군사ㆍ국민 정보 관리 정부시스템 `뇌관`
웹서비스 지원위해 온라인환경 고도화…보안위협 급상승
금융기관 폐쇄형시스템 사용 불구 외부시스템 보안 `구멍`
웹서비스 지원위해 온라인환경 고도화…보안위협 급상승
금융기관 폐쇄형시스템 사용 불구 외부시스템 보안 `구멍`
오픈SSL 취약점으로 가장 우려되는 부분은 국가기밀과 국민 개인정보를 관할하는 정부시스템이다. 인터넷뱅킹, 온라인 쇼핑몰 등 전자금융거래 역시 위험요소를 안고 있다.
13일 정부와 보안전문가들에 따르면 오픈SSL 취약점으로 인해 보안 위협이 높은 곳은 정부시스템과 금융기관으로 나타났다.
이경호 고려대 정보보호대학원 교수는 "정부시스템이 웹서비스 지원을 위해 온라인 환경으로 고도화 돼 있기 때문에 오픈SSL 취약점에 영향을 받을 수 있다"면서 "정부 시스템 전체를 관리하는 정부통합전산센터와 정보화진흥원을 통해 현재 오픈SSL이 어떤 시스템에 적용돼 있는지 조속히 파악하고 패치 업데이트를 해야 한다"고 경고했다.
예를 들어 국방부의 경우 병무청 병무포털을 통해 대한민국 군인 정보를 모두 관리하고 있으며 대외 서비스도 제공하고 있다. 안전행정부는 민원24를 통해 각종 민원서류의 온라인 발급을 지원하고 있으며 국세청은 연말정산을 비롯한 각종 세무민원 서비스를 온라인으로 지원하는 중이다.
이 교수는 "비단 외부 온라인 서비스뿐만 아니라 최근에는 내부 업무시스템까지 클라우드 등 웹 기반으로 구축하는 경우가 많아 생각보다 더 많은 오픈SSL이 적용됐을 수도 있다"면서 "일단은 현황을 파악하고 안정적으로 패치를 적용해 나가는 것이 중요하다"고 강조했다.
이와 관련 주무부처인 안전행정부에서 현재 정부 기반 시설에 대한 긴급 점검을 실시하고 오픈SSL 취약점 보완을 위한 행동 메뉴얼 등을 배포하고 있다.
하승철 정보자원기반과장은 "오픈SSL 취약점 보완을 위한 패치 업데이트가 공개돼 있기는 하나 업데이트 이후 정부 시스템에 어떤 영향을 미칠지 사전 테스트가 필요하기 때문에 정부통합전산센터에서 사전영향도평가를 실시하고 있다"면서 "정부시스템 중요도에 따라 우선순위를 정하고 해당 부처와 협의를 통해 최단시간 내 취약점 보완을 하고자 노력 중"이라고 설명했다.
전자상거래와 전자금융거래도 불안한 부분이다. 금융기관의 경우 고도의 거래안정성을 확보하기 위해 오픈시스템보다는 폐쇄형 시스템을 사용하는 경우가 많아 상대적으로 위험에 덜 노출돼 있기는 하나, 고객 접점의 포털이나 웹서비스 부분에서 오픈SSL 취약점이 영향을 미칠 수 있는 것으로 알려졌다. 특히 금융기관의 경우 거래 안정성을 담보해야 하기 때문에 보다 신중하게 위험도를 판단하고 패치 업데이트를 해야한다.
문제는 민간의 이같은 수요를 감당하기에는 국내에 관련 전문가가 부족하다는 점이다.
화이트해커 출신 김경곤 딜로이트안진회계법인 매니저는 "(금융권을 비롯해)국내 주요 기업들은 정보보안 전문가를 몇 년전부터 채용했지만 기술 전문가라기 보다 `관리보안' 부분에 치우쳐져 있어 이번 취약점과 같은 기술적 부분에 대응하는데 한계가 있다"면서 "현 상황에서는 이런 취약점에 즉각 대응할 수 있는 전문가가 부족한 실정"이라고 지적했다.
이에 대해 임종인 고려대 정보보호대학원장은 "오픈SSL은 영세 보안업체들이나 네트워크 업체들이 시스템을 구축할 때 많이 사용하다보니 꼭 정부의 중앙 시스템이나 금융기관 핵심 시스템이 아니더라도 이와 연계된 협력망이나 외부 연계 시스템에 맞물려 심각한 보안 `구멍'을 만들어 낼 수 있다"면서 "업체가 영세하다보니 이를 보완할 기술력이나 인력이 부족한 상황이니 한국인터넷진흥원과 같은 정부 전문가 집단이 측면에서 기술지원을 돕는 것도 방법"이라고 설명했다.
