정부가 기업의 해킹 등 침해사고를 조사하면서 확보한 민감한 보안자료를 실제로 파기했는지 확인하는 데 담당자의 '파기확인서'에 의존해 온 것으로 나타났다. 정부는 조사자료의 수집부터 보관·파기까지 전 과정을 관리하는 별도 규정을 마련하고 통합기록관리시스템을 구축하기로 했다.

15일 국회 과학기술정보방송통신위원회 소속 김남국 더불어민주당 의원에 따르면 과학기술정보통신부는 기업의 침해사고 조사 과정에서 확보한 민감한 보안자료를 체계적으로 관리하기 위해 오는 12월까지 별도의 업무처리 예규를 제정하고 통합기록관리시스템 구축을 추진한다.

과기정통부가 마련한 '침해사고 조사자료 관리 개선방안'에 따르면 새로 제정할 예규에는 디지털 포렌식 지원을 비롯해 조사자료의 수집·보관, 등록·분석, 관리·파기 등 단계별 업무처리 절차가 담길 예정이다.

기업이 자료를 제출하는 시점부터 조사 종료 후 파기하는 단계까지 관리 기준을 명확히 하는 것이 핵심이다.

아울러 기업 제출자료의 체계적인 관리와 보안성 강화를 위해 통합기록관리시스템도 오는 12월까지 구축할 계획이다. 개인정보보호위원회와 공정거래위원회의 디지털 증거물 관리 사례를 검토해 관리체계 정비에 반영한다.

이번 개선방안은 김 의원이 지난 6일 과기정통부 국정감사에서 침해사고 조사자료 관리체계의 허점을 지적한 데 따른 것이다.

그동안 과기정통부와 한국인터넷진흥원(KISA)은 기업의 침해사고를 조사하면서 확보한 자료에 일련번호를 부여하고 관리대장을 작성하는 방식으로 자료를 관리해 왔다. 조사가 끝난 뒤에는 담당자별로 '자료파기 확인서'를 제출받아 자료 폐기 여부를 확인했다.

김 의원은 국정감사에서 담당자가 개별적으로 서명한 확인서만으로는 실제 자료 파기 여부를 확인하기 어렵다고 지적했다.

특히 침해사고 조사 과정에서는 기업의 서버 구성 정보와 시스템 취약점, 해커의 공격 경로 등 민감한 보안자료가 수집된다. 이러한 정보가 제대로 관리되지 않거나 외부로 유출될 경우 추가적인 보안 위협으로 이어질 수 있다는 것이다.

과기정통부도 이번 개선방안에서 증거자료의 수집·보관·파기 등 전 과정에 대한 체계적인 관리 절차를 규정한 별도의 내부지침이 없었다고 인정했다.

김 의원은 "기업의 침해사고를 조사하는 정부는 기업의 핵심 보안정보를 다루는 만큼 그 자료를 더욱 철저하게 관리해야 한다"며 "담당자 개인의 파기확인서에 의존하는 방식에서 벗어나 실제 파기 여부를 객관적으로 검증할 수 있는 관리체계를 갖추는 것이 중요하다"고 강조했다.

이어 "국정감사에서 지적한 문제가 예규 제정과 통합기록관리시스템 구축이라는 구체적인 개선방안으로 이어진 만큼 연내 계획이 차질 없이 이행되도록 점검하겠다"고 말했다.

yjra@news1.kr