[문송천의 디지털 산책] 잠근 대문, 털린 안방 …쿠팡 사태 진짜 정체

[문송천 카이스트 경영대학원 교수]

 

 

3370만건에 달하는 쿠팡 개인정보 유출 사태를 보면 정부는 AI 강국 같은 거창한 소리만 허공을 향해 계속 외쳐 댈 뿐 정작 그 기반인 데이터 설계와 데이터 보안에 대한 정부의 실질 기조는 전혀 보이질 않고 있다. 보안도 개인정보 보호 관련 인증 및 암호 수준에만 머물러 있고 정작 미국 국방부가 무려 30년 전부터 채택한 사이버보안 첨단기술의 근처에도 못 가고 있다. 10년 전 1억400만건의 정보 유출과 청와대 해킹사건, 원전 해킹 등 굵직한 사태들이 연이어 터졌을 때 했던 국정조사 수준에도 못 미치는 결과를 낳았다. 우리는 하드웨어 중심의 압축 성장 과정에서 국가 정보시스템의 내실을 점검할 여유를 갖지 못했다. 이는 정보화까지도 산업화 때처럼 그런 자세로 밀어붙이다 보니 불가피한 측면이 있었다고 본다. 그러나 실상을 전혀 볼 새가 없이 겉치장에만 신경 써왔던 것을 이제는 돌이켜봐야 한다. 21세기 디지털 시대를 대비하기 위해서 더 이상 외형에만 집착하지 말고 우리의 속살도 들여다봐야 한다. 그렇다면 새 시대에 데이터 주권과 데이터 보안을 위해 현 정부가 시급히 바꿔야 할 인식은 과연 무엇일까.

디지털 시대란 다시 바꿔 말하면 데이터 시대다. 클라우드라는 데이터 집합소로 모든 데이터가 모여드는 시대다. 클라우드란 말 자체도 1982년 처음 등장했을 때부터 데이터를 뜻했다. 즉 데이터와 완전 동격이다. 따라서 국가 핵심 자산인 데이터의 구조와 관리 체계가 이에 과연 맞는지 근본적으로 점검해야 할 시점이다. 연이은 대규모 행정망 마비에서 봤듯이 데이터 관리가 부실했고 해킹공화국이라고 불러도 무방할 만큼 각종 정보 유출 피해를 겪었다. 데이터를 잘 설계하려면 설계에 철학이 있어야 하는데 그때그때 산발적으로 데이터가 분절된 형태로 설계되다 보니 적정 시점에서 데이터를 통합할 시기를 놓쳐버리며 근근이 왔다. 사실은 처음부터 통합설계 철학을 지켰어야 했다. 이제는 통합방법론도 모른 채 국가 시스템을 운영하는 데 있어서 하루하루 요행을 바라는 처지에 놓였다. 데이터 보안도 데이터설계와 무관하지 않다. 보안의 시작은 데이터설계 단계에서부터 어느 데이터에 어떤 보안등급을 부여할 것인지가 결정되어야 한다. 일단 설계해 놓고 그 위에 보안을 덮어 씌는 것이 아니라 데이터 초기 속살 형성 단계에서부터 수준 높은 보안기술을 주입시켜야만 되는 것이다. 그런데 데이터설계 자체가 엉망이다 보니 보안마저도 엉터리일 수밖에 없다. 중대한 가치를 지닌 데이터들은 일반 데이터와 구분하여 DB라는 그릇 속에 별도로 넣어야 한다. 그래서 보안의 꽃은 데이터베이스(DB) 보안이라고 한다. 그러나 이번 국정조사에서도 이에 미치지 못했다. 어느 것이든 간에 설계 철학이 있고 그 근간 위에서 모든 것이 통합되고 어우러지게 만들어야 데이터 환각현상 없이 돌아 갈 수 있는 것이다. 자기 서류(문서) 뗐는데 남의 서류(문서)가 나오는 국가행정망, 국가교육망 등과 같은 어처구니없는 데이터 환각 현실 속에서 AI정부란 말이 과연 어디에 설 땅이 있는지 의구심이 들 때가 많다.

