부처 3분의 1이 정보보호 인력 한 명도 없어
G20 정상회의가 다가오면서 사이버 보안의 중요성이 연일 강조되고 있지만, 정부부처의 3분의 1 가량이 정보보호 인력을 한 명도 두지 않는 등 사이버 안전에 대응하는 정부의 자세는 미흡한 것으로 나타났다.
국회 입법조사처(처장 심지연)에서 20일 발표한 `국가 정보보호 정책 현황과 개선방안'보고서에 따르면, 정부ㆍ공공기관 중 정보보호 전담 부서를 운영하는 기관은 40개 기관 중 15.3%로 전체 조사기관의 6분의 1에도 못 미쳤으며, 정부 부처의 35.7%는 정보보호 인력을 한 명도 두지 않았다. 국무총리실은 정보보호업무를 총무과에서 담당하는 등 정보보호와 전혀 상관없는 곳에서 정보보호를 담당하는 경우도 있었다.
◇정보보호인력 전문성 부족=정보보호 인력이 있어도 관련 자격증이 없는 등 전문성이 부족해 사이버 공격에 취약한 것으로 나타났다. 정부 40개 중앙부처 정보보호 업무 인력 총 71명 가운데 정보보호 자격증 소유자는 14명인 19.5%에 불과했으며, 이 중 국가와 민간의 정보보호 업무를 담당하는 행정안전부와 방송통신위원회 역시 정보보호관련 자격증 소지자가 없었다.
입법조사처는 보고서를 통해 "정보보호에 관한 체계적이고 전문적인 교육을 받지 않은 인력이 정보보호 업무를 수행할 경우, 보안 관련 사고에 대한 적절한 판단 미흡으로 대형 사고가 발생할 위험성이 크다"며 "공공부문 정보보호 전문인력 부족은 국가 정보보호 업무의 중요성과 필요성에 대한 인식이 부족함을 보여주는 것"이라고 지적했다.
상황이 이렇다보니, 실제로 사이버 안전 점검에서 정부기관 정보보호의 문제점이 드러났다.
국회입법조사처와 국회디지털포럼이 지난 6월 `국가기관 전산망 사이버안전대회'를 실시한 결과, SQL 공격, 커넥션 플루딩(Connection Flooding) 공격 등 전체 공격 88건 중 절반에 가까운 41건의 공격에 접속 장애가 발생했으며 대응 장비를 보유하고 있지 않은 기관인 경우엔 소량의 공격에도 홈페이지 접속 불가 및 서비스 지연 현상이 나타났다.
또 총 60개의 점검기관 중 77%의 기관에서 불필요한 정보 노출 및 파일 노출 취약점이 발견됐으며, 분산서비스거부(DDoS)공격 대응장비를 보유하고 있더라도 전문 관리자가 없거나 운영관리에 소홀해 각종 공격에 적절히 대응하지 못하는 경우도 있었다.
◇내년 예산도 감소=공공부문 정보보호 현황이 심각함에도 불구하고, 내년 공공부문 정보보호 예산은 지난해에 비해 24.7% 감소했으며, 대통령실, 소방방재청, 민주평통자문위원회 등 3개 부처는 정보보호 예산을 전혀 투입하지 않은 것으로 나타났다. 특히 대통령실은 지난 2008년부터 4년 간 정보화예산 대비 정보보호 예산이 전무해, 정보보호 대비에 미흡했다.
내년 정보보호 예산 대비 정보보호 예산이 5% 미만인 부처도 전체 부처의 56%(25개)에 달했다.
미국은 지난 2006년부터 2009년까지 정보보호 예산 비율이 꾸준히 증가해 평균 9%에 달하지만 우리나라는 지난 4년 간 평균 5.25% 수준이며, 올해 8.2%에서 내년엔 6.2%로 2%포인트 감소할 전망이다.
입법조사처는 "미국은 침해사고 발생 유무에 관계없이 꾸준하게 관련 예산을 투자하고 있지만 우리나라는 사고가 발생한 후에야 일회성 투자가 이뤄지고 있다"며 "국가적인 침해사고를 예방하고 효과적으로 대응하기 위해선 지속적인 투자가 이뤄져야 한다"고 지적했다.
이 밖에도 입법조사처는 보고서를 통해 정보보호 정책이 뿌리를 내리고 안전궤도에 진입할 수 있도록 지원 감독할 전문 인력 확보가 필수적이며, 지난해 7.7 DDoS 공격과 같은 국가차원의 사이버 침해사고 등에 효과적으로 대응하기 위해 현 `정보통신망 이용촉진 및 정보보호에 관한 법률'개정 또는 신규 법률 제정이 시급하다고 언급했다.
