국회과학기술정보통신위원회

2004 정기 국회 국정감사 보도자료

국회의원 김석준(한나라당 대구 달서병)

2004.10.14.한국소프트웨어진흥원

/한국정보보호진흥원

한국소프트웨어진흥원

○ 지역센터에 대규모 낙하산 인사중

○ 공개SW 진흥사업 장기계획을 제시하라

○ 있으나 마나한 SW 제안서 보상제도

○ SW 수출금융지원방안을 마련하라

○ 해외협력지원센터의 내실운영을 당부

○ 게임사업 중복문제 어떻게 해결하나

○ 기타 수당 등의 보수체계 고쳤나

한국정보보호진흥원

○ 정보보호제품 평가에 외압없었나

○ LGT․ KTF 개인정보수집의 탈법성

○ 예방에 소홀한 해킹/스팸 방지대책

○ 해킹/바이러스 조기 예/경보시스템 구축 부적정

○ 무선망개방과 이에 따른 휴대폰 바이러스

확산에 대한 대비책을 강구하라

한국소프트웨어진흥원: 지역센터에 대규모 낙하산인사 중

한국소프트웨어진흥원은 <소프트웨어산업진흥법> 제17조에 의한 법정법인으로서 <온라인디지털콘텐츠산업발전법>제13조의 전담기관임.

진흥원의 예산은 통신산업특별회계에서 7백65억원, 정보화촉진기금 연구개발계정에서 5백82억원 기타수입금 33억원을 수입으로 해서 1천3백80억원을 집행하고 있음.

소프트웨어기업 경쟁력강화를 위해서 진흥원은 지역 소프트웨어 산업 활성화를 지원하고 유망 소프트웨어 업체를 발굴하여 육성함으로써 소프트웨어 기업 경쟁력을 확보하기 위한 것임.

11개 지역소프트웨어센터에 진흥원 출신이 34% 차지

이러한 목적을 위해서 지역소프트웨어 지원센터 11개, 소프트타운 8개를 운영하고 시설과 장비확충을 지원하고 있음. 이들 지원센터에는 1억원에서 5억원까지 지방자치단체와 매칭펀드로 예산이 지원되고 있음. 그런데 이들 지원센터와 소프트타운 임직원에 소프트웨어진흥원 출신들이 낙하산으로 집결하고 있다는 것임.

강릉	안산	울산	목포	충북	포항	안양	용인	제주	고양	마산
3/4	2/3	3/3	0/2	1/7	2/3	2/11	2/2	0/7	2/5	0/3

11개 지원센터의 경우 임직원이 50명인데 이들 중 소프트웨어진흥원 출신인사는 34%를 차지하고 있음. 울산과 용인은 100%임. 이들 인사외에 소프트웨어 진흥원 출신이 없는 곳은 대부분 지역 공무원출신들로 채워져 있음을 알 수 있었음.

7개 소프트타운의 경우에는 타운지정 1차년도에 지역 IT진흥기관설립과 운영등 기반조성지원을 위해 25억원을 우선 배정하고 ▲지역소프트산업 활성화 사업지원과 ▲공용장비시설지원 명목으로 12억원에서 15억원까지 총 1백2억여원이 지원되고 있음.

7개 소프트타운에 진흥원 출신이 35% 차지

부산	인천	대구	광주	대전	강원	전주	계
13/20	7/21	6/20	2/16	4/6	0/8	4/12	36/103

강원과 전주의 경우에는 소프트웨어분야가 아니고 영상문화원의 기능도 겸하고 있어 영상분야의 출신인사들이 많이 진출하고 있음. 그러나 소트트타운 전체 임직원 103명 중 진흥원 출신이 36명으로 35%가 진흥원 출신인사로 채워져 있음.

진흥원 출신인사의 지방 소프트타운과 스프트웨어센터 진출이 전문성을 중심으로한 진흥원의 정책의 확산을 위해 불가피한 것인지 아니면 글자그대로 낙하산 인사인지 어느쪽이라고 판단하는지 답변 바람.

예산지원이 지방자치단체와 매칭펀드로 이뤄지고 있어 각 지방자치단체에서 선임한 공무원 퇴직인사들이 소프트타운의 중요 보직인사를 맡음으로써 진흥원이 파행적으로 움직인 예가 과거 인천정보산업진흥원등에서는 발생한 예가 있음.

이런 점에서 예산지원에 앞서 정보통신부의 산하기관으로서 정부에서 하고자 하는 목표사업의 기능이 살아날 수 있도록 운영방향을 잡는 것도 중요하다고 판단함. 그러나 그러기 위해서 진흥원의 인사들을 낙하산으로 내려보내는 것은 온당하지 않다고 판단함. 이에 대한 원장의 견해를 밝혀주기 바람.

SW진흥원 : 공개SW 진흥사업,

장기계획과 비젼을 제시하라

한 기업(MS)에 모든 것을 맡기고 속수무책으로 인터넷 대란을 맞이할 것인지, 아니면 사용자가 조절할 수 있는 여지를 남겨둘 것인지의 문제만 생각해도 공개소프트웨어를 진흥해야 하는 이유는 명료함.

우리나라는 SW진흥원 및 ETRI 주도로 표준 공개SW가 개발되고 있는 등 국가주도로 공개SW 진흥사업이 추진되고 있음.

1) ‘공개SW활성화’에 대한 사업에 대한 중장기 계획과 비젼을 제시하라.

본 의원이 제출받은 최근 3년간 연도별 공개SW 진흥을 위한 예산확보 현황 및 집행현황을 보면 아래와 같음.

구 분	2002년		2003년		2004년
	예산	집행	예산	집행	예산	집행
o 공개SW이용활성화지원	294	294	1,000	959	700	183
o 공개SW전문인력양성	457	457	-	-	500	68
o 공개S/W기술지원센터	-	-	-	-	1,500	-
o 공개 S/W 시범사업	-	-	-	-	3,000	-
o 공개 S/W 기술개발	295	295				-
계	1,046	1,046	1,000	959	5,700	251

(단위 : 백만원, ‘04. 6월말 현재)

공개소프트웨어 지원과 관련해서는 2002년과 2003년 10억원 수준에서 2004년에는 57억원으로 5배 이상 늘어났고, 2004년 8월 정보화촉진기금운용계획 변경에 따른 추가배정까지 포함하면 85억원에 이름.

