2014년 산업위 국정감사	[질의] 한국무역보험공사	[일시] 2014. 10. 20 (월)
한국무역보험공사, 정보보안 상태 심각 수준 국정원 정보보안 관리 실태 결과, 70점으로 보통수준에 겨우 턱걸이 정보자산 보안 관리는 58점으로 불량 수준

□ 현황 및 문제점

○ (정보보안 관리 실태 평가 결과) 한국무역보험공사의 정보보안 관리실태 평가 결과 자체 보안 평가에 비해 국정원의 보안 평가가 상당히 떨어지는 것으로 나타남

- 외부 보안 진단 업체에서 실시한 자체 정보보안 평가에서는 ‘12년 72점으로 보통, ‘13년에는 80점(우수)으로 자체평가는 우수한 것으로 평가되는 반면

- 국정원의 정보보안 관리실태 평가 결과는 ‘12년 69점으로 미흡, ‘13년 70점으로 보통으로 자체평가보다 낮은 것으로 나타남

<정보보안 관리 관련 자체평가와 국정원 평가 결과>

시기	진단방법	진단결과	비고
12. 4	자체평가	72.43 (보통)	6개 분야 127개 항목
12.10	국정원	69.31 (미흡)	준정부기관 평균 68.73

13. 6	자체평가	80.59 (우수)	6개 분야 129개 평가항목
13.10	국정원	70.67 (보통)	준정부기관 평균 76.59

* 국정원 보안 기준 : 우수(90이상) 양호(80이상) 보통(70이상) 미흡(60이상) 불량(60미만)

<질의 1>	사장님! 한국무역보험공사의 정보보안 수준을 평가한다면 몇 점을 주시겠습니까? 자체평가에서는 80점으로 우수한 수준인데, 국정원에서 실시하는 평가에서는 상당히 낮은 것으로 나왔습니다. ‘12년에 69점으로 미흡, ‘13년에 70점으로 보통, 전년도에 비해 겨우 1점으로 상승하였고, 보안기준에서 보통은 70점이 커트라인 아닙니까? 거기 겨우 70점에 턱걸이 했습니다. 준정부기관의 평균 76점에도 미치지 못한 수준인데 왜 이렇게 보안 상태가 좋지 못한가요?

○ (국정원 분야별 정보보안 평가 지적사항) ‘13년 국정원 평가 총평에서는 전반적인 보안관리 체계 구축을 위해 정보보안 인력확충 및 전담조직 부재를 지적함

- 실무상 관리적 보안 분야의 개선을 위해서는 중장기 보안정책 수립 및 시행, 전사 보안절차 강화, 외주 인력 보안 점검 등 보안 조직 및 보안 전문가가 전담하여 보안활동을 수행하여야 필요가 있다고 지적

<‘13년 국가정보원 정보보안 관리실태 분야별 평가 결과>

분야	진단결과	정성평가	평가점수
1.정보보안 정책	68.62 (미흡)	3.5	70.67
2.정보자산 보안관리	58.71 (불량)
3.인적 보안	73.2 (보통)
4.사이버위기 관리	70.31 (보통)
5.전자정보 보안	73.95 (보통)
6.정보시스템 보안	75.28 (보통)

○ (무역보험공사 서버에 고객정보 저장) 서버에 저장되어 있는 고객정보에는 대·중소기업의 기업 정보 및 수출 거래실적과 영업 현황 등 기업 경영에 중요한 영향을 미치는 정보들이 다수 있음

<질의 2>	사장님! 국정원의 정보보안 관리 실태의 분야별 평가를 살표보니 정보보안 정책과 정보자산 보안관리가 상당히 취약한 것으로 나타났습니다. 정보보안정책이란 정보자산을 어떻게 관리하고 보호할 것인가에 대한 지침과 절차를 문서로 기술해 놓은 것 아니겠습니까? 조직에서 정보자산을 안전하게 보호하고 효율적으로 사용하기 위해서 우선적으로 수립돼야 하는 것입니다. 그리고 정보자산 보안 관리가 58점으로 불량 수준입니다. 심각한 수준 아닙니까? 공사 서버에는 공사의 보험을 이용하는 대기업과 중소기업의 기업정보는 물론이고 수출 거래실적, 영업 현황 등 기업 경영에 중요한 영향을 미치는 정보가 상당히 있지 않습니까? 이러한 것들이 유출된다고 하면 기업의 피해는 물론이고 국가적으로도 큰 피해가 있을 수 있는데 사장님도 이견없으시죠? 철저한 정보보안정책을 수립하더라도 구성원들이 이를 준수하지 않으면 언제든지 정보보안사고는 발생할 수 있는 것입니다. 그런데 이러한 정책마저도 제대로 수립되어 있지 않다면 무방비 상태나 다름이 없습니다. 앞으로 정보보안 수준이 개선될 수 있도록 최선을 다하시기 바랍니다.