“사이버 공격의 최근 변화는 국가기밀 절취 목적의 해킹이 급증한다는 것이다. 중국 등 해외로부터 특정기관 및 특정인을 대상으로 조직적이고 치밀한 해킹이 이루어지고 있다. 이제는 1·25 대란과 같은 물리적 혼란이 문제가 아니다.”(국가사이버안전센터 관계자)
“최근 이상 트래픽을 분석해보면 중국에 이어 브라질 등 남미 쪽의 접근 시도가 늘고 있다.”(한국과학기술기획평가원 정보분석팀장)
내로라하는 보안 전문가들은 국가 차원의 정보전, 다시 말해 사이버전은 ‘이미 시작됐고, 진행 중’이라고 입을 모은다. 군의문사진상규명위원회 해킹 사건 역시 해외 IP망을 경유한 해외 해커의 소행 가능성이 높은 것으로 밝혀졌다.
그렇다면 세계 전자정부에서 앞서 있음을 자타가 공인하는 우리나라의 사이버전 대응 수준은 어느 정도일까. NCSC 조사에 따르면 국내 80개 공공기관 중 80%, 44만개 민간기업의 95.3%가 보안 관련 전담조직이 없다. 있더라도 권한은 매우 미약하거나 유명무실해 실제로 침해사고가 발생해 긴급 보안조치를 통보해도 후속조치를 이행하기 어려운 실정이다. ‘사람·조직·정책·예산’ 어느 면에서도 사이버 보안에 대한 긴장감을 찾을 수 없고, 사실상 ‘낙제점’이라 해도 과언이 아니라는 평가다.
전문가들이 지적하는 사이버전 대처 방안은 일단 사람에서 출발한다. 지난해 1월 만들어진 국정원 ‘국가정보망 기본지침’ 보안업무 규정에 따르면 공공 및 정부기관은 모두 보안담당자를 두게 돼 있다. 그러나 이는 요식행위에 그치고 있다. 이런 이유로 전문가들은 정부기관은 물론이고 공공기관, 일정한 기준 이상의 민간기업은 고위급 보안담당임원(CSO:Chief Security Officer)직을 설치해야 한다는 데 한목소리를 내고 있다.
국내 S사의 경우 현직 CSO 임원은 94년 회사가 처음 만든 보안팀장에서 시작, 현재는 전사 보안 전략을 총괄하고 있다. 이 기업이 국내 어느 기업보다 일관된 보안 정책을 갖추고 있다는 평가를 받을 만한 하나의 근거이기도 하다. 다른 예지만 과학기술부 산하 한국과학기술기획평가원은 소규모 산하기관임에도 불구하고 보안 업무에 대한 기관장의 의지가 돋보인다. CSO급은 아니나 해커 출신 및 10년 이상 된 보안 전문인력을 채용, 보안 관련 정책 수립 및 이상 트래픽 분석 등 전담 업무만을 맡기고 있다. 평가원 직원들은 보안정책에 따라 매월 아이디·패스워드를 교체해야 하는 것은 물론이고 가상사설망(VPN) 없이 사용하던 외부에서 내부망 접속 권한도 없앴다. 정부 부처보다 보안지침이 강하다는 얘기다.
일부에서는 대통령 직속 ‘(가칭)사이버안전보좌관제’ 설치를 제안한다. 결국 국가 사이버안보에 대한 출발은 대통령의 강력한 의지가 우선돼야 한다는 의미다. 이와 동시에 대통령 훈령으로 존재하는 현행 ‘사이버안전관리규정’과 정보통신기반보호법 등 서로 다른 체계의 보안 관련 법령을 단일한 체계로 정비하는 것도 검토해볼 만하다는 견해다.
특히 정부통합전산센터의 경우 ‘통합’에 따른 보안 강화는 물론이고 각 부처의 시스템 운용과 센터 운영이라는 과도기적 조건을 고려한 강력한 보안정책이 수립돼야 한다. 이를 위해 적절한 권한을 행사할 수 있는 센터 직급의 상향 조정 그리고 ‘CSO’ 직제를 우선 만들어 보안 전체를 관장하도록 해야 한다.
이 밖에 주요 기관별로 업무망과 인터넷망을 분리하고(1인 PC 2대 사용 및 인터넷 전용 PC 별도 설치 등) IT프로젝트에서 보안 관련 사안을 별도로 심사하거나 예산 반영을 의무로 하는 등 강력한 조치가 수반돼야 한다는 견해다.
<탐사기획팀>