사업예산이 전년에 비해 이렇게 늘어난 주요 이유와 추가배정까지 하게 된 이유는 무엇인가?

아울러 업무보고 8쪽에는 공개SW 활성화와 관련하여 6개 사업에 대한 추진현황을 보고하고 있는데, 중장기 계획에 대해서는 언급이 되고 있지 않다.

가령 향후 5년후에 어떠한 비젼을 가지고 공개SW를 활성화시켜 나갈 것인지, 이를 위해 매년 어떠한 사업을 추진하고 있는지, 국내외 공개SW업체들과는 어떻게 연계할 것인지 등에 대한 장기적 비젼을 가지고 임해야 할 것이라 생각한다.

이에 대한 SW진흥원의 입장과 중장기 계획에 대해 말씀해 주시고, 업무보고에 언급된 사업에 대해서도 각각의 사업계획과 추진현황에 대해 연도별로 작성하여 서면으로 상세히 보고할 것.

아울러 SW진흥원은 ‘공개SW 기술지원센터’를 만들고 이 안에 ‘글로벌 파트너쉽센터(GPC)’를 구축할 계획이 있는 것으로 알고 있는데, 이들 센터의 중장기 비젼과 전략은 무엇인지에 대해서도 구체적으로 밝혀줄 것.

2) 공개소프트웨어 활성화를 위한 실효성 확보방안을 제시하라.

공개소프트웨어가 산업발전을 위해 중요하고 유익하다는 측면에는 대부분이 공감하나, 실제 사용에 따른 불편함을 감수하면서까지 의무감으로 사용하라는 것은 사리에 맞지 않는다.

지난 7월 한국SW진흥원은 2007년까지 리눅스 등 공개SW를 활성화하기 위한 중장기 계획을 공개하고, 2007년 국내 서버시장의 25%, PC시장의 10%를 리눅스로 전환하겠다고 밝힌바 있다.

이러한 계획의 실효성 있는 추진을 위해 가장 중요하다고 생각되는 점은 무엇인가?

현재 SW진흥원을 포함하여 몇몇 기관에서 리눅스 등을 사용하고 있는 것으로 알고 있는데, 사용현황과 사용상의 문제점 등에 대해 말씀해 주시고, 공개소프트웨어 진흥을 위해 가장 중요하다고 생각되는 사항은 무엇인지 밝혀줄 것.

3) 리눅스 보안제품에 대해서 국가기관인 국정원에서조차 차별을 하고 있는 현실을 감안한 대응방안을 마련하라.

얼마전 언론보도(8.10 디지털타임즈)를 보면, 보안솔루션 분야에서 리눅스 기반 제품들은 국정원의 K시리즈 인증체계 가운데 공공기관에 납품할 수 있는 자격인 K4인증을 획득할 수 없고, 새로 실시하고 있는 공통평가기준(CC) 인증에서도 공기관 납품자격인 EAL3+를 획득할 수 없는 것이 현실이라고 보도된 바 있다.

위 사실을 알고 있는가?

KISA(정보보호진흥원)의 정보보호제품 평가기준에는 오픈소스 운영체제에 대한 규제조항이 없으나, 국정원은 리눅스 기반의 정보보호제품이 소스코드가 공개되어 있어 취약점이 노출되어 있다는 이유로 인증에서 제외되거나 낮은 등급의 인증만을 부여한 것으로 나타났다.

이러한 국정원의 입장에 대해 공개소프트웨어 진흥사업을 책임지는 한국SW진흥원의 입장은 어떠하며, 대응방안은 무엇인가?

SW진흥원 : 있으나마나 한 SW제안서 보상제도

소프트웨어산업진흥법 제21조에서는 ‘SW제안서 보상제도’를 규정하고 있으나 실제로는 잘 지켜지지 않음.

제21조 (소프트웨어사업 제안서 보상)  ① 국가기관 등의 장은 제20조의 규정에 의하여 소프트웨어사업을 추진하는 경우 낙찰자로 결정되지 아니한 자 중 제안서 평가에서 우수한 평가를 받은 자에 대하여는 예산의 범위안에서 제안서 작성비의 일부를 보상할 수 있다.

②제1항의 규정에 의한 제안서 보상기준 및 절차 등에 관하여 필요한 사항은 정보통신부장관이 정하여 이를 고시한다.

1) SW제안서 보상제도에 대한 SW진흥원의 입장은 무엇인가?

‘우체국 금융시스템 재해복구시스템 입찰’ 등과 같은 정통부 유관기관 조차도 제안서 보상에 관한 규정을 실천하려는 의지가 없다는 것이 SI 관계자들의 목소리다.

법률에 규정된 보상제도를 국가기관에서조차 외면하는 것은 문제가 있다고 보는데, SW산업의 진흥/발전을 효율적으로 지원하기 위해 설립된 소프트웨어진흥원의 입장은 어떠한가?

2) 유명무실한 SW제안서 보상제도에 대한 대책은 무엇인가.

SW제안서 보상제도와 관련한 본 의원의 자료요구에 대해 정통부의 답변에 따르면 ‘발주기관의 반대로 시행이 보류되었다’는 것임(정통부 정책총괄과).

즉, SW제안서가 창의적인 아이디어보다는 정형화된 틀을 활용하고 있는 것에 불과하고, 제안서를 영업활동의 일환(작성비용은 영업비용으로 처리)으로 보아 법인세 감면효과가 있다는 이유 등으로 제안서 보상을 실시하지 않고 있다는 것이다.

이러한 정통부의 답변에 동의하는가?

법(소프트웨어산업진흥법 제21조)에 규정된 제도를 발주기관에서 반대하면 시행을 보류하는 것이 타당한가?

SW제안서 보상제도의 효과적인 운영을 위해 SW진흥원이 가지고 있는 계획이 있다면 밝혀줄 것.

