행정안전부가 국가기반시설 관리기관을 대상으로 지난 2010년 국가기반체계 재난관리 추진실적을 종합평가하여 분야별 우수기관을 선정, 발표하고 우수기관에 대하여 행정안전부장관 표창을 수여했다. 행안부의 97개 국가기반시설 관리기관 재난관리 추진실적을 바탕으로 민관합동평가단에서 종합평가하여 우수기관을 선정한 것이다. 하지만 우수한 평가와 함께 여러 문제점도 함께 도출돼 이에 대한 대책이 필요한 것으로 지적됐다. 그중 정보통신분야에 대한 평가 및 문제점을 살펴봤다. 글 | 이정직 기자

<재난포커스 - 이정직기자(jjlee@di-focus.com)>

정보통신시스템 보호대책 필요

행정안전부가 국가기반시설 관리기관을 대상으로 지난 2010년 국가기반체계 재난관리 추진실적을 종합평가 정부통합전산센터는 BCM(업무연속성관리)국제표준인증으로, KT의 협력업체 자원 모니터링과 SKT의 상황실과 리스크관리 구축시스템를 정보통신우수기관으로 선정됐다.

하지만 이에 못지않은 문제점도 도출했다. 우선 갑자기 발생할 수 있는 정전시 이에 대비한 한국전력과의 시스템 협조가 부족하고, 정보통신시스템의 보호대책이 필요한 것으로 나타났다. 또한 전산망 백업시스템의 경우 운영중단시 복구 목표시간을 설정하는 등 통신재난을 최소화하는 방안의 강구가 제기됐다.

PB시스템(기술적 장애 예방활동)구축·운영으로 금융전산 우수기관으로 선정된 코스콤(주)의 경우도 국가 기반체계 재난관리 평가에 대한 관심도와 이해도가 낮은 것으로 나타나 자체적인 교육, 훈련 시스템 구축이 필요하다는 지적도 있었다. 공공재난복구센터 구축·운영으로 보건의료 분야 우수기관으로 선정된 혈액관리본부의 경우는 재난에 대비한 취약성 분석 및 영향평가를 통한 대책마련이 필요하며, 혈액수급의 경우 재난발생에 대비한 혈액공급에 대한 대책 마련도 필요한 것으로 나타났다.

행정기관 민간부분 지표에 대한 이해 서로 달라

이를 더 구체적으로 살펴보면 통신분야에서의 재난관리대비책 비교적 양호한 편으로 나타났다. 통신재난관리기본계획 또한 자급통신수단, 복구물자 및 인력동원 등 지원관리는 전반적으로 잘되어 있다고 평가받았다. 하지만 기관장 관심도는 대체적으로 저조한 것으로 나타났다.

자연인적재난등 물리적 보완대책은 기존방식대로 체계가 잘 갖추어져 있는 것으로 평가받았으나, 사이버 보완대책은 별도의 체계마련이 필요하며, 물리적환경과 사이버 환경의 융합과 같은 환경변화에 대한 대책도 같이 마련되어야 할 것으로 나타났다. 환경변화 및 기관업무에 따른 평가지표수정이 필요한 것으로 나타났다.

물리적 보안과 사이버보안은 재난관리방법이 상이하므로 분리하여 평가를 실시해야 할 필요성이 있다는 지적도 제기됐다. 행정기관과 민간부분의 지표에 대한 이해가 서로 다르므로 각 기관의 특성을 고려한 지표를 설정해야하며 지표에 대한 명확한 설명이 필요한 것으로 지적됐다. 재난관리빈도가 낮아 재난관리체계 등 정비가 다소 미흡하다는 지적도 제기됐다. 또한 외부 상주인력의 재난관리 활동 참여도가 낮은 것으로 나타났다.

이와 함께 기관장의 국가기반체계 재난관리에 대한 관심도가 낮으며 재난관리 교육이나 훈련참여도도 다소 미흡한 것으로 나타났다. 통신분야에서 재난발생은 자연·인적재난 외에 전자적침해행위 등 다양하고 복합적인 형태로 나타나게 되므로 이에 대한 취약성 분석대책을 모색할 필요성이 있다.

하지만 국기기반 정보통신분야의 경우 사이버 테러 등에 대비한 사이버 보완대책이 정부기관에서는 수립되어 있지 않아 통신망 등에서는 외부로부터 발생 가능한 위협을 어떤 방법으로 대처하는지 알 수가 없는 것으로 나타났다.민간기관에서의 종사원 안전대책 수립은 양호한 편이나 우기시 취약성 분석을 통한 보호대책이 미흡해 이에 대한 대책이 제기됐다.

