정보 보호 ‘안전진단’ 시늉만

정보 보호 ‘안전진단’ 시늉만

사이트 점검 서류로 때워…400곳중 시정권고 2곳뿐
전문가들 “모의 해킹 실시 등으로 실효성 높여야”

개인정보 유출에 따른 피해 사례가 잇따르고 있는 가운데, 정부가 누리집(인터넷 사이트)의 보안 강화를 위해 도입한 ‘정보보호 안전진단 제도’가 형식에 그치고 있는 것으로 나타났다.

한국정보보호진흥원은 2005년부터 연매출 100억원 이상, 또는 하루 방문자 수가 100만명이 넘는 누리집을 대상으로 1년에 한 차례씩 보안점검을 실시하고 있다. 이때 보안상 취약점이 드러난 업체에 대해서는 정보보호진흥원이 시정권고를 내리고 개선책을 내놓도록 하고 있다. 그러나 2005년 이후 안전점검을 받은 400여 업체들 가운데 시정권고를 받은 곳은 단 두 곳에 불과하다. 연도별 안전점검 대상은 2005년 142곳, 2006년 160곳, 2007년 207곳 등이다. 이 제도는 2003년 중국 해커들의 공격으로 한국에 서버를 둔 누리집이 차단되는 ‘인터넷 대란’이 일어난 뒤 그 대비책으로 도입됐다.

정보보호 안전진단 조처현황

업계에서는 정부의 안전점검 제도가 형식적인 서류심사 등에 그쳐 사실상 실효성이 없다는 비판이 나온다. 한 정보보안업체 팀장은 “항목별로 O·X 표시만 하는 서류 점검으로 때우는데 이런 방식으로 뭘 점검하겠다는 건지 모르겠다”며 “의무 사항이기 때문에 일년에 한번씩 점검은 받지만 별 의미없는 통과의례쯤으로 생각한다”고 말했다. 이에 대해 장상수 한국정보보호진흥원 기업정보보호팀장은 “과도한 안전점검으로 비용과 업무 효율성 측면에서 부담이 있다는 업체들의 요구를 받아들여, 지금과 같은 방식의 점검이 도입된 것”며, 현재의 보안 안전점검이 사실상 요식행위에 그치고 있다는 점을 인정했다. 이와 관련해 안철수연구소 관계자는 “정보보호 안전진단 제도의 실효성을 강화하려면 ‘모의 해킹’ 등으로 실제 해킹 가능성을 확인하고, 안전진단을 실시하는 업체들의 관리 감독을 엄격히 실시해야 한다”고 지적했다. 실제 국제적으로 널리 알려진 해커들의 누리집(zone-h.org)에는 우리 정부의 도메인 이름을 아주 쉽게 찾을 수 있다. 이 누리집에서 국내 정부와 공공기관이 사용하는 ‘go.kr’로 검색을 하면 2004년 이후 무려 728건이 ‘해킹 사례’로 집계된다. 한 보안 전문가는 “공공기관이 아닌 민간 누리집의 경우 사실상 전문적 해킹에는 무방비 상태라고 봐도 된다”고 말했다.

최근 방송통신위원회가 보안관리가 허술한 업체에 대한 처벌을 강화하겠다는 방침을 밝혔지만, 업계의 반응은 냉소적이다. 한 보안연구소 부장급 연구원은 “처벌 강화 법안이 통과되면 해킹 피해를 당한 업체들이 앞으로는 해킹 사실조차 고백하지 않을 것”이라며 “보안 의식을 높이고 인프라를 구축할 생각은 하지 않고 드러난 업체만 때리겠다는 발상은 구조적 해법이 아니다”고 말했다.

노현웅 기자 [e-mail]