SW진흥원 : SW 수출금융지원방안을 마련하라!!

최근 SW진흥원은 ‘SW수출금융 활용현황 조사’를 통해 SW산업의 특성상 일반적인 수출까지 포괄하는 공적기관금융이나 상업금융보다는 SW산업에 특성화된 정책금융을 선호하는 것으로 발표한 바 있음.

SW진흥원이 생각하는 SW수출을 위한 효과적인 금융지원방안은 무엇이며, SW산업에 특성화된 수출금융지원방안은 무엇인지에 대해 밝혀주시고, 수출금융지원에 대한 계획을 가지고 있다면 밝혀줄 것.

최근 보도에 따르면, 수출입은행이 4천억원 규모의 중소IT기업 수출금융지원책을 제안한 바 있는데, 정통부가 대출에 따른 리스크를 주원인으로 불가방침을 내린 것으로 나타남.

중소IT업체들의 자금난 가중에도 불구 주무부처인 정통부에서 금융지원을 차단한 것으로 비춰져 논란이 된 바 있는데, 이에 대한 SW진흥원의 입장은 어떠한가?

‘중소IT기업 수출금융지원안’에 대한 SW진흥원의 입장은 어떠한지 밝혀줄 것.

SW진흥원 : ‘해외협력지원센터’의

내실있는 운영을 당부함

최근 중소IT벤처기업을 대상으로 실시한 ‘해외진출시 애로사항’에 대한 설문조사에서 “현지파트너 및 채널연계 부족(32%)”, “해외 마케팅 전문인력 및 경험부족(24%)”, “해외시장 정보부족(20%)”, “제품현지화 문제(14%)” 등에서 우리 기업이 어려움을 느끼는 것으로 나타남.

1. ‘정보통신해외협력진흥원’ 신설 관련

1) 정보통신해외협력진흥원 설립과 관련한 SW진흥원의 입장은 어떠한가?

SW진흥원 업무보고 14쪽을 보면, 수출활성화와 관련하여 해외IT지원센터(iPARK) 운영 등 3개 사업에 대한 언급이 있다.

이에 대해 최근 언론보도(8.23자. 전자신문)를 보면 정보화촉진기본법을 개정하여 정보통신해외협력진흥원 신설하고, IT해외진출 지원체계를 구축하며, 한국정보통신수출진흥센터(ICA)와 한국SW진흥원의 아이파크(iPARK) 통합하여 우리 기업의 현지 정착에 필요한 법률/회계/인력 등 맞춤형 공유기반서비스 제공에 집중하는 것으로 보도된바 있다.

이러한 조직개편 논의에 대한 SW진흥원의 입장은 어떠하며, 이러한 조직개편이 SW산업의 해외진출에 어떠한 긍정적인 영향을 미칠 것으로 예상하는가?

2) SW산업의 특성을 고려하지 않은 물리적인 통합이라는 지적에 대한 SW진흥원의 입장은 어떠한가?

SW수출산업의 교두보 역할을 해왔던 아이파크를 한국정보통신수출진흥센터(ICA)로 사실상 통합하여 정보통신해외협력진흥원을 설립하는 방안에 대해서는 SW산업의 특성을 전혀 고려하지 않은 결정이라는 지적이 있다.

이러한 지적에 대한 SW진흥원의 입장은 어떠하며, 실제로 기구가 개편될 경우 발전방향에 대해서는 어떠한 계획을 가지고 있는지 밝혀줄 것.

2. 해외IT지원센터(iPARK) 운영 관련

1) 주재원에 대한 편법 연봉계약을 시정하고, iPARK가 SW진흥원 직원의 휴가 장소로 이용되지 못하도록 관리감독을 철저히 할 것

한국소프트웨어진흥원에 대한 2003년도 감사원 감사 결과에 따르면, 2001년 2월부터 한국 국적의 미국 거주민을 미국 보스턴 iPARK 소장으로 채용/발령하고 연봉 5천2백만원과 해외근무에 따른 수당을 지급하기로 연봉계약을 체결하고 원장이 구두로 연간 미화 13만5천달러(1억7천5백50만원)을 지급하기로 하였다는 이유로 국내분 연봉과 해외수당의 합이 미화 13만5천달러에 못 미치자 기타수당이란 명목으로 그 차액을 보전하여 준 바 있음. 이것은 보수규정을 초과한 것으로 지적받음.

또한 iPARK에 대한 최근(2003년) 정통부 자체감사 결과를 봐도 ‘주재원 연봉계약 부적정’ 지적을 통해 해외센터주재원에게 지급하는 기타수당이 연봉인상의 수단으로 활용되고 있는 점과 한국 국적을 가지고 있는 해외센터 소장의 연봉이 한국소프트웨어진흥원의 보수규정을 초과하는 사례가 없도록 조치하도록 한 바 있음.

아울러 유학을 이유로 의원면직을 신청한 직원을 2003년 9월8일부터 같은 해 12월31일까지 휴직처리하고 동 직원이 계속 근무할 의사가 없는 것을 알면서도 휴직 직전이 2003년 8월17일부터 같은 해 8월31일까지 iPARK출장명령을 하는 등 공무보다는 개인에게 미국 유학을 돕기위한 특혜성 출장을 실시한 사실이 드러나기도 함.

iPARK는 해외에서 운영되는 만큼 관리가 소홀할 수 있다.

운영과 관리감독에 문제가 없도록 사후조치에 만전을 기할 것을 당부함.

2) iPARK 소장 7명 중 4명이 특정기업과 정통부 관료출신

iPARK는 현재 5개국에 8개소가 운영되고 있으며, 공석인 상해소장을 제외하면 7개소에 소장이 임명되어 활동중임.

그러나 이 중 실리콘밸리 소장과 오사카 소장의 경우 S기업에 근무한 경력이 있는 것으로 나타났고, 북경 소장과 런던 소장의 경우는 정통부 관료를 지낸 것으로 나타났다.

