<일요초대석> 오희국 한국정보보호학회장 '보안을 말하다'

“정보유출 대란, 이상하죠? 심각한데 국민들은 침착하니…”

[일요시사=경제2팀] "보안의 시작은 어떤 것도 신뢰하지 않는 것이다.”
오희국 한국정보보호학회 신임 회장(한양대 교수)이 보안의 출발점에 대해 말했다. 오 회장은 "아무것도 믿을 수 없는 환경에서 검증을 통해 신뢰할 수 있는 상태로 만들어가는 것"이라며 "결국 보안은 신뢰를 향해 가는 것"이라고 강조했다.

최근 KB국민, 롯데, NH농협 카드3사, KT, 티몬, CJ대한통운 등 고객정보 유출 사건이 줄줄이 터졌다. 이번에는 카드3사에서 유출된 개인정보가 대출 중개업자에게 추가로 팔린 사실이 드러났다. 2차로 판매된 개인정보는 1억 건에 육박한다.

"이번 개인정보유출 사태는 20년 만의 대형 붕괴 사건입니다. 과거 1994년 성수대교, 1995년 삼풍백화점이 무너졌던 만큼 심각한 상황이라는 이야기죠. 그런데 국민들의 반응이 의외로 침착합니다. 다들 체념했기 때문이죠."

오희국 한국정보보호학회 회장이 연이어 터지는 기업들의 정보유출에 대한 국민들의 반응에 씁쓸해했다. 오 회장도 개인정보 유출 사태를 피해갈 수 없었다. 그는 "국민카드, 롯데카드 확인해보니 나도 털렸다"며 "안 쓴 지 10년이 넘은 카드사 정보도 털렸다"고 웃었다. 안산의 한양대 캠퍼스 연구실에서 오희국 한국정보보호학회 신임 회장을 만나 정보유출 사태에 대한 이야기를 들어봤다. 다음은 오 회장과의 일문일답.

- 최근 카드3사 정보가 또다시 유출됐다.

▲ 우선 카드3사 1차 고객정보유출 당시 금융당국의 안이한 대책에 있다. 1차 고객정보 유출 사태 후 금융당국은 유출된 정보를 '회수'했다며 국민들에게 안심하라고 했다. 유출정보를 '회수'했다니, 정말 말도 안 되는 표현이다. 어떻게 디지털 정보를 '회수했다'고 말할 수 있는가.


우리 학회에서 정말 경악했다. 디지털 정보는 결코 회수할 수 없는 정보이기 때문이다. 어떤 것이 원본인지 복사본인지 구분할 수 없다. 디지털 정보의 속성조차 모르는 금융당국의 태도에 2차 정보유출사태는 예상할 수밖에 없는 결과였다.

- 금융사들은 오히려 억울하다는 입장인데.

▲ 이번 사태는 어떤 고급기술을 가진 뛰어난 해커들에 의해 유출된 것이 아니다. 보안은 사슬과 같다. 모든 것이 단단해도 하나만 터져도 보안은 붕괴된다. 그런데 금융사들은 사용자의 개인정보를 소중하게 생각하지 않았다. 철저한 감시는커녕 USB 통제도 허술했고, 고객정보에 대한 원본데이터도 덥석 외주업체에 넘겨줬다. 그만큼 내부통제가 허술하다보니 보안망이 쉽게 뚫린 것이다. 명백한 인재다.

- 인증수단은 적절한가. 해커들의 개인정보 수집 가치를 떨어뜨릴 수 있는 방안이 있다면.

▲ 주민등록번호를 대체할 수 있는 식별 번호가 필요하다. 애초부터 주민등록번호가 인증수단이 되는 것이 적절하지 않다고 본다. 주민등록번호 자체는 한 사람에게 부여하는 고유의 ID로서의 기능만 해야 한다. 쉽게 바꿀 수 있는 카드 번호나 비밀번호와 달리 주민번호는 바꾸기 어렵다. 불변의 정보다. 그런데 외국과 달리 우리나라는 주민번호를 요구하는 곳이 너무 많다.

비밀스러워야 하고 다른 사람이 알아서는 안 되는 정보가 너무 쉽게 이용되는 셈이다. 이미 주민등록번호는 많은 곳에 퍼져있다. 또한 불행하게도 주민등록번호 안에는 개인의 많은 정보가 담겨있다. 주민번호만 알아도 그 사람에 대한 정보가 나온다. 생년월일, 지역, 성별까지 알 수 있다. 그래서 찝찝한 거다. 식별 가능한 정보들을 암호화해서, 나중에 누군가 빼가더라도 알아볼 수 없게 만들어야 한다.

