7.7 DDoS 대란, 방통위 조직 변화해야 한다

방통위에 정보보호 총괄국, 부처별 정보보호과 신설 필요

청와대 내에 국가 사이버 위기 총괄 코디네이터 필요

수도권 메이저 대학에 정보보호 학과 신설...정부 협조 있어야

7.7 DDoS 대란이 한바탕 휘몰아치고 지나갔다. 정부는 조직의 문제와 대응체계의 허술함에 대해 실질적인 개선책과 대응 매뉴얼을 내 놔야 할 시점이다. 기업은 정부에 좀더 신속한 공조 체계 마련을 원하고 있다.

임종인 고려대학교 정보경영공학전문대학원 원장은 “7.7 DDoS 대란은 우리에게 다시 한번 정보보안의 중요성을 일깨워주는 계기가 됐다. 1.25 대란 이후에도 후속조치로 여러 보안조직이 생겨나고 대응체계 마련이 있었지만 결국 제대로 된 실천이 없었기 때문에 다시 이러한 사태가 발생한 것”이라고 강조했다.

임 원장은 “최근 해킹공격은 경제적 목적을 위해 이루어졌지만 이번 DDoS 공격은 공격자의 의도도 파악하기 힘들었으며 신속한 분석과 대응법도 뒤 늦게 발표돼 혼란이 가중됐다”고 말했다.

또 이번 공격이 “한국의 시큐리티 능력을 체크해 본 수준”이라며 “공격자가 북한이든 외국이든 아니면 한국인이든 이번에 획득한 데이터를 통해 한국의 취약점을 충분히 파악했을 것이고 2차 공격에도 자신감을 가졌을 것이다. 하지만 당분간은 공격이 없을 것으로 보인다. 이럴 때 제대로 된 준비가 필요하다”고 덧붙였다.

임 원장은 7.7 DDoS 대란 대응 체계의 문제점에 대해 크게 정부 조직의 문제점과 인력 인프라 부족 문제를 지적했다.

“방통위에 정보보호 국장급, 각 부처별 정보보호과 신설해야”

최소한 방송통신위원회가 민간 분야의 정보보호를 책임질 것이라면 방통위 내부에 정보보호 전담 국장급이 있어야 한다는 것. 현재 방송통신위원회에는 정보보호와 관련 과장급만 존재할 뿐 전혀 중심체로서의 역할과 조직체계가 돼 있지 않은 상황이다.

위기상황 발생시 어떻게 과장급이 타 부처와의 공조를 결정하고 민간 기업과 어떻게 협력해야 하는지 총체적인 지휘가 가능하냐는 지적이다.

임 원장은 “민간 이용자와 기업들의 네트워크 안전망을 책임지는 방송통신위원회에 정보보호 총괄국이 만들어져야 하고 이를 총괄할 수 있는 국장급 책임자가 반드시 필요하다”고 강조했다.

또한 각 정부 부처별로 정보보호 전담과를 신설하고 이를 총괄하는 과장급들이 정보보호를 관장해야 한다는 것이다. 한편 이번과 같은 사이버 위기가 발생하면, 방송통신위원회 정보보호 총괄국장을 중심으로 각 부처 정보보호 과장급 긴급회의를 열고 정부 부처의 대응 방향을 신속하게 결정하고 민간과 긴밀한 협조가 이루어질 수 있도록 컨트롤 해줘야 한다고 설명했다.

청와대에 사이버위기 총괄 코디네이터 필요

한편 DDoS 대란 이후 불거진 정보보호 컨트롤 센터 신설 필요성과 관련해서는 별도의 조직을 만들기 보다는 전체적으로 위기발생시 정부부처와 민간 대응체계를 조정할 수 있는 코디네이터가 청와대 내부에 존재해야 한다고 강조했다.

임 원장은 “미국도 국토안보부에 모든 시큐리티 권한을 부여했지만 결국 실패로 돌아간 정책이었다. 평상시에는 각 부처별로 정보보호국과 정보보호과에서 담당자들이 일상적인 보안 업무를 총괄하고 국가 차원의 사이버 위기상황이 발생하면 청와대 국가 시큐리티 코디네이터의 컨트롤 하에서 일사분란하게 대처 해나가는 것이 좋을 것 같다”고 강조했다.

특히 시큐리티 코디네이터는 정보보안 예산과 조직평가에 관여할 수 있는 영향력이 있어야 하고 시큐리티 전영역에 두루 식견을 가진 보안전문가가 적임일 것이라고 덧붙였다.

“수도권 메이저 대학에 정보보호 학과 신설...정부가 나서줘야”

인력문제도 거론이 됐다. 임 원장은 “이번 사태만 봐도 악성코드 분석이 너무 늦었다. 그에 따라 백신도 늦게 나온 상황이었다. 전문 인력이 너무 부족한 상황”이라며 “인적 인프라를 확보하는 것이 장기적으로 봤을 때 최선의 보안투자이자 확실한 방법”이라고 말했다.

특히 고등학생들 중에서도 분석 능력이나 해킹기술에 뛰어난 학생들이 많은데 이러한 학생들이 제대로 된 정규 대학교육을 받을 수 있는 곳이 부족하다는 것이다.

임 원장은 “수도권 지역 메이저 대학에 정보보호 학과가 없는 상황이다. 전산학과에서 정보보호 교육은 한계가 있다. 메이저 대학에 사이버보안 학과나 정보보호 학과가 만들어 져야 한다”며 “현재 메이저 대학은 정원 동결로 인해 정보보호 학과 신설이 어려운 상황이다. 하지만 이번 사태를 계기로 정부에서 예외 규정을 둬서라도 정보보호 학과가 신설될 수 있도록 해줘야 한다”고 강조했다.

즉 실질적인 인력양성 교육체계가 만들어져 정보보호 영재들이 공백상태 없이 대학에 진학하고 고급 정보보호 인력으로 양성돼 국가와 사회, 기업 등에 이바지 할 수 있는 기반을 마련해 줘야 한다고 설명했다.

[길민권 기자(reporter21@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)