사이버 보안 기반 구조 전문가인 김용대 카이스트 전기전자공학과 교수는 26일 머니투데이와의 통화에서 "한국수력원자력은 기밀문서가 유출됐는데 내부망에 의한 것인지 외부망에 의한 유출인지, 경로조차 파악하지 못했고 어느 망에 있었는지조차 모르는 상황"이라며 "보안에 대한 준비가 전혀 안 돼 있었다"고 말했다.
김 교수는 특히 한국수력원자력이 유출 원인조차 제대로 파악하지 못하고 있는 것을 가장 큰 문제로 꼽았다. 내부망과 외부망 사이에 DB를 싱크·동기화하는 과정에서 유출될 수도 있는 등 다양한 원인이 예상되지만 아직 이에 대한 분석 내용도 없다는 지적이다.
김정덕 중앙대 산업보안학과 교수도 "우리나라가 IT강국이라 불리지만 소프트웨어는 열악하다"며 "특히 보안에 대한 부분은 처우도 낮고 인식 수준도 낮아서 후진국에 가깝다"고 평가했다.
김 교수는 특히, "국가 기반시설 중에서도 가스, 석유, 전력 등 에너지분야가 가장 취약하다"면서 "한번 사건이 터지면 피해가 막심해 더 신경써야 한다"고 강조했다.
신영길 서울대 정보화본부장(컴퓨터공학과 교수)은 "한마디로 창과 방패의 싸움"이라며 "전 국가적으로 보안 교육을 철저히 하고 국가전산망에 대해 보안시스템도 구축해야 한다"고 강조했다.
신 교수는 "유관 기관들이 힘을 합쳐 정부기관에 대한 보안관리를 해야하는데 지금은 각자 알아서 하는 시스템이고 정보만 일방적으로 내려오지, 어떻게 하라는 얘기가 없다. 이런 미흡한 부분을 고쳐가야 한다"고 밝혔다.
박춘식 서울여대 정보보호학과 교수는 "보안기술도 중요하지만 사회 전반적으로 정보보호를 해야 한다는 인식과 관심을 가져야 한다"며 "또 보안을 담당하는 관리자가 평상시 대책을 마련하고 꾸준히 관리해야 한다"고 말했다.
보안도 '계획-실행-점검-행동(PDCA, PLAN-DO-CHECK-ACTION)'까지 건강관리처럼 꾸준히 단계적으로 이어져야 하는데 사건이 터질 때만 반짝 관심을 갖고 사후약방문을 하는 수준이라는 것.
보안부서를 IT 부서에서 독립시키는 글로벌 트렌드에 주목해야 한다는 목소리도 나온다. IT부서는 정보시스템을 개발하고 운용하는 부서이고 정보보호는 통제하는 곳이라 충돌이 생길 수밖에 없다는 설명이다.
김정덕 교수는 "최근 선진 조직에서는 보안 부서를 IT부서에서 빼내 핵심부서에 넣고 있다"며 "보안 분야에 대해 사람도 많이 뽑고 예산도 투입해야 하지만 무엇보다 조직전체적으로 보안이 이뤄져야 한다"며 CEO부터 인식을 바꿀 것을 주문했다.
일각에서는 보안을 지나치게 강조하다 편의성을 놓쳐 오히려 예기치못한 부작용이 발생했을 가능성도 거론된다. 망 분리 정책에 대한 재검토가 필요하다는 의견이다.
김용대 교수는 "물리적인 망을 분리를 하는게 국가정보원의 지침인데 문제는 망 분리를 했을 때 사용자 불편함이 야기돼 (사용자가) 망을 돌아 접근하는 방법을 찾다 결국 안전하지 않은 방법으로 사용한 게 문제가 된 것 같다"며 "사용자 편의를 고려하지 않고 무조건 보안만 요구하는게 궁극적 해결책이 되지 않는다"고 꼬집었다.
글=서진욱 머니투데이 기자, 모두다인재 김현정·정봄 기자
[저작권자 @머니투데이, 무단전재 및 재배포 금지]