[녹색경제신문 = 이지웅 기자] "해킹 은폐는 개별 기업들의 모럴 헤저드 보다도 제도적 구조의 문제다."

19일 오전 국회의원회관 제7간담회의실에서 ‘해킹 은폐 제로: 고의적 해킹 은폐 구조 개선 토론회’가 개최됐다. 여기에 참여한 발제자들이 국내 주요 통신사들의 보안 실태를 지적한 가운데, 해외 사례를 참고한 제도 전반의 재설계 필요성이 부각되고 있다.

해당 토론회에서 이해민 조국혁신당 의원은 “(해킹 은폐로 인해)그간 이뤄진 해킹 사건에 대해서 문제 정의 이전에 문제 진단 차제가 진행되지 않고 있다”며 “해킹을 은폐하는 것이 문제 해결책을 만드는 것 보다 훨씬 저렴한 구조가 된 현상을 짚어내고 해결책을 찾아야 한다”고 밝혔다. 

이번 토론회에서는 통신사들의 사례가 주요 소재로 다뤄졌다. 발제자들은 KT와 LG유플러스가 해킹 피해 사실을 은폐하려던 정황에 대해 지적했다. 

박신조 GSMK 박사는 “KT는 악성코드가 감연된 서버를 발견하고도 KISA에 신고하지 않았으며 LG유플러스 역시 침해 정황을 부인하고 OS를 재설치하는 등의 은폐 작업을 진행했다”고 언급했다. 

최현우 성신여자대학교 융합보안공학과 교수 역시 “KT와 LG유플러스는 정보 침해 사실을 부인하거나 일부 서버를 폐기하면서 우리 사회가 해결해야 할 단면을 보여줬다”고 말했다. 

토론에 참석한 패널들은 이러한 사태를 방지하기 위해 정책적인 제도 개선이 필요하다고 입을 모았다. 특히 해외의 사례와 우리나라 현행 구조를 비교하면서 시스템 일신을 촉구했다. 

이 의원은 “미국의 경우 해킹 문제에 얽힌 통신 기업이 먼저 문제를 해결하려고 노력하고 피해자 구제에 앞장선다”며 “이는 미국 기업이 우리나라 기업보다 호의적이여서 그런 것이 아닌 제도가 갖춰져 있기 때문”이라 전했다. 

박 박사는 유럽에서 시행되고 있는 네트워크 및 정보 시스템 보안 지침인 ‘NIS2’의 예시를 들고 오면서 구조 개선을 제안했다. 

해당 지침에 의하면, 잠재적인 보안 침해 사고가 일어날 경우 인지 이후 24시간 이내에 사고 발생 사실과 사고 개요를 규제기관에 제출해야 한다. 이후에도  ▲최초  보고 이후의 조치  ▲공격 발생 원인  ▲예상 보안 취약점  ▲자세한 공격 정보 등을 보고해야 한다. 이를 어겼을 경우 한화로 최대 170억원의 벌금을 부과할 수 있다. 

박 박사는 “거짓으로 보고하거나 정보를 고의적으로 누락시키는 행위를 해킹 사건을 보고하지 않은 것과 같은 것으로 취급하는 NIS2에 준하는 수준으로 정보통신망법을 개선할 필요가 있다”고 전했다. 

최 교수는 “해킹 은폐가 이뤄지는 현상은 개별 기업의 윤리 문제라기보다는 제도적 구조가 만들어 낸 결과”라며 해킹 은폐가 기업에게 더 합리적인 선택이 될 수 있는 현행 제도 구조를 꼬집었다. 

최 교수에 의하면, 현행 제도는 정보 침해 사건에 대한 은폐를 사실상 방치하는 구조를 이루고 있다. 디지털 증거 보존 제도가 충분히 정립돼 있지 않아 사이버 침해 사고 조사에 필요한 디지털 증거 삭제 문제를 규율하기 어렵다는 의견이다. 

최 교수 역시 독일·미국 등 해외에서는 사이버 보안을 강화하고 해킹 발생 시 신속한 보고를 의무화하는 제도가 자리잡고 있다고 밝혔다.

이에 “해킹 사실을 숨기는 것이 아니라 투명하게 공개하는 것이 더 합리적인 선택이 되도록 제도를 제설계해야 한다”며 “그러한 구조가 마련될 때 비로소 기업과 정부, 이용자가 함께 사이버 위협에 대응할 수 있는 사이버 보안 생태계를 구축할 수 있을 것”이라 전했다. 

임정규 과학기술정보통신부 정보보호네트워크정책실 국장은 “토론회에서 제기된 문제 사항에 대해 공감한다”며 “적합한 제도를 만들기 위해 노력하겠다”고 전했다. 

한편 이 의원은 보안 사고에 대한 기업의 책임 역시 강조했다. 이 의원은 “보안 투자는 곧 기업의 가치를 드러내는 것”이라며 “해외 진출을 모색하기 위해서는 전 세계 기준에 맞는 보안 등급을 지켜야 한다”고 밝혔다.