성남학교폭력변호사 3년 전 정부 “전산망 한꺼번에 소실돼도 3시간 내 복구”…호언장담, 왜 ‘허언’ 돼버렸나 > 견적문의

성남학교폭력변호사 3년 전 정부 “전산망 한꺼번에 소실돼도 3시간 내 복구”…호언장담, 왜 ‘허언’ 돼버렸나

작성일 25-10-02 04:32

페이지 정보

작성자 또또링2 조회 5회 댓글 0건

본문

회사명 :

이름 : 또또링2

연락처 :

이메일 : bvcjbkjh8678ds@naver.com

볼트 또는 시공주소 :

성남학교폭력변호사 ‘동시 운영형’ 시스템 안 갖추고데이터 백업에 초점 맞춰 대비
“국가정보자원관리원 대전센터가 화재나 지진 등으로 한꺼번에 소실될 경우 실시간 백업된 자료로 3시간 이내 복구할 수 있도록 구축되어 있다는 말씀을 드립니다.”(2022년 10월19일 강동석 전 행정안전부 국가정보자원관리원장·사진)
3년 전의 호언장담이 무색해졌다. 국정자원의 전산망은 왜 맥없이 마비됐을까. 통신업계 안팎에서는 ‘이중화’ 미비를 주원인으로 지적한다. 정부가 발표했던 것과 달리 재난복구(DR) 시스템을 제대로 갖춰놓지 않았기 때문이다.
전산시스템의 ‘이중화’ 혹은 ‘이원화’란 유사사태를 대비해 물리적으로 분리된 곳에 똑같은 시스템을 구축해놓는 것을 말한다. 전산시스템이 완전히 망가지더라도 ‘쌍둥이’ 예비 시스템으로 전환돼 서비스의 연속성을 담보할 수 있다. 2022년 카카오 데이터센터 화재로 발생한 ‘카카오톡 먹통’ 사태 역시 이중화 대비 부재가 원인이었다. 국회는 이후 네이버·카카오 등 주요 플랫폼의 데이터센터에 법적으로 이중화 의무를 부과했다.
정작 정부전산망 이중화는 미진하다는 사실이 이번 사태로 드러났다. 국정자원은 전날 “재난복구 시스템이 구축돼 있지만 최소한의 규모로 돼 있고, 스토리지나 데이터 백업 형태로만 돼 있는 것도 있다”고 밝혔다. 서비스가 중단되지 않고 이어지는 이중화를 위해서는 동일한 클라우드 환경도 함께 준비해두는 ‘동시 운영형’(액티브-액티브) 재난복구 시스템이 갖춰져야 한다. 하지만 정부는 ‘데이터 백업’에만 초점을 맞춰 대비해온 것이다.
국정자원은 ‘동시 운영형’ 재난복구 시스템 구축은 막 첫발을 뗀 상태였다고 밝혔다. 이재용 국가정보자원관리원장은 “(과거 2023년) 행정전산 장애 이후에 ‘액티브 스탠바이’ 형태의 재해복구 시스템이 아니라 ‘액티브-액티브’ 형식의 재해복구 시스템을 개발하기로 하고 지난해 컨설팅에 이어 올해 시범사업을 하고 있다”고 말했다. 3년 전 정부는 ‘동시 운영형’ 재난복구 시스템도 갖추지 않은 채로 “3시간 이내 복구”를 공언한 셈이다.
김형중 호서대 석좌교수는 “2023년 행정전산망 장애 당시 더 심각한 일이 발생할 것을 염두에 두고 대응해야 한다는 지적이 나왔다”면서 “이번 사태는 국가전산망 관리가 우선순위에서 밀리는 현실을 보여줬다”고 말했다. 2023년 행정전산망 장애는 네트워크 장비 불량 등의 문제로 ‘정부24’ 등이 사흘간 먹통이 됐던 사태를 말한다. 당시에도 ‘동시 운영형’ 재해복구 시스템 구축이 대책으로 꼽혔다.
환경부가 지난해 7월부터 ‘기후대응댐’ 명목으로 추진한 14개 댐 중 7개의 건설을 중단하기로 결정하면서 처음부터 무리한 계획을 졸속으로 추진했다는 비판을 피하기 어렵게 됐다. 댐 건설, 4대강 사업 등 오랜 기간이 소요되고 지역에 미치는 영향이 큰 물 관리 정책이 정권에 따라 180도 바뀌는 일이 반복되면서 지역에 혼란을 부추긴다는 우려도 제기된다.
환경부는 30일 7개 댐 건설 중단을 발표하면서 지난해부터 추진해온 정책의 문제점을 ‘셀프 지적’하는 내용을 함께 발표했다. 4조7000억원을 들여 14개 댐을 다 지어도 용량이 소양강댐의 11% 수준에 그칠 정도로 효과가 크지 않은데도 정책을 강행했다는 것이다.
