“단순 해킹에 한국 연구자 12만명 정보 유출”…보안 구멍 뚫린 연구재단

국회입법조사처 보고서 발간
허술한 보안 설계·부실 대응 2차 피해로
사이버안전센터 등 관제체계 재점검 시급

대전에 위치한 한국연구재단 연구동. [사진=한국연구재단]

공공기관 보안강화를 위해 과학기술정보통신부 사이버안전센터 등 보안시스템 관련 관제 체계 전반의 재점검이 시급하다는 국회입법조사처 지적이 나왔다.

국회입법조사처는 오는 21일 이 같은 내용을 담은 ‘한국연구재단 해킹 사건을 계기로 본 공공기관 정보보호 강화방안’이라는 제목의 이슈와 논점 보고서를 발간한다고 20일 밝혔다.

지난 6월 연구재단에서 대규모 해킹사건이 발생한 바 있다. 이메일 정보와 인터넷정보(URL) 조작 같은 단순한 해킹기법에 재단의 논문투고시스템(JAMS)이 해킹당했다. 약 12만 건의 연구자 개인정보가 유출됐다.

과기정통부 사이버안전센터의 안일한 대처는 피해를 더 키웠다. 사이버안전센터 주관 정밀조사에서 유출 사실을 확인했음에도 72시간 동안 ‘피해 규모 미확정’을 이유로 기존의 ‘유출 없음’ 공지를 유지했다. 이로 인해 공공기관으로서의 책임성과 신뢰성을 훼손하고 2차 피해 가능성을 키웠다고 비판받았다.

보고서는 “국가 연구개발(R&D) 지원의 핵심축을 담당하는 공공기관의 단순한 해킹기법에도 무방비로 노출됐다는 점에서 연구생태계의 신뢰 기반을 흔들 수 있는 중대한 사안”이라며 “유출된 정보를 이용해 일부 피해자의 명의가 도용되는 2차 피해도 발생했다”고 밝혔다.

보고서는 이 사건을 계기로 드러난 재단의 허술한 보안 대응과 함께 공공기관 정보보호 체계 전반의 구조적 공백을 지적했다. 그러면서 과기정통부 사이버안전센터 등 관제 체계 전반의 재점검이 시급하다는 지적했다.

사이버안전센터는 과기정통부가 설치하고 한국과학기술정보연구원(KISTI)이 수탁 운영하는 조직으로 과기정통부 산하기관·유관기관, 국가과학기술연구회(NST) 소속 정부출연연구기관의 정보보안을 24시간 통합 관제한다. 그럼에도 불구 이번 연구재단의 1·2차 피해 모두 외부 의심 신고로 뒤늦게 인지된 점은 현행 관제 체계가 제대로 기능하지 않았다고 지적했다.

보고서는 “재단의 공동 주무부처인 과기정통부와 교육부 역시 이번 사건의 책임에서 자유로울 수 없다”며 “두 부처의 보다 능동적이고 책임 있는 역할 수행이 필요하다”고 밝혔다.

보고서는 또 공공기관 보안시스템을 강화하기 위해 관련 법 정비를 요구했다. 현재 공공기관의 사이버보안 자체 진단·점검은 대통령령인 ‘사이버안보 업무 규정’에 기반해 운영되고 있으나, 미이행 시 제재가 없어 실효성이 낮다.

이에 자체 보안점검의 법적 근거를 ‘전자정부법’ 등 상위 법률로 격상하고 일정 기한 내 시정조치를 의무화하며 과태료 등 제재 수단을 도입하자고 제안했다.

이와 함께 ‘개인정보 보호법 시행령’에 인지 즉시 우선 통지를 의무화하고, 공공기관을 정보보호관리체계(ISMS) 인증 및 정보보호 공시 의무 대상에 포함하는 방향으로 관련 법 개정을 검토해야 한다고 밝혔다.