주요 은행과 방송사 네트워크를 마비시킨 2013년 3·20 사이버 테러를 비롯해 올해 초 수천만 건에 달하는 사상 최대 규모의 개인정보가 유출된 신용카드사 사고 등을 연이어 겪으며 정보보호 강화에 대한 국민 요구가 빗발치고 있다.
대부분의 사이버 공격은 인터넷에 연결된 PC의 취약점에서 시작된다. 네트워크는 이미 방화벽과 침입탐지시스템(IPS) 등으로 막혀 있어 해커가 내부망으로 접근하기 쉽지 않다. 이 때문에 해커는 상대적으로 보안이 취약한 PC를 주공격 대상으로 삼고 있다. 기관이나 기업 PC의 약점을 파고들어 전체 네트워크를 장악하는 수법을 주로 사용한다. 이 같은 해킹 수법이 일반화되자 방어책의 일환으로 떠오른 방법이 ‘망분리’다.
정부기관과 주요 공공기관은 사이버 공격에 의한 정보유출 등을 막기 위해 일찌감치 업무와 인터넷망 분리를 추진했다.
◇왜 망분리인가
업무망과 인터넷망을 분리하면 외부에서 들어오는 침입 경로를 차단하는 효과를 본다. 해커가 내부에 들어오더라도 중요한 정보는 인터넷과 분리된 업무망에 위치한다. 각종 개인정보를 비롯해 주요 자료유출 피해를 최소화할 수 있다.
업무망과 인터넷망은 물리적으로 완전히 따로 구성하는 방법과 논리적으로 나누는 형태로 구분된다. 물리적 망분리란 통신망과 장비 등을 물리적으로 이원화해 내부 업무망과 외부 인터넷망의 접근 경로를 단절하는 방법이다. 물리적 망분리는 보안성은 높지만 PC를 두 대 사용하고 도입 비용이 높다. 또 PC를 두 대 쓰다 보니 업무 효율성이 떨어진다는 지적이다.
논리적 망분리는 물리적으로 하나의 통신망과 장비는 사용하지만 가상화나 접근차단 등 방법을 이용해 업무와 외부 인터넷방이 서로 접근할 수 없게 구성하는 방법이다. 논리적 망분리는 물리적 망분리보다 보안성은 낮다. 취약점이 발생할 가능성이 높다. 하지만 관리가 편리하고 물리적 방법보다 비용이 절감된다.
◇망분리는 선택 아닌 필수
망분리는 새로 나온 개념이 아니다. 1세대 망분리는 주로 물리적 형태였다. 2007년 국정원은 국가기관 업무 전산망을 분리했다. 2010년 국가기관에 논리적 망분리 시범 사업이 시작된 시점을 2세대로 본다. 논리적 망분리가 확산하기 시작했다. 2012년 금융기관과 민간 기업 논리 망분리 사업이 진행됐다.
정부는 2012년 8월 17일에 ‘정보통신망 이용촉진 및 정보보호 등에 관한 법률 시행령’에 개인정보처리시스템에 접근하는 컴퓨터 등을 외부 인터넷망과 차단하는 조항을 신설했다. 이 조항은 지난해 2월 18일 시행됐다. 망분리 의무화는 직전연도 말 3개월 동안 일일 평균 100만명 이상 이용자가 개인정보를 보유하거나 전년도 정보통신 분야 매출액이 100억원 이상인 정보통신서비스제공자가 대상이다.
3·20 사이버테러로 금융감독원은 2013년 7월 11일 ‘금융전산 보안 강화 종합대책’을 발표했다. 이후 같은 해 9월 발표한 ‘망분리 가이드라인’에 따르면 올해 말까지 전산센터에 대해 내부 업무망과 외부 인터넷망을 원천적으로 차단하는 물리적 망분리를 의무화했다. 본점이나 영업점은 단계적으로 추진하도록 한다.
◇업무 효율성은 망연계로
보안성 향상을 위해 망분리를 했지만 문제는 업무 효율성. 제일 먼저 망분리를 도입한 공공기관 담당자들은 업무수행에 어려움을 토로한다. 분리된 망 간 자료 교환을 위해 보안USB 등을 이용했지만 분실해 자료가 유출되는 또 다른 문제를 야기했다. 이를 해결하는 기술이 망연계다.
망연계시스템은 분리된 망 간에 보안성이 담보된 통신체계를 쓴다. 자료 외부 반출시 반드시 승인 절차가 필요하다. 외부망에서 들어오는 침입으로부터 내부망을 보호하고 중요 자료 외부 유출을 방지해 업무 편의성은 높이면서도 보안성을 강화한다.
금융위원회는 망분리에 따른 업무 불편 해소를 위해 망연계를 허용했다. 인터넷망과 업무망에 중계서버 등을 이용해 파일을 송수신하는 장치다.
김승주 고려대 교수는 “기업환경에 맞게 정책을 수립해 망분리를 해야 본래 목적을 달성할 수 있다”며 “업무망과 인터넷망의 획일적인 분리가 아니라 자산 등급에 따라 탄력적으로 수행해야 한다”고 말했다.
<망분리 비교 자료:한국인터넷진흥원>
김인순기자 insoon@etnews.com
