공공기관 사이트 관리자 페이지 노출 여전
공공기관의 홈페이지에 대한 관리부실이 잇따른 지적에도 불구하고 관리자 페이지가 노출되는 등 여전히 개선되지 않고 있다.
특히 일부 사이트의 경우 홈페이지 주소를 관리자 암호로 사용하고 있거나 관리자 ID와 똑같은 암호를 사용하는 등 기본적인 보안수칙조차 지키지 않는 것으로 드러났다. 이처럼 공공기관 사이트 관리가 취약하면서 누구든지 들어가 마음대로 공공기관 사이트를 임의로 변경할 수 있어 심각한 문제로 대두되고 있다.▶본지 8월20일자 1면 참조
전문가들은 주요 정책 게시물과 홈페이지 정보 등을 관리하는 관리자 페이지의 노출이 계속되는 것은 단순한 관리 소홀을 넘어 정부 사이트 관리자의 인식과 교육 등에 근본적인 문제가 있다고 주장하고 있다.
본지 100여곳 조사… 기본 보안수칙 조차 안지켜
본지가 27, 28일 이틀 간 공공기관 도메인 `go.kr'을 쓰는 사이트들을 대상으로 구글에서 관리자, admin 등으로 검색 후 무작위로 100여개 기관의 페이지를 조사한 결과, 일부 정부기관과 지방자치단체 사이트의 관리자 페이지가 나타나거나 관리자의 비밀번호가 노출된 것으로 밝혀졌다.
인천광역시 소비생활센터 사이트의 경우는 검색으로 나타난 관리자 페이지를 통해 공지사항, 소비자보호관계법령 등의 게시물을 쓰거나 변경할 수 있었고, 대전시청 건설관리본부 사이트는 사이트 관리자의 실명확인 및 관련 정보 변경이 가능했다.
또 경상북도가 결혼 이민자를 위해 개설한 한국생활적응지원시스템도 게시판 관리자 페이지가 노출돼 게시물의 게시ㆍ변경ㆍ삭제를 할 수 있었고, 농촌진흥청도 `새늘쌀보리', `누에분말 혈당강하제' 등 농축산 관련 콘텐츠 관리 페이지들이 노출됐다.
보건복지가족부 장애인정책국 사이트는 공지사항ㆍ신규사업 등에 관한 페이지의 쓰기가 가능했으며, 각 시도 공무원들만 이용할 수 있는 정책건의 게시판에는 10여 개의 광고글이 게시됐다.
특히 국토해양부 산하 조성추진기획단이 관리하는 용산공원 홈페이지는 관리자의 아이디와 암호가 검색에 나타나 누구든 관리자 모드로 들어가 가입자 정보ㆍ통계를 확인하거나 홈페이지의 각종 게시물들을 변경하는 것이 가능했다.
이러한 관리 부실은 홈페이지 구축과 관리 소홀에 있다는 지적이다. 보안업계 한 관계자는 "관리자 페이지 노출 문제는 웹사이트를 구축할 때 중요 페이지에 대한 접근 제어 등 보안조치가 이뤄지지 않은데 원인이 있으며, 사이트 구축 후 필요한 보안점검 또한 제대로 이뤄지지 않은 것으로 보인다"고 말했다.
정부기관의 정보보호 업무를 수행하고 있는 행정안전부와 국가정보원은 지난달 중앙부처 및 지자체 간부공무원 400여명을 대상으로 정보보호 교육을 실시했다. 또 행정안전부는 27~28일 중앙행정기관, 지자체 등 공공기관 개인정보보호담당자 및 홈페이지 운영자 등을 대상으로 교육을 실시한 바 있다.
하지만 이번 조사 결과 정부의 보안의식 부재가 여전한 것으로 드러났으며, 근본적으로 보안인식이 전환되지 않고 있다고 전문가들은 지적했다.
정태명 성균관대 교수는 "홈페이지 관리자는 사이트 이용자의 정보를 다룬다는 점에서 중요한 역할인데, 이에 대한 인식이 부족해 (관리자 페이지 노출이) 계속 일어나는 것으로 생각된다"며 "보안에 대한 인식의 변화가 무엇보다도 중요하다"고 공무원들의 인식전환을 촉구했다.
임종인 고려대학교 정보경영전문대학원장은 "정부 당국의 정보보안 인식의 바뀌어야 한다"며 "말로만 보안을 강화한다고 하지말고 관련 부처 장관들부터 관심을 갖고 보안을 부서 예산, 인사정책 등과 연계해 강화해야 한다"고 설명했다.
전문가들은 또 현재 공공기관은 정보화와 보안을 담당하는 부서와 홈페이지를 관리하는 부서, 하위 페이지를 관리하는 실무부서 등이 서로 달라 홈페이지에 대한 정확한 관리 주체가 모호해 문제가 발생해도 개선하기 어렵다고 지적하고 있다.
또 일부 사이트의 경우 아웃소싱의 형태로 구축하는데 프로젝트 발주단계에서 낮은 입찰가 등으로 양질의 홈페이지가 구축되지 못하고 있다는 지적도 나오고 있다.
한편, 행정안전부 정보보호정책과 관계자는 "공공기관 홈페이지의 취약한 부분에 대해 점검을 확대하는 등 필요한 조치를 취하겠다"고 말했다.
