[구멍난 사이버보안/①]심각해진 해킹 정보유출 사태…통합 컨트롤타워 있어야

최근 SK텔레콤과 예스24의 대규모 해킹 사태는 한국 사회 전반에 큰 충격을 안겼다. 이전처럼 단순히 보안이 뚫린 것이 아닌 진화한 사이버공격으로 해석된다. 우리 정부는 국가정보원 국가사이버안전센터에서 민간·공공 영역의 사이버 보안을 담당하고 있지만, 실효성있는 관련법 없이 사건만 터지고 있는 상황이다. 새 정부에서 사이버 위협에 대응하기 위한 컨트롤타워를 강화해야 한다는 지적이 나오는 이유다. 최근 심각해진 정보유출 사태를 진단하고 재발방지책 등 대응 방안을 2회에 걸쳐 짚어본다. [편집자주]

지난 4월 SK텔레콤(SKT) 전체 가입자 수에 맞먹는 2700만건의 스마트폰 유심(USIM·가입자 식별 모듈) 정보가 유출됐다. 역대급 피해 규모에 1차 책임이 있는 SKT는 유심 교체와 유심보호서비스 제공 등을 통해 대응에 나섰으나, 이에 반해 정부는 사태에서 적극적으로 대처하는 모습을 보이지 못했다.

더불어 최근 예스24가 랜섬웨어에 감염되며 전면 서비스 중단 사태를 겪었다. 공격자는 서버 설정 파일, 스크립트 실행 파일 등 핵심 시스템 파일을 겨냥했다. 예스24가 운영하는 도서·음반·티켓·전자책 등 모든 서비스가 중단됐다.

통계만 봐도 사이버 해킹에 따른 개인정보 유출은 날로 심각해지고 있다. 25일 국무총리실 산하 개인정보보호위원회 자료에 따르면 지난해 신고가 접수된 민간·공공기관의 개인정보 유출 신고는 모두 307건으로 집계됐다. 2022년 167건, 2023년 307건으로 늘어나는 추세다.

원인 유형은 해킹이 171건(56%)으로 가장 많았다. 전년 151건보다 20건(13.2%) 증가했다. 기관 유형은 민간 203건(66%)에 공공 104건(34%)으로, 공공기관이 전체 3분의 1을 차지했다. 공공기관은 전년 41건보다 2.5배 이상 늘었다.

현재 국내 사이버 안보는 국가안보실을 컨트롤타워로 국방부 산하 사이버사령부에서 군사 분야를, 국정원 사이버위기대책본부에서 군사 분야를 제외한 공공 영역을 책임지고 있다.

민간은 기업 스스로 보안을 책임지는데, 과기부 산하 한국인터넷진흥원(KISA) 사이버침해대응본부에서 관련 업무를 돕고 있다. 하지만 KISA 사이버침해대응본부 인력은 2017년 134명에서 2018년 128명, 2019년 116명으로 꾸준히 줄었다. 이후 지난해까지 128명으로 일부 충원됐으나 해킹 증가 추세를 감안하면 부족하다는 평가다.

국방을 제외하고 공공과 민간 영역으로 나뉜 사이버 보안의 컨트롤타워를 일원화해야 한다는 지적도 나온다. SKT 해킹 사태는 단순한 개잉정보 유출 사고가 아닌 외부 공격에 의한 통신 인프라 장악 시도라는 시각이다.

업계 관계자는 "이번 해킹은 국가 규모 해커 집단의 개입 정황이 있다"며 "SKT 같은 대기업도 대응에 한계가 있다"고 말했다. 이어 "정부 조직 개편과 예산 배정, 입법을 통한 제도 정비 등을 통해 국가 차원의 대응이 필요하다"고 덧붙였다.

실제로 업계와 학계에선 미국 CISA(사이버보안 및 인프라 보안국) 모델을 차용해야 한다는 의견이 제기된다. 미국 국토안보부 산하 CISA는 모든 정부 기관의 사이버 보안과 인프라 보호를 담당한다. 50개 주정부 역시 CISA에서 사이버 보안을 맡고 있다.

또 다른 업계 관계자는 "사이버 보안과 관련 인프라 보호는 국가 경쟁력 보호를 위해 반드시 필요한 분야"라며 "새 정부에선 미국 CISA 등 선진적 모델을 벤치마킹할 필요가 있다"고 강조했다.  

박성대 기자 / 경제를 읽는 맑은 창 - 비즈니스플러스