강은성기자 esther@
13일 정부와 보안전문가들에 따르면 오픈SSL 취약점으로 인해 보안 위협이 높은 곳은 정부시스템과 금융기관으로 나타났다.
이경호 고려대 정보보호대학원 교수는 "정부시스템이 웹서비스 지원을 위해 온라인 환경으로 고도화 돼 있기 때문에 오픈SSL 취약점에 영향을 받을 수 있다"면서 "정부 시스템 전체를 관리하는 정부통합전산센터와 정보화진흥원을 통해 현재 오픈SSL이 어떤 시스템에 적용돼 있는지 조속히 파악하고 패치 업데이트를 해야 한다"고 경고했다.
예를 들어 국방부의 경우 병무청 병무포털을 통해 대한민국 군인 정보를 모두 관리하고 있으며 대외 서비스도 제공하고 있다. 안전행정부는 민원24를 통해 각종 민원서류의 온라인 발급을 지원하고 있으며 국세청은 연말정산을 비롯한 각종 세무민원 서비스를 온라인으로 지원하는 중이다.
이 교수는 "비단 외부 온라인 서비스뿐만 아니라 최근에는 내부 업무시스템까지 클라우드 등 웹 기반으로 구축하는 경우가 많아 생각보다 더 많은 오픈SSL이 적용됐을 수도 있다"면서 "일단은 현황을 파악하고 안정적으로 패치를 적용해 나가는 것이 중요하다"고 강조했다.
이와 관련 주무부처인 안전행정부에서 현재 정부 기반 시설에 대한 긴급 점검을 실시하고 오픈SSL 취약점 보완을 위한 행동 메뉴얼 등을 배포하고 있다.
하승철 정보자원기반과장은 "오픈SSL 취약점 보완을 위한 패치 업데이트가 공개돼 있기는 하나 업데이트 이후 정부 시스템에 어떤 영향을 미칠지 사전 테스트가 필요하기 때문에 정부통합전산센터에서 사전영향도평가를 실시하고 있다"면서 "정부시스템 중요도에 따라 우선순위를 정하고 해당 부처와 협의를 통해 최단시간 내 취약점 보완을 하고자 노력 중"이라고 설명했다.
전자상거래와 전자금융거래도 불안한 부분이다. 금융기관의 경우 고도의 거래안정성을 확보하기 위해 오픈시스템보다는 폐쇄형 시스템을 사용하는 경우가 많아 상대적으로 위험에 덜 노출돼 있기는 하나, 고객 접점의 포털이나 웹서비스 부분에서 오픈SSL 취약점이 영향을 미칠 수 있는 것으로 알려졌다. 특히 금융기관의 경우 거래 안정성을 담보해야 하기 때문에 보다 신중하게 위험도를 판단하고 패치 업데이트를 해야한다.
문제는 민간의 이같은 수요를 감당하기에는 국내에 관련 전문가가 부족하다는 점이다.
화이트해커 출신 김경곤 딜로이트안진회계법인 매니저는 "(금융권을 비롯해)국내 주요 기업들은 정보보안 전문가를 몇 년전부터 채용했지만 기술 전문가라기 보다 `관리보안' 부분에 치우쳐져 있어 이번 취약점과 같은 기술적 부분에 대응하는데 한계가 있다"면서 "현 상황에서는 이런 취약점에 즉각 대응할 수 있는 전문가가 부족한 실정"이라고 지적했다.
이에 대해 임종인 고려대 정보보호대학원장은 "오픈SSL은 영세 보안업체들이나 네트워크 업체들이 시스템을 구축할 때 많이 사용하다보니 꼭 정부의 중앙 시스템이나 금융기관 핵심 시스템이 아니더라도 이와 연계된 협력망이나 외부 연계 시스템에 맞물려 심각한 보안 `구멍'을 만들어 낼 수 있다"면서 "업체가 영세하다보니 이를 보완할 기술력이나 인력이 부족한 상황이니 한국인터넷진흥원과 같은 정부 전문가 집단이 측면에서 기술지원을 돕는 것도 방법"이라고 설명했다.
강은성기자 esther@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