공공기관의 홈페이지에 대한 관리부실이 잇따른 지적에도 불구하고 관리자 페이지가 노출되는 등 여전히 개선되지 않고 있다.
특히 일부 사이트의 경우 홈페이지 주소를 관리자 암호로 사용하고 있거나 관리자 ID와 똑같은 암호를 사용하는 등 기본적인 보안수칙조차 지키지 않는 것으로 드러났다. 이처럼 공공기관 사이트 관리가 취약하면서 누구든지 들어가 마음대로 공공기관 사이트를 임의로 변경할 수 있어 심각한 문제로 대두되고 있다.▶본지 8월20일자 1면 참조
전문가들은 주요 정책 게시물과 홈페이지 정보 등을 관리하는 관리자 페이지의 노출이 계속되는 것은 단순한 관리 소홀을 넘어 정부 사이트 관리자의 인식과 교육 등에 근본적인 문제가 있다고 주장하고 있다.
본지가 27, 28일 이틀 간 공공기관 도메인 `go.kr'을 쓰는 사이트들을 대상으로 구글에서 관리자, admin 등으로 검색 후 무작위로 100여개 기관의 페이지를 조사한 결과, 일부 정부기관과 지방자치단체 사이트의 관리자 페이지가 나타나거나 관리자의 비밀번호가 노출된 것으로 밝혀졌다.
인천광역시 소비생활센터 사이트의 경우는 검색으로 나타난 관리자 페이지를 통해 공지사항, 소비자보호관계법령 등의 게시물을 쓰거나 변경할 수 있었고, 대전시청 건설관리본부 사이트는 사이트 관리자의 실명확인 및 관련 정보 변경이 가능했다.
또 경상북도가 결혼 이민자를 위해 개설한 한국생활적응지원시스템도 게시판 관리자 페이지가 노출돼 게시물의 게시ㆍ변경ㆍ삭제를 할 수 있었고, 농촌진흥청도 `새늘쌀보리', `누에분말 혈당강하제' 등 농축산 관련 콘텐츠 관리 페이지들이 노출됐다.
보건복지가족부 장애인정책국 사이트는 공지사항ㆍ신규사업 등에 관한 페이지의 쓰기가 가능했으며, 각 시도 공무원들만 이용할 수 있는 정책건의 게시판에는 10여 개의 광고글이 게시됐다.
특히 국토해양부 산하 조성추진기획단이 관리하는 용산공원 홈페이지는 관리자의 아이디와 암호가 검색에 나타나 누구든 관리자 모드로 들어가 가입자 정보ㆍ통계를 확인하거나 홈페이지의 각종 게시물들을 변경하는 것이 가능했다.
이러한 관리 부실은 홈페이지 구축과 관리 소홀에 있다는 지적이다. 보안업계 한 관계자는 "관리자 페이지 노출 문제는 웹사이트를 구축할 때 중요 페이지에 대한 접근 제어 등 보안조치가 이뤄지지 않은데 원인이 있으며, 사이트 구축 후 필요한 보안점검 또한 제대로 이뤄지지 않은 것으로 보인다"고 말했다.
정부기관의 정보보호 업무를 수행하고 있는 행정안전부와 국가정보원은 지난달 중앙부처 및 지자체 간부공무원 400여명을 대상으로 정보보호 교육을 실시했다. 또 행정안전부는 27~28일 중앙행정기관, 지자체 등 공공기관 개인정보보호담당자 및 홈페이지 운영자 등을 대상으로 교육을 실시한 바 있다.
하지만 이번 조사 결과 정부의 보안의식 부재가 여전한 것으로 드러났으며, 근본적으로 보안인식이 전환되지 않고 있다고 전문가들은 지적했다.
정태명 성균관대 교수는 "홈페이지 관리자는 사이트 이용자의 정보를 다룬다는 점에서 중요한 역할인데, 이에 대한 인식이 부족해 (관리자 페이지 노출이) 계속 일어나는 것으로 생각된다"며 "보안에 대한 인식의 변화가 무엇보다도 중요하다"고 공무원들의 인식전환을 촉구했다.
임종인 고려대학교 정보경영전문대학원장은 "정부 당국의 정보보안 인식의 바뀌어야 한다"며 "말로만 보안을 강화한다고 하지말고 관련 부처 장관들부터 관심을 갖고 보안을 부서 예산, 인사정책 등과 연계해 강화해야 한다"고 설명했다.
전문가들은 또 현재 공공기관은 정보화와 보안을 담당하는 부서와 홈페이지를 관리하는 부서, 하위 페이지를 관리하는 실무부서 등이 서로 달라 홈페이지에 대한 정확한 관리 주체가 모호해 문제가 발생해도 개선하기 어렵다고 지적하고 있다.
또 일부 사이트의 경우 아웃소싱의 형태로 구축하는데 프로젝트 발주단계에서 낮은 입찰가 등으로 양질의 홈페이지가 구축되지 못하고 있다는 지적도 나오고 있다.
한편, 행정안전부 정보보호정책과 관계자는 "공공기관 홈페이지의 취약한 부분에 대해 점검을 확대하는 등 필요한 조치를 취하겠다"고 말했다.
