박춘식 아주대 사이버보안학과 교수
![[포럼] 국가시스템 전면적 보안점검 시급하다](http://contents.dt.co.kr/images/201810/2018102202102369640001[1].jpg "[포럼] 국가시스템 전면적 보안점검 시급하다")
결론부터 먼저 말하자면, 해킹 여부와 정보 공개 등에 대한 적법성 여부 등은 법적인 판단 사항이다. 하지만, 분명한 것은 디브레인 시스템에 대한 비인가 접근이 가능했으며 이로 인하여 국가기밀 등의 정보 유출이 일어난 것은 명백한 보안 사고다.
보안 사고는 해킹만이 아니라 내부자 유출, 실수 및 오남용, 천재지변 등 다양한 보안 위협 요소들이 그 조직이나 시스템의 취약점 등을 통하여 정보 유출이나 시스템 가동 중단 등의 형태로 발생되는 것이다. 해킹이라는 보안 위협은 항상 존재하는 것이며, 해킹을 통한 것이 아니더라도 수 많은 보안 사고는 발생하고 있다.
사실 외부로부터의 해킹을 통한 보안사고는 내부자 등에 의한 정보유출로 인한 보안 사고에 비하면 20~30% 이하 정도에 불과한 것으로 알려지고 있으며, 대부분의 보안 사고는 사실 해킹 보다 내부자 불법 유출 등에 의한 보안 사고들이 대부분을 차지하고 있다.
보안 사고에 있어서 중요한 것은 해킹 등의 일상적인 보안 위협의 존재도 중요한 문제이지만, 조직이나 시스템의 보안 취약점을 줄이거나 없애지 못하여 즉 보안 대책을 제대로 하지 못하여, 이러한 취약점을 통한 각종 위협들이 보안 사고를 일으키게 하는 것이다.
이번 디브레인 시스템의 경우도 마찬가지다. 너무도 간단한 조작만으로 인한 불법 접근은 언제든지 발생할 수 있는 보안 위협 중의 하나에 불과하다.
오히려 국가 기밀을 다루는 중요한 국가 시스템이 이렇게 허술한 보안 관리나 대책으로 운용되고 있었기 때문에 발생한 보안 사고다. 원인이나 사실 여부 그리고 적법성 등의 각종 논쟁 여부를 떠나서 분명한 것은 보안 사고임에 틀림없다는 것이다.
사실 보안에서 무서운 것은 내부자 실수나 불법 소행 그리고 외부 조직이나 국가 등에 의한 해킹 등으로 사실상 국가 기밀 들이 유출되고 있음에도, 이를 인식하거나 관리하지 못하고, 시스템이나 조직이 보안상 안전하게 지켜지고 있을 것이라고 착각하고 있는 점이다. 만일 이번 보안 사고도 정치권에서 문제화 되지 않았더라면 아직도 국가 기밀이 유출되고 있을 지도 모르거나, 안전하다고 착각하고 국가 기밀을 계속 운용하고 있었을 지도 모르는 일이다.
보안에 있어서, 윤리적이거나 합법적인 공격자나 선의의 공격자를 기대하면서 보안 대책을 만들거나 보안 관리를 하지 않는다. 제대로 된 보안은 최악의 경우를 대비하면서 해커나 내부자 등 어떠한 경우의 공격자나 공격에도 예방하고 피해를 최소화하는 방향으로 보안 정책을 마련하고 보안 대책을 강구하는 것이 일반적이다.
정치권의 이번 사건을 보는 논쟁과는 달리 이번 기회에 국가 기밀 및 보안에 대한 인식부터 다시 제고하는 기회로 삼았으면 한다. 이번 보안 사고를 계기로 국가 시스템 전반에 대한 보안 점검이나 평가가 다시 이루어져 제대로 된 보안 대책이 강구되기를 바란다. 정치적인 논쟁보다 국가 안보와 국익이 우선시되는 보안에 대한 인식 제고와 함께 국가 보안 역량 강화가 우선시 되는 계기가 이루어지기를 간절히 바라고 또 바랄 뿐이다.
보안에 있어서 완벽은 없다. 항상 우리의 정보가 유출될 수 있다는 경계심으로, 취약성은 존재하지 않는 지, 보안 대책은 잘 시행되고 있는 지,국가의 보안 역량을 강화하면서 보안에 최선을 다 할 수 밖에 없다.
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
