국가사이버안보 거버넌스 정립과 신유형의 해킹기술, https 차단정책과 원자력 발전소 사이버보안 강화 등
최근 3년간 반복 지적되는 정책이슈 담은 ‘2019 국정감사 이슈’ 분석해보니

[보안뉴스 원병철 기자] 2019년 정부와 국회의 국정감사 일정이 공개됐지만, 최근 분위기로 볼 때 국정감사가 제 날짜에 원활하게 이뤄질 수 있을지 의구심이 커지고 있다. 특히, 여야의 첨예한 대립이 이어지는 과학기술정보방송통신위원회는 2018년 국정감사 결과보고서도 채택되지 않을 정도로 논란이 크다.


[이미지=iclickart]

그렇다면 2019년에는 어떤 이슈가 있을까? 특히, 올해 국정감사에는 보안 및 안전과 관련한 다양한 이슈가 다뤄질 것으로 예측되는 상황에서, 최근 3년간 각 상임위원회에서 반복적으로 지적되는 정책이슈를 중심으로 발간된 ‘2019 국정감사 이슈 분석(국회입법조사처)’ 내용을 중심으로 올해 보안 분야 주요 국감이슈를 정리해본다.

국정감사 2019 : 과기방통위의 ‘사이버보안’ 이슈
국정감사, 특히 과기정통부와 방통위 등이 포함된 ‘과학기술정보방송통신위원회(이하 과기방통위)’에서 다뤄질 것으로 예견되는 정책이슈 중 보안·안전 관련 이슈는 크게 3종류다. 사이버보안과 물리보안, 그리고 데이터다. 우선 사이버보안 이슈를 살펴보면 △국가사이버안보 거버넌스 △신유형 해킹 기술의 발전과 대응 △https 접속 차단 정책 △원자력 발전소의 사이버보안 강화 방안 등이 가장 눈길을 끈다.

△국가사이버안보 거버넌스 정립_과기정통부
사물인터넷·5G 등 초연결사회로의 진입이 가시화됨에 따라 사이버안보가 현대사회에 중요한 문제로 부각되고 있으며, 사이버공격의 빈도와 강도는 증가 추세에 있다. 현재 국가 사이버안보에 관해 청와대 국가안보실이 컨트롤타워 역할을 하고 정부·공공분야는 국가정보원이, 민간 분야는 과기정통부가 담당하며 국방 분야는 국방부가 담당하고 있다. 하지만 주요국은 수년 전부터 사이버위협에 대한 대응을 위해 국가 사이버안보 체계를 강화하는 방향으로 정책을 추진해왔다. 미국, 일본, 중국, 프랑스 등의 경우 범정부 컨트롤타워가 존재하며, 국가별 역사, 법체계, 주변국 상황에 따라 상이하지만 대체로 사이버안보 체계를 강화하는 추세다.

이번 ‘국가사이버안보전략’에서 국가 사이버안보 거버넌스와 관련하여 기존의 입장만 재확인하고 원론적인 내용만 담았을 뿐 컨트롤타워 역할 강화를 위한 구체적이고 실효성 있는 방안이 미비하다는 지적이 존재한다. 국가안보실을 사이버안보 컨트롤타워로 운영하고 있으나, 자체 조직·예산이 미흡하여 정책 수립 및 집행에 한계가 있고, 부처 간 단순 조정 역할에 그칠 우려가 있기 때문이다.

또한, 사이버위협은 민간과 공공을 막론하여 발생하며 정보통신망이 유기적으로 연결되어 한 영역에서의 침해 발생이 다른 영역으로 빠르게 전이될 수 있어 현행과 같이 민간·공공·국방으로 영역을 구분하여 대응하는 것이 효과적인지 문제 제기가 있었다. 아울러 국가 사이버안보 전반을 관장하는 법제가 미비하여 영속성 있는 조직 구성이 어렵고 민간·공공 및 입법·사법을 아우르는 사이버안보 정책 수립 및 추진이 어려우며, 법제 간 중복·혼선 우려도 존재한다.

이에 따라 이번 국감에서는 사이버침해에 대한 철저한 예방과 침해 발생시 신속한 대응을 위하여 바람직한 국가 사이버안보 거버넌스에 대한 논의를 진행할 필요가 있다는 지적이다. 사이버안보 컨트롤타워가 단순 조정 역할을 넘어 자체적으로 ‘기본계획’ 및 ‘실행계획’을 수립·조정하고 사이버위협 감시·분석, 사이버침해 발생시 원인 분석･대응 등을 할 수 있도록 별도의 인력과 예산을 갖춘 조직 구성을 검토할 필요가 있다는 것.