- 비용이 너무 많이 들 것 같다. 다른 방법은 없나.


▲ 비용이 들더라도 암호화해서 저장하는 방식을 추천할 수밖에 없다. 가장 강력한 인증수단은 지문인식이나 홍채인식이다. 그런데 너무 강력해도 문제다. 지문인식, 홍채인식은 한번 노출되면 바꿀 수 없기 때문이다. 추천할 만한 방식은 아니다. 노출이 되더라도 쉽게 바꿀 수 있는 인증체계를 도입해야 한다.

- 외국은 어떻게 관리하나.

▲ 미국의 경우 주민번호를 인증수단으로 요구하지는 않는다. 미국은 소셜시큐리티넘버(SSN)로 인증을 하기도 하지만 인터넷에서 인증을 요구하지는 않았다. 회사자체에 인증 수단을 갖춰놓았다. 따라서 어떤 은행에서 고객정보 유출사태가 터졌다 해도 해당 은행 거래자의 정보만 유출된다. 그런데 우리나라의 경우 대부분 주민번호를 인증수단으로 쓰다 보니 한번 터지면 다 같이 터지는 것이다.

주민번호 자체가 개인정보…단순 ID화 절실
"정보 회수했으니 안심? 이미 엎질러진 물"

- 해커들은 주로 어디를 노리나.

▲ 역시 금융사다. 돈이 관련된 은행, 카드사 등의 금융사 정보가 가장 효용가치가 높다. 금융사 고객의 정보는 마케팅에 쓸 수 있는 정보들이 많이 담겨있기 때문이다. 특히 은행과 카드사의 고객정보는 그 사람의 재정 상태까지 알 수 있어 이용가치가 높다. 금융사의 고객 신용정보를 통해 어떤 사람이 대출받을 만한 상황인지 파악이 된다. 해커들 입장에서도 팔아넘기기 굉장히 좋은 정보다.

- 그렇다면 소규모 사이트의 보안은.

▲ 쇼핑몰 등 작은 업체들의 보안 상태는 너무나 취약하다. 보안에 신경 쓸 여력도 없고 거의 뚫려있다고 보면 된다. 웹하드 업체를 조사한 적 있는데 이곳 보안도 굉장히 취약한 것으로 보였다. 밝혀지지 않았을 뿐 이미 많은 정보들이 유출됐을 것이다. 다만 업체 규모가 워낙 작다보니 고객정보 양이 많지 않고, 금융사처럼 재정 상태에 대한 정보가 없어 해커들에게 매력적인 곳은 아니다. 털어봐야 별 게 없기 때문이다.

- IT투자 현황 등 국내 보안의식은.

▲ 보안은 지속적으로 투자가 이뤄져야 하는 분야다. 보안은 보초와 같다. 따라서 보안투자는 국방비의 개념이다. 하지만 기업들은 보안이 이익창출에 직접적인 영향을 주지 않는다고 보안투자를 말 그대로 나가는 돈이라고만 생각하고 있다. 그런데 이번 사태를 보면 보안을 못해서 잃는 손실이 너무 많지 않은가. 지난 2011년 농협에서 고객정보를 유출했다.

이후 금융사들이 부랴부랴 보안투자를 잠깐 늘린 적이 있다. 그러다 1년쯤 지나면서 조용해지니까 금융사들이 또다시 보안을 방치하기 시작한 것이다. 보안투자를 동결하거나 더 줄였다. 특히 이번에 고객정보를 유출한 카드3사(KB국민, 농협, 롯데카드)는 지난해 모두 보안투자를 줄였다. 전쟁 평화시라고 국방비를 안 쓴 것이나 마찬가지다.

- 기업과 금융당국의 자세는.


▲ 안보는 외주에 맡겨서는 안 된다. 보안 작업은 내부에서 전문 인력을 채용해서 작업을 해야 하는데 대부분의 기업들은 보안작업을 외주에 맡겨버린다. 여기서 사고가 터지는 것이다. 금융사의 경우에도 비대면 업무가 90%를 차지할 정도로 IT화되고 있다.

그만큼 IT분야가 전문화돼야 하는데 대부분의 IT업체들은 소규모 형태다. 금감원, 금융위원회 등 금융당국에도 IT분야 전문가가 거의 없는 것으로 보인다. 보안 전문가가 있더라도 의사 결정하는 데 참여하지 못하는 분위기다. 많은 분야가 IT화 되고 있는데 IT에 투자하는 예산은 터무니없이 적다. 시대는 변하는데 정부의 IT 개념은 아직도 과거에 머물러 있다.