소장 임용을 위한 심사기준은 무엇인가?

iPARK는 우리나라 IT의 해외진출을 지원하기 위한 기관이다. 그렇기 때문에 관료경험보다는 비즈니스 마인드와 그 지역 비즈니스 관계자와의 네트웍이 중요하다고 본다.

실제로 본 의원이 제출받은 iPARK별 수출실적을 보면 8개소의 2003년 전체 실적 대비 2004.6월까지 실적이 평균 74% 정도인 것으로 나타났으나, 북경은 17%(2003년 4천4백18만불에서 2004.6월 4백1십만불), 런던은 43%(2003년 9백51만불에서 2004.6월 4백1십만불)로 나타나 평균에 못미치는 것으로 나타남.

물론 보스턴의 실적이 가장 좋지 않은 것으로 나타나기도 하여(전년 대비 7.8%) 실적만 가지고 문제제기를 하기는 어려운 측면이 있으나, 소장 임용에 있어 관료와 특정기업 출신이 50%를 상회하고 있는 것은 문제가 있다고 생각된다.

소장 임용에 대한 심사기준과 기존 소장들의 임용시 임용과정(후보자들 채점표 포함)과 후보자 프로필을 제출해 주시고, 비즈니스 마인드 네트웍을 잘 갖추고 있어 국내 기업의 해외진출에 실질적인 도움을 줄 수 있는 사람이 임용될 수 있도록 조치해 주시기 바람.

3) iPARK의 내실있고 투명한 운영을 당부함.

위에서 언급한 것 외에도 iPARK와 관련해서는 부실운영에 대한 지적과 불만이 수없이 제기되고 있음. 국내 IT기업의 수출성과를 극대화하기 위해서는 iPARK에 IT전문가를 배치하는 것과 확보된 전문인력을 활용한 해외시장 정보확대 및 마켓채널 확대강화가 이루어져야 할 것임.아울러 투명한 운영을 통해 국민의 신뢰를 받을 수 있는 iPARK로 거듭나야 할 것임.

SW진흥원 : 게임분야 사업 중복문제,

어떻게 해결할 것인가.

◆ 중복현황

한국게임산업개발원	한국소프트웨어진흥원	중복부문
게임산업종합정보시스템(GITISS)운영	디지털콘텐츠 종합정보시스템 운영	- 디지털콘텐츠 종합정보시스템의 게임분야 중복
대한민국게임백서 발간 및 게임산업저널 발행(계간지)	디지털콘텐츠 산업백서 발간 및 디지털콘텐츠 월간지 발행	- 디지털콘텐츠 산업백서 및 디지털콘텐츠 월간지의 게임부문 통계 등 중복 (통계의 상이로 인한 문제 발생)
게임산업 정책연구	디지털콘텐츠 정책연구 수행	- 디지털콘텐츠 정책연구의 게임분야 중복
게임전문 IDC확충 및 운영	디지털콘텐츠 제작협력센터 구축 및 운영	- 고가의 게임 등 디지털콘텐츠 제작장비 공동이용시설 구축 유사
우수게임사전제작지원	우수 디지털콘텐츠 제품설계서 제작 지원	- 게임분야 우수작품 선정 및 제작지원금 지급 중복
대한민국게임대상, 이달의 우수게임시상	우수 디지털콘텐츠 발굴시상(분기시상 및 연말대상)	- 우수 온라인게임 선정 시상 유사
국제게임전시회 개최	디지털콘텐츠페어	- 온라인게임, 모바일게임 등 게임업체전시 중복

문광부 산하의 ‘한국게임산업개발원’과 정통부 산하의 ‘한국SW진흥원’은 유사한 업무를 중복하여 수행함으로써 게임업체는 물론 이용자들에게도 혼란을 주고 있음.

실제로 SW진흥원의 사업 중 ‘디지털콘텐츠’부문의 경우 위 표에서 보는 것처럼 게임산업과 많은 부분이 중복되고 있다는 지적이 있음.

특히 ‘우수 디지털콘텐츠 제작협력센터 구축 및 운영’과 ‘우수 디지털콘텐츠 발굴시상’, ‘디지털콘텐츠페어’ 등의 사업의 경우 문광부의 사업과 중복되어 시상이 중복되고, 게임업체의 경우 중복전시의 문제도 발생함.

현재 주무부처(정보통신부/문화관광부) 간 업무협약(MOU)이 체결된 것으로 알고 있는데, 게임 관련 사업의 추진시 산하기관 간 중복에 대한 SW진흥원의 입장은 무엇인가?

동일한 사업을 양부처가 동시에 시행하는 것 보다는 협력을 통해 상호 보완하여 실시하는 것이 타당하다고 본다.

게임사업자들과 이용자들이 혼선을 겪지 않도록 사업협력 현황과 협력방안에 대해 구체적인 답변을 바람.

두기관 共通: 기타 수당 등 직원 상여금 보수체계 고쳤나

한국소프트웨어진흥원의 2004년도 예산은 통신산업특별회계에서 7백65억원, 정보화촉진기금 연구개발계정에서 5백82억원 기타수입금 33억원을 수입으로 해서 1천3백80억원을 집행하고 있음. 예산의 출처를 보면 소프트웨어진흥원이 쓰는 돈은 기금이지만 사실상 전액 정부예산이라고 할 수 있음. 진흥원이 벌어들이는 성격은 33억원 정도임.

감사원은 지난 2003년 3월4일부터 21일까지 일반감사를 통해 진흥원의 보수체계에 문제가 있다고 밝히고 개선하라고 지적한 바 있음.

감사원의 지적에 따르면 2000년 2월,연봉제를 도입하면서 보수규정과 보수규칙에 따라 수당과 인센티브를 지급하고 있음.

연봉과 수당을 합쳐 총액을 보수로 규정하고 연월차,가족,시간외근무,야간근무,휴일근무 등 직무여건에 따른 부가급여를 제 수당명목으로 지급하고 있으므로 연봉이 일정비율에 상당하는 금액을 수당이라는 명칭으로 변칙적으로 설정하여 임금을 인상해 지급하는 일이 없도록 해야 한다고 지적하고 있음.

