과학기술 정보통신 위원회	보도자료 (정보보호진흥원,소프트웨어진흥원 감사,10.14)	국회의원 진영 서울□용산
서울시 영등포구 여의도동 1번지 국회의원회관 518호 □ Tel : 02)784-5361 □ Fax : 02)788-3518 www.chinyoung.com 문의 : 이정일 비서관(011-392-5801, 788-2925)

[정보보호진흥원]

□ 사이버 침해, 민간과 공공부분 따로 발생하나?

□ 해킹□바이러스 예□경보 발령 부처간 상이

□ 정통부, 국정원, 국방부 등 말로만 협조

□ 정보보호 안전진단제도 총체적 부실

□ 정보보호컨설팅전문업체 3년전 기준으로 재지정해야 할 판

□ 수많은 토론과 연구에도 개선기준 마련 못해

□ 수수료, 안전진단후 책임소재 불분명 문제등으로 정책효과 불투명

□ 정보보호전문가 인력수급 불균형 심각

□ 2007년까지 2만여명 부족 예상(총 필요인력은 4만7천, 공급은 2만5천), 근본적 대책 세워야

□ 정보보호자격시험  4년간 응시자 1248명, 합격자 75명에 불과

[소프트웨어진흥원]

□ 디지털콘텐츠 산업 경쟁력 가로막는 불법 복제

□ 불법복제 사전 방지 기술 개발과 법 제도 정비로 불법복제 막아야

□ 공개 S/W, 수요가 있어야 살 수 있다.

□ 지원과 개발만으로는 한계

□ 정부가 나서 수요창출로 민간업체 유도해야

사이버 침해, 민간과 공공부분 따로 발생하나?

- 해킹□바이러스 예□경보 발령 부처간 상이

- 정통부, 국정원, 국방부 등 말로만 협조

□ 2000~2004년도 해킹□바이러스 피해 현황

구분	2000	2001	2002	2003	2004년 9월 현재
해킹신고건수	1,943건	5,333건	15,192건	26,179건	15,807건
바이러스 피해 건수	572건	65,033건	38,677건	85,023건	96,653건

<한국정보보호진흥원 자료>

□ 2003년에는 총 2만6,179건의 해킹 피해가 국내에서 발생했으며 이는 98년의 158건과 비교하면 5년만에 165.7배 증가

- 2004년은 9월 현재까지 2002년 1년동안의 총계와 대등한 1만5,807건의 해킹 피해가 발생하는 등 매년 급증하고 있음.

□ 바이러스 피해건수는 2004년의 경우 9월 현재 96,653건으로 2000년 572건과 비교하여 169배로 급증

□ 해킹□바이러스에 대한 대한 정부 부처별 대응 체계

- 공공부분은 국정원, 민간분야는 정통부 및 한국정보보호진흥원, 군은 국방부에서 담당 □ 해킹□바이러스에 대한 정부 부처별 예□경보 체계

구분	예□경보 체계
정통부	□ 정통부는 □정보통신망법□에 의거 민간분야에 대해 독자적 발령 체계 운영 - 정상, 주의, 경고, 위험의 4단계로 구성
국정원	□ 사이버테러경보단계에 따라 4 단계로 발령 - 정상, 주의 경고, 위험의 4단계로 구성
국방부	□ 국방부는 □정보작전방호태세(인포콘)'에 의거 5단계 발령체계 운영