 

박효선 기자 <dklo216@ilyosisa.co.kr>

 

[오희국 회장은?]

▲한국정보보호학회 19대 회장
▲방송통신위원회 민관합동조사단 위원
▲경기도의회 정보화위원회 위원
▲대검찰청 디지털수사자문위원
▲한양대학교 컴퓨터공학과 전임교수
▲한국전자통신연구소 선임연구원



배너





설문조사

진행중인 설문 항목이 없습니다.


‘채 상병 특검’ 공수처 불편한 속내

‘채 상병 특검’ 공수처 불편한 속내

[일요시사 취재1팀] 오혁진 기자 = ‘채 상병 특검’ 목소리가 커지기 시작했다. 야권의 4·10 총선 압승으로 더불어민주당의 움직임에도 속도가 붙었다. 고위공직자범죄수사처는 난감하기만 하다. 부족한 인력으로 인해 수사의 첫 단추도 끼우지 못하는 실정이다. 발 빠른 수사가 현실적으로 불가능하다는 것이다. 공수처 안팎에서는 정치권의 책임 떠넘기기에 불만의 목소리가 터져 나오기 시작했다. “조직이 와해되기 직전인데 수사에 속도가 어떻게 나겠느냐?” 고위공직자범죄수사처(이하 공수처) 출신 한 변호사의 말이다. 요즘 공수처의 분위기는 참혹하다. 해병대 ‘채 상병 사건’으로 반전을 꾀하고 싶어도 물리적으로 불가능하다. 특별검사(이하 특검) 목소리가 거세지면서 ‘비교 대상’으로 전락할 것이라는 관측도 나온다. 대통령실 압수수색? 채 상병 사건 특검법 추진 논의가 본격화되면서 공수처의 분위기는 암흑 상태다. 검찰 제도를 보완해 ‘상설특검’ 명목으로 출범했음에도 ‘늑장·부실’ 수사 논란 속에 결국 사건 기록을 특검에 넘겨줘야 하기 때문이다. 더불어민주당(이하 민주당)은 오는 5월2일, 임시국회를 열어 법안을 표결하자는 분위기다. 법안 통과를 위해서는 국회의장과 여당의 협조가 필요한데, 총선 이후 여당 일각서도 채 상병 특검에 동의하는 분위기가 표출되고 있다. 채 상병 특검 법안은 지난해 10월 신속처리안건(패스트트랙)으로 지정된 뒤 180일의 숙려 기간을 거쳐 본회의 표결만 하면 언제든 통과할 수 있는 상황이다. 채 상병 사건 수사 갈래는 크게 두 가지다. 무리한 수색 지시 등 책임자를 가리는 본안 수사가 경북지방경찰청서 진행 중이고, 해병대 수사단의 초동 조사에 국방부와 대통령실 관계자가 개입했다는 외압 의혹은 공수처가 맡고 있다. 외압 핵심 피의자 이종섭 전 국방부 장관이 지난달 주호주대사로 임명돼 부임 후 사퇴하는 과정서 대통령과 법무·외교부 장관의 직권남용 의혹도 공수처에 추가로 고발됐다. 야권이 특검을 통해 밝히려는 사안의 실체는 수사 외압에 집중돼있다. 특검이 통과되면 공수처가 내려던 실적이 특검으로 넘어가는 건 불 보듯 뻔한 일이다. 민주당은 이 대사 임명 과정서의 추가 의혹도 특검법안을 수정 발의해 포함할 계획이다. 공수처는 수사의 무게를 일부 덜겠지만, 6개월 넘게 진행해온 사건 기록을 외부에 넘긴다는 건 또 다른 비판의 빌미를 제공하는 셈이다. 특검 추진 본격화…수사팀 의욕 잃어 “이럴 거면 왜 강조하나” 불만 증폭 공수처 출신 한 변호사는 “인력난 때문에 고전하는 상황이다. 내부 얘기를 들어보면 ‘죽을 맛’이란다. 채 상병 사건 수사는 최선을 다하려 했는데 특검이 언급되면서 수사팀의 의욕이 상실됐을 것”이라고 말했다. 공수처법상 수사 범위와 인원 범위가 지나치게 제한돼있어 실질적인 수사 기능을 하는 데 어려움이 있다는 설명이다. 공수처법은 공수처의 수사 범위를 현직 공직자와 그 가족, 퇴임 3년 이내 전직 고위공직자로 한정하고 있다. 공수처 검사와 수사관의 인원을 확대해야 한다는 주장도 제기된다. 