진흥원은 수당범위에 해당되지 않은 급여를 기본수당의 명목으로 표준연봉의 2/12까지 지급하는 것으로 보수규칙을 규정해 놓고 있는데 반하여 정보통신부는 1/24 범위내에서 인센티브를 주도록 하고 있다는 것임. 이러한 결과, 진흥원은 다른 한국전산원 등 다른 산하기관의 표준연봉대비 실지급액으로 50%이상을 더 받고 있다는 것임.

한국소프트웨어진흥원의 책임급 직원의 표준연봉은 5천2백78만5천원인데 이러한 비율조정결과 실지급액은 9천5백71만1천원이라는 지적임. 이러한 지적 후 개선됐는지 밝혀주기 바람.

한국정보보호진흥원장께도 묻고자 함.

2003년 6월16일 열린 제36회 이사회 회의록을 보면, 이기호이사가 제기한 ‘완전연봉제에 기타수당이 별도로 있는 것이 타당한가’에 대한 논의가 있음. 이에 대해 감사는 ‘기관운영상 필요가 있는 것 같다’고 언급하고 정부를 대신해서 참석한 최종덕 대리인은 “대부분의 기관이 기타수당을 주고 있다”고 답하였음. 이에 의장은 전체산하기관에 공통적으로 적용되는 문제이기 때문에 금번에는 현행을 유지하는 것으로 의견을 모은 바 있음.

감사원은 한국전산원에 대해 2003년 3월에 이 같은 잘못된 사항을 시정하라고 일반감사시 통보한바 있는데 한국정보보호진흥원에서는 이 같은 사실을 모르고 있던 것으로 판단함.

감사원의 지적대로라면 문제가 심각한 상황임에도 불구하고 정통부는 이 문제에 대해 안이한 판단을 갖고 있었다고 판단함. 진흥원은 현재 이 같은 규정이 개정된 바 있는지 답변바람.

한국정보보호진흥원: 정보보호제품 평가에 외압 없었나

정보통신부는 정보화촉진기본법 제15조의 규정에 따라 정보보호시스템을 제조,수입하는 자가 준수하여야 할 정보보호시스템의 성능과 신뢰도에 관한 기준을 정하여 고시하고 한국정보보호진흥원은 <정보통신망 이용촉진 및 정보보호 등에 관한 법률> 제52조의 규정에 따라 정보보호제품의 시험․평가업무를 수행하도록 하고 있음.

한국정보보호진흥원에서는 어울림정보기술(주) 등이 개발한 침입차단시스템 9개를 평가하면서 일부 항목의 평가를 누락한 채 합격 처리하는 등 평가 업무에 문제가 있었던 것으로 2003년 4월 28일부터 9월23일까지 이뤄진 <IT 등 첨단기술산업 관련시책 추진실태> 감사시 감사원 지적을 받은 바 있음.

침입차단시스템의 평가 결과에 대해서 진흥원에서 국가정보원에 보고하고 있는 것으로 본 위원은 파악하고 있는데 사실인지 확인해 주기 바람. 국가정보원으로부터 동 항목을 빼고 평가하라는 압력이나 요청은 없었는지 밝혀주기 바람.

한국정보보진흥원은 정보통신부고시 제 2002-41호 정보시스템평가․인증지침과 평가2003-017(2003.8.14) 침입차단시스템 평가계약에 의거 국가정보원장에게 지난 2004년 6월11일, 어울림정보기술(주)의 정보보호시스템 2종에 대해 ‘재평가’라는 평가 사실을 통보한 바 있음.

이러한 재평가가 감사원 감사결과 지적에 의해 이뤄진 것인지 답변바람. 국가정보원에 재평가 통보 후 동 건에 대해서는 어떻게 처리됐는지 이후 경과를 밝혀주기 바람.

또한 평가절차의 객관성과 평가결과의 적정성이 확보될 수 있도록 내부통제 절차를 도입하는 방안을 마련하라고 감사원은 통보한 바 있음. 동 지적에 대해 어떤 대책을 수립했는지 밝혀주기 바람.

한국정보보호진흥원:LGT와 KTF 개인정보수집의 적법성

한국정보보호진흥원은 <정보통신망이용촉진 및 정보보호 등에 관한 법률> 위반사항조사와 관련해 지난 2003년 11월24일,정통부 정보이용보호과에 “번호이동성 시행과 관련한 이동통신사의 개인정보 불법 수집 여부에 대한 현장조사 결과 및 정보통신망이용촉진 및 정보보호 등에 관한 법률 위반 여부에 대한 조사결과”를 보고한 바 있음.

동 조사보고에 따르면 2003년 11월17일부터 20일까지 이동 통신 3사에 대해 조사를 했는데 KTF와 LGT에 대해서는 현장조사를 하였고 SKT에 대해서는 서면조사를 실시하였음.

LGT는 SKT 고객 316,542명의 개인정보 수집

LGT에 대한 조사결과, LGT는 “SKT 고객 유입을 위한 목적으로 LG그룹 임직원에게 <고객사랑 모니터링 패널 신청서>를 배포하여 친구/가족 등 SKT 가입자를 대상으로 모니터링에 참여하도록 유도하여 2003년 8월부터 10월말까지 오프라인상으로만 실시하여 LGT 임직원을 통해 10만4천2백54명, LG 전자 등 자매사 임직원을 통해 21만2천2백88명의 SKT 가입자 정보를 수집하였음. 동 수집정보는 LGT임직원의 경우에는 직원 PC를 통해 직접 입력하였으며 자매사 임직원이 LG 그룹망을 통해 입력한 정보는 DB에 취합,처리함.

신청서 작성을 통해 수집하는 SK텔레콤 가입자의 개인정보는 성명, 성별,연령, 및 현재 사용하는 이동전화번호를 필수항목으로 수집했으며,그 외에 월평균 사용요금,현사용 단말기 구입시기 등을 선택항목으로 수집했고 럭키생명 휴일상해보험 1년 무료가입을 원할 경우에는 주민등록번호,주소를 필히 기재하게 했으며 이메일은 선택적으로 기재하게 했음.

