[연말기획-1] 농협 사이버테러 사건 그 이후

출입통제 강화 및 통합관제센터 구축...인력과 예산은 기대에 못 미쳐

보안뉴스에서는 연말기획으로 올 한해 보안 분야를 떠들썩하게 했던 주요 사건사고와 이슈들을 되돌아보고, 그 이후 상황을 점검해보는 기획기사를 진행중에 있습니다. 본지에서 현재 진행 중인 설문조사 문항을 중심으로 뒷이야기를 펼쳐보고자 하니 독자 여러분들의 많은 관심 부탁드립니다. 이와 관련된 제보도 받습니다. [편집자 주(editor@boannews.com)]

[보안뉴스 오병민] 2011년 4월 12일 농협에 재앙이 일어났다. 농협 전산망 내 서버 273대에 장애가 발생해 인터넷뱅킹을 비롯한 전산 서비스가 마비된 것. 이에 따라 농협은 외부 전문가의 사이버테러 가능성이 높다는 판단아래 수사를 의뢰했다. 그리고 농협은 4월 13일 오후부터 모든 업무를 연기하고 사태 수습에 나서 18일이 지난 4월 30일 업무를 정상화시켰다.

이 사건을 수사한 검찰은 지난 5월 3일 북한의 사이버테러로 잠정결론 내린 수사결과를 발표했다. 검찰은 3·4 디도스 공격과 7·7 디도스 공격에서 이용된 수법과 이번 공격 수법이 동일하다는 점이 북한 공격의 근거라고 설명했다. 그리고 전문가의 치밀한 준비를 바탕으로 지난달 12일 오전 8시 20분 공격명령 실행 파일을 외주 IT 업체 직원 노트북에 심었고 그날 오후 4시 50분부터는 원격제어로 파괴 명령을 3차까지 순차적으로 진행해 농협 587대의 서버 가운데 273대의 서버에 장애를 발생시켰다고 설명했다.

농협은 5월 3일 검찰의 수사결과 발표에 맞춰 보안강화 대책을 발표했다. 2015년까지 5,100억원을 투입해 최신 시스템을 설치하고 최고정보보호책임자(CSO)를 임명해 IT 보안조직을 개편함과 동시에 IT 전문가를 특별 채용해 IT 인력을 1천명으로 확대한다는 계획이었다.

사이버테러 이후 보안강화 대책 어떻게 되고 있나?

농협은 사이버테러 이후 내부자 출입 통제 강화와 IT 보안을 집중적으로 강화하고 있다고 설명했다. 우선 출입통제와 관련해 공항 검색대 수준의 물품반입절차 시스템을 적용하고 내부 CCTV를 추가 설치해 감시체계 강화함과 동시에 경비인력을 강화했다고 밝혔다.

그리고 내부 보안관제와 시스템 관제를 위한 통합관제센터를 안성전산센터에 구축해 12월부터 운영을 시작했다. 통합관제센터는 보안과 시스템관제 인력 20~30명으로 구성돼 있으며 3개조로 교대 운영된다.

또한, 전사적으로 DRM을 적용해 내부문서 보안을 강화하고 IT업무의 핵심인 IT센터에서는 업무별로 설치돼 있던 모든 PC를 통합관제센터와 연계함과 동시에 내부망과 인터넷망을 분리해 접근을 차단하고 무선인터넷 차단 시스템을 도입했다. 농협 측은 IT센터에 적용된 망분리와 무선인터넷 차단 시스템을 전사로 확대할 계획이라고 덧붙였다.

아울러 이번 달 안철수연구소의 보안컨설팅 최종 결과보고를 받아 컨설팅 내용을 바탕으로 보안 시스템 개편을 대대적으로 진행할 계획이라고 강조했다.

그러나 IT 보안인력 충원은 사고 이후에도 미진한 편이다. 올해 충원된 IT 인력은 60~70명 규모로 충원인력의 반은 사고 이전에 충원됐기 때문에 실제 충원된 인력은 30명 정도이다. 작년 농협의 IT 인력은 정규직만 540명으로 비정규직과 IT 관계사 인력까지 포함하면 763명이었다. 그러나 보안대책 발표 당시 2012년까지 IT 인력 목표가 1,000명이기 때문에 충원된 인력을 포함하더라도 200명은 더 충원해야한다.

아울러 사이버테러 이후 보안에 투자한다던 5,100억원의 예산이 얼마나 집행됐는지도 의문이다. 농협측은 순차적으로 투자를 진행하고 있다고 했지만 내부적으로도 투입된 예산에 대한 정확한 집계는 파악할 수 없다고 전했다.

이에 대해 농협 측 관계자는 “5,100억원의 예산은 2015년까지 장기적으로 투자하는 예산이기 때문에 앞으로 꾸준한 투자가 진행될 것”이라고 설명하고 “보안컨설팅 결과를 통한 보안체계 개편으로 인력 충원 규모가 확대될 것이며, IT 시스템 증설과 개편이 진행됨에 따라 업무적으로 필요한 인력을 더욱 보강할 계획”이라고 밝혔다.

[오병민 기자(boan4@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)