총리실, 감사원 등 17개 정부부처 자체 정보보안 전담인력 및 부서 미흡

‘7.7 DDoS 사고’ 피해PC의 25배인 293만여 대가 좀비PC의 감염에 노출

지난 7.7 DDoS 사고와 같은 크고 작은 정보보안 사고들이 증가하고 있지만 정보보호의 대책 논의는 사고가 있을 때 뿐 금방 기억 밖으로 사라진다. 이러한 상황 하에서 정부의 정보보호에 대한 실질적이고 지속적인 대책마련을 촉구하는 보고서가 발간됐다.

국회 입법조사처(처장 임종훈)는 12월 1일 보고서『‘7.7 DDoS 사고’ 대응의 문제점과 재발방지 방안』에서 7.7 DDoS 사고의 특징과 대응에 대한 문제점을 분석하고 재발방지 방안을 제시했다.

7.7 DDoS 공격은 치밀하게 계획된 공격방법으로 치료되지 않은 일부 좀비 PC에서는 주요문서와 하드디스크를 손상시켰다. 지금까지 금품요구를 목적으로 이루어진 해킹과는 다르게 사회적 공공재를 겨냥한 테러의 성격을 띠고 있다.

그리고 금번 ‘7.7 DDoS 사고’와 같은 사이버 공격은 언제든 제발할 수 있는데, 그 이유로 정보보호 정책기능의 분산으로 인한 중앙통제기관의 부재와 정보보호 전담인력과 투자부족을 지적할 수 있다. 현재 43개의 중앙부처 중 9개 부처만 자체 정보보안 전담부서를 운영하고 있으며, 자체 정보보안 전담인력도 부처당 평균 1.45명에 불과하다.

총리실, 감사원 등 17개 부처가 자체 정보보안 인력 및 전담부서가 전무하거나 미흡한 실정이다.

총리실의 경우 정보보안을 인사과에서 담당하는 등 시급한 개선이 필요하다.

컴퓨터 백신S/W 설치 및 업데이트 등 실행률이 저조하여, 전체 1,905여만 대의 개인용 컴퓨터 중 15.4%(293만여 대) 이상이 악성코드 감염에 노출되어 좀비 PC가 될 수 있는 위험에 처할 수 있다.

이는 7.7 DDoS 공격에 동원된 11만 5천여 대의 약 25배에 이르며 최근에는 한국어 DDoS 공격툴이 나오는 등 대규모 DDoS 사이버공격은 언제든 재발할 수 있는 상태라 할 수 있다.

기타의 문제점으로는 사이버 공격의 지능화ㆍ조직화, DDoS 공격에 대한 훈련 및 국제 공조의 미흡, 인터넷 이용증가에 따른 정보보호대상의 급증, 악성코드를 분석하기 위한 장비?전문인력의 부족 등을 들 수 있다.

그 밖에 이 보고서에서는 사이버 침해사고에 대한 향후 대응방안을 제시했다.

유사시 긴급 침해사고에 대한 대응능력 향상을 위하여 정부 각 부처로 분산된 정보보호 기능의 효율적인 부처 간 조율 등 사이버 위기관리를 위한 구심점이 필요하다.

전체 정보보호대상 영역의 95%이상이 민간부문인 점을 고려하여 민간부문 정보보호를 위한 법적근거를 마련하고, 전문 인력과 첨단장비를 갖추도록 하는 등 정교하고 세심한 정책과 제도의 마련이 필요하다.

민간부문 정보보호를 담당하고 있는 방송통신위원회의 사이버 위기관리 능력강화에 대한 검토가 필요하다.

DDoS 공격 등 사이버 침해사고 대응에서 나타난 법적 미비점을 보완할 수 있도록 관련된 법령의 제ㆍ개정을 긴급히 추진할 필요가 있다.

현재 정부가 추진 중인 ?(가칭)악성프로그램 확산 방지 등에 관한 법률(안)?의 제정시 정부의 필요에 따라 포괄적인 강제규정을 두어서는 안되며 규제적 요소를 명확히 규정하여 사업자, 이용자의 자율규제의 범위를 최대한 보장하는 것이 필요하다.

긴급조치 혹은 예방조치 등이 국가권력기관에 의한 패킷감청 등의 오ㆍ남용으로 이어져 통신의 자유, 표현의 자유, 재산권 행사의 자유, 소비자의 선택권 등 국민 사생활에 대한 기본권을 침해하지 않도록 투명하게 절차적ㆍ제도적 안전장치를 마련할 필요가 있다.

그 밖에도 이 보고서에서는 ▲정부부처 간 조율 등 사이버 위기관리를 위한 구심점이 필요, ▲정보보안 전문인력과 첨단장비를 갖추도록 하는 등 정교하고 세심한 정책과 제도의 마련, ▲국ㆍ내외 및 민ㆍ관간의 실시간 사이버 공조체제 활성화, ▲민간부문 사이버 침해 대응 전문조직의 육성을 제시했다.