매년 점검했는데 해킹은 계속…정부, 통신3사 '보안 사각지대' 뒤진다

[경제일보] 잇단 해킹과 개인정보 유출에 정부가 통신·인터넷데이터센터(IDC) 등 민간 핵심시설 170여곳의 보안 점검에 나선다. 초점은 외부 인터넷에 연결된 서버와 웹페이지다. 관리기관이 존재와 운영 상태를 제대로 파악하지 못한 시스템이 공격 통로로 악용될 가능성을 확인하겠다는 취지다.

28일 정부 당국에 따르면 과학기술정보통신부는 주요정보통신기반시설을 관리하는 민간 111개 기관을 대상으로 취약점 점검을 추진한다. 대상 시설은 약 172개로, SK텔레콤·KT·LG유플러스의 유무선 통신 서비스와 IDC 관련 시스템 등이 포함된다.

주요정보통신기반시설은 침해 사고가 국가안보와 경제·사회에 중대한 영향을 줄 수 있어 정보통신기반보호법에 따라 지정·관리하는 시스템이다. 이번 조치는 대통령이 국가 핵심 시스템의 보안체계 점검과 보완을 주문한 데 따른 것이다.

점검의 중심은 ‘인터넷 접점 자산’이다. 외부에서 접속할 수 있는 서버와 웹페이지 등 공격자가 접근 가능한 지점을 뜻한다. 정부는 최근 금융권 사고에서 관리가 미흡했던 외부 노출 자산이 침해 경로로 악용됐을 가능성을 고려해 공격표면을 집중 확인할 방침이다.

과기정통부는 이달 말까지 관리기관의 점검 동의서와 대상 현황, 자체 점검 체크리스트 등을 취합한다. 이후 자체 점검 결과 확인과 관리 실태 점검을 병행해 이르면 11월, 늦어도 연내 마무리한다는 계획이다. 이는 점검 일정으로, 모든 취약점의 보완이 같은 시점에 끝난다는 의미는 아니다.

기반시설 관리기관에는 기존에도 정기적인 취약점 분석·평가와 보호대책 수립 의무가 있었다. 이번에는 정기 점검에 더해 금융권 사고 원인을 반영한 체크리스트로 외부 접속 지점의 관리 상태를 살핀다.
 
인터넷 접점 점검 자체가 처음은 아니다. 한국인터넷진흥원(KISA)은 지난해 9월 정보보호최고책임자(CISO) 신고기업 대상 긴급 점검에서도 전사 IT 자산 실사, 인터넷 접점 식별, 취약점 점검과 백업전환 훈련을 안내했다. 이번에는 앞선 조치 이후 자산 목록이 실제 운영 환경을 얼마나 반영하는지도 확인할 필요가 있다.

관리 사각지대는 서버의 존재를 아는 것만으로 해소되지 않는다. 임시 테스트 페이지나 외주업체가 운영하는 시스템의 담당자·접속권한·보안 업데이트 책임이 불분명하면 취약점 조치도 늦어질 수 있다. 자산별 관리 주체와 보완 기한까지 연결해 점검해야 하는 이유다.

한편 외부 노출 여부와 침해 여부도 구분해야 한다. 접근을 차단하거나 패치를 적용했더라도 이전에 정보가 유출됐는지는 별도로 확인해야 한다. KISA도 최근 PHP 취약점 대응 수칙에서 업데이트와 함께 로그 점검, 노출 서버의 주요 인증정보 교체를 권고했다. 이번 점검이 PHP 취약점만을 대상으로 하는 것은 아니다.

점검 성과를 가를 것은 제출된 체크리스트 수보다 실제 줄어든 위험이다. 새로 찾은 미관리 자산이 무엇인지, 중대한 취약점을 언제 보완했는지, 조치 뒤 외부 접근이 차단됐는지를 재확인해야 한다. 연말 일제 점검 이후에도 시스템 신설·변경 때 관리 목록과 보안 설정을 함께 갱신하는 체계가 뒷받침돼야 한다.