환경부는 “전 정부는 기후위기에 따른 극한 홍수와 가뭄에 대비하기에는 부족한 규모가 작은 여러 개의 댐을 계획한 것으로 확인됐다”며 “14개 댐의 용량을 다 합쳐도 소양강댐(29억㎥)의 11% 수준인 총 3억2000만㎥에 불과했다”고 밝혔다. 이어 “하천정비 등 타 대안보다 댐을 우선으로 계획한 곳도 있었다”며 “일부는 과거 주민 반대로 철회됐음에도 무리하게 재추진했다. 댐 계획 발표 이후에야 주민설명회를 하는 등 주민 동의 없이 일방적으로 (건설을) 추진해 지역사회 반발을 초래했다”고도 했다.
지난해 7월30일 김완섭 당시 환경부 장관은 기후변화로 일상화된 극한 홍수를 대비하겠다며 ‘기후대응댐’ 건설 후보지 14곳을 발표했다. 이후 댐 건설 후보지는 빼고 더해지기를 반복했다. 지난해 10월 환경부는 주민 반대가 극심한 강원 양구군, 충북 단양군, 충남 청양군, 전남 화순군 4곳을 최종 후보지에서 제외한다고 밝혔다. 환경부는 나머지 10곳을 최종 후보지로 선정하고 제외된 4곳은 임시 후보지격인 ‘후보지(안)’으로 남겨 주민 설득 과정을 거치겠다고 밝혔다.
12·3 비상계엄 사태 이후 환경부는 “(기후대응댐을) 공감대 없이 강제로 진행하지 않겠다”면서도 10곳 후보지에 대한 공청회를 강행했다. 지난 1월에는 주요 정책 추진계획에서 기후대응댐 후보지를 확정하고 타당성 조사 등 댐 건설을 위한 제반 절차를 진행할 예정이라고 밝혔다. 이어 3월에는 10곳 중 순천 옥천을 제외한 9곳의 신규댐 건설을 확정하겠다고 발표했다. 환경부는 이 9곳에 청양 지천댐을 더해 총 10곳에 대한 기본구상 용역을 진행했다.
그러나 “홍수와 가뭄에 도움이 안 되고 주민이 원치 않는 신규댐 설치는 추진을 폐기한다”는 공약을 내건 이재명 대통령이 지난 6월 취임하면서 댐 건설 추진은 본격적인 재검토에 들어갔다. 그리고 김성환 환경부 장관이 지난 9일 “불필요한 곳은 사유를 충분히 설명해 중단하고, 필요한 곳은 기본적인 용역 등을 거쳐 진행하겠다. 대략 반반 정도 될 것 같다”고 말한 지 3주만에 구체 계획이 나왔다.
약 1년 만에 정책이 뒤집히면서 ‘기후대응댐’, 4대강 사업 등 정부의 물 정책 방향이 정치적으로만 결정된다는 비판도 받는다. 안숙희 환경운동연합 정책변화팀장은 “댐 사업은 국가적 사업이고 막대한 예산을 써서 굉장히 긴 기간 동안 하는 사업임에도 이를 정치적으로 활용하고 있다는 생각이 들 수 있다”며 “찬성 주민과 반대 주민은 계속 갈등을 또 겪고 일대에 부동산 가격이 흔들리는 등 지역에서 굉장히 혼선을 가지고 오고 있다”고 말했다.
정부의 공론화 과정에 대한 불신도 감지된다. 청양부여 지천댐·김천 감천댐·연천 아미천댐·의령 가례천댐·거제 고현천댐·울산 회야강댐·강진 병영천댐 등 7곳은 대안 검토와 공론화를 다시 거쳐야 한다. 백경오 한경국립대 토목공학과 교수는 “(댐 건설) 찬성 측만 있는 협의체를 운영하면서 일반적인 공론화 절차를 거친다면 이전 정부와 차이가 없을 것”이라며 “나머지 7곳에 대해서는 댐 건설이 이뤄질 가능성이 높아졌다고 본다”고 말했다. 김명숙 청양 지천댐반대대책위원회 공동대책위원장도 “최종 건설 후보지가 아닌 곳에서도 절차가 계속됐는데 이전 정부와 뭐가 달라졌나”라며 “공론화라는 것도 기울어진 운동장”이라고 말했다.
지난 7월15일 KT는“5년간 정보보호 분야에 1조원 이상을 투자하겠다”고 발표했다. 대규모 해킹 사태를 겪은 SK텔레콤이 ‘정보보호 7000억원 투자’를 선언한 지 약 열흘 만이었다. 당시 KT는 “보안은 기술 문제가 아니라 기업 신뢰의 핵심 가치”라고 강조했다.
그러나 한 달여 만에 KT 무단 소액결제 사태가 발생하면서 약속은 무색해졌다. 의혹을 부인하다 뒤늦게 말을 바꾸는 대응은 신뢰를 더욱 갉아먹었다.
KT만의 문제가 아니다. 사이버 침해사고 때마다 기업들은 ‘축소·부인 뒤 정정’으로 이어지는 늑장 대응을 반복하면서 보안 체계 전반의 부실을 드러냈다. 잇따른 사고는 정부의 관리·감독 체계에도 의문을 던졌다. 땜질식 처방을 넘어 근본적인 보안 거버넌스 개선이 필요하다는 지적이 나온다.
