	보 도 자 료	2013. 10. 18
	국회의원 김 승 남 (전남 고흥군・보성군)
국회의원회관 506호 전화:02-788-2104 팩스:02-788-0139 담당: 신선우 보좌관

“농협 전산사고 위험성 아직도 높아”

- 허술한 보안정책관리, 전문 보안인력 부족으로 사고 대응 및 예방 불가

- 보안시스템 운영 등 시스템적 제도개선 보다는 대형 인프라 구축에 치중

□ 김승남의원(전남 보성·고흥 민주당)은 2013.9.1.~9.30.까지 고려대 정보보호대학원(원장: 임종인교수)의 교수들과 공동분석을 통해서,“농협은 2013년 3월 20일에 발생한 전산 대란을 비롯하여 총 11건의 크고 작은 전산사고가 발생하였는데, 이러한 전산장애가 계속되는 원인이 전문보안인력 부족, 보안정책관리의 허술, 비효율적인 보안투자, IT업무 위･수탁 계약의 문제 등이며, 이러한 문제점들이 제도적으로 개선되지 않는 한 또 다른 전산사고가 발생할 위험성이 높다”는 결론을 얻었다고 밝혔다.

□ 핵심내용은 크게 보안인력, 보안정책관리, 보안투자, IT업무 위･수탁 계약과 관련된 것이다. 보안인력면에서는 IT본부 분사의 역량있는 전문보안인력의 부족으로 사고 대응 및 예방이 불가하다는 것이다. IT본부 CIO(최고정보관리책임자) 산하에 CISO(최고정보보호책임자)가 소속되어 보안업무를 운영하고 있어, 독립성이 결여돼 IT본부를 감사하고 견제할 수 없는 구조이다. 또한 순환보직 인사운영으로 외부업체에 의존할 수밖에 없는 상황이어서 솔루션만 구축하고 이를 활용하는 부문간, 계열사간, 외부기관간 보안분석 및 대응업무가 수행되지 못하고 있다. 현재 수백 대의 보안시스템을 담당하는 전문인력이 5명인 상황에서 실효적인 업무가 불가한 상황이다.

□ 보안정책관리 측면은 보안시스템의 도입은 충분히 구축하였으나 이를 운영하는 프로세스를 지키지 않고 있다. 보안시스템의 과다 적용으로 문서에 대한 외부 교류가 차단되고 내부에서도 USB를 사용하지 못하여, 오히려 내부정보가 USB를 통해 외부로 유출되고 있다. 3.20 사고 때도 하드디스크 복구를 위하여 외부 복구업체에 대량으로 위탁함으로서 민감한 내부정보가 외부로 유통되어 발생하였다.

□ 또한 보안투자는 금융위원회의 보안 투자 가이드라인(IT 예산의 7%)을 지키기 위해 5천억원을 보안분야에 투자하기로 했으나, 이 중 4천3백억원을 IDC(Internet Data Center) 건축에 활용함으로써 정작 투자가 필요했던 전문인력 양성과 보안프로세스 운영을 위한 비용이 집행되지 못하고 있다.

□ 농협IT본부 분사 및 농협정보시스템 간의 IT업무 위･수탁 계약을 보면, 보안교육 이수율과 백신 등 보안시스템 설치 여부만 점검하고 있다. 3.20 공격을 막을 수 있는 보안분석체계 운영이나 신종 공격을 탐지하는 분야는 계약 대상에 포함되어 있지도 않아, 농협정보시스템의 실수로 사고가 발생할 경우 모든 책임을 농협중앙회가 지는 구조이다. 수백조의 자산을 운영하는 금융회사의 IT를 위탁하는 계약서에 보안에 대한 실효적 조치내역이 존재하지 않는다는 것은 보안에 대한 불감증을 보여주는 것이다.

□ 김의원은 이번 분석을 통해서 확인한 결과, “실효적인 보안대책이 마련되지 않는다면, 제2, 제3의 3.20 전산대란이 발생할 수 있다. 농협은 대형인프라 구축만이 보안의 해법이 아니라 체계적이며 실효성 있게 제도를 개선하고 동시에 보안전문 인력양성과 IT업무의 위･수탁 계약에 대한 책임성을 명확하게 하는 것이 무엇보다 필요한 시점이다”라고 주장하였다.▧