김지선기자 dubs45@
국회 입법조사처(처장 심지연)에서 20일 발표한 `국가 정보보호 정책 현황과 개선방안'보고서에 따르면, 정부ㆍ공공기관 중 정보보호 전담 부서를 운영하는 기관은 40개 기관 중 15.3%로 전체 조사기관의 6분의 1에도 못 미쳤으며, 정부 부처의 35.7%는 정보보호 인력을 한 명도 두지 않았다. 국무총리실은 정보보호업무를 총무과에서 담당하는 등 정보보호와 전혀 상관없는 곳에서 정보보호를 담당하는 경우도 있었다.
◇정보보호인력 전문성 부족=정보보호 인력이 있어도 관련 자격증이 없는 등 전문성이 부족해 사이버 공격에 취약한 것으로 나타났다. 정부 40개 중앙부처 정보보호 업무 인력 총 71명 가운데 정보보호 자격증 소유자는 14명인 19.5%에 불과했으며, 이 중 국가와 민간의 정보보호 업무를 담당하는 행정안전부와 방송통신위원회 역시 정보보호관련 자격증 소지자가 없었다.
입법조사처는 보고서를 통해 "정보보호에 관한 체계적이고 전문적인 교육을 받지 않은 인력이 정보보호 업무를 수행할 경우, 보안 관련 사고에 대한 적절한 판단 미흡으로 대형 사고가 발생할 위험성이 크다"며 "공공부문 정보보호 전문인력 부족은 국가 정보보호 업무의 중요성과 필요성에 대한 인식이 부족함을 보여주는 것"이라고 지적했다.
상황이 이렇다보니, 실제로 사이버 안전 점검에서 정부기관 정보보호의 문제점이 드러났다.
국회입법조사처와 국회디지털포럼이 지난 6월 `국가기관 전산망 사이버안전대회'를 실시한 결과, SQL 공격, 커넥션 플루딩(Connection Flooding) 공격 등 전체 공격 88건 중 절반에 가까운 41건의 공격에 접속 장애가 발생했으며 대응 장비를 보유하고 있지 않은 기관인 경우엔 소량의 공격에도 홈페이지 접속 불가 및 서비스 지연 현상이 나타났다.
또 총 60개의 점검기관 중 77%의 기관에서 불필요한 정보 노출 및 파일 노출 취약점이 발견됐으며, 분산서비스거부(DDoS)공격 대응장비를 보유하고 있더라도 전문 관리자가 없거나 운영관리에 소홀해 각종 공격에 적절히 대응하지 못하는 경우도 있었다.
◇내년 예산도 감소=공공부문 정보보호 현황이 심각함에도 불구하고, 내년 공공부문 정보보호 예산은 지난해에 비해 24.7% 감소했으며, 대통령실, 소방방재청, 민주평통자문위원회 등 3개 부처는 정보보호 예산을 전혀 투입하지 않은 것으로 나타났다. 특히 대통령실은 지난 2008년부터 4년 간 정보화예산 대비 정보보호 예산이 전무해, 정보보호 대비에 미흡했다.
내년 정보보호 예산 대비 정보보호 예산이 5% 미만인 부처도 전체 부처의 56%(25개)에 달했다.
미국은 지난 2006년부터 2009년까지 정보보호 예산 비율이 꾸준히 증가해 평균 9%에 달하지만 우리나라는 지난 4년 간 평균 5.25% 수준이며, 올해 8.2%에서 내년엔 6.2%로 2%포인트 감소할 전망이다.
입법조사처는 "미국은 침해사고 발생 유무에 관계없이 꾸준하게 관련 예산을 투자하고 있지만 우리나라는 사고가 발생한 후에야 일회성 투자가 이뤄지고 있다"며 "국가적인 침해사고를 예방하고 효과적으로 대응하기 위해선 지속적인 투자가 이뤄져야 한다"고 지적했다.
이 밖에도 입법조사처는 보고서를 통해 정보보호 정책이 뿌리를 내리고 안전궤도에 진입할 수 있도록 지원 감독할 전문 인력 확보가 필수적이며, 지난해 7.7 DDoS 공격과 같은 국가차원의 사이버 침해사고 등에 효과적으로 대응하기 위해 현 `정보통신망 이용촉진 및 정보보호에 관한 법률'개정 또는 신규 법률 제정이 시급하다고 언급했다.
김지선기자 dubs45@
