12만명 개인정보 털렸는데, 72시간 묵살…공공기관 보안의 민낯

[이코노믹데일리] 지난 6월 발생한 한국연구재단 해킹 사건이 단순한 개인정보 유출을 넘어 대한민국 공공기관 정보보호 체계의 총체적 부실을 드러낸 ‘인재(人災)’였다는 국회입법조사처의 날카로운 지적이 나왔다. 

국회입법조사처는 21일 발간하는 ‘이슈와 논점’ 보고서를 통해 이같이 밝히고 과학기술정보통신부 사이버안전센터를 포함한 국가 보안 관제 시스템 전반의 근본적인 재점검이 시급하다고 경고했다.

이번 사건은 국가 연구개발(R&D)의 핵심을 담당하는 공공기관이 이메일 주소와 URL을 조작하는 단순한 해킹 기법에 무방비로 뚫렸다는 점에서 충격을 줬다. 

해커들은 연구재단의 논문투고시스템(JAMS)을 해킹해 연구자 12만 명의 개인정보를 탈취했으며 유출된 정보로 일부 피해자의 명의가 도용되는 2차 피해까지 발생했다. 보고서는 이를 "연구생태계의 신뢰 기반을 흔들 수 있는 중대한 사안"이라고 규정했다.

더 큰 문제는 사후 대응 과정에서 드러난 정부의 안일함이다. 과기정통부 산하 기관들의 정보보안을 24시간 통합 관제해야 할 사이버안전센터는 이번 해킹을 자체적으로 인지하지 못했다. 1차와 2차 피해 모두 외부의 의심 신고로 뒤늦게 파악되면서 현행 관제 체계가 사실상 제대로 기능하지 않았음이 명백해졌다. 

심지어 사이버안전센터는 정밀조사를 통해 유출 사실을 확인했음에도 '피해 규모 미확정'을 이유로 72시간 동안 '유출 없음'이라는 기존 공지를 유지해 비판을 자초했다. 이는 공공기관의 책임성과 신뢰성을 스스로 훼손하고 2차 피해 가능성을 키운 무책임한 처사였다.

국회입법조사처는 이번 사태의 책임이 연구재단에만 국한되지 않는다고 못 박았다. 24시간 통합 관제라는 본연의 임무를 망각한 사이버안전센터와 수탁 운영 기관인 한국과학기술정보연구원(KISTI), 그리고 공동 주무 부처로서 관리·감독에 소홀했던 과기정통부와 교육부 역시 책임에서 자유로울 수 없다는 것이다.

보고서는 이번 사건을 계기로 공공기관 보안 시스템 강화를 위한 구체적인 법·제도 개선 방안을 제시했다. 현재 대통령령에 근거해 제재 수단 없이 운영되는 공공기관 사이버보안 자체 점검 규정을 '전자정부법' 등 상위 법률로 격상하고 미이행 시 과태료를 부과하는 등 실효성을 확보해야 한다고 제안했다. 

또한 개인정보 유출 인지 즉시 우선 통지를 의무화하고 공공기관을 정보보호관리체계(ISMS) 인증 및 정보보호 공시 의무 대상에 포함하는 방향으로 관련 법 개정을 검토해야 한다고 강조했다. 이번 보고서는 소 잃고도 외양간조차 제대로 고치지 못하는 공공 부문의 보안 불감증에 대한 강력한 경고장으로 풀이된다.