 냉정한 평가가 나오고 있다. 특정 세력이 불순한 의도를 갖고 대대적인 공격에 나설 경우 청와대를 비롯한 정부기관과 철도 등 기간시설 전산망도 절대 안전하지 않다는 것이 다시 한번 입증됐다. 2003년 ‘1·25 대란’ 때부터 정부와 기업들은 사고 당시에는 “정보 보호를 최우선시하겠다”며 대책 마련에 나섰지만, 10년 넘게 지난 지금까지도 여전히 허점이 많다는 지적이 나온다.
21일 서울 송파구 중대로 한국인터넷진흥원에서 직원들이 해킹의 원인과 추가 피해 가능성을 점검하기 위해 분주히 움직이고 있다.
특히 전 세계의 거의 모든 PC들이 초고속 인터넷으로 연결되면서 이번처럼 중국 등을 경유해 노트북 한 대로 한국의 금융기관 등을 공격할 수 있는 시대가 됐다. 정보 당국이 어렵사리 용의자를 찾아내도 금세 자취를 감춰 버린다.
김홍선(53) 안랩 대표는 “전 세계 해커집단이 ‘공격 1순위’로 삼는 구글이나 아마존, 페이스북과 같은 업체들이 건재한 것도 이런 이유”라면서 “보안 업체가 서버와 PC 등에 제공하는 보안 패치를 꾸준히 업데이트하고 비밀번호를 수시로 바꿔 주는 등 최소한의 조치만 해도 쉽게 공격당하지 않는다”고 말했다.
이 때문에 국내 금융 전산망과 방송국 서버들이 뚫린 것을 두고 보안의식 부재를 성토하는 의견이 쏟아지고 있다. 2003년 대란 이후 10년이 지났지만 달라진 게 별로 없다는 것이다. 특히 금융 거래망은 창구 거래를 위한 영업점 단말기는 물론 현금자동입출금기(CD·ATM)와 인터넷뱅킹 등 금융 거래 전부가 연결돼 하루 226조원이 거래되는 한국 경제의 ‘핏줄’이다.
악성코드를 통한 해킹으로 여러 은행이 공동으로 공격당할 수 있다는 점은 지난해부터 경고됐지만 이번에도 은행들은 눈 뜨고 당했다. 어떤 공격에도 견뎌내야 하는 네트워트여서 이번 사태가 더욱 뼈아프다.
현재 금융 당국은 금융회사의 정보 보호 예산 비중을 전체 정보기술(IT) 예산의 5% 이상으로 유지하는 ‘5%룰’을 권하지만 이를 지키는 업체는 많지 않다. 보안 관련 업무를 최고경영자(CEO) 직속에 두고 직접 챙겨야 한다는 지적도 끊이지 않지만 실제로 이를 실천한 곳은 현대캐피탈 등 일부에 불과하다.
2011년 4월 이후 2년 만에 또다시 전산망 마비 사태를 빚어 망신을 산 농협은 지금도 서버 관리를 외주 직원에게 맡기고 있다. ‘소 잃고도 외양간 고칠’ 생각조차 없어 보인다.
정부의 대응 능력 미숙도 아쉬운 대목이다.
정부는 2003년 1·25 대란 이후 인터넷 이상 징후를 모니터링하고 대응할 수 있는 ‘인터넷침해대응센터’(KISC)를 설립해 모니터링 체계를 구축했고 정보통신망법도 개정했다. 2009년 ‘7·7 대란’ 이후에는 ‘국가 사이버 안전체제’가 구축돼 한국인터넷진흥원(KISA)을 중심으로 방송통신위원회, 국가정보원, 국방부 등 정부 기관과 백신·이동통신업체 등 민간 사업자들을 실시간으로 연결해 주는 시스템도 갖춰졌다.
그럼에도 3·20 대란과 같은 비상사태에 신속하고 주도적으로 대응할 ‘컨트롤타워’가 없다는 게 약점으로 지적된다. 이명박 정부가 들어서면서 정보통신부를 해체한 게 영향이 컸다.
여기에 올해 정부의 정보보호 예산은 2400억원으로 지난해 2633억원보다 10% 가까이 줄었다. 행정안전부와 방송통신위원회가 이 예산 가운데 1000억원 이상을 쓰는 점을 감안하면 나머지 부처들은 그야말로 ‘면피성’ 수준에 머물고 있다.
특히 일관성 없이 짝수 해에는 예산을 크게 늘렸다 홀수 해에는 다시 줄이는 ‘갈짓자’ 행보를 반복해 비판받고 있다. 2009년(7·7 대란)과 2011년(3·4 대란)에 사이버 대란이 발생하자 여론을 의식해 다음 해 예산을 크게 늘리지만 이듬해 별 문제가 없으면 곧바로 예산을 줄이는 행태가 반복되고 있다.
류지영 기자 superryu@seoul.co.kr
2013-03-22 8면
