3·20 사이버 공격을 당한 방송사와 금융기관이 회사 내부망과 외부망을 격리시키는 `망분리`를 하지 않았던 것으로 나타났다. 망 분리는 직원이 업무 용도로 사용하는 내부망과 인터넷 접속이 가능한 외부망을 따로 구축하는 것이다. 외부인이 인터넷을 통해 사내 중요 정보가 담긴 내부망에 침입하지 못하도록 하는 효과가 있지만, 업무 속도가 느려질 수 있어 기업들이 도입을 꺼리고 있다.
24일 민·관·군 합동대응팀 등에 따르면 KBS·MBC·YTN 등 방송사와 농협·제주은행은 내·외부망을 통합 운영하고 있다. 신한은행은 작년 10월 말 망분리 작업에 착수했으나 이번 해킹에 악용된 `업데이터 관리서버(PMS)` 영역에는 적용하지 않았다.
특히 농협은 2011년 전산마비 해킹 때도 서버의 내·외부망을 분리하지 않았다는 지적을 받았지만 아직 획기적 개선이 이뤄지지 않은 것으로 알려졌다. 2011년 SK커뮤니케이션즈와 넥슨은 해킹으로 각각 3500만건, 1320만건의 회원 개인정보를 유출 당하고 나서 늦게나마 망분리 정책을 도입했다.
미래창조과학부 관계자는 “망 분리를 확대하는 제도 추진을 검토하고 있다”고 말했다.
앞서 정부는 지난달 18일부터 개인정보를 처리하는 시스템 간 망분리를 의무화시킨 정보통신망법 개정안 시행에 들어갔다.
미라지웍스 관계자는 “피해 언론사와 금융사들이 해킹을 방지하기 위한 망분리를 시행했다면 피해가 이 정도까지는 아니었을 것”이라고 설명했다.
망분리가 이뤄지면 사용자는 가상 영역에서만 인터넷을 사용할 수 있어 내부 정보유출 방지는 물론 악성코드나 해킹 시도가 업무 영역에 접근할 수 없게 된다. 내부 네트워크로 악성코드가 전염되는 것도 방지할 수 있다.
이번 해킹 대상이 된 금융사들은 정보보안인증제도(ISMS) 인증도 대부분 외면한 것으로 나타났다. 일정 규모 이상의 포털·쇼핑몰 등 주요 정보통신서비스 제공자들은 `정보통신망 이용촉진 및 정보보호 등에 관한 법률` 개정에 따라 지난달 18일부터 보안에 관한 137개 항목, 446개 세부항목으로 구성된 ISMS 인증을 의무적으로 받아야 한다.
신한·제주·농협 등 이번 해킹 피해기관 중 농협만이 2003년 인터넷뱅킹 분야, 2012년 금고시스템 개발·운영 분야에 관한 ISMS 인증을 획득했으며 올해 인터넷 쇼핑몰 등으로 인증 대상을 확대할 예정이다.
김원석·전지연기자 stone201@etnews.com
