에너지 공공기관, 사이버보안에 빗장수비 이루어지나

윤상직 산업통상자원부 장관은 2월 12일 세종청사에서 17개 공공기관장이 참석한 가운데 ‘에너지 공공기관 정보보안 체제 강화방안 발표회’를 열고 사이버보안 관리에 대한 철저한 반성과 개혁방안 실천을 주문했다. 이번 발표회는 한전과 발전5개사, 한수원과 가스공사, 지역난방공사, 전력거래소, 석유공사, 석탄공사, 광물자원공사, 한전KDN, 한전KPS, 한국전력기술, 한전원자력연료가 모여 각 조직의 인사에서부터 조직, 예산, 인력과 시스템관리 등 체계적인 정보보안 체제를 확립코자 마련된 자리였다.

2014년 606억원에서 향후 3년간 2,457억원 투입
본사 관리본부장 직속 정보보안부서 신설·보강
인력 2014년 114명에서 향후 3년간 318명 증원

17개 에너지 공공기관 사이버 보안 강화 시행

2014년 연말 한국수력원자력이 사이버 해킹 사건으로 국민들의 원자력발전 안전성 논란이 또다시 불거진 가운데, 에너지 관련 공공기관들의 정보보안체제 강화에 빨간불이 켜졌다. 정부는 사이버보안 관련 국민의 우려를 불식시키기 위해 원전, 전력, 가스 등의 정보보안 현장을 직접 방문해 점검하며 안전에 만전을 기하는 한편, 1월 8일 17개 에너지 공공기관 대상 ‘정보보안 점검회의’를 직접 주재한 데 이어, 이번에는 각 공공기관별 사이버보안 대책을 발표했다.

윤상직 산업부 장관이 참석한 가운데 열린 ‘에너지 공공기관 정보보안 체제 강화방안 발표회’서 17개 에너지 공공기관은 ▲인사 ▲조직 ▲예산 ▲인력을 대폭적으로 강화하해 사이버보안 강화방안을 시행키로 했다.

우선 정보보안조직의 위상 제고를 위해 관리본부장 직속으로 정보보안담당 부서를 신설·보강하고, 지역본부의 정보보안업무도 직접 관할하도록 했다. 특히 융합보안 추세에 맞게 일반보안업무도 함께 운영토록 하는 한편, 감찰기능까지 부여하는 등 조직의 기능을 강화토록 했다. 또 사이버보안 업무 경력 없이는 관리본부장에 승진임용 불가 등 정보보안부서 근무자에 대한 인사우대방안을 마련해 시행해 나가기로 했다.

이와 함께 2017년까지 정보보안 전담인력을 432명으로 확대하고, 지역본부인력은 2014년 22명에서 2017년까지 239명을 확충키로 했다. 또 향후 3년간 총 2,457억원의 정보보안예산을 투입해 정보보안 기반을 대폭 확충하기로 했다.

협력사 계약서의 보안관리도 대폭적으로 강화된다. 매년 2회에 걸쳐 협력사와의 계약서에 보안관리 실태의 정기적 점검과 정보보안사항 위규시 2년 이내 입찰참여 제한이 이뤄지는 보안관련 특약사항을 명시하게 된다. 특히 협력사에서 사이버 침해사고 발생시 침입경로, 유출정보 등 협력사 정보시스템에 대한 조사근거를 명시하는 등 협력사 보안관리를 대폭 강화키로 했다.

또 용역직원에 대해서는 인터넷차단과 이동저장매체 사용금지 원칙을 준수하고, 네트워크 분리·접근권한범위 제한·전용PC제공과 클린룸 운영 등 업무시스템 접근통제를 강화한다. 이와 함께 공공기관의 도면 등 중요자료에 대한 생산·저장·유통·폐기까지 전(全)생애주기 관리책임자 실명제와 형상관리 의무화 등 관리체계를 마련해 시행할 계획이다.

운영 정보시스템 세분화

에너지 공공기관에서 운영 중인 정보시스템을 현행 ▲제어시스템 ▲업무망 ▲인터넷망 3단계에서 ▲제어시스템 ▲유사제어시스템 ▲중요정보시스템 ▲업무망 ▲인터넷망 5단계로 세분화된다.

새롭게 추가되는 유사제어시스템은 주요기반시설로는 지정되지 않았으나 중요한 에너지 관련 제어시스템이며, 중요정보시스템은 도면·개인정보 등 업무망과 네트워크적으로 분리운영돼야 할 시스템이다.

각 시스템별 중요도에 따라 보안정책의 강도를 제어시스템→유사제어시스템→중요정보시스템→업무망→인터넷망 순으로 차등 적용해 나가기로 했다.

제어시스템의 안전성 확보를 위해 주요기반시설 지정을 올해 37개에서 2017년에는 50개로 지속 확대하는 한편, 2017년까지 각 정보시스템별 보안정책 적용에 따른 총 274개 시스템을 추가적으로 구축키로 했다. 또 2017년까지 10개 공공기관에 단위보안관제센터를 구축해 산업부 사이버안전센터, 국가 사이버안전센터(NCSC)와 연계한 3단계 보안관제 체제를 구축해 나가기로 했다.

윤상직 장관은 그동안 사이버보안 관련 업무가 기관장 업무우선순위에서 밀려 형식화된 점과, 특히 오래된 관행으로 고착화된 협력업체 정보보안 관리의 취약점을 지적했다.

아울러 앞으로 공공기관의 사이버보안에 문제가 생길 경우 엄중한 책임을 물을 것이며, 에너지 관련 공공기관이 사이버보안 관련해 국민의 불편을 초래하지 않도록 철저한 관리와 이행을 요구했다.

산업부는 앞으로 매년 반기별로 장관 주재 사이버보안 협의회를 열어 공공기관의 정보보안 관리실태를 정기적으로 점검해 나갈 계획이다.

이번 산업부 주도 17개 에너지 공공기업들의 강도 높은 사이버보안 강화책이 높아진 에너지 공기업들의 불신감을 회복시켜 줄 것인지 행보가 주목된다.