◆…17일 오전 서울 중구 한국은행 본관에서 국정감사가 열렸다. (사진 : 김용진)
보안관제 맡은 용역업체가 보안 취약성 셀프평가
심재철 의원 "보안사고에 대한 경각심 없어"
한국은행의 IT보안실태가 시중은행보다 취약하다는 지적이 제기됐다.
17일 한국은행에 대한 국정감사에서 국회 기획재정위원회 소속 심재철 의원은 "한국은행에서 가장 단단할 것 같은 보안시스템의 올해 보안점수가 최근 5년 이래 가장 많이 떨어졌다"며 "특히 단말기 부문에서는 한은금융결제망과 연결된 시중은행보다도 보안 점수가 더 낮은 것으로 나타나 중앙은행이자 결제망의 호스트로서 체면을 구겼다"고 지적했다.
심 의원에 따르면 시스템 취약점 분석결과에 따른 종합점수가 2011년 95점, 2012년는 96점이던 것이 2013년에는 94.5점 지난해에는 93.5점 올해에는 90.7점까지 떨어져 우수등급에 겨우 턱걸이했다.
단말기 부문에서는 한국은행은 67.9점으로 보통등급을 받았는데, 한국금융결제망에 연결된 시중은행의 단말기도 함께 분석한 결과 84점으로 한국은행보다 월등히 높았다.
한국은행이 평가받은 67.9점은 한국은행 자체의 평가기준으로는 보통등급에 해당하지만 국가정보보안 기본지침상 평가기준에 따르면 취약등급에 해당된다. 한국은행은 기본지침보다 보통등급은 10점, 취약등급은 20점이나 낮춰서 보안점수가 낮아도 취약 및 위험등급을 벗어나도록 기준을 만든 것이다.
미래창조과학부에서는 2013년 8월 '주요정보통신기반시설 취약점 분석 평가 기준'고시를 만들어 IT취약점 분석·평가 시에는 이 기준에서 정한 체크리스트를 따르도록 했다.
한국은행 금융망시스템도 2014년에 주요정보통신기반시설로 지정돼 올해부터는 위 기준을 따른다고 밝힌 바 있다.
심재철 의원은 이어 보안점수를 조작한 의혹도 발견됐다고 지적했다.
심 의원은 "주요정보통신기반시설 취약점 분석 평가 기준에 따른 체크리스트와 한국은행의 취약점 진단항목을 비교한 결과 67.9점이 아니라 51.5~54.2점이 나오는 것으로 계산됐다"며 "이는 국가정보보안 기본지침에 따른 평가기준상 위험(불량)등급에 해당한다. 한국은행이 평가기준점수를 낮춘데 이어 보안점수까지 조작했다는 의혹을 살 수 있는 것"이라고 강조했다.
이처럼 허술한 보안평가의 배경에는 보안관제를 맡은 용역업체가 IT취약점 진단·평가 컨설팅 용역까지 동시에 맡고 있기 때문이라는 지적이 나온다. 보안을 집행하는 업체가 스스로 보안평가를 실시한 셈이다.
심재철 의원은 "한국은행이 보안업체를 선정한 후 보안평가까지 다 맡겨버렸다는 것은 보안사고에 대한 경각심이 없다는 것을 의미한다"며 "한국은행이 보안업체에 대한 감독기능을 강화할 필요가 있다"고 말했다.