□ 국정원과 정통부의 예□경보 발령 단계별 기준

구분	정통부	국정원
정상	□인터넷 소통에 지장이 없는 상태	□모든분야에서 정상적인 활동
주의	□해킹/웜 공격으로 일부 PC 사용자의 인터넷 사용에 지장이 발생□예상되는 경우 □국지적인 인터넷 소통장애가 발생하여 인터넷 서비스에 지연이 발생□예상되는 경우 □일반PC 사용자, 서버관리자, ISP 등의 보안태세 강화가 필요한 경우	□정보시스템에대한 공격으로 국내외 피해가 발생 □시스템이 악의적 목적으로 도용 □네트워크트래픽이 급격히 증가한 경우로서 피해의 범위가 단일 시스템 또는 조직에 해당하는 경우 □정보시스템 전반에 걸쳐 보안태세 강화가 필요 한 경우
경고	□인터넷 소통장애가 전국적으로 확산조짐이 있거나 발생한 경우 □해킹/웜 공격으로 주요 정보통신기반시설의 피해가 발생하는 경우 □상황을 해결하기위해 ISP, IDC 및 정보보 호업체등의 공동대응이 필요한 경우	□피해의 범위가 여러기관에 걸쳐 나타남 □주요 정보시스템에 대한 공격으로 피해가 발생한 경우 □상황을 해결하기위해서 다수 기관의 협조가 필요한 경우
위험	□국내 인터넷 전 분야에서 소통장애 발생하여 정상적인 서비스가 어려운 경우 □주요 정보통신기반시설의 피해로 인하여 대국민 서비스가 지장을 받는 경우 □국가적 차원에서 공동대처해야할 필요성이 있는 경우	□국가적 차원에서 네트워크 사용 불가능 □주요 정보통신기반시설의 정보시스템에 대한 공격으로 인한 심각한 피해가 발생한 경우 □국가적 차원에서 공동대처해야할 필요성이 있는 상황

□ 정통부와 국정원의 발령 체계는 같고, 각 단계별 판단 기준도 유사

□ 이는 □04년 5월, 양 기관의 예□경보 체계 상이로 인한 문제점을 해결하기 위해 국가사이버안전정책조정회의의 권고에 따라 □정상, 주의, 경고, 위험□의 4단계 체제로 개편

□ 양 기관의 협조를 위해 2004년 2월부터 정통부에서 국정원에 파견관 1명 파견

□ 그러나 동일한 사안을 두고 양기관의 예□경보 발령 시점과 등급이 상이

국정원	정통부
04. 2. 18, 베이글 B 웜 바이러스 출현(예보발령)	없음
04.3.2 넷스카이 웜 바이러스 출현(예보발령)	3.10일 예보 발령
04.7.6일 □Revacc 백도어 출현 공지(주의 경보)	정상 (예□경보발령 없음)
04. 7.13일, 국가□공공기관 해킹 위협증대에 따른 보안관리 강화 경고 발령	정상 (예□경보 발령 없음)

정보보호 안전진단제도 총체적 부실

- 정보보호컨설팅전문업체 3년전 기준으로 재지정해야 할 판

- 수많은 토론과 연구에도 개선기준 마련 못해

- 수수료, 안전진단후 책임소재 불분명 문제등으로 정책효과 불투명

□ 정보보호안전진단제도는 해킹피해를 막기 위해 주요 정보통신서비스사업자와 연간 매출이 100억원 이상인 정보통신기업, 그리고 하루에 100만명 이상이 방문하는 대형포털들이 매년 정보보호컨설팅 전문업체로부터 안전진단을 의무적으로 받도록 한 제도이며

□ 정보보호컨설팅 전문업체는 주요 정보통신기반시설(초고속 국가망, 정부고속망, 전자서명인증시스템 등)에 대하여 취약점 분석, 평가업무를 하거나 정보통신기업 등에 대하여 정보보호안전진단 등을 시행.

□ 정보보호컨설팅 전문업체는 그동안 주요 정보통신기반시설에 대한 취약점 분석 평가 업무만을 해왔으나, 2004년 7월 부터는 민간업체에 대한 정보보호안전진단 업무를 시행

□ 정보보호안전진단을 시행하는 정보보호컨설팅 전문업체의 지정 기준은 □정보통신기반보호법 시행규칙 제 7조□에 의거 지정하게 되어있으며, 3년마다 재지정 하도록 되어있음(동규칙 8조 1항).

