보안제품 취약점으로 국가·공공 전산망 전체 해킹에 노출될 수 있어

국가정보원, ‘IT보안제품’ 취약점 해킹 대응체계 마련
공공분야 IT보안제품의 취약점을 악용한 해킹 공격 증가 추세

국가정보원은 IT보안제품의 취약점을 노린 사이버 공격이 증가함에 따라 공공기관에서 사용 중인 보안제품 취약점 발견시 대응 기준과 절차를 명시한 ‘IT보안제품 취약점 대응체계’를 마련했다.

국정원은 취약점 대응체계에 따른 세부 시행방안을 사이버위협정보공유시스템(NCTI) 등을 통해 각급기관에 사전 통보했으며, 3월 11일 국가사이버안보센터 홈페이지에 공지했다.

최근 네트워크 장비 및 보안 소프트웨어 취약점을 악용한 사이버 공격과 중요 자료 절취 사례가 늘고 있다. 내부 시스템이 뚫리면 기관 전산망 전체로 피해가 확산될 가능성이 크다.

실제로 지난해 5월과 6월 한국원자력연구원과 한국항공우주산업(KAI)의 IT보안제품인 원격근무시스템(VPN) 취약점이 해킹 공격에 악용돼 일부 내부 자료가 유출된 바 있다. 당시 신속한 보안 조치가 이뤄지지 않았다면 큰 피해로 이어질 수도 있었다.

국정원은 IT보안제품의 취약점을 악용한 해킹 공격에 적시 대응하기 위해 취약점의 위험 수준을 구분하는 평가 기준과 이에 따른 세부 조치 절차를 4단계로 구분해 만들었다.

1단계(지속관심)는 발견된 취약점이 제품 운용에 별다른 영향을 미치지 않는 경우이며, 2단계(보완권고)는 기관 내부 시스템 보안 기능에 일부 영향을 미칠 수 있는 상황이다.

3단계(즉시보완)는 △소스코드 유출 △제품 내부에 백도어(해킹 프로그램)가 설치되거나 △취약점이 해킹조직 공격에 악용된 경우이다. 마지막으로 4단계(연동배제)는 해킹조직이 제품의 개발 또는 배포 과정에 연계되는 등 신뢰성이 결여된 경우로 제품 사용 중지 및 전산망 연동배제가 요구되는 긴급한 상황이다.

단계별 세부 조치 절차를 살펴보면, 1ㆍ2 단계는 위험이 경미한 점을 고려해 운용 기관이 자율적으로 취약점을 보완 조치하면 된다. 3단계는 제품 사용 기관이 개발업체와 협조해 취약점이 보완된 패치 버전을 신속히 설치해야 하며, 4단계는 해당 제품을 전산망에서 즉시 분리한 후 대체 제품을 사용해야 한다.

국정원은 이번 조치로 IT보안제품 취약점 발견시 정해진 대응체계에 따라 신속한 대응이 가능해져 관련 해킹 피해 예방 및 대응역량이 높아질 것으로 기대하고 있다.

국정원 관계자는 “최근 해킹 수법이 단순한 해킹메일 유포 방식에서 VPN 등 보안제품 취약점을 악용해 내부로 침투하는 방식으로 진화하고 있다”며, “보안제품의 취약점을 통해 국가ㆍ공공기관 전산망 전체가 해킹에 노출될 수 있는 만큼 기관과 보안업체의 적극적인 협조가 필요하다”고 말했다.

[G-PRIVACY 2022 개최]

◇행사명: 2022 공·공 금·융 기업 개인정보보호&정보보안 컨퍼런스(G-PRIVACY 2022 )

◇대상: 정부∙공공∙지자체∙교육기관∙금융기관∙의료기관∙일반기업 개인정보보호/정보보안 실무자(※학생, 프리랜서 그리고 현업 보안실무자가 아닌 분들은 참석대상이 아님을 미리 공지합니다.)

◇일시: 2022년 3월 29일 화요일 오전9시~오후5시

◇장소: 더케이호텔서울 2층 가야금홀

◇참가비: 무료

◇점심식사: 제공하지 않습니다.

◇주차: 1일 무료 주차권 지급

◇발표자료: 등록사이트에서 다운로드(3월 28일 오후 4시부터)

◇7시간 교육이수: 공무원·일반기업 보안교육 7시간(CPPG, CISSP 등 자격증도 7시간 인정)※참석 후 설문을 제출해 주신 분에 한해 이수증을 보내드립니다.

◇등록마감: 2022년 3월 28일 오후 5시까지

◇전시회: 국내외 최신 개인정보보호 및 정보보안 솔루션 전시