현재 공수처법이 규정하고 있는 검사와 수사관의 규모는 처·차장 포함 검사 25명, 수사관 40명이다. 공수처법을 추진할 당시 규모는 검사 30~50인, 수사관 50~70인이 제안됐지만 법무부와 국회의 논의를 거치면서 현재 정원으로 대폭 감소했다. 공수처 관계자는 “총선과 무관하게 지속적으로 인원 확대와 관련해 국회와 논의를 이어가고 있다”며 “검사의 신분보장을 위한 임기에 대해서도 개선해야 할 부분이 있다”고 말했다. 앞서 공수처는 최소한의 행정인력이라도 확보할 수 있도록 법을 개정해 달라고 호소한 바 있다. 현행법상 행정인원 정원은 20명인데 지난 2022년 공수처는 행정직원 중 국·과장과 직제 파견자 등 7명을 제외하면 실제 가용인원이 13명에 불과해 수사관을 행정인력에 투입해야 할 상황에 놓인 바 있다. 공수처가 제 기능을 하기 위해서는 법 개정이 필수적이라는 분석에 무게가 실리는 이유다. 특히 공수처의 수사권과 기소권을 일치시켜 수사의 효율성을 높여야 한다는 지적도 나온다. 공수처는 ‘공수처법상 기소권 없는 사건에 대한 구속영장 청구 연구용역’을 발주하는 등 수사 대상과 기소 대상의 불일치로 발생하는 구속영장 논란을 정리하기 위한 연구에 착수하기도 했다. 인력난 가중화 지금까지 공수처가 채 상병 사건을 수사한 상황을 보면 초기 단계에 불과하다. 지난해 12월 이 전 장관 등을 출국금지했고, 한 달 후인 지난 1월 압수수색에 착수했다. 이후 포렌식과 참고인 조사를 진행하고 있다. 이 전 장관을 비롯한 국방부 지휘부와 해병대 수뇌부 등에 대한 조사는 특검의 몫이 될 가능성도 있다. 경우에 따라 대통령실, 국가안보실 등으로 특검 수사가 확대될 가능성도 제기된다. 공수처와 경찰은 특검법 처리 여부를 주시하며 수사를 이어가고 있다. 특히 총선 국면서 논란의 중심에 선 공수처는 수사를 신속하게 진행해 사건의 진상을 규명하겠다는 입장이다. 공수처 지휘부 공백 상태가 영향을 줄 여지도 있다. 주요 피의자 소환 및 신병처리 등 주요 의사결정을 처장 대행인 부장검사가 결정하기 부담스러울 수 있다는 관측이 나오면서다. 만약 국회서 여야가 특검법 처리에 합의하는 수순을 밟으면 공수처도 새로 출범할 특검에 기록을 인계하기 위한 작업에 중점을 둘 가능성이 크다. 현재 본회의에 회부된 안은 민주당이 지난해 9월 발의한 법안이다. 민주당이 지난 3월, 이 전 장관이 주호주대사로 임명된 경위를 수사해야 한다는 별도의 특검안도 국회에 제출했기 때문에 이 두 법안이 병합되는 안도 거론된다. 본회의 회부 안건은 수사기간을 최장 100일로 정하고 있는데, 잔여 수사를 검찰에 이첩하도록 명시됐다. 경찰과 공수처가 시작한 수사가 특검을 거쳐 검찰 손에 넘어가는 것은 부자연스럽다는 말도 나온다. 민주당이 3월 발의한 안은 잔여수사 이첩 대상을 검찰과 공수처로 정했다. 단추도 못 끼워 민주당이 특검법 조항 일부를 양보하고 국민의힘이 수사 대상 확대에 동의하는 시나리오도 정치권을 중심으로 나온다. 이런 과정서 본회의 회부 안이 조정될 수도 있다. 이 가운데 이 전 장관은 최근 변호인을 통해 공수처에 “소환조사를 진행해 달라”고 요청했다. 이 전 장관 측이 공수처에 소환조사를 요청한 것은 이번이 네 번째다. 이 전 장관 측 김재훈 변호사는 최근 공수처에 소환 촉구 의견서를 내고 “이 전 장관은 호주 대사직서도 물러났으나 공수처는 지금까지도 아무런 연락이 없다”며 “공수처의 이런 수사 방기 탓인지 정치권에서는 특검 필요성까지 제기되고 있다”고 우려했다. 