7·7 대란 그 이후..컨트롤타워 부재 'IT강국' 허점 드러나

<시리즈 중>초라한 한국 보안 수준

최근 국내 주요사이트를 마비시켰던 분산서비스거부(DDoS) 공격은 우리나라 정보보안의 현주소를 일깨운 '쓴 약'이었다. 보안의 중요성을 강조하는 목소리만 높았지 실질적인 투자와 지원은 뒷전인 현실을 이번 디도스 공격이 들춰내 보여줬기 때문이다.

특히 앞으로 국가전 양상으로 전개될 가능성이 높은 사이버테러에 대해 총체적 지휘권을 행사할 컨트롤 타워가 없다는 사실은 지금도 뼈아픈 지적으로 다가온다.

이번 7ㆍ7대란을 겪으면서 사이버테러에 대응하는 컨트롤타워 부재 문제가 수면 위로 떠오른 것은 그나마 다행이었다. 국가정보원과 경찰, 방통통신위원회, 민간업체 등은 각자 이번 사건의 원인을 분석하고 대응책을 마련하는 데 부심했지만 제대로 정보공유가 이뤄지지 않아 많은 허점을 드러냈다는 따가운 지적을 받아야만 했다.

정보보호 정책을 총괄적으로 담당하던 정보통신부가 폐지된 후 현재의 시스템으로는 DDoS 공격등 사이버 테러에 효율적으로 대응하기에 역부족이라는 분석도 만만치 않다. 실제로 국정원과 방통위는 북한 배후설 등에 대해 엇박자를 내는 등 공조 보다 혼선을 부추겼다는 비판에 직면하기도 했다.

김홍선 안철수연구소 대표는 "모든 위기 대응의 기본은 신속한 정보 공유가 핵심"이라며 "악성코드가 마지막으로 파일을 파괴한다는 것을 밝힌 것은 안철수연구소였지만, 그것이 12시일 수 있다는 단서를 제공한 것은 국가사이버안전센터였다"고 공조 성과를 강조했다. 하지만 이미 그 시점은 사태가 소강상태로 접어들어 마무리돼 가는 상황이었다.

컨트롤타워 부재 외에도 우리나라 보안현실에 대한 여러 문제점들이 잇따라 제기되고 있다. 특히 공공기관에서 근무하는 정보보안 인력의 부족은 매우 심각한 상황이다.

한국정보보호진흥원(KISA ㆍ 원장 황중연)은 이번 7ㆍ7대란의 와중에 제 역할을 다했다는 평가를 받고 있다. 하지만 늘 민간 보안업체와 비교 대상이 되다보니 전문인력의 부족을 더욱 절감할 수 밖에 없다고 고충을 토로했다. KISA 관계자는 "'민간 업체에서 어떤 내용을 확인했는데, 도대체 KISA는 뭘 어떻게 하고 있느냐'는 식의 항의성 질문이 많아 난처한 때가 많았다"고 하소연하기도 했다.

하지만 사이버 보안의 문제점은 갈수록 커지고 있지만 KISA의 대응 인력은 여전히 제자리 걸음에 머물고 있는 실정이다.

민간업체의 보안인력 부족 문제는 '보안산업이 돈이 되지 않는다'는 식의 시장 논리와 맞물려 있지만 정보보호 주관 기관인 KISA의 인력 부족은 정부의 투자부족과 보안의식 결여에서 이유를 찾을 수 밖에 없다. KISA에서 해킹 등에 대응하는 인터넷침해사고대응지원센터의 직원은 2004년 48명에서 올해 7월 현재 오히려 41명으로 줄었다.

정부가 보안 인력을 확충하는 방법에 대해서도 말들이 많다. 한 보안업계 관계자는 "문제가 생기면 민간 기업이 육성한 보안 전문가를 데려갈 생각만 하고 근본적으로 교육 등을 통해 보안인력을 육성할 생각은 하지 않는다"고 꼬집었다.

DDoS 대응 장비를 지나칠 정도로 외산에 의존하고 있는 점도 큰 문제다. 이번 대란 이후 국가정보원 IT보안인증사무국은 DDoS 방어장비의 공공기관 정보보호시스템 도입기준을 '별도 지정제품'으로 변경하고 지난 17일 국내외 5개 업체의 제품을 지정했다. 이 가운데 국내업체는 LG CNS와 나우콤 등에 불과했다. 다른 전산장비와 마찬가지로 DDoS 대응 장비도 외산 의존도가 매우 높다는 얘기다.

7ㆍ7대란 그 이후, 사이버 테러에 대응할 수 있는 컨트롤 타워의 부재와 공공부문 보안인력의 부족, 그리고 다국적 기업과 경쟁해야 하는 보안기술의 현실은 제2의 사이버테러를 자초할 가능성에 높아 이에 대한 총체적 대비책을 강구해 나가야 한다.

김철현 기자 kch@asiae.co.kr