- 최초 지정은 2001년 11월 26일 7개 업체

□2001. 11 : 정보보호컨설팅전문업체 1차지정(7개업체)

시큐아이닷컴(주), 시큐어소프트(주), 안철수연구소(주), STG시큐리티(주), A3시큐리티(주), 인젠(주), 해커스랩(주),

□2002. 10 : 정보보호컨설팅전문업체 2차 지정(4개업체)

인포섹(주), 코코넛(주), 퓨처시스템(주), 한국IBM(주)

□ 최초 지정이후 3년이 도래하는 금년 11월에 정보보호컨설팅업체를 재지정해야하나 재지정 기준이 2001년 11월 시행한 최초 지정기준과  같아 문제가 되고 있음.

□ 재지정은 실적 등을 기준으로 실제 컨설팅 업무를 제대로 수행할 수 있는 업체를 선정한다는 것이 목적이나 주요 정보통신기반시설 등에 대한 컨설팅 실적 등이 기준이 아니라, 정보통신기반시설 취약점분석 등과는 거리가 있는 민간부분까지 실적에 포함시켜 옥석을 가리기 힘들다는 문제 등이 있음

□ 한국정보보호진흥원에서 2004년 1월 발간한 □정보보호 체계구축 사업 최종 결과보고서□를 보면, 정보보호전문업체 지정기준 개선 연구를 시행 한 것에서도 알 수 있듯 정보보호전문업체 지정에 있어 문제가 있다는 것을 알수 있음.

□ 정보보호컨설팅전문업체와 관련된 법제도 개선 및 검토 실적

- 전문업체 지정기준 개선반 구성 및 운영(2003.1~10)

- 전문업체 지정기준 개선(안) 도출(2003.1~10)

□전문업체 지정기준 개선(안) 도출회이(약 15회) 개최

□전문업체 제도개선(안) 도출 워크샾 개최(2003.2)

□각계 의견수렴 공청회 2회 개최(2003.7~9)

□법 전문가 의견수렴 및 검토(2003.9)

- 전문업체 지정기준 개선방안 마련(2003.9)

- 정보통신기반보호법 시행규칙 개정(안) 마련(2003.9)

- 정보통신기반보호법 전문업체지정심사에 관한 고시 개정(안) 마련(2003.10)

□ 그럼에도 불구하고 2004년 7월 재지정 신청까지 받아놓고 4개월내에 재지정을 해야하는 현재 시점까지 전문업체 지정에 관한 개선안은 도출되지 못했으며, 따라서 3년전 기준으로 전문업체를 재지정해야하는 상황에 봉착

□ 정보보호진흥원에서 제출한 정보보호 안전진단 시행을 위한 수수료 산정기준을 보면 진단수수료 산정이 수주업체와 발주업체가 합의할 경우 수수료를 임의로 산정할 수 있도록 허용하고 있음

- 정보보호조치및안전진단 방법□절차□수수료에 관한 지침(제9조)

□안전진단 수수료는 다음각호의 기준을 기준을 준용하여 산정한다. 다만, 안전진단 대상자와 정보보호컨설팅전문업체가 계약에 의하여 합의할 경우 이를 준용하지 아니할 수 있다.

□ 수검 받는 인터넷 기업과 정보보호기업이 자체적으로 진단비용을 책정하는 구조로 전환되면서 저가 입찰경쟁이 불가피해졌으며, 안전진단후 발생하는 해킹등 사고에 대한 책임 소재가 불명확함.

- 2004년 10월 8일 개정한 정보통신서비스 정보보호 지침에 규정되어있지 않음

□ 정보보호컨설팅업체가 턱없이 낮은 가격으로 안전진단을 하게되면 정보보호 안전진단이 부실화될 염려가 있으며 컨설팅 업체-인터넷기업간 담합으로 형식적 안전진단이 될 가능성이 매우 높음

정보보호전문가 인력수급 불균형 심각

- 2007년까지 2만여명 부족 예상(총 필요인력은 4만7천, 공급은 2만5천), 근본적 대책 세워야

- 정보보호자격시험  4년간 응시자 1248명,

합격자 75명에 불과

□ 해킹, 바이러스등 인터넷 침해사고는 해마다 급증

- 정보보호진흥원의 인터넷침해사고대응지원센터에 신고된 해킹신고건수

구분	2000	2001	2002	2003	2004년 9월 현재
해킹신고건수	1,943	5,333	15,192	26,179	15,807
바이러스 피해건수	572	65,033	38,677	85,023	96,653

- 정보보호진흥원의 개인정보침해신고센터에 접수된 신고□상담 건수

구분	2000	2001	2002	2003	2004년 8월 현재
건수	2,035	11,164	17,956	21,585	15,420

□ 인터넷침해사고대응지원센터에 신고된 해킹피해는 2000년 1,943건에서 2003년 26,179건으로 13배 이상이 증가하였으며 개인정보침해신고건수는 2000년 2,035건에서 2003년 21,585건으로 11배 정도가 증가하였음.

