대형사고 후에만 땜질식 예산 투입
정보유출 안일한 대처가 범죄 키워
피싱ㆍ스미싱 등 신종사기 급속확산
모든 IT시스템의 `기초=보안` 인식
정부ㆍ기업 중장기 보안정책 마련을
정보유출 안일한 대처가 범죄 키워
피싱ㆍ스미싱 등 신종사기 급속확산
모든 IT시스템의 `기초=보안` 인식
정부ㆍ기업 중장기 보안정책 마련을
■ 보안 강국이 IT강국이다
#1. 2003년 1월25일, 대한민국은 강력한 `벌레`의 공격을 받았다. 국내 대다수 인터넷 서비스가 멈춰버렸고 벌레(웜 바이러스)에 심각하게 당한 개인 컴퓨터는 `알 수 없는 오류'라는 단말마를 남기고 블루스크린을 띄우며 `전사'해 버리기도 했다. 당시 정부(정보통신부)는 "인터넷 및 PC 이용자의 낮은 보안의식이 문제"라고 공식 입장을 발표하고 이용자가 보안 프로그램을 설치하거나 운영체제를 업그레이드해야 한다며 `행동지침'을 발표했다.
#2. 2008년 2월4일 저녁, 국내 최대 인터넷 쇼핑몰 `옥션'이 해킹을 당했다. 가입자 이름과 주민등록번호, 심지어 거래정보 등의 민감한 정보까지 총 1081만건이 해커에게 도난 당해 소비자들은 충격에 휩싸였다. 대형 분실사고를 낸 옥션에게 소비자들은 `관리 책임'을 물어 집단 소송을 냈다. 사법당국은 "개인정보 유출로 인한 소비자의 `피해'가 명확하지 않고 이를 회사가 모두 책임져야 할 의무는 없다"며 무죄 방면했다.
`열 포졸이 한 도둑 못 막는다'는 옛 속담처럼 사이버 범죄자들을 원천 봉쇄하는 것은 사실상 불가능에 가깝다. 다만 사이버 범죄에서 안전할 수 있도록 위험을 최대한 낮추는 일은 가능하다.
그러나 2014년 현재 대한민국에게 `사이버 범죄로부터 최대한 안전한 보호를 받고 있는가'라는 질문을 던진다면 `그렇지 않다'는 답변이 돌아온다.
2003년 1.25 대란 이후 국내에선 이에 버금가는 대형 사이버 공격이 줄을 이었다. 2009년 7.7 분산서비스거부(DDoS, 이하 디도스) 공격, 2011년 3.4 디도스 공격, 같은 해 농협 전산망 마비 사태에 이어 지난해에는 3.20 및 6.25 사이버테러가 연달아 발생하는 초유의 사태가 일어나기도 했다.
1.25 대란 때 네트워크 마비 사태를 `이용자의 보안의식 결여'라고 무책임하게 단정했던 정부는 11년이 지난 지금까지도 대형 사이버 공격이 발생할 때마다 땜질식 `긴급 대책'을 내놓는데 그치고 있다.
정보보호 정책전문가는 "그동안 정부는 사이버 공격이 발생할 때마다 각종 대책을 날림식으로 만들어내곤 했지만 그런 정책은 채 1년도 가질 않아 사장되곤 했다"면서 "중요한 것은 전체적인 정보보호 수준을 점검, 진단하고 미흡한 점을 분석해 국가 체계에 걸맞은 정보보호 시스템을 확립해야 하는데 특정 공격에 대응하기 위한 일부 시스템 증설에만 예산이 반짝 투입되는데 그쳤다"고 지적했다.
실제로 1757억원의 정보보호 예산이 편성됐던 2008년에 7.7 디도스 공격이 발생하자 정부는 이듬해 예산을 2695억원으로 상향조정했다. 그러나 이는 1년도 가지 못해 2011년 2035억원으로 줄였고, 이때 또 다시 3ㆍ4 디도스 공격과 농협 전산망 마비 사건이 터지자 2012년 예산을 2633억원으로 다시 늘렸다.
