보안장비 구축하고도 업데이트 · 관리 방치
IBM "보안사고 80% 사후관리 부재가 원인"
IBM "보안사고 80% 사후관리 부재가 원인"
잊을 만 하면 반복되는 대형 개인정보유출 및 해킹, 사이버테러 등은 정부 기관이나 기업이 갖춰 놓은 보안 장비를 제대로 '유지관리' 하지 않아 벌어지는 것이 상당수인 것으로 드러났다. 특히 법률에 따라 의무적으로 보안장비를 구축했지만 보안에 대한 관심과 의지가 적은 교육기관이나 지방자치단체 등은 사실상 보안성 유지를 전혀 하지 않고 있는 것으로 나타났다.
26일 디지털타임스가 조사한 바에 따르면, 전국 초중고등학교 등 교육기관은 교육부 방침에 따라 학생 개인정보 및 학사정보를 보호하기 위한 방화벽, 무선보안인증, 이메일 보안 등 다양한 보안제품을 구축해 사용하고 있지만 보안제품 '설치' 후 유지관리는 전혀 하지 않고 있는 것으로 나타났다. 익명을 요구한 A무선보안인증업체 대표는 "전국 146개 학교에 무선보안인증 제품을 구축했지만 구축 이후 보안성 유지관리를 받은 학교는 단 한 곳도 없다"고 토로했다.
정보보안 제품은 한번 설치한다고 끝나는 것이 아니라 매 순간 새롭게 등장하는 해킹 기술 등을 탐지, 업데이트 해야 제 기능을 하게 된다. 이를 '보안성 유지 서비스'라 한다.
A업체 대표는 "보안제품을 구매해 설치하고 나면 '보안 대비를 다했다'는 생각에 제대로 보안성 유지를 하지 않는 고객이 대다수"라며 "사실 구매, 설치 역시 상급기관의 감사를 의식해 연말에 무더기로 발주, 저가로 일괄구매해 설치하기 때문에 각 현장의 특성에 맞는 보안성을 구현하는 '기초 공사'조차 제대로 되지 않는 것이 현실"이라고 덧붙였다.
국민의 신상정보와 재산 등 민감한 모든 행정정보를 관리하는 지방자치단체들은 상황이 더 심각하다. 현재 지자체의 경우 행정자치부에서 매년 '보안장비 통합구매' 방식으로 보안제품을 일괄 구매한 후 각급 지자체로 내려보낸다. 구매는 최저가 입찰로 이뤄지며 구매 이후 사후관리는 사실상 이뤄지지 않는 상황이다.
B 업체 대표는 "각 지방 시청이나 구청 등의 보안제품은 10년전 장비가 그대로 있는 경우도 있다. 유지관리를 하려 해도 단종됐거나 너무 오래된 구형 기술이라 현재 기술과 연계할 수 없는 사례도 적지 않다"면서 "보안성 유지의 필요성을 얘기하면 해당 기관은 '보안사고가 난 적이 없어 우리 기관은 안전하다'고 하는데, 이는 보안성 유지가 되지 않아 해킹을 당했는지, 정보가 유출됐는지 그 사실조차 알지 못하기 때문"이라고 목소리를 높였다.
실제 IBM의 사이버보안 인텔리전스 보고서에 따르면, 보안사고 중 80% 이상은 정보보호 제품 구비 미흡이 아닌, 서비스 부재로 인해 발생하는 것으로 나타났다. 백신이나 각종 보안 장비를 구비 해 놓고도 이에 대한 제대로 된 보안 업데이트 및 정책 반영을 하지 않아 일어나는 보안 사고가 85%에 달한다는 것이다.
심종헌 지식정보보안산업협회장은 "일반 IT 제품과 달리, 정보보호 제품은 상시 발생하는 바이러스, 웜 등 보안 위협에 대비해 주기적인 보안업데이트가 필요하다"면서 "지난 2014년 상반기에만 8000여건의 해킹과 46만건의 악성코드가 발생하고 있는데 이를 수시로 방어할 수 있는 정보보호 제품 업데이트와 유지관리가 이뤄지지 않으면 사이버 침해사고는 반드시 발생하게 되는 것"이라고 지적했다. 그는 또 "보안성 유지관리는 국가사이버안보와 기업의 보안성 강화를 위해 반드시 이뤄져야 한다"고 덧붙였다.