□ 개인정보 누출 관련 한국정보보호진흥원의 조사에 의하면 500명의 네티즌 중 20%가 주민등록번호를 도용당한 경험이 있고, 12%가 타인의 주민등록번호를 도용한 경험이 있음. (2003 개인정보보호백서)

□ 정보침해 유형이 다양해지고 발생빈도가 급증함에 따라 각급 공공기관과 기업에서 정보보호 수요가 점차 높아지고 있으며 정보보호인력의 양성 또한 필요.

□ 정보통신부가 정보보호 인력 수급전망을 예측한 자료를 보면 정보보호 신규인력 수요는 급증하는 반면 인력공급은 그 수요를 따르지 못하여 07년에는 2만 2천명 이상의 인력이 부족하게 됨.

<연도별 정보보호인력 수급전망>

구분	2002	2003	2004	2005	2006	2007	합계 (□03~07)
총 종사인력	13,332	17,208	22,198	28,632	36,915	47,586	-
신규인력수요	-	3,876	4,990	6,434	8,283	10,671	34,254
인력공급	-	1,312	1,688	2,172	2,795	3,596	11,563
수급차	-	-2,564	-3,302	-4,262	-5,488	-7,075	-22,691

[출처 : 정보통신부, 중장기 정보보호 기본계획 (2002.8)]

□ 정보보호진흥원에서는 정보보호 전문인력 육성과 정보보호 활성화를 위해 2001년부터 정보보호전문가(SIS, Specialist for Information Security)자격제도를 시행 중.

□ 정보보호전문가 자격 1급을 획득하게 되면 정보보호와 관련된 보안정책 수립 업무나 보안감리□평가 등의 활동을 하게 되며, 2급 자격을 획득하면 보안시스템의 운영 및 모니터링 활동을 하게 됨.

□등급별 정보보호 전문가의 업무범위, 활동영역

구 분	업무범위 및 활동영역
1급	o 정보보호와 관련된 보안정책의 수립 o 위험분석 및 대책 수립 o 정보보호지침서 개발 o 관련법규 검토 o 국제적 표준안 적용 o 보안감리 및 평가 등
2급	o 보안정책의 구현 o 보안시스템의 운영 및 모니터링 o 정보보호교육 및 훈련

□그러나 2급 응시자 수가 2001. 12월 첫 시행당시 482명이던 것이 점차 감소하여 2004. 8월 147명으로 급감.

4년간 자격증 응시생은 1,248명(1급 : 174명, 2급 : 1,074명)에 불과하며 합격자는 1급 15명, 2급 60명에 불과.

□합격자중 정보보호 유관기업 취업자는 총 26명(1급 5명, 2급 21명)

□국외 정보보호 전문가 자격증 제도인 CISSP(국제공인정보시스템보안전문가)의 취득자 수 550명(2000년 국내 도입)인 점에 비해 국내정보보호전문가 자격증 취득자 수가 75명에 불과하다는 것은 동제도의 성과가 미미하며 자격증 취득의 메리트가 적음을 짐작케 함.

