	00
		관련기관 : 행정자치부

서울시 영등포구 의사당대로1 의원회관502호 | Tel 02-784-2677~8 | Fax 02-788-0296 | 배포일 16.10.12 | 담당자 : 박충훈 비서관

주요정보통신기반시설, 짜고 치는 요식행위 보안점검으로 전락

- 공공아이핀 대량 유출, 국민안전처 홈페이지 다운 등의 주원인은 겉치레식 현장점검 -

- 시행계획·점검 체크리스트 사전공개, 결과는 국정원 독점. 보안허점 숨기기 악용 우려 -

- 개인정보 보호 및 재해·사고 대응 위해 행자부의 적극적 대처 촉구 -

국회 안전행정위원회 소속 더불어민주당 이재정 의원(비례대표)은 행정자치부가 제출한 ‘주요정보통신기반시설 지정 현황’ 및 ‘2016년도 주요정보통신기반시설 현장점검 일정’ 자료를 분석한 결과,

“국가 주요정보통신기반시설에 대한 보안 현장점검이 사실상 짜고 치는 식의 요식행위로 전락해, 취약점 은닉을 방조하며 정보통신기반시설 전반의 보안성을 악화시키고 있다” 고 밝혔다.

정부는 정보통신기반보호법에 따라 지난 2001년부터 국가·사회적으로 중요한 정보통신·행정·금융·교통수송·에너지·보건의료 분야의 핵심 정보시설들을 ‘주요정보통신기반시설’로 지정해 관리하고 있다.

2015년 10월 기준 기반시설은 총 354개에 달하며, 이 중 3분의 1에 해당하는 98개가 행자부 소관이다. 민원24 · 주민등록시스템 · 국가정보서비스망 · 각 시도 정보망 · 긴급구조시스템 등 정부 및 지자체의 정보통신망 대부분이 행자부 소관 기반시설로 지정되어 있다.

이처럼 행자부 소관 기반시설은 전 국민 대상 민원 서비스를 제공할 뿐만 아니라, 중대 사고 및 재난 발생 시 생명과 안전에도 직결될 수 있기에 체계적이고 안정적인 관리가 중요하다.

행자부는 ‘주요정보통신기반시설보호대책’을 수립해 보안 시스템에 대한 총체적인 관리책임이 있지만, 실제 현장점검 실시계획 및 점검기준의 수립, 보호대책의 이행 여부 확인 등은 정보통신기반보호법과 대통령령에 따라 국정원이 독점하고 있다.

국정원은 매년 기반시설에 대한 현장점검 실시계획을 행자부 등 관리기관에 통보하고, 행자부는 소관 기반시설에 이를 전파하는 방식을 차용하고 있는데 문제는 해당 실시계획에 각 기반시설 별 점검 일정이 월 단위로 명시되어 있다는 것이다.

이에 각 기반시설은 현장점검 시기를 미리 파악해 준비할 뿐만 아니라, 준비해야 할 내용마저 상시적인 정보보안 업무를 위해 100개 항목의 체크리스트로 사전 공개되어 있는 것으로 나타났다. 사실상 시험기간과 시험문제를 모두 아는 상황에서 시험을 치르는 것이다.

< 2016년도 행정자치부 소관 주요정보통신기반시설 현장점검 일정 >

월	기반시설
2월	o 교통신호제어시스템(충북도, 전주시)
3월	o 교통신호제어시스템(울산시, 천안시, 창원시) o U-City통합운영시스템(수원시, 파주시)
5월	o 상수도정수제어시스템(영등포, 암사, 뚝도, 강북, 구의) o 시도중앙연계활용시스템ㆍ통합정보관리시스템ㆍ사이버침해대응지원시스템 (지역정보개발원)
6월	o 철도운영종합관제시스템 (서울메트로, 서울도시철도공사, 부산교통공사, 대구도시철도공사) o 교통신호제어시스템(부산시, 대구시) o 긴급구조시스템(경남도, 제주도, 창원시) o 민원24ㆍ주민등록시스템ㆍ통합지방세시스템ㆍ공공아이핀시스템ㆍGPKI시스템(행자부) o 국가정보서비스망(대전ㆍ광주), 국가정보통신망(정부통합전산센터)
7월	o 철도운영종합관제시스템(인천교통공사, 광주도시철도공사) o 교통신호제어시스템(인천시, 광주시) o 인터넷 및 업무시스템(서울시, 강원도, 인천시, 경기도) o 긴급구조시스템(서울시, 인천시, 대전시, 경기도, 충남도, 세종시)
8월	o 철도운영종합관제시스템(대전도시철도공사) o U-City통합운영시스템(대전시) o 인터넷 및 업무시스템(대전시, 세종시) o 긴급구조시스템(부산시, 울산시)
9월	o 상수도정수제어시스템(부산화명, 부산덕산, 대구고산, 대구매곡) o 물재생공정제어시스템(서울 중랑물재생센터) o 교통신호제어시스템(제주시, 포항시), U-City통합운영시스템(성남시) o 인터넷 및 업무시스템(광주시, 충남도, 충북도, 전남도, 전북도, 제주도) o 긴급구조시스템(광주시, 전남도, 전북도)
10월	o 상수도정수제어시스템(광암, 인천부평, 대전월평, 성남맑은물관리사업소) o 지역난방제어시스템(SH공사ㆍ목동, SH공사ㆍ노원) o 교통신호제어시스템(서울시), U-City통합운영시스템(오산시, 남양주시) o 인터넷 및 업무시스템(부산시, 대구시, 울산시, 경북도, 경남도) o 긴급구조시스템(대구시, 강원도, 충북도, 경북도)

