野 "PHP 해킹 대응 늑장"…과기부 "20분 만에 보안 공지" 반박

배경훈 부총리 겸 과학기술정보통신부 장관이 23일 국회에서 열린 과학기술정보방송통신위원회 종합감사에서 위원 질문에 답하고 있다. (사진=연합뉴스)

[이데일리 한광범 기자] 전 세계적으로 보안 취약점이 문제가 된 웹 프로그래밍 언어 PHP와 관련해 국민의힘 의원들이 정부의 대응이 안일하고 늦었다며 집중 공세를 펼쳤다. 과학기술정보통신부는 취약점 공개 직후 긴급 보안 공지를 내리는 등 신속하게 대응했다고 반박했다. 여당에서도 실제 취약 시스템의 현황 파악이 미흡하다는 지적이 나오자 정부는 범부처 차원의 사이버보안 종합대책을 조만간 발표하겠다고 밝혔다.

서천호 국민의힘 의원은 23일 국회 과학기술정보방송통신위원회 종합국정감사에서 PHP 보안 취약점과 관련해 “정부의 대응이 너무나 안일하고 느리다”며 “속도를 강조하는 정부가 왜 가장 속도감 있게 대응해야 할 분야에서는 이렇게 느리냐”고 질타했다.

PHP는 웹사이트와 온라인 서비스 개발에 널리 사용되는 프로그래밍 언어다. 최근 공개된 보안 취약점과 관련해 서 의원은 별도의 로그인이나 인증 없이 서버에 침투할 수 있는 위험이 있다며 광범위한 사이버 공격으로 이어질 가능성을 제기했다.

서 의원은 특히 국내 웹사이트의 약 80%가 PHP를 사용하고 있다며 미국과 일본, 유럽 등 해외 주요국의 대응 사례를 소개했다. 해외에서는 취약한 시스템의 오프라인 전환이나 접속 차단 등 강도 높은 조치가 이뤄지고 있는데 국내에서는 사이버위기 경보를 ‘주의’로 격상하는 수준에 그쳤다는 지적이다. 그는 “주의 단계는 각 기관에서 알아서 적절히 처리하라는 것”이라며 “정부가 소극적이고 사후적인 조치에 머물면서 침해 피해가 계속 발생하고 있다”고 비판했다.

최형두 국민의힘 의원도 정부의 사이버보안 대응 체계가 근본적으로 바뀌어야 한다고 주장했다. PHP 취약점이 금융권을 비롯한 주요 정보시스템에 영향을 미칠 수 있는데도 과기정통부가 단순히 보안 정보를 전달하는 수준의 대응에 머물러 있다는 것이다.

특히 롯데카드 등 정보보호 인증을 받은 기업에서도 대규모 개인정보 유출 사고가 발생한 점을 거론하며, 기존 인증제도가 실질적인 보안 수준을 보장하지 못하고 있다고 지적했다. 그는 “AI 시스템을 구축해 놓아도 보안이 뚫리면 모두 약탈당할 수 있다”며 과기정통부가 기업의 보안 투자와 취약점 관리 강화를 주도해야 한다고 강조했다.

국회 과학기술정보방송통신위원회 송기헌 위원장과 여야 간사인 한준호 더불어민주당 의원, 최형두 국민의힘 의원이 23일 서울 여의도 국회에서 열린 과학기술정보방송통신위원회의 종합감사에서 대화를 나누고 있다. (사진=뉴시스)

정부 “취약점 확인 20분 만에 공지…경보도 격상”

과기정통부는 취약점 공개 이후 신속한 초동 조치를 시행했다며 야당 의원들의 늑장 대응 비판에 반박했다. 최우혁 과기정통부 정보보호네트워크정책실장은 “21일 밤 11시에 관련 취약점이 확인됐고 11시 20분에 바로 보안 공지를 했다”고 설명했다.

그는 당시 취약점에 대응할 수 있도록 보안 패치를 즉시 적용하고, 패치가 불가능한 시스템은 오프라인으로 운영하도록 권고했다고 밝혔다. 미국 등 해외 주요국과 유사한 수준의 대응 조치를 안내했다는 설명이다. 이어 이튿날인 22일 민간 분야 사이버위기 경보를 기존 ‘관심’에서 ‘주의’로 격상했다고 밝혔다. 이 과정에서 기업 정보보호최고책임자(CISO) 약 2만8000명에게 대응을 요청하고 주요 기반시설 111곳에도 신속한 보안 업데이트 등의 조치를 안내했다고 설명했다.

국가안보실 주관 관계기관 회의도 22일 개최됐다고 밝혔다. 정부가 취약점 공개 직후 긴급 공지를 시행한 데 이어 관계기관과 기업에 추가 조치를 요청하는 등 필요한 대응을 진행했다는 취지다.

여당도 “실제 취약 시스템 파악해야”…정부 대책 예고

여당에서는 정부가 취약점 경보를 발령한 이후 실제 보안 조치가 얼마나 이뤄졌는지 확인해야 한다는 지적이 나왔다. 이상중 한국인터넷진흥원(KISA) 원장은 한준호 더불어민주당 의원의 관련 질의에 취약한 PHP 버전을 사용하는 공공 시스템과 보안 패치 완료 현황을 아직 파악하지 못했다고 답했다. 현행 규정상 KISA가 개별 기관의 시스템을 직접 점검하는 데 제약이 있다는 설명도 덧붙였다.

한 의원은 이에 대해 “중요한 것은 경보를 발령했느냐가 아니라 취약한 공공 시스템을 실제로 얼마나 신속하게 파악하고 보호했느냐”며 KISA가 자체적으로 해결하기 어려운 문제는 정부와 협의해 보완해야 한다고 강조했다.

배경훈 부총리 겸 과기정통부 장관은 이 같은 지적에 대해 사이버보안 문제를 심각하게 인식하고 있다며 PHP 취약점에 국한하지 않은 근본적인 대응책을 마련하겠다고 밝혔다. 배 부총리는 “안보실의 컨트롤타워를 넘어 범부처 차원에서 종합적인 대책을 마련하고 관련 조직도 고민하고 있다”며 “조만간 발표하겠다”고 말했다. 이어 정부 차원의 대응 체계와 보완 방안을 마련해 국회에 보고하겠다고 밝혔다.