정보보호를 위한 장기적이고 체계적인 대책 마련과 예산 집행이 아닌, 사태 수습을 위한 땜질 처방에만 예산이 투입된 방증이라는 분석이다.
안보에 관한 일 뿐만이 아니다. 어느 때부터인가 국민들은 스마트폰의 문자메시지나 메신저 쪽지에 포함된 인터넷 주소(URL)를 더이상 클릭하지 않는다. 지인이 올린 페이스북이나 트위터 인터넷 주소도 한번 누르기가 망설여진다. 온 나라가 스미싱(휴대폰 문자사기)과 피싱, 파밍 등 신종 전자금융사기에 노이로제 반응을 보이고 있는 것이다.
처음에는 손쉽게 대출을 해주겠다는 김미영 팀장이나 자식 돌잔치에 초대한다는 이름 없는 초청장이 불특정 다수에게 뿌려졌다. 일부 소비자들이 이를 인지하고 조심하기 시작하자 이제는 인터넷 공간에 둥둥 떠다니는 수많은 개인정보와 결합해 고도의 범죄수법으로 번져나가고 있다.
전문가들은 `첫 단추'부터 잘못됐다고 꼬집는다. 1081만건의 개인정보가 유출된 2008년 옥션 사태 때 정부와 사법당국이 사태의 심각성을 지나치게 안일하게 재단하고 솜방망이 처벌을 내린 것이 오늘날의 정보유출 대란과 이로 인한 각종 사기범죄의 창궐을 불러왔다는 것이다.
법조계 관계자는 "현행 법제도는 정보유출에 관한 강력한 제재보다는 정보 활용과 촉진에 그 초점이 맞춰져 있다"면서 "소비자의 개인정보에 대한 권리는 산업논리에 따라 번번이 무시되기 일쑤였고 그 같은 인식이 정보유출 대란을 초래했다"고 지적했다.
그는 또 "정보보호 법률은 대부분 정보관리 대상 기업에 대한 의무와 제반 보호규정 들을 주로 담고 있어 실질적인 형사 처벌이나 강력한 행정 처분이 이뤄지기 쉽지 않다"면서 "결국 정보를 빼 낸 범죄자는 실제 절도나 사기행각에 준하는 범죄를 저지르고도 이에 비해 비교적 가벼운 처벌을 받는 맹점이 생겨나게 됐다"고 꼬집었다.
일례로 최근 전국민을 공황상태로 빠뜨린 카드정보유출 사건과 동일한 신용카드 고객정보 유출 사건이 5년전에도 발생했지만 그때도 사법당국은 죄인에 대해 가벼운 처벌을 내렸다가 그마저도 죄인이 항소를 하자 엉뚱한 법 해석을 내리며 무죄방면 했다.
결국 2003년 1.25 대란과 2008년 옥션 사태 때부터 안일하게 대처하며 정보보호에 제대로 투자하지 않았던 것이 현재의 혼란을 초래했다는 것이다. 따라서 진정한 IT강국의 위상을 세우기 위해서는 `보안'이라는 부분이 기초공사로 작용해야 한다고 전문가들은 강조한다.
심종헌 지식정보보안산업협회장은 "그동안 정부나 기업은 보안 시스템을 모든 IT시스템의 최종 `마감재'로 여기는 경향이 강했다. 보안을 강화하는 것이 `문단속'을 하는 것 정도로만 여겼던 것"이라면서 "그러나 보안은 IT시스템을 구축하는 첫 단계부터 고려돼야 할 기초공사이자 기본 설계"라고 목소리를 높였다.
이장훈 지식정보보안산업협회 상근부회장도 "지난해 대형 사이버테러가 잇따라 발생했지만 국내 정보보안산업은 2.5%라는 저성장에 그쳤다. 사건이 발생하면 온통 난리를 피우지만 정작 제대로 된 보안 투자는 하지 않았다는 의미"라며 "이제라도 정부와 기업은 보안체계 확립을 위한 중장기 계획을 수립하고 예산을 반영해 보안 기초를 튼튼히 닦아 나가야 한다"고 입을 모았다.
