농협의 전산장애로 금융업무가 마비되면서 국내 금융가관의 보안 시스템이 도마위에 올랐다. 현재 금융업체들의 보안에 관한 투자는 턱없이 부족한 실정이다. 최근 2년간 농협은 보안예산을 23억5천만 원, 국민은행은 44억5천만 원을, 외환은행은 4억 원이나 줄였다. 이에 따라 은행권의 보안예산은 전체 IT예산의 3.4%에 불과해 금융감독원 권고치인 5%에 훨씬 못 미치는 것으로 나타났다.

<재난포커스 - 이정직기자(jjlee@di-focus.com)>

금융전산마비 사태는 인재

농협 전산마비와 현대캐피탈 해킹 사건은 막을 수 있었던 ‘인재(人災)’라는 지적이 나오고 있다. 평소 돈 안되는 보안에 투자를 하지 않고 하청업체에 시스템을 맡긴 결과라는 것이다. 보안에 대한 충분한 투자가 이뤄지지 않는 한 제2, 제3의 농협·현대캐피탈 사고가 언제든지 일어날 수 있다는 경고로 나오고 있다. 특히 최근 잇따라 터진 금융전산망 해킹사고의 시작을 알렸던 현대캐피탈 사고는 기업체와 이용자에게 막대한 피해를 입혔을 뿐 아니라 금융전산망 보안상황이 그동안 얼마나 허술했는지를 일깨워 준 중대한 경험이었다.

 인터넷뱅킹 등 금융전산망 이용자들은 그 이용에 있어 공인인증서 확인, 비밀번호 확인, 키보드보안 프로그램 설치, 보안카드 사용 등 매우 까다로운 절차를 거쳐야 하므로 그 안전성을 막연히 짐작해왔다. 하지만 이러한 번거로운 절차는 일반적 보안사고의 가능성만을 차단하고 있을 뿐, 전문해커에 의한 고의적 해킹을 당했을 경우에는 의외로 쉽게 뚫리는 것이 우리의 현 보안상황이라고 할 수 있다.

실제로 금융전산망이든 아니든 서버에 아무리 철저한 보안장치를 갖추더라도 해커가 맘만 먹으면 쉽게 뚫리는 것이 해킹범죄의 특성이기 때문에 대형 전산망을 운영하는 기업체는 상시 전산망 해킹시도를 막아내는 작업을 지속해야 한다. 이를 위해 최고 수준의 보안장비를 사용해야 하며 관련 인력과 예산도 증액하여 투입해야 한다.

이른바 경영실적과 매출신장에만 최우선 정책을 취하고 정보보안업무는 외부에 아웃소싱한다거나 해서 별로 신경 쓰지 않는 것이 그 동안의 현실이었다. 그리고 해킹사고가 터질 때마다 그 중요성과 대책의 필요성을 실감하면서도 막상 예산과 인력투입은 이루어지지 않고 있다.

보안예산 비중 3%

금융기관들이 보안에 관심을 기울이지 않는 것은 예산에서 적나라하게 드러난다. 금융감독원에 따르면 은행, 카드, 보험사 등의 금융기관들의 총 IT 예산 중 보안예산 비중은 3% 안팎이다. 금감원의 권고비율인 5%에 한참이나 미치지 않는다. 특히 은행은 지난 2008년 4.4%에서 2010년 3.4%로 1%포인트나 줄였다. 농협은 이 기간동안 IT 총 예산을 1534억 원에서 934억 원으로 39.0%나 축소했다.

이 중 보안예산 비중은 고작 30억 원이었다. 시중은행 고위 관계자는 “경영진들이 보안에 대한 예산 비중을 늘리는 논의조차 하지 않아 왔다”고 털어놨다. 영업이나 상품개발, 점포 확장 등 외연 확대에 치중한 채 내실 다지기는 하지 못한 셈이다. 하지만 은행은 늘어나는 전자금융서비스를 감당해야 했다. 한국은행에 따르면 지난해 말 은행업무의 67.4%가 인터넷뱅킹, 8.2%가 텔레뱅킹을 통해 이뤄졌다.

인터넷뱅킹 이용자는 등록고객수를 기준으로 6666만 명에 달했다. 최근에는 모바일뱅킹 등록 고객수도 1500만명 을 넘어섰다. 농협도 2009년 초 늘어나는 정보량을 감당하기 위해‘신(新)신용 시스템’을 도입했다. 2년이란 공을 들여 전산망을 확충했다. 이에 반해 전산망을 관리하는 정보기술(IT)본부분사의 인력은 되레 줄었다. 은행권의 IT관련 인력은 지난 2003년 4342명에서 2009년 3876명으로 10.7% 감소했다.

