국가정보원이 금융권의 잇단 해킹 사고를 계기로 중앙부처·지자체를 포함한 2천100여개 기관에 긴급 자체 보안점검을 요청했다. 공공 분야 주요정보통신기반시설에 대해서는 국정원이 직접 취약점을 살피고 있으며 11월 중순까지 끝낼 계획이다.
공공기관 2천100여곳 자체 점검
당국에 따르면 국정원은 지난달 22일 전 중앙부처와 지자체 등에 이 요청을 보냈다. 각 기관은 국정원이 제시한 체크리스트에 따라 스스로 점검을 진행한다.
국정원이 특히 강조한 것은 공격표면 관리다. 인터넷과 맞닿은 외부 접점이 안전한지, 보안관제 체계가 제대로 돌아가는지, 보안패치가 적용됐는지처럼 사이버 공격에 노출될 수 있는 부분을 집중해서 확인하라는 것이다.
국정원도 공공 분야 주요정보통신기반시설의 정보시스템을 대상으로 인터넷 접점 취약점을 따로 점검하고 있다. 이 점검은 11월 중순 마무리가 목표다.
금융·공공 잇단 침해 사고
신한은행의 개인정보 유출이 9월 말 파악됐고, 이어 KB국민은행·하나은행·BNK부산은행은 물론 저축은행과 캐피털사에서도 침해 사고가 나왔다. 금융위원회는 지난달 4일 긴급 회의를 소집해 외부 노출 IT 자산을 빠짐없이 점검하도록 했다.
공공부문 피해도 올해 이어졌다. 외교부는 2월 초 국립외교원 온라인교육시스템에 대한 비정상적 접근 정황을 전달받고 해당 시스템을 막았다. 조사 결과 공격자가 서버를 손에 넣은 시점은 지난해 4∼5월이었고, 이후 올해 2월까지 접속해 온 것으로 파악됐다. 8월17일에는 정부24 어린이포털 취약점을 노린 공격이 있었고, 서버 11개에서 메모리 덤프 파일 등이 새 나갔다.
여기에 프로그래밍 언어 ‘PHP’의 치명적 보안 취약점까지 드러나자, 정부는 기존 점검과 별도로 긴급 점검을 더하며 대응 수위를 높이고 있다.
AI 위협 대비 합동 점검
국정원은 5월부터 행정안전부 등과 함께 공공부문 합동 보안점검을 벌여 왔다. 앤트로픽의 ‘미토스’ 같은 최신 AI 기술이 등장하면서 생길 수 있는 사이버 위협에 대비하려는 점검이다.
이 합동 점검에서는 핵심 제어시스템·대민 웹서비스·보안장비를 대상으로 취약점을 찾아 개선했고, 민생과 밀접한 중요 시스템에는 정밀점검을 추가로 실시했다.
민간 기반시설 점검과 관리 체계
민간 쪽 점검은 과학기술정보통신부가 맡았다. 점검 대상은 111개 기관으로, 이들이 관리하는 민간 주요정보통신기반시설은 170여곳이다. 점검은 지난달 말 시작됐다.
과기정통부가 살펴보는 대상은 서버·웹페이지처럼 외부로 드러난 인터넷 접점 자산이며, 마무리 시점은 빠르면 이달, 늦어도 올해 안이다. 과기정통부는 기업 최고보안책임자(CISO)에게도 총력 대응 마련을 주문했다. 한국인터넷진흥원(KISA)은 각종 업데이트 안내 등 공지를 늘리고 있다.
주요정보통신기반시설은 정보통신기반보호법에 근거해 지정·관리되는 핵심 정보통신시스템이다. 침해당하면 국가안보는 물론 경제·사회 전반에 큰 영향을 끼칠 수 있다. 관리 체계는 공공과 민간으로 나뉜다. 국정원이 공공 분야를, 과기정통부가 민간 분야를 중심으로 각 시설 관리기관이 보호대책을 이행하는지 확인하고 기술 지원 등을 한다.