이 전 장관 측은 공수처에 보낸 의견서에서 “이첩 보류 지시는 직권남용에 해당하지 않는다”고 했다. 이 전 장관 측은 “국방부 장관은 민간 수사기관으로의 사건 이첩에 대한 최종 승인권자이므로 인사권자가 인사안 결재 후 이를 취소·변경할 수 있듯이 그 승인을 변경할 수 있다”며 “해병대 수사단장에게 수사 권한이 있다느니, 수사단장에게 민간 수사기관으로의 이첩 권한이 있다느니 하는 것은 법 규정의 몰이해로부터 비롯된 억지”라고 주장했다. 이 전 장관 측은 ‘이 장관이 보고서를 회수하라고 지시하기 전에 대통령실 내선번호로 전화를 받았다’는 의혹에 대해서도 반박했다. 이 전 장관 측은 “이 전 장관은 대통령으로부터 (사단장을 빼라는)지시를 받은 사실이 없다”며 “당시 장관이 군사보좌관과 논의하는 과정서 ‘(초급 간부들까지 처벌 대상에 포함한다면)초급 간부들이 힘들어할 것 같다’는 의견을 나눴고 법무관리관실의 법리 검토를 거쳐야 한다고 판단해 이첩 보류를 지시했다”고 강조했다. 수사 인원 범위 제한적 법 개정 안되면 도루묵 이어 “재검토한 결과 8월24일 직접적인 혐의가 있는 2명을 경찰에 이첩했고, 해병대수사단 조사기록 원안도 그대로 전달했다”고 밝혔다. 이 전 장관 측은 민주당이 추진하는 ‘채 상병 특검’도 비판했다. 이 전 장관 측은 “공수처의 1차 수사 결과도 나오지 않은 상황인데 무엇이 미흡하고 국민적 의혹이 남아 해소되고 있지 않다는 것이냐”며 “특검 논란을 잠재울 수 있는 유일한 해법은 공수처의 신속한 수사와 결정”이라고 주장했다. 공수처 수장이 석 달째 공석인 점은 제도 지속 가능성에 의문을 더한다. 윤석열 대통령은 최종 후보자 지명을 두 달 가까이 미루고 있다. 앞서 국회 공수처장후보추천위원회는 지난 2월29일 판사 출신 오동운(사법연수원 27기) 변호사와 검사 출신 이명순(연수원 22기) 변호사를 후보로 추천했다. 김진욱 전 처장과 여운국 전 차장이 임기 만료로 퇴임해 공수처가 ‘대행 체제’에 들어간 건 지난 1월 말부터다. 김선규 수사1부장이 처장 대행을 맡고 있지만, 지난달 제출한 사직서가 수리되지 않아 임시로 대행직을 수행 중이다. 최근 인사위원회서 연임이 불발된 수사1부 소속 김송경 검사(사법연수원 40기) 임기도 만료됐다. 김 대행이 이끄는 수사1부는 공기광 검사만 남게 된다. 별도 조직개편 계획도 없어 수사 부서 1개가 사실상 사라질 위기다. 윤 대통령이 공수처장 후보자를 지명해도 국회 인사청문회를 통과해야 임명이 가능하다. 21대 국회 임기는 내달 29일까지다. 22대 국회가 개원해도 원구성에 시일이 걸리는 점을 감안하면, 신속한 공수처장 공백 해소를 위해선 이달 안으로 후보 지명을 마쳐야 한다는 계산이 나온다. 수장 공백 장기화 우려 법조계에서는 특검 수사가 불가피하다는 주장이 나온다. 공수처법에 따르면, 공수처는 이 전 장관에 대한 수사권은 있지만 기소 권한이 없다. 수사를 마친 뒤 검찰에 사건을 넘기고 검찰이 기소 여부를 판단해야 하는 구조다. 공수처 출범 당시 수사·기소권을 모두 줄 경우 일각에선 ‘무소불위 공수처’가 될 거란 우려가 제기되면서 공수처는 법관, 검사, 고위 경찰공무원에 대해서만 제한적 기소권을 갖게 됐다. 문제는 검찰이 채 상병 사건 기소에 적극적으로 나설 것을 기대하기 어렵다는 점이다. 검찰을 관할하는 법무부는 지난달 8일, 공수처의 반대에도 불구하고 이 전 장관의 출국금지를 해제했다. 사건 처리의 중립성 논란을 피하기 위해서라도 특검을 통해 채 상병 사건을 수사해야 한다는 분석이 나온다.