강은성기자 esther@dt.co.kr
26일 디지털타임스가 조사한 바에 따르면, 전국 초중고등학교 등 교육기관은 교육부 방침에 따라 학생 개인정보 및 학사정보를 보호하기 위한 방화벽, 무선보안인증, 이메일 보안 등 다양한 보안제품을 구축해 사용하고 있지만 보안제품 '설치' 후 유지관리는 전혀 하지 않고 있는 것으로 나타났다. 익명을 요구한 A무선보안인증업체 대표는 "전국 146개 학교에 무선보안인증 제품을 구축했지만 구축 이후 보안성 유지관리를 받은 학교는 단 한 곳도 없다"고 토로했다.
정보보안 제품은 한번 설치한다고 끝나는 것이 아니라 매 순간 새롭게 등장하는 해킹 기술 등을 탐지, 업데이트 해야 제 기능을 하게 된다. 이를 '보안성 유지 서비스'라 한다.
A업체 대표는 "보안제품을 구매해 설치하고 나면 '보안 대비를 다했다'는 생각에 제대로 보안성 유지를 하지 않는 고객이 대다수"라며 "사실 구매, 설치 역시 상급기관의 감사를 의식해 연말에 무더기로 발주, 저가로 일괄구매해 설치하기 때문에 각 현장의 특성에 맞는 보안성을 구현하는 '기초 공사'조차 제대로 되지 않는 것이 현실"이라고 덧붙였다.
국민의 신상정보와 재산 등 민감한 모든 행정정보를 관리하는 지방자치단체들은 상황이 더 심각하다. 현재 지자체의 경우 행정자치부에서 매년 '보안장비 통합구매' 방식으로 보안제품을 일괄 구매한 후 각급 지자체로 내려보낸다. 구매는 최저가 입찰로 이뤄지며 구매 이후 사후관리는 사실상 이뤄지지 않는 상황이다.
B 업체 대표는 "각 지방 시청이나 구청 등의 보안제품은 10년전 장비가 그대로 있는 경우도 있다. 유지관리를 하려 해도 단종됐거나 너무 오래된 구형 기술이라 현재 기술과 연계할 수 없는 사례도 적지 않다"면서 "보안성 유지의 필요성을 얘기하면 해당 기관은 '보안사고가 난 적이 없어 우리 기관은 안전하다'고 하는데, 이는 보안성 유지가 되지 않아 해킹을 당했는지, 정보가 유출됐는지 그 사실조차 알지 못하기 때문"이라고 목소리를 높였다.
실제 IBM의 사이버보안 인텔리전스 보고서에 따르면, 보안사고 중 80% 이상은 정보보호 제품 구비 미흡이 아닌, 서비스 부재로 인해 발생하는 것으로 나타났다. 백신이나 각종 보안 장비를 구비 해 놓고도 이에 대한 제대로 된 보안 업데이트 및 정책 반영을 하지 않아 일어나는 보안 사고가 85%에 달한다는 것이다.
심종헌 지식정보보안산업협회장은 "일반 IT 제품과 달리, 정보보호 제품은 상시 발생하는 바이러스, 웜 등 보안 위협에 대비해 주기적인 보안업데이트가 필요하다"면서 "지난 2014년 상반기에만 8000여건의 해킹과 46만건의 악성코드가 발생하고 있는데 이를 수시로 방어할 수 있는 정보보호 제품 업데이트와 유지관리가 이뤄지지 않으면 사이버 침해사고는 반드시 발생하게 되는 것"이라고 지적했다. 그는 또 "보안성 유지관리는 국가사이버안보와 기업의 보안성 강화를 위해 반드시 이뤄져야 한다"고 덧붙였다.
강은성기자 esther@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
