농협 보안관리 허술...누가 책임지나?

북한측의 소행이라는 농협 전산망 장애 사건에 대한 서울중앙지방검찰청의 공식발표가 나왔지만 이에 대한 진실 여부는 계속 이어지고 있다. 반면, 농협이 얼마나 보안을 허술하게 했는지는 언론에서 크게 조명되지 않는 분위기다.

그러나 서울중앙지검측의 발표를 보면 농협과 유지보수를 담당했던 IBM의 관리실태는 개인 서버 관리보다 더욱 한심한 수준이다.

우선 시스템면에서만 살피면 서버의 파일을 삭제할 수 있는 권한이 있는 최고접근(root) 권한 보유자가 원래 농협 시스템팀 직원 3명에게 있었으나 실무편의상이라는 이유로 유지보수업체인 IBM사 직원 2명과 공유하고 있었다.

업청난 돈을 관리하는 농협의 서버 접근 권한이 유지보수업체 직원 2명에게 ‘편의상’이라는 이유로 유출돼 있다는 사실은 놀랍지 않은지 의문이다.

두 번째, 전산시스템 접속 계정 비밀번호는 전산관리지침상 매월 변경해야 하나, 2010년7월 이후 변경 사실이 전혀 없음에도 관리대장에는 매월 변경한 것으로 허위 기재돼 있었다. 비밀번호도 업무편의를 위해 파일로 작성해서 보관하고, 유지보수업체 직원과 공유하고 있었다고 한다.

보안조치도 미비했다. 서버관리 편의를 위해 도입한 NIM 서버와 HMC서버가 이번 사건에서 주요 공격루트로 이용되었음에도 정보보호팀에 설치 사실이 통보되지 않아 사전 보안조치가 취해지지 않았다.

뿐만 아니라 외부 유지보수업체 직원들이 무선랜·무선인터넷 이용시에는 승인을 받아야 함에도 노트북 등에서 승인없이 자유롭게 무선인터넷 사용이 가능했고, 전산부서 내부망에 접속된 모든 PC에는 농협보안프로그램(DMS)이 설치되어야 함에도, 유지보수업체 직원들의 노트북이 내부망에 접속하여 농협직원과 동일하게 사용함에도 단말보안프로그램이 설치되지 않았었으며, PC장비의 반출입은 승인을 받아야 하고 반출시에는 포맷하여야 하나, 유지보수업체 직원의 노트북은 승인없이 자유롭게 외부 반출이 이루어졌고 포맷도 하지 않았었다.

정리하자면 위의 보안 사항만 잘 지켰어도 북한에 의한 사이버테러가 전혀 힘을 발휘하지 못했을 수도 있는 사항이란 것이다. 그러나 정작 농협측의 책임은 거의 논의되지 않고 있는 상황이.

한편, 검찰과 농협 모두 보안 관리 책임자 등에 대한 조치는 이뤄지지 않았다. 특히 IBM 서버 유지보수가 IBM에서만 가능하기 때문에 거래처 변경조차도 하기 어려운 상황이라는 것이 농협측의 설명이다.