嚴 虎 聲 의원	보도자료 2005. 9. 30	2005 국감 조 달 청
의원회관 318호, 전화 788-2307, 784-2185 팩스 788-3318

<주요 질의 내용>

전자조달 시스템 문제점 지적 불구 ‘오리발’

감리 보고서와 컨설팅 보고에서 곳곳의 문제점 지적

언론 보도 해명에서는 ‘문제점 전혀 없다’고 항변

전자 입찰제 문제점, 여전히 개선 안 돼

인증서 대여 통해 4년간 6개 업체가 409개 공사 낙찰

시스템 바꿨어도 컴퓨터만 더 들여 놓으면 막기 어려워

부당 낙찰 밝혀져도 공사 진행 중이면 제재 미약

조달청 퇴직자 취업 조합, 조달실적 크게 증가

전체 13% 늘었으나 퇴직자 재취업 조합은 42% 증가

<구멍 뚫린 전자입찰제, 조달청은 은폐에만 급급>

※ 전자조달시스템 최종감리 보고서의 지적 사항

○ 2002. 11월 보고된 국가종합전자조달(G2B)시스템 구축 최종감리 보고서에는 이번 의혹과 관련된 ‘전자입찰시스템’ 에 대한 지적사항이 기재되어 있음.

○ 최종감리보고서에는 전기감리 조치내역과 개선권고사항이 있는데, 전기감리 조치내역의 경우는 이전 감리 시 필수항목으로 분류되어 조치된 내역을 뜻하며, 개선권고사항은 필수적으로 고쳐야 할 항목은 아니나, 추후 문제가 있어 개선하도록 권고하는 것임.

○ 시스템을 구축하고 위탁 운영하고 있는 삼성SDS의 관계자에 따르면, “최종감리보고서의 개선권고사항은 말 그대로 권고사항으로 이미 감리를 통과하기 위한 필수적인 부분들은 조치가 완료되고 운영되고 있는 상태에서, 개선권고사항까지 모두 이행하기는 사실상 어렵다.” 고 밝힘.

○ 이번 조달청 전자 입찰 비리 의혹과 관련한, 최종감리보고서에 기재된 기술적 문제점과 권고사항은 다음과 같음.

문제점 및 개선권고사항 中

.... 조달처리DB의 경우, 집행관이 발행한 투개찰용 암호화인증서, 예비가격, 투찰서, 이용자 관리 비밀번호와 같이 아주 민감한 자료가 있으나, 이에 대한 패키지상의 기능을 적용하지 않아 시스템에 쉘 모드로 로그인한 사용자에 의한 악의적인 조작 및 침해 측면의 취약성이 있음.

(3) 전자입찰(투개찰) 프로그램 보안성 강화를 위한 조치 권고

2) 민감하거나 중요한 프로그램 모듈의 불법적인 변조를 막을 수 있는 효과적인 방안이 미흡

전자입찰의 경우, 복수 예비가격 생성에 관한 프로그램 모듈이나 투찰자의 선호번호 선택결과에 대한 통계산출프로그램이나 결과 정보, 선호 번호의 최빈 분페에 따른 예가 산정에 관한 프로그램 모듈과 같이 민감한 프로그램에 대해서는 불법적인 변조나 일부 정보의 유출에 대비한 프로그램 변경 통제가 엄격하게 적용되어야 함.

3) 민감하거나 중요한 프로그램 상의 불법 프로그램(Trap Door 등)을 검사하는 과정이 없었음

개발자들은 프로그램에 대한 유지보수를 원할히 하기 위해 프로그램 상에 직접적으로 관련이 없는 관리 프로그램이나 슈퍼 유저 모드로 가기 위한 Trap Door를 만드는 경우가 있는데, 이는 보안상의 취약점으로 악용될 소지가 많음. 따라서 이를 방지하거나 발견하기 위해서 프로그램에 대한 상세한 검사(inspection)를 실시할 필요가 있음. 특히 전자입찰 투개찰 프로그램에 대해서는 이러한 과정이 요구됨. 그러나 이러한 조치나 조치계획이 없어 이에 대한 계획 수립 및 시행이 요구됨

※ 정보보호컨설팅에서 지적된 전자입찰시스템의 문제점

○ 지난 2005. 8.2일 조달청의 시스템에 대해 (주)인젠 과 LGnSys는 정보보호컨설팅을 실시하였고, 그 결과 최종보고서에서 드러난 문제점은 다음과 같음.

○ 관리체계 영역 진단결과 문제점

- 공공기관의 특성 상 정보보호에 할당된 인력 및 정보보호 활동의 이행이 다소 미흡한 부분이 있으며, 이를 개선하기 위해서는 정보보호 정책/지침의 체계개선 및 이를 뒷받침할 정보통신 보안조직 정비 및 역할 정의 필요

- 정보보호 활동의 이행강화를 위해 정보보호 전문교육 강화, 정보자산분류, 보안사고 관리체계 구축, 주기적인 취약점 진단 수행이 필요함

○ 네트워크 영역 진단결과

- 내부 서버로의 불법 접근에 대한 로그관리 및 감사방안 마련 필요함.

