[데일리시큐][국감] “민간 해킹엔 압박, 공공 해킹엔 침묵“…정부 온나라시스템 해킹과 LG유플러스 국감서 드러난 이중잣대

내용 요약

LG유플러스가 국회 국정감사에서 KISA 신고 절차를 거쳐 외부 검증을 받겠다고 선언하며 보안 의혹을 해소하려 했습니다. 한편, 정부는 공무원 업무망 ‘온나라시스템’이 2022년 9월부터 2025년 7월까지 3년 가까이 무단 접속을 당했다고 공식 확인했습니다. 공공기관 침해에 대한 책임·처벌이 부재한 점이 비판받고 있습니다.

핵심 포인트

• KISA 신고 절차를 통해 LG유플러스는 외부 검증을 요청, 내부 조사 결과와 상충되는 입장 변화를 보임.
• 온나라시스템 무단접속 사실이 밝혀지면서 정부의 보안 인프라 취약성이 드러남.
• 공공기관 보안 책임 부재가 지적되며, 책임·처벌을 강화해야 할 필요성이 제기됨.

기술 세부 내용

1️⃣ KISA 신고 절차

단계	핵심 내용	실행 팁
1️⃣ 사건 등록	보안 사고 발생 시 KISA에 사건 신고(Incident Report) 접수.	신고 양식은 KISA 홈페이지에서 다운로드 가능.
2️⃣ 증거 제출	로그, 네트워크 트래픽 캡처, 침해 경로 재현 자료 제공.	증거는 시계열과 파일 무결성 검증(checksum)과 함께 보관.
3️⃣ 검증·분석	KISA는 전문 분석가가 포렌식(Forensic) 및 위협 인텔리전스(Threat Intelligence) 기반으로 사건을 재조명.	KISA는 외부 보안 업체와 협업해 분석을 진행.
4️⃣ 결과 보고	검증 결과를 공식 리포트로 발행, 필요 시 법적 조치 제안.	리포트는 공개·비공개 두 형태로 배포될 수 있음.
5️⃣ 개선 조치	사후 보안 강화 방안(패치, 방화벽 규칙, 교육 등) 제시 및 실행.	개선 조치가 완료되면 KISA에 완료 인증서를 제출.

⚙️ 핵심 팁
- 사건 등록 단계에서 즉시 신고하지 않으면 법적 책임이 늘어날 수 있습니다.
- 증거 자료는 시계열별로 정리해 두면 분석가가 패턴을 빠르게 인식할 수 있습니다.

2️⃣ 내부 조사 vs. 외부 검증

차이점	내부 조사	외부 검증 (KISA)
독립성	조직 내부 인력에 의존, 이해관계 충돌 가능	독립 기관(외부 전문가) 참여
투명성	내부 보고서 공개 여부 결정권이 조직에 있음	결과는 공개/비공개 형태로 배포되지만 검증 절차가 공개적
전문성	내부 보안 팀 전문성에 따라 달라질 수 있음	KISA는 다수의 보안 전문가와 협업
책임성	조직 내부 책임 구조에 따라 다름	법적 책임과 규제 기관의 감시가 존재

조언
- 내부 조사 결과가 “침해 흔적 없음”이라면, 외부 검증을 병행해 신뢰성을 확보해야 합니다.
- 특히 공공기관이라면 KISA 신고가 법적으로 요구될 수 있습니다.

3️⃣ 무단 접속 탐지 및 방어

단계	기술	핵심 개념
3️⃣1️⃣ 로그 수집	Syslog, Windows Event Log, SIEM	모든 접근 기록을 중앙에 저장
3️⃣2️⃣ IDS/IPS	Snort, Suricata, Palo Alto NGFW	비정상 트래픽 패턴 탐지
3️⃣3️⃣ 포렌식	EnCase, FTK, Autopsy	저장 매체에서 증거 추출
3️⃣4️⃣ 위협 인텔리전스	MISP, OpenCTI	최신 악성 코드와 공격 패턴 수집
3️⃣5️⃣ 인시던트 대응	Playbook, Runbook	사건 발생 시 단계별 대응 절차 마련

핵심 포인트
- 온나라시스템이 3년 동안 무단 접속을 당한 것은 로그 관리 미비와 IDS/IPS 부재가 주요 원인으로 짐작됩니다.
- 로그 분석은 시계열 시각화(Grafana 등)로 비정상 패턴을 빠르게 식별할 수 있습니다.

4️⃣ 온나라시스템 보안 현황

영역	현재 상황	취약점	권장 개선
인프라	공공기관 전용 서버 및 VPN	접근 제어 부재	다중 인증(2FA) 도입
네트워크	내부망과 외부망 간 분리	보안 장벽 미설치	지능형 방화벽 배치
정책	보안 정책은 존재하지만 실행 미흡	직원 보안 교육 부족	정기 교육 및 시뮬레이션 실시
법적	개인정보보호법·공공기관 보안법 준수	보안 감사 결과 미반영	정기 감사 및 벌칙 강화

개선 예시
- Zero Trust Architecture 적용: 모든 접근은 최소 권한 원칙으로 제한.
- SOC(보안 운영 센터) 구축: 실시간 모니터링과 자동 알림 시스템.

5️⃣ 공공기관 보안 책임 구조

주체	역할	책임
정책 입안자	보안 정책 수립	정책 준수 여부 감시
시스템 운영자	인프라 운영	보안 업데이트 및 패치 관리
인증기관	보안 인증 제공	보안 인증 수준 평가
법적 기관	법적 조치 시행	침해 사고에 대한 벌칙 부과

⚖️ 법적 틀
- 개인정보보호법은 개인정보 유출 시 5억 원 이하 과태료를 규정.
- 공공기관 보안법은 침해 사고 발생 시 “보안 책임자”에게 책임을 묻는 조항 포함.
- 하지만 실제로는 실행과 처벌이 미비해 책임이 흐려지는 경우가 많음.

마무리 팁

1. KISA 신고 절차는 단순한 사과가 아니라 사실 확인과 신뢰 회복의 핵심입니다.
2. 내부 조사 결과가 “침해 흔적 없음”이라면, 외부 검증을 통해 객관성을 확보해야 합니다.
3. 무단 접속 탐지는 로그 수집 → IDS/IPS → 포렌식 순으로 체계화해야 합니다.
4. 공공기관은 Zero Trust와 SOC 도입으로 책임을 명확히 하고, 법적 책임을 강화해야 합니다.

이러한 과정을 단계별로 정리하고, Notion에 이모지와 마크다운으로 시각화하면 IT 전문가들이 빠르게 이해하고 실행할 수 있을 것입니다.

 

출처: https://www.dailysecu.com/news/articleView.html?idxno=201582