이 같은 내용의 사실을 확인한 진흥원은 LGT에 대해 ▲사내직원용 게시판 또는 이메일을 통해 패널의 동의없이 임의 등록하는 일이 없도록 주의를 촉구하였으며 ▲불만접수 창구를 마련하여 ‘패널 임의 등록’에 대한 불만이 접수된 경우에는 패널 추천인 또는 패널에게 연락하여 임의등록 여부를 확인한 후 임의 등록으로 확인되는 경우에는 해당 정보를 삭제조치하도록 했음.

조사결과, 수집된 패널정보 DB는 전산센터에서 관리하며 마케팅전략팀외에는 접근할 수 없도록 열람권한을 제한하고 있다고 밝히고 있으며 동 정보는 SKT 가입자의 단말기 구입시기, 요금제도 불만 등에 대한 조사목적으로 주로 사용된다고 조사보고서에 밝히고 있음.

KTF는 LGT와 SKT 이용자의 6,827명의 개인정보 수집

KTF의 경우에는 SKT 및 LGT 가입자를 포함한 전 국민을 대상으로 ‘굿타임 멤버로 추천합시다’ 행사를 개최해 2003년 10월17일부터 2004년 6월30일까지 자사 홈페이지 및 대리점에서 오프라인상으로 실시하여 2003년 11월 4일 현재로 6천8백27명의 개인정보를 수집한 바 있음.

잘못은 있는데 벌은 안준다고 판시

동 조사보고서에 밝히고 있듯 ‘동의없이 등록된 정보’에 대한 조치방법에 따라 삭제된 개인정보 건수가 몇 건이나 되는지 사후에 확인하거나 보고받은 바가 있는지 진흥원장은 답변 바람.

이 같은 자료를 제출받지 않았다면 진흥원이 부당한 개인정보 수집행위에 동조한 것이라고 본 위원은 판단함. 실제로 열람권을 제한하고 있는지도 확인해야 한다고 본 위원은 판단함.

현행 <정보통신망법>에 따르면 제22조 1항의 규정에 위반하여 동의없이 이용자의 개인정보를 수집하는 경우에는 제67조에 의해 1천만원 이하의 과태료를 부과하고 같은 법24조 ‘개인정보의 이용 및 제공’을 위반하는 경우 제62조에 의해 5년이하의 징역 또는 5천만원 이하의 벌금에 처하게 돼 있음.

이러한 규정이 있음에도 불구하고 정보보호진흥원 개인정보보호 자문위원은 “정보통신망법은 정보통신서비스 제공자와 그 서비스를 이용하는 자의 개인정보보호를 규정하고 있으므로 타사고객정보 수집행위가 정보통신망법 제21조1항을 위반하여 동의없이 개인정보를 불법수집하고 있다고 판단하기 어렵다”는 논리를 내세워 KTF와 LGT의 행위는 과태료 부과를 위한 구성요건에 해당하지 않는다고 판단한 바 있음.

그러나 동 판단에 덧붙여 “다만 KTF,LGT는 탈법적인 수단을 이용하여 타사고객의 개인정보를 수집하고 있으므로 정당하다고 볼 수 없다”고 아리송한 판단을 내린 바 있음.  결국 문제는 있는데 벌을 주지 않겠다는 것임.

이에대해 정보보호진흥원은 자문위원의 판단을 받아들여 벌은 주지 않고 “KTF,LGT에게 타사 고객정보 수집 즉시 본인에게 통보하고 열람,정정 및 이용정지 요구권을 보장하도록 행정지도가 필요할 것으로 판단된다”고 밝히고 있음.

동 건에 대한 판단과 같이 실제 이후에 행정지도가 이뤄졌는지 밝혀주기 바람.

본 위원은 이 같은 판단을 보면서 몇가지 법규정의 해석에 문제가 있다고 판단함.

먼저 어떤 경우에도 이용자의 동의없이 이용자의 개인정보를 수집하는 것은 정보통신망법 제22조 1항을 위반 하는 행위임. 그것이 정보통신망법의 법 정신임. 자문위원은 동법 제2조있어서 정의부분의 정보통신서비스제공자와 이용자와의 관계를 A라는 정보통신서비스제공자와 그 A라는 정보통시서비스제공자의 이용자와의 관계에서 정보수집등의 관계를 보호하기 위한 것이라고 판단했지만 즉 011 회사와 011이용자사이의 정보보호를 목적으로 한다고 판단하고 있지만 제1조 목적에 따르면 정보통신서비스를 이용하는자의 개인정보를 보호함을 목적으로 정하고 있음.

또한 정보통신망법 제22조2항에 의거 이용자의 동의를 얻고자 하는 경우,개인정보의 수집목적 및 이용목적 등 의무고지사항을 미리 이용자에게 고지하여야 하는 LGT가 수집한 방식은 LGT 임직원을 통해 일단 수집을 해놓고 문제가 되는 경우 정보수집 사항을 통보한 것임. 이것은 동법 25조1항 “타인에게 이용자의 개인정보의 수집, 취급, 관리 등을 위탁하는 경우에는 미리 그 사실을 이용자에게 고지하여야 한다”는 조항의 위반이라고 판단할 수 있음. 이 조항의 위반은 1천만원 이하의 과태료 부과 대상임.

본 위원은 이러한 법리적 판단을 떠나서 만일, 이용자 본인의 동의없이 지인 등 주변인을 통한 이용자의 개인정보를 수집하여 마케팅에 활용하는 것이 아무런 문제가 없다면 사업자 누구든지 LGT와 KTF가 행한 방식을 그대로 답습할 것이라고 판단함.

그런데 문제는 정보통신부가 고시한 개인정보보호지침 제4보 1항 ‘누구든지 자신의 의사에 반하여 자신의 개인정보가 위법하게 침해되거나 공개되지 않을 권리를 가지고 있다’는 취지에도 어긋나는 것임.