아웃소싱 남발 조직 통제에도 한계

한 은행의 전산센터 최고 책임자는 “인력은 줄었지만 실제 일하는 사람은 줄지 않았다”고 말했다. 아웃소싱을 통해 외부 협력업체 인력을 늘려 직원 수는 크게 변하지 않았다는 것이다. 문제는 협력업체는 짧은 계약기간의 특성상 수시로 변경됐다는 점이다. 통상 은행의 서버작업실은 일정 권한을 지닌 한정된 직원만 출입할 수 있다. 하지만 담당 협력업체 직원이 자주 바뀌다 보니 서버작업실을 드나들 수 있는 인원은 그만큼 늘어났다. 정보를 유출하거나 훼손할 수 있는 경로가 늘어난 셈이다.

지난해 시중은행 IT업무 담당 전체 인원 중 외부용역 비중은 43.6%를 차지했다. 하청과 재하청으로 이어지는 아웃소싱의 남발은 조직 통제에도 한계를 드러냈다. 농협은 지난 4월 12일 전산마비 이후 14일이 지난 25일까지도 서비스를 완전히 복구하지 못했다. 여러 업체에서 전산시스템을 관리하다 보니 원인 파악이 늦어진 것이다. 보안 전문 인력의 부족도 화를 자초했다. 보안은 시스템을 새로 만들고 재설정 하는 등의 전문성을 필요로 한다.

많은 투자가 필요한 분야다. 보안 불감증을 드러낸 은행은 선뜻 투자에 나서지 않았다. 금감원에 따르면 지난해 8월말 기준 IT인력 대비 IT보안인력은 은행이 꼴지(2.9%)였다. 증권(3.9%), 생명보험(6.8%), 손해보험(16.7%), 카드(10.0%) 부문에 비해 현저히 낮았다. 김병권 새로운 사회를 여는 연구원 부원장은 “부실한 인력 운영 구조에서는 하드웨어적 인프라가 아무리 훌륭해도 보안이 뚫리는 걸 피할 수 없다”고 말했다. 김 부원장은 “금융권이 IT업무를 ‘핵심 경영인프라, 핵심 고객서비스 통로’로 인식할 필요가 있다”고 지적했다.

고려대 ‘시스템 및 네트워크 보안연구실’을 이끌고 있는 문종섭 정보보호대학원 교수도 “효율을 중요시하는 한국적 풍토가 위기를 자초했다”고 말했다. 문 교수에 따르면 금융권에서 한해 발생하는 크고 작은 해킹사고만 1년에 20~30여 건에 이른다. 한 은행의 경우에는 돈이 인출되는 걸 눈뜨고 당한 경우도 있었다. 하지만 이런 금융사고가 발생해도 금융권에서 ‘쉬쉬’하기 때문에 외부로 알려지는 경우는 드물다.

1년에 해킹사고만 20~30여 건

문 교수는 또 “국내 금융권에 구축된 보안시스템은 대체로 미국계 회사들의 제품으로 대체로 안정성이 검증된 것들”이라며 “보안 규정만 준수하면 기술적인 부분에서 해킹이 일어날 가능성은 거의 없다”고 말했다. 그런데도 해킹사고가 발생하는 이유는 보안관리 체계가 허술하기 때문이다. 문 교수는 “시스템에 접근할 수 있는 권한을 여러 사람으로 분산해 놓는 것이 보안관리의 기본 원칙이지만 많은 기업들이 여러 사람을 거쳐 관리하는 게 번거롭다보니 효율성 차원에서 한 사람에게 맡기거나 관리권한을 비전문가에게 이양하는 경우가 많아 사고가 발생한다”고 말했다.

보안시스템이 완벽하다고 해도 관리자가 외부에서 내부 전산망에 접속할 수 있는 접속경로를 일부러 열어놓거나 실수로 차단해놓지 않는 경우에는 해커의 침입을 막을 수 없다는 것이다. 이럴 경우에는 초·중학생들도 인터넷에 널린 해킹 프로그램으로 얼마든지 전산망 접근이 가능해진다고 역설한다.

