감사원, 한국광물자원공사의 망분리 사업과 관련해 담당자 문책과 주의요구
42억 들여 구축한 사업, 호환 안 되고 일부는 망분리 되지 않은 채 운용
공공기관 망분리 관리실태 점검 필요성, 새로운 보안기술 개발 요구도

[시큐리티월드 권 준] 인터파크 개인정보 유출사태의 원인 중 하나로 논리적 망분리의 허술한 관리가 지적된 가운데 최근 망분리 시스템을 무력화시킬 수 있는 해킹 기술까지 등장했다는 소식이 전해지면서 망분리가 보안 분야의 핵심이슈로 다시금 부상하고 있다.

\n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n \n
특히, 정부부처·공공기관의 주요 정보화사업 실태에 대한 감사원의 감사결과 가운데 망분리 시스템이 허술하게 관리되고 있다는 내용이 포함돼 정부부처·공공기관의 망분리 관리실태에도 빨간불이 켜졌다.

한국광물자원공사(이하 공사)의 경우 외부 해킹위협으로부터 내부 정보 시스템을 보호하기 위해 인터넷망과 내부 업무망을 분리하고, 사용자 가상화 시스템을 신규로 구축하는 42억 규모의 ‘망분리 및 통합 통신망 구축사업’을 지난해 7월 체결하고, 올해 1월 이를 검수 완료했다.

이와 관련해서 감사원이 망분리 사업이 제대로 구축·운용되고 있는지 여부를 점검한 결과, 가상화 시스템의 경우 가상화 소프트웨어와 호환되지 않는 저장장치가 도입되고, 속도 지원 등의 성능 문제로 전체 200대 중 평균 50여대만을 운용하고 있었으며, 향후 시스템 장애 등의 문제 발생 시에도 기술지원을 받을 수 없는 상황이었던 것으로 드러났다.

공사가 구축한 가상화 시스템은 국내 및 해외지사 사무소의 직원들에게 가상화로 동작하는 서버의 자원을 활용할 수 있도록 직원별로 가상의 PC와 데이터 저장공간을 제공하기 위해 도입됐지만, 성능 미비와 관리 미흡으로 제대로 운용되지 못한 셈이다.

더욱이 문서유통 시스템의 경우 망분리 적용을 위한 프로그램 수정이 지연되어 망분리 사업 종료 이후에도 내부 업무망과 인터넷망이 직접 연결되어 사실상 망분리가 되지 않은 채 운용되고 있는 문제점이 확인됐다.

이러한 문제는 공사가 도입한 가상화 시스템의 성능 및 호환성이 미흡했음에도 불구하고 공사 담당직원이 검수업무를 부당하게 처리해서 발생한 것으로 조사됐다.

감사원이 지적한 문제는 크게 세 가지다. 첫째는 구축된 가상화 시스템의 소프트웨어와 호환되지 않는 공유 스토리지로 부당하게 변경된 사실을 알고도 이를 승인했다는 점이다. 둘째는 가상화 시스템의 성능이 크게 떨어져 정상적인 운용이 불가능했지만 전체 가상화 시스템 200대 중 7대만 접속한 상태에서 성능 테스트를 진행한 후, 그 결과를 정상이라고 인정해주는 등 검수업무를 부당하게 처리했다는 점이다.

마지막은 망분리 사업을 수행할 때 문서유통 시스템과 같이 내부 업무망과 인터넷망 간 데이터를 전송해야 하는 시스템에 대해서는 망분리 적용을 위한 프로그램 수정이 필요하지만, 담당자는 프로그램 수정에 관한 협의를 완료하지 않은 상황에서 망분리 사업을 발주한 것으로 나타났다.

이렇듯 문서유통 시스템의 프로그램 수정을 위한 노력 없이 망분리가 진행돼 문서유통 시스템을 운용할 수 없게 되자, 담당자는 내부 업무망이 해킹에 노출되는 등 중대한 보안 취약점이 발생한다는 사실을 알면서도 내부 업무망과 인터넷망을 직접 연결해 운용하도록 함으로써 사실상 망분리가 되지 않은 상태로 방치돼 왔던 것으로 알려졌다.

이에 감사원 측은 공사에 담당자의 징계처분과 함께 공유 스토리지를 가상화 소프트웨어와 호환이 가능한 제품으로 교체하는 등의 방법으로 가상화 시스템의 성능 및 호환성 문제를 해결할 것을 요청했다. 이와 함께 문서유통 시스템의 프로그램 수정을 통해 내부 업무망과 인터넷망을 분리 운영하도록 하는 등 2015년 완료된 망분리 사업에 대한 보완·개선을 요청하는 주의요구 조치를 취했다.

이와 관련 한국광물자원공사 관계자는 “이번 감사원의 감사결과를 통보받고 조치를 취했다. 문제가 된 공유 스토리지는 교체를 완료했으며, 문서유통 시스템의 프로그램을 수정해서 망분리가 이루어지도록 했다”면서도 “담당자의 경우는 현재 징계 절차가 진행 중에 있다”고 밝혔다.

이번 사건은 2006년부터 공공기관을 대상으로 실시되고 있는 망분리 의무화 제도가 보안담당자의 안일한 보안의식에 따른 관리 미흡으로 인해 유명무실해질 수 있다는 점을 여실히 드러낸 사건이라고 할 수 있다.

지난 2014년 한수원 해킹사건을 비롯해 최근의 인터파크 개인정보 유출사건에 이르기까지 망분리 이슈가 지속적으로 제기되면서 정부부처와 공공기관의 망분리 관리 실태를 총체적으로 점검할 필요가 있다는 지적이 제기되고 있다. 이와 함께 새롭게 등장하는 각종 망분리 해킹기술에 대응할 수 있는 또 다른 차원의 보안기술 개발이 요구되고 있다.
[글 시큐리티월드 권 준 기자(sw@infothe.com)]

<저작권자 : 시큐리티월드(http://www.securityworldmag.co.kr) 무단전재-재배포금지>