국가정보원이 중앙정부 부처와 지방자치단체 등 2천100여 곳을 대상으로 긴급 보안점검에 착수한 것으로 전해졌다. 최근 금융권과 공공기관에서 사이버 침해 및 개인정보 유출 사고가 잇따르면서 국가·공공기관의 정보시스템 전반에 대한 보안 관리 문제가 주요 현안으로 떠올랐다.

다만 3일 현재 국정원이 직접 점검하는 기관이 2천100여 곳이라는 내용과 구체적인 점검 일정은 공식 발표 자료를 통해 확인되지 않았다. 점검 대상 기관의 범위와 방식은 국정원의 추가 설명이 필요한 부분이다.

정부의 보안점검 강화 움직임은 이미 시작됐다. 과학기술정보통신부는 지난 10월 28일 민간 주요정보통신기반시설을 관리하는 111개 기관, 약 172개 시설에 대한 보안 취약점 점검을 추진한다고 밝혔다.

이번 조치는 금융기관과 공공기관에서 발생한 사이버 침해 및 개인정보 유출 사고에 대응하기 위한 것이다. 정부는 외부 인터넷에 연결된 서버와 웹페이지 등 공격자가 접근할 수 있는 시스템을 중심으로 보안 취약점을 확인하기로 했다.

특히 인터넷에 노출된 전산 자산은 보안 관리가 제대로 이뤄지지 않을 경우 외부 침입의 통로가 될 수 있다. 서버의 보안 업데이트가 지연되거나 관리자 계정이 부실하게 관리되면 공격자가 내부 시스템에 접근할 가능성이 커진다.

공공기관은 행정정보와 국민의 개인정보를 대규모로 관리한다. 주민등록과 세금, 복지, 의료, 교육 등 주요 행정서비스가 정보시스템을 통해 제공되는 만큼 사이버 침해가 발생하면 정보 유출뿐 아니라 행정서비스 중단으로 이어질 수 있다.

중앙부처와 지방자치단체의 정보시스템은 기관별로 구축 시기와 운영 환경이 다르다. 자체 전산망을 운영하는 기관이 있는 반면 외부 업체에 시스템 유지보수를 맡기는 기관도 있어 보안 관리 수준에 차이가 발생할 수 있다.

보안점검에서는 외부 접속 경로와 서버 설정, 보안 업데이트 적용 여부, 관리자 계정의 접근 권한, 개인정보 저장·관리 체계 등이 주요 확인 대상이 될 수 있다. 다만 실제 국정원의 이번 점검 항목은 별도 확인이 필요하다.

최근 금융권에서도 사이버 공격에 대응하기 위한 긴급 점검이 진행됐다. 주요 기업들은 외부에서 접근할 수 있는 시스템을 확인하고, 알려진 악성 인터넷주소 차단과 침입 탐지 등 보안 조치를 강화했다.

사이버 침해 사고는 특정 기관의 정보시스템에만 영향을 미치는 데 그치지 않을 수 있다. 여러 기관이 동일한 소프트웨어나 외부 서비스를 사용하는 경우 공통된 보안 취약점이 다른 시스템에도 영향을 줄 수 있기 때문이다.

특히 공공기관이 사용하는 외부 유지보수 시스템과 위탁업체의 접근 권한은 보안 관리에서 중요한 부분이다. 기관 내부 시스템을 보호하더라도 외부 협력업체의 계정이나 연결망이 침해되면 추가적인 위험이 발생할 수 있다.

보안점검 이후에는 발견된 취약점을 얼마나 신속하게 개선하는지도 중요하다. 취약점 확인만으로 보안 문제가 해결되는 것은 아니며, 보안 설정 변경과 소프트웨어 업데이트, 접근 권한 조정 등 후속 조치가 뒤따라야 한다.

정부는 민간 주요정보통신기반시설에 대한 점검을 이르면 11월부터 진행해 연내 마무리하는 방안을 추진하고 있다. 기관별 자체 점검과 보안 관리 실태 확인을 병행할 계획이다.

국가·공공기관을 대상으로 한 긴급 보안점검 역시 실제 점검 대상과 기간, 취약점 개선 절차가 구체적으로 공개돼야 조치의 범위를 파악할 수 있다.

특히 국정원이 점검에 착수한 것으로 알려진 2천100여 기관이 어떤 기준으로 선정됐는지, 지방자치단체 산하기관과 공공기관이 포함되는지, 발견된 취약점에 대해 어떤 후속 조치가 이뤄지는지가 확인해야 할 쟁점이다.

백설화 선임기자