조현 외교부 장관이 지난 22일(현지 시각) 필리핀 메트로 마닐라 파사이에서 동남아시아국가연합(ASEAN·아세안) 외교장관회의를 계기로 열린 한-아세안 외교장관회의에서 발언하고 있다. /사진=뉴시스


국립외교원 온라인교육시스템에서 발생한 대규모 해킹 사고가 코로나19 팬데믹 당시 급하게 구축한 비대면 시스템에서 비롯됐다는 진단이 제기된다. 당시 정부 부처가 동시다발적으로 구축한 비대면 시스템 전반에 걸쳐 보안 점검이 필요하다고 전문가들은 말한다.


24일 외교당국에 따르면 외교부는 외교관 이메일 주소를 교체하는 방안을 추진하고 있다. 약 1만건의 개인정보가 유출된 것으로 추정되는 국립외교원 온라인교육시스템 해킹 사고의 대응 차원에서다.

이번 사고에서 외교부의 사이버 보안 공격에 취약점을 총체적으로 드러냈다. 외교부는 지난해 4~5월 미상의 공격자가 서버를 장악했다는 사실을 올해 2월 관계기관의 통보를 받고서야 파악했다. 이후 올해 4월에는 개인정보가 대량으로 유출되기까지 한 사실을 인지했지만 관계 기관인 개인정보보호위원회에는 약 3개월이 지나서야 신고했다. 관련 법령의 절차를 지키지 않은 것이다. 개인정보보호법은 정부 기관과 기업이 개인정보 유출 사실을 인지한 뒤 72시간 이내에 개보위에 신고하도록 규정하고 있다.


외교부는 "국가 안보와 직결된 사안인 만큼 관계기관 협의와 관련 검토를 거치는 과정에서 신고가 늦어졌다"는 입장이다. 하지만 정작 조현 외교부 장관조차도 관계기관의 통보를 받은 지 2개월이 지나서야 보고를 받았다.
국립외교원 온라인교육시스템이 약 10개월간 해킹돼 전·현직 외무공무원과 재외공관 주재관 등 최대 1만 건 규모의 개인정보가 유출된 것으로 지난 21일 확인됐다. 사진은 이날 서울 서초구 국립외교원 모습. /사진=뉴스1


보안업계에서는 미상의 공격자가 국립외교원 온라인교육시스템을 '취약한 고리'로 판단했을 가능성이 크다고 본다. 외교부 직원들이 사용하는 시스템이지만 외교 기밀을 직접 다루는 업무망이 아닌 일반 교육용 서버인 만큼 보안 관리 수준이 상대적으로 낮았을 수 있다는 분석이다. 코로나19 팬데믹으로 정부 부처의 비대면 온라인교육시스템이 단기간에 구축된 점도 배경으로 꼽힌다.

관련 분야 전문가들은 코로나 팬데믹 당시 시스템을 서둘러 만드느라 통상적인 보안 검증 절차를 건너뛰었다고 설명했다. 공공부문 비대면 시스템 분야에 정통한 한 보안업계 관계자는 "초기 구축 단계에서 보안 점검을 충분히 하지 못했다"며 "일부 절차를 한시적으로 예외 적용했는데 비대면 시스템이 장기간 운영되면서 사실상 영구적인 예외가 됐다"고 말했다.


시스템 구축 기한을 앞당기려다 보니 수의계약 방식으로 외주 인력을 대거 투입한 점도 유지·보안 관리가 취약해진 배경으로 꼽힌다. 이 관계자는 "급하게 외주를 맡기면서 당시 시스템을 구축했던 인력들이 대부분 현장을 떠났다"며 "이후에는 시스템 구조를 제대로 알지 못한 채 관리가 이뤄지면서 방화벽이나 장비를 업데이트하는 수준에서 운영됐다"고 했다.
지난해 12월 1일 오후 서울 강남구 코엑스 그랜드볼룸에서 열린 제1회 인공지능 해킹방어대회(ACDC·AI Cyber Defense Contest) 본선 경기에서 화이트해커 참가자들이 문제를 풀고 있다. /사진=뉴시스


국립외교원 온라인교육시스템은 주요정보통신기반시설로 지정된 외교부 핵심 서버와 비교하면 보안 관리 의무 수준이 상대적으로 낮다. 주요정보통신기반시설은 ▲연 1회 이상 정기 취약점 분석·평가 ▲차년도 보호대책 수립 및 소관 부처 제출 ▲정보보호최고책임자(CISO) 지정 및 조직 운영 ▲침해사고 발생 시 즉각적인 통지와 대응 등의 의무를 이행해야 한다. 이에 대해 외교부는 2022년 국립외교원 온라인교육시스템 개통 후 2024~2025년 사이에 보안 점검을 했다는 입장이다.

이번 사건을 계기로 코로나19 팬데믹 시기 구축된 비대면 시스템을 전수 점검해야 한다는 제언도 나온다. 당시 구축한 시스템 상당수가 현재까지 사용되고 있다는 점에서다.


인사혁신처 인재개발플랫폼도 국립외교원 온라인교육시스템과 유사한 사례로 꼽힌다. 2023년 1월부터 중앙행정기관 국가공무원과 지방자치단체 공무원 등 공무원과 공공부문 종사자들이 사용하는 시스템이다. 인재개발플랫폼 역시 주요정보통신기반시설로 지정돼 있지 않다. 현재까지 해킹 등 사이버 공격을 받은 사례는 알려지지 않았지만 지속적인 점검이 필요하다는 지적이 나온다.

보안업계 관계자는 "코로나 시기 만들어진 시스템을 전수 조사하는 것은 물론 공공기관과 공공부문 시스템은 2~3년에 한 번씩 전반적으로 점검해야 한다"며 "너무 오래된 사이트는 폐기하고 새로 구축할 필요가 있다"고 말했다. 이어 "정부나 공공기관 시스템도 (정부부처가) 감사나 감리를 받는 것처럼 3년에 한 번씩은 외부 전문기관에 맡겨 중립적으로 보안 상태를 점검해야 한다"고 강조했다.