연도	급수	회	시행일	구분	응시자	합격자
2001	2급	1회	2001. 12. 8	필기	482	49
2002	1급	1회	2002. 7. 27	필기	48	9
			2002. 9. 17	실기	6	4
	2급	1회	2002. 3. 16	실기	27	18
		2회	2002. 5. 18	필기	136	41
			2002. 7. 6	실기	24	8
		3회	2002. 10. 26	필기	59	18
			2002. 12. 21	실기	18	6
2003	1급	1회	2003. 6. 15	필기	47	13
			2003. 8. 3	실기	11	4
		2회	2003. 10. 26	필기	27	6
			2003. 12. 14	실기	10	7
	2급	2회	2003. 4. 20	필기	73	11
			2003. 5. 18	실기	12	7
		3회	2003. 8. 24	필기	99	19
			2003. 9. 21	실기	19	10
2004	1급	1회	2004. 7. 25	필기	52	11
			2004. 8. 29	실기	5
		2회	2004. 10. 31	필기
			2004. 11. 28	실기
	2급	1회	2004. 4. 25	필기	78	35
			2004. 6. 20	실기	26	11
		2회	2004. 8. 15	필기	147
			2004. 9. 19	실기

디지털콘텐츠 산업 경쟁력 가로막는 불법 복제

- 불법복제 방지기술의 수준 미흡

- 불법복제 사전 방지 기술 개발과 법 제도 정비로 불법복제 막아야

□ 디지털 컨텐츠의 특성

- 정보융합의 용이성, 복제의 용이성, 복제의 질의 동질성, 전달의 신속성과 광범성, 위법 복제물의 통제의 곤란성

□ 디지털기술의 급진적 발전은 저작권법 등 보호법을 거의 무력하게 만들고 있고 이에 보호법제를 강화하여 침해로부터 보호하려는 노력이 끊임없이 일어나고 있지만 이에 대한 저항도 만만치 않음

□ 한국소프트웨어진흥원에서 제출한 자료에 따르면 2003년 국내 디지털콘텐츠 산업의 시장규모는 2001년 2조 6천억원대에서 2003년에는 5조 4천억, 2006년에는 14조원대의 시장으로 급속히 성장할 전망

- 연 평균 30% 대의 급속 성장

<디지털콘텐츠산업의 시장규모 전망>

<단위: 백만원>

구분	연도	전체매출액	전년대비 성장률
실제치	2001	2,667,381	-
	2002	3,913,829	46.7%
	2003	5,422,589	38.5%
예측치	2004	7,562,062	39.5%
	2005	10,965,950	45.0%
	2006	14,175,964	29.3%

□ 그러나 시장 규모의 확대와 더불어 디지털컨텐츠에 대한 불법 복제도 매년 증가

- 정통부와 산하기관에서는 디지털 컨텐츠의 불법복제에 대한 전체 현황 파악자료는 현재 없음

- 대표적인 디지털 컨텐츠의 피해 내용과 피해액수를 추정하면

구분	피해내용	출처
영상 콘텐츠	□ 2003년 불법복제 피해액은 약 300억원으로 조사됐으나 실제 피해액은 4~5배에 달할 것으로 추정 - 이는 전체 영상 콘텐츠 시장규모의 15~18%를 차지.	□ □온라인불법영화파일 단속현황 및 유통실태 자료집□(2003) - (사) 한국영상협회 발간
모바일 콘텐츠	□ 모바일 컨텐츠 분야는 불법복제 안전지대로 여겨졌으나, 유명 게임 50여종이 불법 유통되는 등 피해 발생 시작 (액수 환산시 5000여 만원 추정) - 불법복제 방법이 알려진후 더 큰 발생 우려	□ (사)한국콘텐츠산업연합회 제출자료
음악 콘텐츠	□디지털 음악시장은 증가추세, 2003년 기준 매출은 대략 1,800억원(KIPA, 2004.2-디지털콘텐츠산업 시장보고서) 음반시장의 최대시점이었던 2000년 4,100억원을 기준으로 2003년 음반시장 규모가1,800억원과 온라인 음악시장 규모가 1,800억원임을 감안하면 대략 500억원 정도가 온라인 불법복제 피해규모로 추산	□ (사)한국콘텐츠산업연합회 제출자료

□ 현재, 디지털 불법복제를 방지하기 위한 기술인 □워터마킹□은 불법복제 발생시 불법행위의 주체를 알기 어려운 한계등으로 인해 불법복제 방지에 그다지 효과적이지 못하며

□ ETRI에서 개발한 □불법 콘텐츠 추적시스템□은 불법복제물 유포자 식별 및 추적은 가능하나 불법복제를 사전에 차단할 수 없는 한계가 있음

□ 국민들의 디지털콘텐츠 분야에서의 의식 제고 방안 마련도 필요.