- 침해사고에 대한 신속한 대응 및 룰 최적화에 따른 IDS의 안정적인 운영을 위한 주기적인 로그 분석 및 보고 절차 마련이 필요

○ 모의해킹 진단결과

- 내/외부 서비스 시스템 및 DB서버에 대한 모의해킹을 수행하였으나, 이를 통해 외부에서의 중요정보 획득은 거의 불가능한 것으로 나타났으나, 내부 서비스의 경우 일부 패스워드 설정 등은 강화할 필요가 있음.

- 모의해킹에 있어 시사점 : 내부 관리자 페이지 인증 강화 필요, 악의적인 공격 및 파일다운로드 보안강화

○ 진단결과, 가장 시급한 과제는 “정보보호관리체계 확립 필요”, “정보시스템 보안운영 관리 강화”, “정보시스템 접근통제 강화” 로 지적되었음.

○ 즉, 시스템의 보안운영 관리가 미흡하며, 시스템에 대한 접근 통제가 제대로 이루어지지 못하고 있다는 것을 의미함.

○ 엄호성 의원은 “모든 정보시스템이 완전할 수 없음에도 불구하고, 조달청이 문제점과 원인을 찾기 보다는 은폐하기에 급급한 것은 문제"라면서 "의혹이 제기되고 검찰에서 조사하고 있는 만큼, 조달청도 적극 협조하여 국민들의 의혹을 풀어줘야 한다"고 밝혔음

<전자입찰 문제점>

● 본 위원이 관급공사 전자입찰에서 공인인증서를 대여해 불법 수주한 내역을 받아본 결과, 약 2년간 한 브로커 업체가 130건의 공사를 낙찰받는 등 6개 브로커 업체가 ’01~’04년간 총 409건의 공사를 불법으로 낙찰받았음. 이 정도면 사태가 매우 심각했는데 그동안 조달청은 이러한 사실에 대해 전혀 몰랐는가? 전자 입찰제도를 도입하면서 인증서 대여 가능성에 대해 전혀 예상치 못했나?

●검찰 수사결과 발표 후, 같은 PC를 통해 2건 이상의 참가가 불가능하도록 시스템을 보완한다는 대책을 내놓았는데, 컴퓨터만 더 있으면 앞으로도 얼마든지 이러한 형태의 불법 입찰이 일어날 수 있는 것 아닌가? 아직도 중고 PC 20만 원짜리 백대만 사놓으면 100번 입찰 가능한 것 아닌가? 인증서 대여 뿐 아니라 전자입찰시스템 해킹가능성에 대한 고려 등 좀더 정밀하고 현실적인 보완책이 필요함.

●본 위원이 조달청에 알아본 결과 위 6개 브로커업체에 인증서를 대여해주고 불법으로 공사를 낙찰 받은 업체들은 적발 뒤에도 그대로 공사를 진행하였다고 함. 적발 시점에서 대부분 공사가 완료되었거나 꽤 진행된 상태였다고는 하나, 추후 다른 잠재적 불법 업체들에게 ‘걸리지만 않으면 된다’는 인식을 심어줄 우려가 있어 보임.

●본 위원이 부정당업체 제재현황을 받아보니, 위 사건과 관련해서 인증서 대여를 주도한 6개 업체중 5개 업체만 포함된 8개업체와 7명의 사업자만 9개월의 입찰참가제한(사유: 고의로 무효입찰)을 받았음. 인증서를 대여받은 브로커 업체 뿐 아니라 인증서를 대여해주고 운이 좋아 수주까지 한 170여개 업체들에 대해서도 제재조치가 당연히 이루어져야 하지 않는가? 이들에 대해서는 입찰참가제한 외에 추가적인 불이익을 줘야 한다고 보는데 어떤 페널티를 줄 것인가?

* 6개업체가 178개 업체와 공모했으나, 인증서 대여를 주도한 6개 업체중 5개 업체만 포함된 8개업체, 7명의 대표만 9개월의 입찰참가제한을 받음.

* 인증서를 대여해주고 운이 좋아 수주까지 한 170여개 업체들은 고의무효입찰로 인한 제재조치 내역에 없음.

<조달청 퇴직자 조합 조달 규모 급증>

<전체와 조달청 퇴직자 취업 조합의 조달규모 증감 비교>

	2003년	2004년	증감
단체수의계약물품 담당 협동조합 조달 규모	30,297(100%)	34,182(100%)	13% 증가
조달청 퇴직자 취업 협동조합의 단체수의계약 물품 조달 규모	11,729(39%)	16,685(49%)	42% 증가

(단위 : 억원)

<전체와 조달청 퇴직자 취업 조합의 조합당 계약규모 비교>

(단위 : 개, 억원)

	조합수	조달규모	조합당 계약규모
전체 단체수의계약물품 담당조합	129(100%)	34,182(100%)	265
조달청 퇴직자 취업 조합	19(15%)	16,685(49%)	878

○ 03년과 04년도의 조달규모 분석 결과, 전체 단체수의계약물품 담당 협동조합의 조달규모는 13% 증가한 것에 비해, 조달청 퇴직자 취업 협동조합은 1조1,729억원에서 1조6,685억원으로 무려 42%가 증가했음. 퇴직자들이 재취업이 적법했다 해당 조합의 급격한 조달규모 증가는 의혹을 살 수 있으므로 적절한 보완 장치 필요