구멍 뚫린 공공보안…정부 '블라인드 모의 훈련'은 희망기관만?

[디지털데일리 김보민기자] 정부가 사이버 위협에 대응하기 위해 주요 기관을 대상으로 모의침투 훈련을 실시한다. 사전 예고 없이 불시에 공격을 시도하는 방식으로 대응 역량을 점검하는 블라인드 훈련도 병행한다.

그러나 전체가 아닌 희망기관에 한해 블라인드 훈련이 진행된다는 점을 고려했을 때, 점검 수위를 높여야 하는 것이 아니냐는 지적도 나온다. 정부는 실제 시스템을 대상으로 훈련이 시행되는 만큼, 기관 측 애로사항을 고려했다는 입장이다.

과학기술정보통신부(이하 과기정통부)는 과기정통부 산하 공공기관, 연구원 및 연구소 대상 사이버 모의 침투 훈련에 착수했다고 24일 밝혔다. 외부 보안 전문가와 함께 진행하는 이번 훈련은 올 9월까지 이어진다.

이현정 과기정통부 정보보호담당관은 이날 브리핑을 통해 "사이버 모의 침투 훈련은 해커가 실제 해킹을 시도하는 방식과 유사한 방법을 활용해 공격을 수행하고 방어하는 훈련"이라며 "이번 훈련에는 과기정통부 산하 44개 출연연, 공공기관 등이 참여한다"고 말했다.

공공 영역을 대상으로 한 사이버 공격 사례가 증가하고 있는 만큼, 부처 차원에서 산하 기관과 연구소의 대응 역량을 직접 관리하겠다는 것이다. 분산서비스관리(DDoS·디도스), 해킹메일 대응 등 훈련이 핵심이 될 전망이다.

특히 올해에는 국내외 해킹 대회에서 수상한 학생 화이트해커가 참여하는 '블라인드 모의 침투 훈련'이 시행된다. 블라인드 훈련은 사전에 공격 시도 날짜를 약속하고 공방을 주고받는 일반적인 사이버 모의 침투 훈련과 달리, 사전 예고 없이 불시에 공격을 시도하는 방식으로 진행된다. 학생 화이트 해커는 모의침투 계획 수립 방법, 주요 점검 항목, 주의사항 등 사전 교육을 숙지한 이후 훈련에 투입된다.

그러나 일부 희망기관만 블라인드 모의침투에 참여할 전망이다. 과기정통부에 따르면 훈련에 참여하는 기관 44곳 중 블라인드 훈련은 12곳을 대상으로 시행된다. 사이버 위협에 대한 경각심을 갖추되, 훈련에 대한 부담 등 애로사항도 함께 고려해야 한다는 취지다.

이현정 담당관은 "모의침투 훈련은 현재 운영 중인 실제 시스템을 대상으로 한다"며 "(모든 기관이 블라인드 훈련을 하지 않는 이유는) 실제 대응하는 기관 입장에서 '해킹 예고'를 받은 것과 다를 바 없는 상황이기 때문"이라고 설명했다.

희망기관에 한정해 훈련을 실시할 수 밖에 없는 상황이라는 의미다. 이 담당관은 "365일 24시간 관제가 원칙이긴 하지만, 해킹 예고를 받으면 기관은 더욱 긴장하기 마련"이라며 "일정을 정해 훈련하는 일반 모의훈련과 달리, 블라인드 훈련은 시기를 특정하지 않기 때문에 기관 차원에서 피로도가 매우 높다"고 부연했다.

다만 최근 공공기관을 대상으로 한 사이버 위협이 증가세를 보이고 있는 만큼, 전방위적인 대응 전략도 필요할 전망이다. 최근 국민의힘 박충권 의원이 한국인터넷진흥원(KISA)으로부터 제출받아 공개한 현황 자료에 따르면, 지난해 해킹으로 개인정보가 유출된 사례는 151건에 달했다. 같은 기간 공공기관에서 해킹 피해로 유출이 된 사례는 15건으로 역대 최대 기록을 갈아엎었다.

구혁채 과기정통부 기획조정실장은 별도 자료에서 "예고 없이 이뤄지는 사이버 공격 특성과, 이번 학생 화이트해커 블라인드 훈련 형태가 부합해 효과에 대한 기대가 크다"며 "소속·산하기관의 우수 연구개발 성과와 과학기술 보호를 위해 지속적인 노력과 투자를 추진해 나갈 것"이라고 말했다.

한편 과기정통부는 이번 훈련이 장기적인 기대효과를 낳을 수 있도록 전략을 다각화할 예정이다. 모의침투 훈련에 참여한 화이트해커가 공공기관 현장에서 발견한 취약점을 직접 설명하고 컨설팅을 진행하는 자리를 마련한다는 구상이다.

- Copyright ⓒ 디지털데일리. 무단전재 및 재배포 금지 -