특히, 과기정통부, 국가정보원 등 정부부처와 한국인터넷진흥원, 국가보안기술연구소 등 기관 간 역할 구분을 명확히 할 필요가 있으며, 현행 체계로 신속한 사이버침해 대응이 가능한지 검토할 필요가 있다. 무엇보다 사이버안보 체계를 강화하는 만큼 국민의 기본권 침해를 최소화할 수 있는 법제도적 방안을 마련할 필요가 있으며, 프라이버시 보호와 투명성 제고를 위해 국회 등이 견제할 수 있는 장치도 마련할 필요가 있다. 사이버안보 컨트롤타워를 규정하고 권한을 강화하는 법제 마련이 시급하며, 분산되어 있는 현행 법제를 정비할 필요가 있다는 얘기다.

△신유형 해킹 기술의 발전과 대응_과기정통부
사이버위협은 다변화되고 있으며 신기술·서비스에 따른 새로운 유형의 위협도 증가하고 있어 사회·경제적으로 큰 피해를 야기하고 있다. 랜섬웨어, 스피어피싱, 포털사이트 해킹을 통한 지인 사칭 등이 빈번히 발생하고 있으며, 상대적으로 보안이 취약한 사물인터넷 보안위협도 현실화되고 있다.

랜섬웨어 민원접수가 2015년 770건에서 2017년 5,825건으로 급격히 증가했으며, 지난 3년 간 APT 공격 중 65%가 스피어피싱일 정도다. 또한, 포털 사이트를 해킹하여 취득한 이용자의 주소록을 이용해 해커 자신의 메신저에 해당 이용자의 지인을 등록하고 이용자를 사칭하여 지인에게 돈을 요구하는 메신저 피싱 사건도 증가하고 있으며, 암호화폐 거래소에 대한 해킹사고도 연이어 발생하고 있다.

실제로 국제전기통신연합(ITU)이 발표하는 세계사이버안전지수(GCI)에서 우리나라는 2014년 조사에서 공동 5위였으나, 2018년 조사에서는 15위로 하락했다. 아울러 신유형 해킹 기술 대두에 따라 주요국은 민간과 공공의 사이버위협 정보에 대한 공유체계를 강화하고 있다.

사이버안보는 기술집약적 분야로서 관련 R&D의 역량 강화가 필수적이지만, 아직 미흡한 것으로 평가되고 있다. 또한, 우리나라는 정부·공공기관 주도로 사이버위협에 대한 정보를 수집·공유하고 있으나, 사이버위협에 상대적으로 취약한 민간영역에 대하여 직접 위협정보를 수집하는 데는 한계가 존재한다.

이에 사이버안보 기술력 제고를 위하여 민간·공공 간 R&D 성과 공유, 사이버안보 클러스터 조성, 관련 산업 활성화 등을 추진할 필요가 있다는 의견이 대두되고 있다. 아울러 민간의 정보를 적극적으로 수집해 공공과 민간을 아우르는 사이버위협 정보공유 체계를 구축하는 한편, 개인정보 보호조치도 함께 마련할 필요가 있다.

△https 접속 차단 정책_방송통신위원회
올해 2월부터 디지털성범죄물 등 불법정보가 유통되는 https 접속 방식의 해외 인터넷사이트에 대해 접속차단 조치가 이루어졌다. 이는 방송통신심의위원회가 통신심의를 통하여 불법 해외사이트에 대한 차단을 결정하고, KT 등 인터넷서비스제공사업자(ISP)가 해당 사이트를 차단하는 방식으로 이루어졌다. https로 통신 내용을 암호화하는 경우 기존의 방식으로는 차단할 수 없었는데, https를 사용하더라도 암호화되지 않은 SNI(Server Name Indication) 필드에서 차단 대상 서버를 확인해 차단하는 방식을 도입했다.

불법도박, 불법음란물, 저작권위반, 불법 식·의약품 관련 사이트 등이 SNI 필드 차단방식을 통해 차단되고 있으며, 해당 방식으로 차단된 사이트는 2019년 2월 11일부터 5월 24일까지 총 16,445건이라고 방송통신위원회는 밝혔다.