현재 국회 과방위와 주무 부처인 과기정통부의 관리 감독이 실질적인 데이터 보안보다는 겉으로 보이는 정보보호 시스템이나 인증 유무 확인에만 머물러 있다는 지적이 많다. 입법부와 행정부가 이번 쿠팡 사태와 같은 일을 막기 위해 기존 역할 외에 반드시 추가하거나 보완해야 할 구체적인 권한이나 기능은 없는지 스스로 돌아봐야 할 것이다. 보호와 보안은 사실상 근본적으로 다른 개념이다. 보안은 국가 안보급이다. 그동안 우리나라의 입법과 제도는 주로 외형적 보호 조치와 인증 중심에 치우쳐 있었고 DB보안에 대해서는 충분한 제도적 뒷받침이 이루어지지 못했다. 그러니 국정조사도 이 수준에서 그쳤다. DB보안은 보안의 핵심이자 가장 고도화된 영역이다. 미국은 이미 오래전부터 DB보안을 국가 안보 차원에서 다뤄왔으나 우리는 이제야 국정원 등을 중심으로 검토 단계에 들어가려는 수준이다. 입법부와 행정부는 DB보안을 독립적인 규제·감독 영역으로 명확히 인식하고 이를 위한 별도의 법제화와 전문적 감독 권한을 조속히 마련해야 한다.

이번 쿠팡 사태의 본질은 데이터 관리자가 주전산기 DB 안방에서 정보를 턴 것이다. 외부에서 노트북PC 같은 단말기로 접속해서 턴 것으로 보기에는 너무나 정보량이 크다. 유출 정보는 최소한 4TB로 추정되는데 이걸 외부 단말기 로그인 접속으로 꺼낸다는 건 턱도 없는 일이다. 따라서 정보보호 수준을 훨씬 넘어 대형 서버 DB보안 수준에서 봐야 한다. 그럼에도 불구하고 국정조사 등에서 정보보호에만 머무르는 이유는 뭘까. 이는 망 경계 방어와 DB보안의 차이를 모르기 때문이다. 그러니 후자에 소홀할 수밖에 없는 것이다. 보안의 첨단은 미 국방부가 오래전부터 채택해온 다단계(다등급) 보안 체계에 있다. 여기서는 데이터 중요도에 따라 다수의 등급으로 분류하고 사용자 역시 중요도에 따라 차등 권한을 부여받아 사용자 등급보다 상위 등급 데이터에는 함부로 읽고 쓸 수 없도록 기계적 통제가 이뤄진다. 그러므로 설령 해커가 상당한 수준까지 침투하더라도 최고 등급의 데이터에는 접근하지 못하게 통제할 수 있다. 즉 부적법한 접근은 자동 차단하는 안전장치가 구조적으로 존재하는 것이다. 그러나 우리나라의 보안 현실은 여전히 망 경계 방어, 즉 출입문 보안 수준에 머물러 있다. 이는 대단히 낮은 수준의 보안이다. 정작 금고에 해당하는 DB보안에는 거의 신경을 쓰지 못하고 있는 것이 현실이다. 이것이 한국의 근본적인 한계다.

전 직원이란 사람이 보안 키 하나로 수천만 명의 데이터에 접근할 수 있었다고 한다. 이게 사실이라면 보안의 핵심인 권한 분리와 접근 통제를 스스로 무너트렸다는 점을 방증하는데 개발자에게 과도한 슈퍼 권한을 주는 현장 관행은 차제에 고쳐야 한다. 다등급 보안 체계를 적용하면 최고 관리자 권한은 극히 제한된 소수에게만 부여되고 그 외 인력은 단계별로 그보다 낮은 권한만을 부여받게 된다. 이를 통해 관리자나 내부 인력에 의한 과도한 접근 역시 효과적으로 통제할 수 있다. 현재와 같은 무제한적 슈퍼 권한 부여 관행 역시 다등급 보안 설계의 부재에서 비롯된 구조적 문제라고 볼 수 있다. 이번 사태에서는 수천만 건이 넘는 데이터가 조회되는 장장 5개월 동안 이상 징후를 탐지하지 못했다고 한다. 이는 감사 로그 시스템이 사실상 유명무실한 껍데기였다는 방증이다. 이 정도 기간이면 주전산기 DB를 통째로 외부 클라우드 공간으로 다 퍼 날랐을 것이다. 그렇다면 보안인증 심사가 DB보안까지 깊이 있게 다루지 못하는 맹점은 어디에 있을까. 이것도 다등급 데이터 접근 통제 체계를 경시했기 때문에 발생할 수밖에 없는 사태였다. 현재의 정부 보안 인증 및 심사 체계에는 DB보안 요건이 사실상 빠져 있다. 이는 제도적 규제 공백에 해당한다. 이런 공백을 틈타는 주체들은 기업과 해커다. 비용 절감을 노리는 기업뿐만 아니라 틈새를 좋은 먹잇감 사냥 호기로 파고 드는 해커들이다.