강은성기자 esther@
#1. 2003년 1월25일, 대한민국은 강력한 `벌레`의 공격을 받았다. 국내 대다수 인터넷 서비스가 멈춰버렸고 벌레(웜 바이러스)에 심각하게 당한 개인 컴퓨터는 `알 수 없는 오류'라는 단말마를 남기고 블루스크린을 띄우며 `전사'해 버리기도 했다. 당시 정부(정보통신부)는 "인터넷 및 PC 이용자의 낮은 보안의식이 문제"라고 공식 입장을 발표하고 이용자가 보안 프로그램을 설치하거나 운영체제를 업그레이드해야 한다며 `행동지침'을 발표했다.
#2. 2008년 2월4일 저녁, 국내 최대 인터넷 쇼핑몰 `옥션'이 해킹을 당했다. 가입자 이름과 주민등록번호, 심지어 거래정보 등의 민감한 정보까지 총 1081만건이 해커에게 도난 당해 소비자들은 충격에 휩싸였다. 대형 분실사고를 낸 옥션에게 소비자들은 `관리 책임'을 물어 집단 소송을 냈다. 사법당국은 "개인정보 유출로 인한 소비자의 `피해'가 명확하지 않고 이를 회사가 모두 책임져야 할 의무는 없다"며 무죄 방면했다.
`열 포졸이 한 도둑 못 막는다'는 옛 속담처럼 사이버 범죄자들을 원천 봉쇄하는 것은 사실상 불가능에 가깝다. 다만 사이버 범죄에서 안전할 수 있도록 위험을 최대한 낮추는 일은 가능하다.
그러나 2014년 현재 대한민국에게 `사이버 범죄로부터 최대한 안전한 보호를 받고 있는가'라는 질문을 던진다면 `그렇지 않다'는 답변이 돌아온다.
2003년 1.25 대란 이후 국내에선 이에 버금가는 대형 사이버 공격이 줄을 이었다. 2009년 7.7 분산서비스거부(DDoS, 이하 디도스) 공격, 2011년 3.4 디도스 공격, 같은 해 농협 전산망 마비 사태에 이어 지난해에는 3.20 및 6.25 사이버테러가 연달아 발생하는 초유의 사태가 일어나기도 했다.
1.25 대란 때 네트워크 마비 사태를 `이용자의 보안의식 결여'라고 무책임하게 단정했던 정부는 11년이 지난 지금까지도 대형 사이버 공격이 발생할 때마다 땜질식 `긴급 대책'을 내놓는데 그치고 있다.
정보보호 정책전문가는 "그동안 정부는 사이버 공격이 발생할 때마다 각종 대책을 날림식으로 만들어내곤 했지만 그런 정책은 채 1년도 가질 않아 사장되곤 했다"면서 "중요한 것은 전체적인 정보보호 수준을 점검, 진단하고 미흡한 점을 분석해 국가 체계에 걸맞은 정보보호 시스템을 확립해야 하는데 특정 공격에 대응하기 위한 일부 시스템 증설에만 예산이 반짝 투입되는데 그쳤다"고 지적했다.
실제로 1757억원의 정보보호 예산이 편성됐던 2008년에 7.7 디도스 공격이 발생하자 정부는 이듬해 예산을 2695억원으로 상향조정했다. 그러나 이는 1년도 가지 못해 2011년 2035억원으로 줄였고, 이때 또 다시 3ㆍ4 디도스 공격과 농협 전산망 마비 사건이 터지자 2012년 예산을 2633억원으로 다시 늘렸다.
정보보호를 위한 장기적이고 체계적인 대책 마련과 예산 집행이 아닌, 사태 수습을 위한 땜질 처방에만 예산이 투입된 방증이라는 분석이다.