정보통신분야 기관장 관심도 대체로 저조

한편 정보통신분야에서의 기관장 관심도가 대체로 저조하며 공공기관과 민간분야의 차이가 확연한 것으로 나타났다. 특히 교육, 훈련의 참여도가 저조한 것으로 나타났다. 또 사이버 재난에 대한 보호대책은 없고, 외교부의 경우에는 물리적 재난대비는 없고 보안에 중점을 두고 있는 것으로 나타났다.

방통위, KT, SKT는 물리적 재난대비에 치중하는 반면, 외교부는 사이버 보안에 취중하는 등 취약성 분석이 서로 달라 기관별로 특정분야에 치중되어 있어 전반전인 정보통신 보호대책을 수립하지 못하고 있는 것으로 나타났다. 전력중단이 가장 큰 위협요인임에도 한국전력 등 유관기관과의 협조체계가 구축되어 있지 않고, 특히 훈련에 참여하지 않고 있으며, 자가발전 설비로는 한계를 인식함에도 별다른 대책이 없는 실정인 것으로 나타났다.

특히 사이버 보안이 중요한 정보인 경우 사이버 재난으로 보기 때문에 재난대비와 사이버보안을 함께 계획서에 포함시켜야 하는데 평가대상기관들은 일반적재난대비와 사이버 재난대비조직을 별도로 운영하고 있어, 두 가지 분야에서 함께 평가하기에는 어려움이 있다고 판단된다. 따라서 정보통신분야에서 방송통신분야를 변경하여 사이버 재난을 제외한 모든 재난에 대비한 계획을 평가하거나, 정보통신분야를 유지하되 일반적인 재난대비뿐 아니라 사이버 재난(사이버 보안평가)도 포함시켜 평가하는 방안에 대한 검토가 필요한 것으로 나타났다.

평가 대상들의 평가 보고서를 보면 취약성 분석과 보호 대책 간에 연관성이 없다고 판단되며, 보호대책을 사이버 관점에서 이해하는 것도 문제인 것으로 평가됐다. 이에 따라 평가지표에서 정확하게 취약성 및 보호대책 개념을 제시할 필요성이 있고 보호대책에서는 물리적 사이버 재난경감 대책이 모두 포함되어야 한다. 취약성을 분석할 때에도 평가기관이 자연, 인적, 사회적 재난의 모든 범위에서 정보통신과 연관된 취약성을 분석하여 우선 관리해야 할 재난(리스크) 종류를 선정하고 이에 따라 보호대책을 수립하도록 유도할 필요성도 제기됐다.

 민간사업자와 정부통합센터 등 몇 시간 동안 자체 발전기로 재난발전에 긴급 대응하고 있으나 이는 완전한 대책이라 볼 수 없기 때문이다. 국가기반체계 유지관점에서 행안부에서 지경부를 통해 정보통신분야 기관들과 한국전력이 적극적으로 협력관계를 유지하고 안전한국훈련을 비롯, 재난대응훈련에 참여할 수 있도록 독려할 필요성도 제기됐다.

재난관리의 필요성

한편 행안부는 재난관리책임기관별로 조사한 결과 정보통신분야의 경우 재난관리 전담조직, 인력이 확보된 기관도 있으나 대부분의 기관은 전담조직, 인력이 부족하고 상황발생시 통제실의 권한과 역할이 미흡한 것으로 나타났다. 또 대부분의 기관들이 기존의 자연, 인적재난 등 물리적 피해범주의 분석에서 벗어나지 못하고 있는 것으로 나타났다. 재난관리업무의 잦은 교체 등으로 국가기반체계 재난관리평가의 필요성과 관심도가 전반적으로 저조한 것도 문제점으로 드러났다.

특히 부처별 운영체계를 의한 통합센터가 필요하며 이를 위한 표준가이드라인도 필요하다. 이는 사이버테러 등 물리적 공격에 대비하기위해 필요하며 각 기관별 취약성 분석에 적절히 사용될 수 있다.
이것들은 또 국가재난상황시 이를 극복하는 개별대응능력을 확보하기에 필요하며, 타기관의 업무공조에도 적절하다.

더 나아가 ISO/TC223 즉 사고(Incident)와 중단(Disruption), 비상(Emergency), 위기(Crisis), 재난(Disaster) 등 각종 재난으로부터 국민의 생명 및 신체와 재산을 보호하고자 하는데, 부처별로 효과를 기대할 수 있다. 이를 위해 국가기반시설 분야별로 BCP 등 내부진행과정을 수립해야 할 필요성이 있다하겠다.