- 2004.5 한국콘텐츠산업연합회가 조사한 자료에 의하면

영상물 불법복제가 관련산업에 미치는 영향 정도를 묻는 항목에서 □피해정도가 적다□와 □피해정도가 없다□라고 응답한 설문자는 58%를 차지.

- 10대~20대와 학생계층에서는 68%까지 비중을 차지

□ 불법복제를 방지하기 위한 기술과 법제도가 정비된다 하더라도 완벽한 해결방안이 될 수 없음.  사용자교육을 통한 의식 전환이 선행되어야 함.

그것도 가장 많은 사용자 비율을 차지하고 있는 10~20대, 즉 학생들의 사용자 의식 전환이 중요한 해결 과제임.

□ 지금 초중고교 각급 학교의 컴퓨터 교육과정이나 각종 IT 교과과정에서 저작권이나 지적재산권 보호에 대한 교육은 실시되지 않고 있음.

공개 S/W, 수요가 있어야 살 수 있다.

- 지원과 개발만으로는 한계

- 정부가 나서 수요창출로 민간업체 유도해야

□ 소프트웨어 진흥원은 S/W 주권국가 실현을 목표로 공개 S/W 활성화를 위한 다각적인 노력을 하고 있음

□ 정통부가 공개S/W 활성화를 위해 강원대학교 학사행정시스템을 리눅스 기반으로 구축하는 등 2003년~2004년까지 총 4개의 시범사업을 수행중이며, 앞으로도 8개 기관에 대하여 시범사업을 전개할 예정

□ 공개 S/W 개발을 위해 산□학 협력 프로젝트를 통한 초급 인력양성의 일환으로 각급 대학에 8개 공개 S/W 개발 과제에 3.8억의 예산을 지원하고 있으며, 전문교육기관과의 협력을 통해 전문인력 370여명 양성 진행중

□ 또한 공개 S/W의 도입을 꺼리는 주요 원인중의 하나인 □성공적인 레퍼런스□ 부족 해소를 위해 □해외 리눅스 성공 사례집□을 발간하는 등 다각적인 노력을 하고 있음

□ 그러나, 공공기관의 리눅스 운영체계 사용 현황을 보면, 2003년 국내 공공부문 공개 S/W이 점유율은 데스크탑이 0.1%에 불과하고 서버도 7%에 머물고 있는게 우리의 현실

□ 인력양성과 시범사업, 성공사례 발굴과 보급 등 다각적인 노력을 기울이고 있으나, 공개 S/W 활성화를 위해 가장 필요한것은 민간업체의 적극적인 참여와 동기부여라고 생각함.

□ 민간업체의 참여를 활성화하기 위해서는 공공부문에서 수요를 창출해 민간업체에 기술개발, 제품공급 등에 대한 동기를 부여해야 할 뿐만 아니라 공개 S/W에 대한 안정성과 신뢰감을 심어주어야 할 것임.

□ 그러나, 소프트웨어진흥원에서 제출한 자료에 따르면 공공부문에서 현재 공개 S/W로 추진중인 정보시스템 구축사업은 소규모 웹서버 부문으로 규모가 미미하여 국내업체의 참여 현황조차 파악하기 곤란하다고 함.

□ 또한 국내□외 공개 S/W 개발 프로젝트에 기업차원에서 참여하고 있는 국내 업체는 현재까지는 전혀 없음

□ 이는 공개 S/W 활성화를 위한 소프트웨어진흥원의 노력을 무색하게 할 만큼 민간부분에서의 관심과 투자가 아주 저조하다는 것.

□ 정부 연구기관에서의 기술개발과 정부차원의 인력양성도 중요할 것이나 민간업체가 다양한 수익모델 창출로 공개 S/W 활성화 기반을 만드는 것이 무엇보다 중요하고 거기에 정부가 동기 부여를 해 주어야