안보에 관한 일 뿐만이 아니다. 어느 때부터인가 국민들은 스마트폰의 문자메시지나 메신저 쪽지에 포함된 인터넷 주소(URL)를 더이상 클릭하지 않는다. 지인이 올린 페이스북이나 트위터 인터넷 주소도 한번 누르기가 망설여진다. 온 나라가 스미싱(휴대폰 문자사기)과 피싱, 파밍 등 신종 전자금융사기에 노이로제 반응을 보이고 있는 것이다.
처음에는 손쉽게 대출을 해주겠다는 김미영 팀장이나 자식 돌잔치에 초대한다는 이름 없는 초청장이 불특정 다수에게 뿌려졌다. 일부 소비자들이 이를 인지하고 조심하기 시작하자 이제는 인터넷 공간에 둥둥 떠다니는 수많은 개인정보와 결합해 고도의 범죄수법으로 번져나가고 있다.
전문가들은 `첫 단추'부터 잘못됐다고 꼬집는다. 1081만건의 개인정보가 유출된 2008년 옥션 사태 때 정부와 사법당국이 사태의 심각성을 지나치게 안일하게 재단하고 솜방망이 처벌을 내린 것이 오늘날의 정보유출 대란과 이로 인한 각종 사기범죄의 창궐을 불러왔다는 것이다.
법조계 관계자는 "현행 법제도는 정보유출에 관한 강력한 제재보다는 정보 활용과 촉진에 그 초점이 맞춰져 있다"면서 "소비자의 개인정보에 대한 권리는 산업논리에 따라 번번이 무시되기 일쑤였고 그 같은 인식이 정보유출 대란을 초래했다"고 지적했다.
그는 또 "정보보호 법률은 대부분 정보관리 대상 기업에 대한 의무와 제반 보호규정 들을 주로 담고 있어 실질적인 형사 처벌이나 강력한 행정 처분이 이뤄지기 쉽지 않다"면서 "결국 정보를 빼 낸 범죄자는 실제 절도나 사기행각에 준하는 범죄를 저지르고도 이에 비해 비교적 가벼운 처벌을 받는 맹점이 생겨나게 됐다"고 꼬집었다.
일례로 최근 전국민을 공황상태로 빠뜨린 카드정보유출 사건과 동일한 신용카드 고객정보 유출 사건이 5년전에도 발생했지만 그때도 사법당국은 죄인에 대해 가벼운 처벌을 내렸다가 그마저도 죄인이 항소를 하자 엉뚱한 법 해석을 내리며 무죄방면 했다.
결국 2003년 1.25 대란과 2008년 옥션 사태 때부터 안일하게 대처하며 정보보호에 제대로 투자하지 않았던 것이 현재의 혼란을 초래했다는 것이다. 따라서 진정한 IT강국의 위상을 세우기 위해서는 `보안'이라는 부분이 기초공사로 작용해야 한다고 전문가들은 강조한다.
심종헌 지식정보보안산업협회장은 "그동안 정부나 기업은 보안 시스템을 모든 IT시스템의 최종 `마감재'로 여기는 경향이 강했다. 보안을 강화하는 것이 `문단속'을 하는 것 정도로만 여겼던 것"이라면서 "그러나 보안은 IT시스템을 구축하는 첫 단계부터 고려돼야 할 기초공사이자 기본 설계"라고 목소리를 높였다.
이장훈 지식정보보안산업협회 상근부회장도 "지난해 대형 사이버테러가 잇따라 발생했지만 국내 정보보안산업은 2.5%라는 저성장에 그쳤다. 사건이 발생하면 온통 난리를 피우지만 정작 제대로 된 보안 투자는 하지 않았다는 의미"라며 "이제라도 정부와 기업은 보안체계 확립을 위한 중장기 계획을 수립하고 예산을 반영해 보안 기초를 튼튼히 닦아 나가야 한다"고 입을 모았다.
강은성기자 esther@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