또한 이용자의 개인정보수집시에도 정보통신망법 제23조 2항에 따라 ‘최소한의 정보’를 수집해야 함에도 불구하고 타사의 월평균 사용요금, 단말기 구입시기 등을 수집한 것은 정말 잘못됐다고 판단함. 특히 동 자료가 여론조사목적으로 사용된다고 하는 것은 정말 잘못된 정보수집에 잘못된 사용이라고 볼 수 있음. 이용자의 정보를 지키지 못한 SKT로서는 막대한 자사의 정보가 유출된 것이라고도 판단할 수 있음.

불편부당하게 판단을 내려야 하고 법조문을 해석해야 하는 진훙원이 특정회사 봐주기식의 자의적인 법조문 해석을 한 것은 향후에 심각한 문제를 야기할 것이라고 판단함. 이에 대한 진흥원장의 견해를 밝혀주기 바람.

KISA : 예방에 소홀한 해킹/스팸 방지대책

유비쿼터스시대의 최대 과제는 ‘보안’이고, 전자정부 활성화와 신기술(RFID, LBS 등) 개발에 따라 개인정보보호와 정보보안 문제는 가장 중요하게 다루어야 할 사항임.

지난 6월 발생한 변종피프(Peep)에 의한 국가기관 해킹문제나 신종 해킹에 의한 피해에서 보듯 새로운 유형의 해킹툴로 인한 피해가 확산되고 있음.

한국정보보호진흥원(KISA)은 우리나라의 정보보안에 대한 핵심기구로서 이에 대한 대책을 강구해야 할 것임.

1. 새로운 해킹수단인 ‘피싱’에 대한 대응방안

피싱(Phishing)은 개인정보를 의미하는 ‘private data'와 낚시를 의미하는 ’fishing'의 합성어로 ‘개인정보사냥’을 의미하며, 미국에서 유래함.

주로 금융기관이나 유명 전사상거래업체를 사칭해 경품당첨, 계좌정보 변경 등을 알리는 메일을 발송하고 해당기관의 홈페이지를 복제한 가짜 인터넷주소를 링크시켜 소비자를 유인한 뒤 금융정보를 빼내는 신종사기 수법으로 국내에는 아직 피해사례가 없는 것으로 보고됨(한국정보보호진흥원).

이에 반해 미국 상원은 지난 7월 피싱(Phishing)방지법안을 제정하여 ‘허위 등록 웹사이트를 이용해 인터넷사용자들의 금융정보를 빼내는 개인정보 유출행위(피싱)’에 대해 5년 이상 징역과 25만달러 이상의 벌금을 부과할 수 있도록 하고 있음.

정통부는 지난 5월 해킹주의보를 발령한 바 있고, 7월에도 피싱주의보를 발령한 바 있음.

1) 국내 피싱현황과 이에 대한 대응방안은 무엇인가?

우리나라의 경우도 최근 경품당첨이나 명품을 싼값(무료)에 준다는 등의 내용으로 피싱이 급속히 확대되고 있는 것으로 파악되고 있고, 최근 보도에 따르면 한국이 피싱사이트 호스팅 건수면에서 미국에 이어 세계 2위를 기록하고 있다고 하는데, 정보호보진흥원이 파악하고 있는 국내 피싱의 확산속도는 어느정도인가?

또한 이에 대한 대비책은 어떻게 수립하고 있는가?

2) 피싱에 대비한 이메일보안 대책을 마련하라.

피싱은 이메일 보안에 대한 필요성을 부각시키고 있고, 소위 말하는 ‘직업해킹시대’의 최대 약점은 이메일이라는 우려가 현실로 다가오고 있다.

따라서 모든 사람들이 항상 사용하는 이메일 보안시스템이 실제로 가장 필요한 것이다.

예컨대, 은행에서 발송하는 오프라인 우편물에는 은행로고가 양각되어 있어 쉽게 위조하기가 어려워 은행임을 확인할 수 있다.

이처럼 사용자가 쉽게 진위를 구별할 수 있는 방법이 이메일 보안솔루션에 보다 필요하다고 생각하는데, 정보보호진흥원의 생각은 어떠하며 이에 대해 구체적인 실행계획이 있다면 밝혀줄 것.

피싱은 인터넷 쇼핑보안과 전자상거래의 근간을 흔들 수도 있는 범죄행위로, 확산될 경우 국내 전자상거래 시장에 심대한 악영향을 미칠 수도 있다. 이에 대한 대비책을 보다 빠르게 강구할 것.

※ 이메일 인증을 위한 간단한 방법인 ‘센더(sender)-ID’ 연구중 : 전문적인 기술만 갖추면 충분히 회피 가능.

※ 역(reverse) 방화벽 : 기존 방화벽은 외부에서 내부로 들어오는 공격을 차단하나, 역방화벽은 내부에서 외부로의 공격을 차단(사용자 PC가 좀비공격의 일원이 되는 것 방지). 단, 모든 사용자의 케이블 모뎀과 무선 액세스 포인트에 역방화벽 기능이 탑재되어야 할 것.

2. 스팸메일 차단을 위한 통신경로 차단문제

스팸메일 발송자들은 발송자 추적을 피하기 위해 포털 등의 메일서비스를 통하지 않고 ISP의 유동IP를 이용하여 대량 광고메일을 발송하고 있음.

이에 따라 정부는 비정상적인 방법을 통한 대량 광고발송 행위를 제한하기 위해 유동IP를 통한 광고발송 행위를 제한(‘포트25’ 제한)하는 방안을 검토중이라고 밝힘.

※ 포트80의 경우는 전송시 인증번호 삽입과정 등을 거치도록 돼있어 스팸메일 전송이 어려우나, 포트25에 대해서는 사전에 복잡한 인증조치를 취하지 않으면 이용자가 대량 스팸을 받게 되는 약점이 있음.

1) 통신경로 차단이 스팸메일 차단에 어느 정도의 효과가 있을 것으로 보는가.

통신경로(포트) 차단에 대한 기술적인 내용은 논외로 하더라도, 포트25를 통제할 경우 아웃룩익스프레스 사용자는 사실상 정상적인 메일업무 불가능하다는 것과, 포트25를 막더라도 꼭 필요한 경우에 대비해 별도의 예외조치를 취해야 하는데 이에 투여되는 노력이나 비용이 만만치 않다는 반론이 있다.

