행자부가 공공아이핀 종합대책을 발표했다. 행자부는 과도한 이용이 문제라서 꼭 필요한 곳만 사용하도록 최소화시키는 등 주내용을 발표했다. 특히 행자부내 보안점검위원회를 신설을 고려중이라고 밝혔다.
행정자치부는 25일 ‘공공아이핀 부정발급 재발방지 종합대책’을 발표했다.
합동점검단은 이번 사고의 원인이 공공아이핀시스템 설계상 오류가 있음을 파악하고 보안투자가 미흡했다고 밝혔다.
노병규 합동점검단장 겸 한국인터넷진흥원 개인정보보호본부장은 “금번 사고의 원인이 공공아이핀시스템의 설계상 오류에서 비롯됐다.”고 밝혔다. 즉, 해커가 설계상 오류를 악용해 정상발급 절차를 우회한 뒤 파라미터를 변조해 아이핀을 대량으로 부정발급 받은 것이다. 또한, 발급건수 급증 등 이상 징후에 대한 관제체계가 없었으며, 공공아이핀이 개발된 2008년 이후 프로그램 업그레이드와 보안 투자가 미흡했던 것으로 드러났으며, 위탁운영기관의 관리역량과 전문성 부족도 금번 사고의 원인 중 하나로 지적됐다.
노병규 본부장은 이번에 해킹 경로로 이용된 프로그램 오류는 한국지역정보개발원에서 사고 발견 즉시 수정했다고 설명했다. 합동점검단은 이번 사고의 원인과 함께 공공아이핀 보안강화대책도 발표했다.
행정자치부는 보안전문업체를 통해 공공아이핀 업무처리절차, 시스템 구조·성능, 관리·운영상 문제점 등을 종합 검토한 후, 시큐어 코딩 적용, 부정사용방지시스템(FDS) 도입 방안, 노후장비 전면 교체 등 시스템 전면 재구축 방안을 금년 상반기 중으로 마련할 계획이다.
행자부는 공공아이핀 제도도 대폭 개선해 나갈 방침이라고 밝혔다. 먼저, 본인확인수단인 아이핀이 과도하게 사용되고 있다는 지적과 관련해 앞으로는 꼭 필요한 데에만 아이핀이 사용될 수 있도록 관련제도를 바꿀 예정이다.
공공기관의 웹사이트는 원칙적으로 회원가입 없이 이용이 가능하도록 개선하며, 연령확인 등 본인확인이 꼭 필요한 서비스에만 필요 최소한의 범위 내에서 공공아이핀이 사용되도록 관련지침을 개정할 계획이다.
행자부는 이번 사고에 대한 책임과 제2의 보안사고 예방을 위해 공공아이핀 관리·운영 주체를 전문보안기관으로 이관하는 방안도 검토 중에 있다고 밝혔다.
이와 함께, 행정자치부는 방송통신위원회와 협의해 안전한 아이핀 이용환경 조성을 위해 민간아이핀 3사와 함께 ‘아이핀 부정발급·도용 근절 캠페인’을 대대적으로 벌여 나갈 예정이다.
특히, 공공아이핀은 오는 5월 1일부터 일제 정비기간을 설정해 모든 사용자가 본인확인 후 재사용토록 함으로써 그동안 도용되었거나 타인 명의로 부정발급된 공공아이핀을 일제히 정비해 나갈 방침이다. 또한, 공공아이핀 유효기간을 1년으로 제한하는 한편, ‘3개월에 한 번씩 비밀번호 변경하기’ 캠페인도 실시할 계획이다.
경찰청, KISA, 민간아이핀 3사 등 관계기관과 정기적인 보안이슈 공유, 좀비 서버·IP 파악·제거, 위기상황시 피해확산 방지를 위한 위기대응체계 구축 등 협력체계도 강화해 나갈 계획이다.
아울러, 행정자치부는 이번 사고의 원인이 정부 내 보안전문가가 부족하기 때문이라는 지적과 관련해, 정보보안 인프라 확충방안을 검토할 예정이라고 밝혔다. 정보보호 전문인력은 순환보직에서 제외하되, 주기적으로 업무성과 등을 평가해 일정기간 소요시 우선 승진시키는 등 관련 인사제도 개편을 검토하는 한편, 주요 정보시스템의 보안 전문인력 확충에 병역특례제도를 활용하는 방안을 병무청과 협의해 나갈 예정이다.
행자부 내 주요시스템에 대한 보안 운영실태와 최신 해킹기술 대비체계 점검 등을 위해 ‘주요시스템 보안점검위원회(위원장 행자부차관)’ 설치도 검토하고 있다고 밝혔다. [ 시사포커스 / 박효길 기자 ]