30일 업계와 보안당국에 따르면 KT는 지난달 1일 경찰에서 무단 소액결제 피해 신고를 전달받았지만 나흘이 지난 5일에서야 비정상 소액결제를 차단했다. 이번 사태를 단순 스미싱(문자를 통한 사기)으로 오판한 결과였다. “개인정보 유출은 없다”던 입장도 뒤집혔다. 앞서 늑장 신고, 고객 공지 등 초동 대응 부실로 비판을 받은 SK텔레콤의 전철을 밟은 것이다.
사태를 과소평가한 대응은 롯데카드에서도 되풀이됐다. 롯데카드는 지난달 18일 297만명의 고객 정보 약 200GB(기가바이트)가 유출됐다고 발표했다. 당초 금융당국에 보고한 유출 규모는 실제의 100분의 1 수준인 1.7GB였다. 초반에는 홈페이지에 “정보 유출은 없다”는 공지를 띄우기도 했다.
부실 대응의 배경으로는 법적·평판 리스크에 대한 공포, 외주 의존 등으로 인한 내부 파악 지연이 꼽힌다. 곽진 아주대 사이버보안학과 교수는 “기업 이미지 훼손을 우려해 쉬쉬하다가는 결국 더 큰 타격을 입고 더 많은 비용을 치르게 된다는 점을 간과한 것”이라고 지적했다.
안일한 인식은 수치로도 확인된다. 과학기술정보통신부의 ‘2024 정보보호 실태조사’ 결과를 보면 침해사고를 경험한 기업 가운데 별다른 사후 대응을 하지 않은 비율이 67.7%에 달했다. 대응에 나선 기업도 보안 솔루션 구축·고도화(11.7%), 위탁관리 업체에 피해 보상 요구(11.3%), 내부 정책 수립·수정(9.3%) 수준에 머물렀다. 침해사고를 당하고도 신고하지 않은 비율은 80.4%나 됐다. 자체 정보보호 정책을 수립한 기업은 51.6%, 정보보호 조직을 둔 곳은 32.6%에 불과했다.
‘IT 강국’은 초고속 인터넷과 모바일 전환이 빨랐다는 의미일 뿐 보안은 뒷전이었다. ‘빨리빨리’로 압축되는 속도 우선 문화 속에서 보안이 후순위로 밀렸다는 게 전문가들의 진단이다. 곽 교수는 “속도가 빨라진다는 건 공격을 통해 침투할 수 있는 속도도 빨라진다는 얘기”라며 “잇따른 보안사고들은 IT 강국의 어두운 이면”이라고 짚었다.
한국인터넷진흥원(KISA) 원장을 지낸 이원태 국민대 특임교수도 “빠른 출시, 외주 의존, 체크리스트 위주로 흘러 ‘보안 내재화’(설계 단계부터 보안을 종합적으로 고려) 원칙이 뒤로 밀렸다”며 “이번 사태는 신뢰의 위기이자 체질 개선의 마지막 경고라고 볼 수 있다”고 말했다. 이 교수는 “속도 경쟁에서 ‘안전이 경쟁력’으로의 인식 전환이 필요하다”며 “안전하게 만든 제품이 결국 더 빨리 나간다, 잘 팔린다는 생각으로 전환할 때”라고 했다.
현재 민간 분야 침해사고는 과학기술정보통신부 산하 KISA, 금융권은 금융위원회 산하 금융보안원, 공공·안보는 국가정보원이 대응하는 식으로 권한이 분산돼 있다. 이런 분산 구조로는 날로 정교해지는 사이버 공격에 제대로 대응하기 힘들다는 우려도 꾸준히 제기됐다.
침해사고 때마다 범정부 사이버 보안 컨트롤타워를 구축하려는 움직임이 일어났지만 번번이 흐지부지됐다. 정부가 ‘인공지능(AI) 3강’ 도약을 목표로 하는 상황에서 사이버 보안 체계 구축의 시급성은 한층 커졌다. 임종인 고려대 정보보호대학원 명예교수는 “사이버 공격 대응은 결국 속도의 싸움인데, 컨트롤타워가 분산돼 있으면 빠르게 의사결정을 할 수 없다”며 “부처들이 합동으로 움직이는 강력한 지휘체계가 필요하다”고 말했다.
국가안보실은 관계부처와 함께 정보보호 종합대책을 마련 중이다. 당초 9월 말 발표 예정이었지만 국가정보자원관리원 화재로 인한 정부 전산망 마비 사태로 미뤄졌다.
기업·기관이 정부가 정한 항목을 지켰는지만 따지는 방식의 관리·감독 체계에서 벗어나야 한다는 목소리도 있다. 김태성 충북대 경영정보학과 교수는 “기업 스스로 무엇이 중요한지 정의하고 이를 프로세스에 내재화하는 문화가 자리잡아야 한다”며 “보안 정책 거버넌스의 목표는 항목 준수가 아니라 프로세스가 제대로 작동하는지를 점검하는 방향이어야 한다”고 말했다.