이해민 "해킹 사고 원인 '펨토셀'…정부 보안인증 사각지대"

[이진호 기자]

이해민 조국혁신당 의원. [사진: 이해민 의원실]

[디지털투데이 이진호 기자] 이해민 조국혁신당 의원이 KT 무단 소액결제 사고 원인이 된 초소형 이동통신기지국(펨토셀), 무선 기지국 등 핵심 설비가 ISMS/ISMS-P 인증 범위에서 제외돼 있어 제도 개편이 시급하다고 지적했다 .

25일 이해민 의원이 한국인터넷진흥원(KISA)으로부터 제출받은 'ISMS-P 인증제도 안내서' 에 따르면 정보통신망서비스제공자(ISP) 의 ISMS-P 설비 인증범위는 'IP 기반의 인터넷 연결을 위한 정보통신설비 및 관련 서비스를 제공하기 위한 정보통신설비'로 규정돼 있다.

이 정의에 따르면 초소형 이동통신기지국인 팸토셀과 무선 기지국 역시 포함돼야 하지만 실제 인증심사에서는 제외하고 있는 것으로 확인됐다 .

KISA는 이에 대해 "ISMS-P 인증은 인력·예산 한계로 코어망 중심으로만 진행하고 있으며 무선기지국은 중앙전파관리소가 관리하기 때문에 범위에 포함하지 않고 있다"고 설명했다.

하지만 중앙전파관리소와 한국방송통신전파진흥원이 실시하는 무선기지국 검사는 장비 성능과 전파 혼력·간섭 여부 등을 확인할 뿐 보안성 검증을 실시하지는 않는다. 이 의원은 이 때문에 무선 기지국과 팸토셀 같은 설비가 보안 사각지대로 남아 해킹사고가 반복되고 있다고 지적했다.

아울러 ISMS-P 제도의 비용 대비 실효성 부족도 문제다. 기업들은 수천만원에 달하는 인증비용과 인력을 투입하지만 정작 핵심 위험지대는 제도 밖에 놓여 '돈만 들고 효과는 없다'는 불만이 커지고 있다 .

이 의원은 "국민들은 정부 인증을 신뢰하고 그 신뢰를 기반으로 기업 서비스를 이용하지만 , 현실과 동떨어진 인증 기준과 기업 자율에 맡겨진 형식적 검토만으로는 실제 보안수준을 높일 수 없다"고 비판했다.

이어 "ISP 사업자의 경우 코어망 외부에서도 보안사고가 발생하고 있는 만큼 인증범위를 확대해야 한다"며 "형식적 서류심사나 체크리스트 위주 인증이 아니라 실제 해킹 위협 시나리오 기반으로 보안관리 체계를 전면 개편해야 한다"고 강조했다.

<저작권자 Copyright ⓒ 디지털투데이 (DigitalToday) 무단전재 및 재배포 금지>