문제는 이번 차단조치에 대하여 사전에 법적, 기술적 내용을 충분히 알리지 못하여 국민적 공감대 형성에 미흡했다는 주장이다. 현행 https 접속 차단 조치에 대해 표현의 자유 등 헌법상 기본권을 침해한다는 주장이 제기됐으며, 정부가 개인의 웹사이트 접속 정보를 확인하고 임의로 차단할 수 있어 감청·검열에 해당될 수 있다는 주장도 존재한다는 것. 또한 이미 차단조치를 우회할 수 있는 기술들을 활용하여 불법사이트에 접속할 수 있어 논란에 비해 실효성이 부족하다는 지적도 있었다.

이 때문에 불법사이트 차단을 포함한 인터넷 규제 방식에 대하여 사회적으로 논의하고 합의를 이끌어 낼 수 있는 체계가 필요하며, 다양한 이해관계자들이 모여 인터넷 규제 방식 전반에 대하여 논의할 필요가 있다는 지적이다. 또한, 차단 대상, 차단 방식 뿐 아니라 인터넷 규제 방식을 결정하는 거버넌스의 바람직한 방향에 대해서도 논의가 필요하다. 실제로 방송통신위원회는 지난 6월13일 학계, 법조계, 시민단체 등으로 구성된 ‘인터넷 규제개선 공론화 협의회’를 발족했으며 12월말까지 운영 후 최종보고서를 발표하겠다고 밝혀 위 협의회에서의 논의 진행 상황을 지켜볼 필요가 있다. 아울러 차단 필요성이 높은 불법사이트에 대하여 차단조치 우회 방법을 무력화시킬 필요가 있다.

△원자력 발전소의 사이버보안 강화 방안_원자력안전위원회
원자력 발전소의 사이버보안 강화 방안도 도마 위에 올랐다. 현재 우리나라 원자력발전소 사이버보안 규제업무는 한국원자력통제기술원(KINAC)이 원자력안전위원회로부터 위탁받아 수행하며, 사이버안보에 대한 위협평가, 비상대응체계검토, 최초·정기·특별·운반 검사, 교육·훈련 및 연구개발 등의 업무를 수행하고 있다. 또한, 원자력발전소의 사이버보안 강화를 위해 디지털시스템 검사는 물리적 방호 점검과 함께 2년 주기로 사업소별로 시행하고 있다.

‘국가사이버안전관리규정’ 제4조는 소관 공공기관 등으로 하여금 사이버안전 업무를 전담하는 전문인력을 확보하는 등 필요한 조치를 강구할 것을 규정하고 있다. 한국원자력통제기술원과 한국수력원자력 사이버보안 전담인력은 ‘원자력시설 등의 방호 및 방사능 방재 대책법’ 및 ‘물리적 방호 교육 및 훈련에 관한 규정’ 등에 근거하여 물리적방호 교육과 함께 사이버보안 관련 교육을 받고 있다.

하지만 사이버보안 업무에 대한 원자력안전위원회의 역할이 미흡한 점과 사이버보안 전담인력의 전문성 부족, 그리고 사이버보안 전담인력 교육의 실효성 등은 문제점으로 지적받고 있다. 예를 들면, 실질적인 보안업무는 한국원자력통제기술원이 맡는다 하더라도, 이를 규제하고 관리하는 원자력안전위원회의 관련 업무에 대한 통제범위 및 업무내용이 불투명하며, 산하기관인 한국원자력통제기술원에 대한 심사규제와 적정성 검토가 제대로 되고 있는지에 대한 평가도 미진하다. 또한, 원자력안전위원회 내 사이버보안 전담인력이 1인에 불과하며, 사이버보안 전담인력의 업무순환, 겸직 등으로 인해 전문성 문제가 지속적으로 지적되고 있다. 특히, ‘원자력시설 등의 방호 및 방사능 방재 대책법’ 및 ‘물리적 방호 교육 및 훈련에 관한 규정’에 근거하면, 원자력안전위원회 소속의 사이버보안 인력은 관련교육 대상자에 해당하지 않는다.

이에 따라 원자력발전소 사이버보안 전담인력의 교육 확대와 전문성 강화를 위해 형식적 교육이수를 넘어 전문성 및 보안의식을 고취시킬 수 있는 교육의 지속적 확대 및 관리의 내실화 방안을 제고할 필요가 있다는 의견이 국회 내에서 제시되고 있다. 아울러 원자력안전위원회 역할 명시 및 사이버공격 매뉴얼 정비 등 보안시스템 보강과 국내·외 사이버보안 및 연구개발 기관과의 협력 강화 등이 대책으로 논의될 것으로 보인다.
[원병철 기자(boanone@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>