재해복구 인증 한 달만에 국정자원 화재... 정보보호 인증 실효성 논란

지난달 26일 전산실 화재로 700여 정부·공공 시스템이 먹통이 된 사태가 발생한 국가정보자원관리원(국정자원)이 화재 한 달 전에 정보보호관리체계(ISMS) 인증을 취득한 것으로 나타났다. 국정자원이 취득한 ISMS 인증에는 재해복구 항목이 포함돼 있었음에도 정작 전산실 화재에 따른 국가 IT 시스템 마비를 막지 못한 것이다.

국회 과학기술정보방송통신위원회 이해민 의원(조국혁신당)은 10일 "국정자원 화재 복구 과정에서 백업 미비로 G드라이브 공무원 업무자료가 소실되는 등 복구 체계의 심각한 허점이 드러났음에도 해당 기관이 불과 한 달 전 재해복구 항목이 포함된 ISMS 인증을 통과한 것으로 확인됐다"며 "이번 사태가 인증제도의 신뢰성과 실효성에 근본적인 문제가 있음을 보여주고 있다"고 밝혔다.

국정자원은 정부 기관으로 민간 부문의 정보보호 체계 인증인 ISMS 인증을 의무적으로 받지 않아도 되지만 자율적으로 인증을 신청해 9월 3일 '운영'(대전·대구·광주) '개인정보 처리 시스템'(방문자 관리, 통합운영 관리 지원, 출입통제)' 부문에 대해 인증을 취득했다.

ISMS 인증은 총 80개 심사 항목을 평가한다. 이 항목들 중에는 △재해·재난 대비 안전조치(재해유형 식별, 복구 목표시간 정의, 복구계획 수립·이행) △재해복구 시험 및 개선(복구 시험 계획·실시, 정기적 검토·보완) △백업 및 복구관리(백업 대상·주기·방법, 복구 절차 수립·이행, 정기적 복구 테스트) 등이 있다.

이 의원은 "이중화·이원화는커녕 백업도 제대로 하지 않은 상황임에도, 이러한 재난·재해 대비 수준을 '적정'하다고 판정해준 ISMS 인증제도를 과연 어디까지 신뢰할 수 있을지 심각한 의문이 든다"며 "정부는 형식적인 인증 건수 늘리기에 급급할 것이 아니라, 실제 보안, 재해복구 수준을 담보할 수 있는 근본적인 개선책을 시급히 마련해야 한다"고 했다.