문 교수는 “금융권의 보안의 중요성에 대한 낮은 인식, 보안관리 업체의 ‘보안 불감증’ 등이 해킹사고를 일으키는 원인이 되고 있다”며 “징벌적 보상제도가 있는 미국에서 만약 이런 금융사고가 발생했다면 회사가 문을 닫을 수도 있는 일”이라며 국내 금융권의 보안체계 인식전환을 촉구했다. 미국에서는 인터넷으로 계좌 정보를 확인할 수는 있어도 송금은 은행창구에서만 하도록 제한해 놓고 있다.

하지만 한국은 이미 인터넷뱅킹에 모바일뱅킹 등 편리한 서비스에 익숙해져 있기 때문에 되돌리기 쉽지 않기 때문에 보안에 더 많은 투자를 해야 한다는 얘기다. 일부에서는 대기업의 무리한 계열사 밀어주기가 현대캐피탈 금융정보 유출사태의 주요 원인이 됐다는 지적도 제기하고 있다. 현대캐피탈은 전산시스템 구축과 운영, 24시간 보안관제 등을 그룹 계열사인 현대오토에버에 맡기고 있다. 이 회사는 본격적인 보안관리 업무를 시작한 것도 오래되지 않았고(2009년), 보안시스템 관리업무의 상당량을 또 다른 보안회사에 재하청을 줘 관리하는 등 보안관리 능력이 취약한 것으로 알려졌었다.

북, EMP탄 공격시 국가대재난으로

또 이번 농협 사태와 같이 북한의 의도적인 전산망 해킹 공격이었다면 앞으로 또 다른 공격에 대비하는 것이 필요하다. 특히 문제가 되는 것은 EMP탄이다. EMP탄은 전력공급선, 통신케이블, 공기정화용 통로, 빈 공간 등을 통해 침입해 들어가 전기 공급선과 변압기, 전원이 켜져 있는 모든 제품에 감당할 수 없는 양의 전자기파를 만들어 일시에 사회기반 시설을 마비시킨다.

때문에 북한이 남한 상공에서 사용했다면 수도권과 남측 지휘통신체계를 무력화시킬 수 있으며 인명 살상 없이 남한 사회를 혼란에 빠뜨릴 수 있다. 북한은 구 소련 붕괴시 전자기무기(electromagnetic weapons)개발자를 영입하여 복잡한 전자시스템을 교란시키거나 파괴할 수 있는 다양한 고출력전자기파를 발생시킬 수 있는 장비를 개발 완료했거나 개발 중인 것으로 확인되고 있다.

이런 사실 때문에 국방부는 원자력연구원을 통하여 북한의 핵무기가 EMP 무기로 사용되어졌을 때의 효과와 피해범위에 대한 연구를 의뢰하였고 이에 원자력연구원은 고고도 핵폭발에 수반되는 전자발생과 전자파 발생을 ‘연필심모형’으로 모사해 핵자기펄스발생을 예측하는 전산프로그램을 개발하기도 했다.

 금융기관, 대형 재난에 대비하는 보험 등 필요

그럼 금융전산망 등 주요 전산망을 해커로부터 지킬 수 있는 실효적인 정보보안정책은 무엇일까. 경희대 법학전문대학원 정완 교수 (사이버범죄연구회 회장)는 “국가가 중범죄자들의 전력을 관리해 온 것처럼, 전문가만이 가능한 해킹범죄에 대해서도 그 중대성을 인식하고 해킹범죄자들의 전력과 리스트를 관리해야 한다” 강조한다.

정 교수는 “정보보안에 필요한 인력과 예산을 증액하여 투입하고 소프트웨어 및 하드웨어 양 측면에서의 방화벽 업그레이드 설치 등 보다 적극적인 노력이 필요하다” 며 “해킹범죄의 적발과 단속은 수사기관에서 맡는 것이 당연하지만 관련 산업계도 해킹피해를 막기 위한 다각도의 노력을 함께 기울여 수사기관과의 정보교류 등 필요한 공조가 요망되어야 한다” 고 말했다.

이외에도 피해자들의 피해를 충분히 보전하기 위하여 관련 IT보험 가입을 강제하거나, 금융전산망 관리에 대한 정보보안의무를 강제하여 문제발생시 법적 책임을 물어야 할 것이며, 피해보상소송에 있어서 소비자단체소송을 인정하거나 징벌적 손해배상제도를 도입하는 등 보다 다각적인 대응책 마련의 필요성이 제기되고 있다. 특히 기업재난 전문가들은 이같은 농협 데이터센터 전면마비 같은 사고과 손해배상 등에 대비해서, 데이터센터 손상과 연관된 보험보상을 해주는 데이터센터종합보험 같은 재난대비 보험을 들어두는 것은 필수라고 지적한다.