민간·공공 구분 없는 사이버테러 "사이버 보안 기관 간 협업 필요"

백기승 인터넷진흥원장 "공격 대상 무차별적, 협력 강화해야"
민간-KISA, 공공-국정원으로 역할 나눠져…사이버 안전 확보 어려움 호소
"침해사고 조기 대응을 위한 법적 집행 권한도 필요해"

백기승 인터넷진흥원장

[아시아경제 한진주 기자] 백기승 인터넷진흥원장이 민간과 공공기관을 불문한 사이버공격에 효율적으로 대비하기 위해 사이버 보안 담당 기관 간 협업ㆍ정보 공유를 확대해야 한다고 밝혔다.

지난 7일 광화문에서 열린 출입기자단과 오찬에서 백기승 원장은 "보안 담당 기관들끼리 정보공유가 원활하지 않은 실정인데 민간에 피해가 확산되는 지점에서 정보보호, 침해사고에 1차적 예방이 필요하다"며 "실무적 기능을 갖춘 기관끼리 원활한 협업을 모색할 때가 됐다"고 말했다.

백 원장은 "과거에는 국가기관 등을 대상으로 정보를 탈취하고 기능을 마비시키는 공격이 많았으나 최근에는 개인과 기업에게 손실을 입히는 등 민간에서의 공격 대상 구분이 사라졌다"며 "사고에 실제로 대응하는 검ㆍ경찰과는 긴밀히 협조하고 있는데 보안을 담당하는 기관들끼리 협력을 강화하는 시스템도 고민해야 한다"고 설명했다.

현재는 부처별로 정보보호와 개인정보 등의 역할이 분산돼있다. 인터넷진흥원이 민간에서의 사이버 공격에 대응하고, 국가나 공공분야의 사이버공격을 담당하는 기관은 국정원이다. 인터넷진흥원은 민간에서의 제한적인 공격ㆍ대응 정보 교류만으로는 한계가 있어 고유영역을 지키되 협업이 가능한 협력 시스템을 구축해야 한다는 입장이다.

또한 백 원장은 침해사고가 발생했을 때 조기에 대응하기 위해 사고 분석 등 법적 집행권한이 필요하다고 주장했다. 사이버 공격 피해 신고를 받아도 공격받은 시스템을 분석할 법적인 권한이 없고, 소유자의 동의와 협조를 구하기도 여의치 않은 실정이어서다.

백 원장은 "인터넷나야나 사고 당시 네트워크 차단이나 정지 등의 권한이 있어야 피해를 줄일 수 있는데 웹호스팅업체에 대해 감독할 권한이 없었다"며 "조사를 나갔을 때 법적 근거 문제에 부딪히면 할 수 있는 일이 많지 않고, 집행 기관의 권한 등에 대해서도 법적으로 검토할 때가 됐다"고 말했다.

이와 함께 백 원장은 액티브X를 제거하는 작업이 민간 영역에서는 96% 정도 마무리 단계에 접어들었다고 밝혔다. 국세청 등에서 공인인증서로 인증할 때 수반되는 '액티브X'는 공인인증서와 별개의 문제로 접근해야 한다고 설명했다. 개별 공공ㆍ금융기관이 액티브X를 필요로 하지 않는 웹표준 기술을 적용해야 개선될 수 있다는 것이다.

백 원장은 "공인인증서 기술이 액티브X를 토대로 만들어진 것이 아니고 보안 안전성 때문에 기관들이 요구한 것이고, 우리가 특정 브라우저(IE)에 치우쳐서 보안에 의존하는 바람에 액티브X를 토대로 개발해서 문제가 된 것"이라며 "액티브X 없이 공인인증서를 사용하는 방법은 만들었지만 결국 해당 기관이 바꿔야 해결될 수 있다"고 덧붙였다.

한진주 기자 truepearl@asiae.co.kr