이러한 지적에 대한 정보보호진흥원의 입장과 대책은 무엇이며, 포트차단으로 인한 스팸메일 차단효과는 어느정도일 것으로 파악하는가?

(현재 메일량과 대비하여 구체적 수치로 보고 요망)

2) 스팸메일 방지방안에 대한 정보보호진흥원의 입장을 밝히고, 대책을 마련하라.

스팸메일의 폭주로 인한 물질적/정신적 폐해는 이론의 여지가 없지만, 이를 근본적으로 근절할 대책을 마련하는 것은 불가능한 것이 아닌가 하는 생각이 든다.

따라서 기술적인 조치를 통한 스팸메일 방지는 한계가 있고 정보통신망 이용자들의 인식개선 등을 통한 보다 근본적인 대책이 있어야 할 것으로 생각되는데, 스팸메일 방지방안에 대한 정보보호진흥원의 입장과 대응방안은 무엇인가?

3. 정보보호의 핵심기관인 한국정보보호진흥원의 교육관련 예산액이 년간 1억원에도 미치지 못하고 있는 것은 문제가 아닐 수 없음.

한국정보보호진흥원은 해킹과 바이러스에 대한 대책은 물론 개인정보보호에 이르기까지 우리나라의 정보보안에 대한 핵심기구라고 할 수 있다.

그러함에도 불구하고 정보보호 교육에 대한 예산이 1년에 1억원을 넘지 않는다는 것은 정통부 산하기관 중 정보보호 교육을 담당하는 또 다른 기관인 한국정보통신교육원(연간 6억원~9억원 정도 편성)에 비추어 보아도 납득이 되지 않는데, 정보보호진흥원의 교육 관련 예산이 상대적으로 낮은 이유는 무엇인가? 정보보안은 침해시 대응보다 예방이 중요하다.예방을 위한 교육에 만전을 기할 것.

KISA : '해킹․바이러스 조기 예/경보시스템‘

구축 부적정

2003년 4월에서 9월에 걸쳐 실시된 감사원 감사보도에 따르면, 한국정보보호진흥원이 인터넷 침해사고에 대응체계를 마련하기 위해 2002.6.15일~12.15일까지 총사업비 5억8천4백만원을 들여 ‘해킹․바이러스 조기 예/경보시스템 구축사업’을 추진했으나, 개인의 사생활을 침해할 가능성이 있는 것으로 지적된 바 있음.

즉, 위 사업은 인터넷 침해사고를 예방하기 위해 민간영역의 네트워크, 서버 등 공격단계별 주요 접속점에서 서비스 거부공격 등 주요 침해정보를 획득하여 이를 신속하게 대응할 수 있는 체계를 마련하는 것을 주요 내용으로 하고 있으나, 접속지 추적자료인 송수신 IP, Port 번호, 시간 등 통신사실자료를 추출하여 분석하는 방법을 적용하고 있어 개인의 사생활을 침해할 가능성이 있으므로 통신비빌보호법 등 관련 법령에 저촉되지 않는 범위 내에서 시스템을 구축하라는 것임.

감사원은 정보보호진흥원이 위 시스템을 구축하면서 통신비밀보호법 저촉 가능성 등 관련 법률을 제대로 검토하지도 않은 채 시스템을 구축한 문제를 지적한 바 있음.

이러한 감사원 지적사항에 대해서는 지적 이후 상용망이 아닌 정보보호진흥원이 운영하는 가상망(허니넷)에 ‘해킹․바이러스 조기 예/경보시스템’을 구축함으로써 정보누출 위험을 피한 것으로 알고 있음.

해킹과 바이러스에 대응하기 위해서는 사후조치보다 신속한 대응과 예방이 중요함은 두말할 나위가 없다.

그러나 예/경보시스템을 구축하면서 관련 법령을 제대로 검토하지 않아 개인 사생활 침해 우려에 대한 지적을 받는 것은 정보보호 주관부처로서의 위상에 걸맞지 않는다고 생각된다.

향후 어떠한 사업을 시행하더라도 철저한 법률검토를 통해 이러한 지적이 반복되지 않도록 노력할 것.

KISA: 무선망 개방과 이에 따른 휴대폰 바이러스

확산에 대한 대비책을 강구하라!!

정보보호진흥원이 제출한 자료에 따르면, 최근 3년간 휴대폰 스팸 신고 건수는 기하급수적으로 늘어나고 있고, 2004년 8월 현재 12만3천31건으로 작년 전체 휴대폰 스팸 신고건수(2만6천783건)의 4.7배를 넘어서고 있어 이 추세대로라면 2003년에 비해 10배 가까운 증가세가 나타날 것으로 예상됨.

휴대폰스팸과 바이러스에 대한 대책을 강구하라

이처럼 휴대폰스팸이 늘어나고 있다는 것은 이를 통한 바이러스 확산도 시간문제임을 의미한다고 보는데, 정보보호진흥원의 생각은 어떠하며, 휴대폰스팸과 바이러스에 대한 대책은 어떻게 강구하고 있는지 답변 바람.

최근 무선인터넷에 있어 표준운영체계인 위피의 사용과 통신업체들 망개방, 휴대전화의 지능화 등으로 바이러스가 퍼지기 위한 조건 충족을 충족하고 있고, 이에 따라 보안없는 표준화는 대재앙을 예고하고 있다.

따라서 표준화문제를 논의할 때는 반드시 보안전문가 참석해야함에도 불구하고, 무선인터넷표준 구축 논의자리에 보안전문가의 참여가 없었다는 보도가 있었다.  또한 정통부가 본 의원에게 제출한 자료에 따르면 표준화논의 기구에 참석한 참여자의 프로필조차 확보하지 못하고 있는 것으로 나타났다.

무선인터넷 표준구축과 무선망개방에 따른 보안대책을 마련하여 서면으로 제출해 줄 것.

※ WIPI(Wireless Internet Platform for Interoperability, 무선인터넷 플랫폼 표준 규격) : 위피 표준에 선마이크로시스템즈에 이어 MS까지 끌어들이겠다고 언급