또한 국정원은 현장점검 결과를 대외비로 지정해 해당기관에 대한 통보 외에는 결과를 공개하지 않는다. 점검 실태 정보를 사실상 독점하고 있어, 행정자치부는 기반시설들의 보안 취약점 분석과 대응에 있어 제한적인 대처로 일관할 수 밖에 없는 상황이다.

더불어민주당 이재정 의원은 “지금과 같은 현장점검은 시험기간도, 시험문제도 알고 치르는 요식행위에 불과해 정보통신기반시설의 보안 취약점을 은닉하고 보안 체계를 악화시키는 수단으로 전락하고 있다”고 지적했다.

또한 이 의원은 “특히 행자부 소관 정보통신기반시설은 국민생활과 매우 밀접해 최고의 안정성과 보안성이 담보되어야 한다. 하지만 지진 당시 국민안전처 홈페이지다운 · 인사혁신처 5급 공채 결과유출 · 아이핀 대량 부정발급 사례에서 확인할 수 있듯이 다양한 취약점을 드러내고 있다”며 “이는 국정원이 주도하는 형식적 현장점검에서 기인한 것으로 국정원 중심 점검 구조를 개혁하고 실질적 보안 강화를 위해 암행점검 방식의 현장점검을 도입해야 한다” 고 강조했다.

※ 참고자료 - 행정자치부 소관 주요정보통신기반시설 지정 현황

분야	관리기관	기반시설	내 역
			관리기관	기반시설
계	63개	98개
행정	1	5	행정자치부	민원24
				주민등록(중앙정보)시스템
				통합지방세
				공공아이핀
				행정전자서명
	19	23	정부통합전산센터	(대전)국가정보서비스망
				(광주)국가정보서비스망
				국가정보통신망
			한국지역정보개발원	시도 중앙연계활용시스템
				통합정보관리시스템
				사이버침해대응지원시스템
			17개 광역시도	인터넷 및 업무시스템(17)
재난관리	0	18	17개 광역시도, 경남창원	긴급구조시스템(18)
교통신호 (신호제어)	10	12	서울, 부산, 대구, 인천, 광주, 울산, 청주, 천안, 전주, 포항, 창원, 제주	교통신호제어시스템(12)
		6	성남,수원,파주,오산,남양주,대전	U-City통합운영시스템(6)
도시철도 (지하철, 경전철)	11	11	서울메트로, 서울메트로9, 부산‧인천 교통공사, 서울‧대구‧광주‧대전도시철도공사	철도운영 종합관제제어시스템(8)
			부산김해경전철㈜	경전철종합관제시스템
			의정부경전철㈜
			용인경전철㈜
정수	16	16	서울 영등포‧암사‧구의‧뚝도‧강북‧광암(6개), 부산 덕산‧화명(2개), 대구 매곡‧고산(2개), 인천 부평·수산·공촌(3), 광주 용연, 대전 월평, 경기 복정	상수도 정수제어시스템(16)
하수처리	3	3	서울 서남‧중랑‧탄천 물재생센터	물재생 공정 제어시스템(3)
에너지	2	2	목동‧노원발전소	지역난방 제어시스템(2)
금융	1	2	새마을금고중앙회	인터넷 뱅킹시스템
				원장시스템

※ 지방자치단체의 장이 관리·감독하는 관리기관의 주요정보통신기반시설보호대책은 지방자치단체의 장이 행정자치부장관에게 제출하여야 함