데이터댐(저수지)이라든가 AI강국 같은 거창한 구호를 정부가 외치지만 정작 데이터를 담는 그릇인 DB 관리는 허술하기 짝이 없는 것으로 드러났다. 현재의 보안 최고관리자 체제만으로는 DB보안의 특수성을 감당하기 어렵다는 지적을 외면해서는 아니 된다. 이를 위해 별도의 데이터 보안 거버넌스 구축이나 법적 규제 강화도 필요하다. 다등급 보안은 충분히 법과 제도로 규제할 수 있는 영역이다. 다만 전제 조건이 있다. 아무거나 데이터라고 부르고 DB 아닌 것도 DB라고 부르면 안 된다. 모든 데이터를 아무거나 무분별하게 DB라고 부르거나 엑셀 파일과 같은 것을 DB로 혼동해서도 아니 된다. DB엔진에 의해 관리되는 체계적인 데이터만이 데이터베이스다. 그러나 DB엔진을 사용한다고 해서 자동으로 올바른 데이터 설계가 이루어지는 것은 아니다. 데이터설계에는 기계가 대신할 수 없는 영역이 있으며 이는 일관된 철학을 가진 전문 데이터 모델러의 역할이다. 만일 데이터 모델러가 여럿 있어 모델러마다 서로 다른 철학을 갖는다면 통합된 데이터 구조는 불가능해진다. 이때 진정한 데이터 거버넌스란 권위 있는 슈퍼 데이터 모델러가 전체 설계 철학을 총괄하고 그 아래에서 조직적으로 설계가 이루어지는 체계를 의미한다. 이게 사람 (데이터 모델러) 손끝이 예민하게 작용해야 하는 부분이다. 이는 국가대표팀을 지휘하는 코치 진 중 헤드코치와 같은 역할에 비유할 수 있다. 데이터 보안 거버넌스는 이러한 적법하고 통합된 데이터설계를 전제로 할 때만 성공할 수 있으며 그렇지 않으면 행정망 같은 류의 반복적인 실패를 피할 수 없다.

기업들이 보안 요건을 지키지 않을 이유는 여러 가지다. 예를 들면 보통 DB를 암호화했다고 항변들 하지만 이번 사태에서 보듯이 내부 권한을 가진 자에게는 암호화는 무용지물이다. 대용량 데이터 트래픽 처리에 따른 성능 저하를 이유로 데이터 알맹이 자체를 암호화하지 않는 기업 관행은 공공연한 일이 되어 버렸다. 암호화를 기피하는 이유는 속도 저하에 대한 우려다. 그러나 이는 정확히 따지고 보면 데이터설계가 근본적으로 적법하지 않게 돼 있었기 때문에 발생하는 파생적 문제다. 원칙에 맞게 데이터가 애초부터 설계되었다면 암호·복호 과정을 거치더라도 시스템 속도에 영향을 주지 않는다. 설계 원칙이 깡그리 무너진 상태에서 속도 문제를 편법적으로 해결하다 보니 보안 기본 요구사항과 엉뚱하게 충돌하게 되는 것이다. 특히 가장 민감한 개인정보인 주민등록번호의 경우 이미 국민 전체의 정보가 유출된 상황에서 암호화가 무슨 의미가 있는가. 온 국민의 주민번호가 이미 해커들 손에 들어가 있는데 소 잃고 외양간 고치면 소용이 있겠나. 기업들도 이렇듯 문제의 진원지를 피해 나가는 게 고질화돼 있지만 정부 역시 정보 유출로 인한 후속 피해의 진원지가 그 번호임을 알면서도 수술대에 올리지 못하는 자기부정 불능 상태에서 벗어나지 못하기는 매한가지다. 인터넷 시대에 맞게끔 제도를 개편하고 공공번호를 민간영역에서 다시는 사용하지 못하도록 차단해야 한다. 안방 문은 활짝 열어 둔 채 대문 단속만 열심히 하는 이 부끄러운 행태는 기업이나 정부나 똑같다.


문송천 필자 이력

▷카이스트 경영대학원 교수 ▷미국 일리노이대(어바나 샴페인) 전산학 박사 ▷유럽IT학회 아시아 대표이사 ▷대한적십자사 친선홍보대사 ▷카이스트·케임브리지대·에든버러대 전산학과 교수