"돈내고 보안인증 받아도 줄줄이 해킹…ISMS 실효성 부족 지적" 작성일 10-09 59 목록 <div id="layerTranslateNotice" style="display:none;"></div> <strong class="summary_view" data-translation="true">[미리보는국감 下]KISA 주관인증…"자격미달 기업도 받아 문제"<br>"고위험 사업군 대상 제도 강화…취약점 점검·모의해킹 보완"</strong> <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> <section dmcf-sid="FvvbmcxpHX"> <figure class="figure_frm origin_fig" contents-hash="650266078a5be96b5bbdfa6a6d9eeb1c600c3a5744b781cd1938243f9f8e49a3" dmcf-pid="3TTKskMUtH" dmcf-ptype="figure"> <p class="link_figure"><img alt="(사진은 기사 내용과 무관함) 최민희 국회 과학기술정보방송통신위원장이 24일 서울 여의도 국회에서 열린 제429회국회(정기회) 제5차 전체회의에서 의사봉을 두드리고 있다. 2025.9.24/뉴스1 ⓒ News1 이승배 기자" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202510/09/NEWS1/20251009062112168vqvy.jpg" data-org-width="1400" dmcf-mid="tAeC4bXDZZ" dmcf-mtype="image" height="auto" src="https://img2.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202510/09/NEWS1/20251009062112168vqvy.jpg" width="658"></p> <figcaption class="txt_caption default_figure"> (사진은 기사 내용과 무관함) 최민희 국회 과학기술정보방송통신위원장이 24일 서울 여의도 국회에서 열린 제429회국회(정기회) 제5차 전체회의에서 의사봉을 두드리고 있다. 2025.9.24/뉴스1 ⓒ News1 이승배 기자 </figcaption> </figure> <p contents-hash="9f898a8949f96191fb16e8fc8b5ae53e56a9dcdcaef922c2d8d2f93ac73ea069" dmcf-pid="0yy9OERuGG" dmcf-ptype="general">(서울=뉴스1) 윤주영 기자 = 과학기술정보통신부 산하 한국인터넷진흥원(KISA)이 주관하는 정보보호 및 개인정보보호 관리체계 'ISMS/ISMS-P'의 실효성 문제가 국정감사에서 다뤄질 것으로 보인다.</p> <p contents-hash="520bb3ccdf47c0be80e07c633fdc603aeb9899e2e7fa7d98bd181dc321c4ba22" dmcf-pid="pWW2IDe75Y" dmcf-ptype="general">9일 보안업계에 따르면 올해 해킹 피해를 입은 SK텔레콤(017670)·롯데카드·예스24·KT(030200) 등은 이 인증을 받았다.</p> <p contents-hash="145d9c04ae6a2770087d23da8424f24461b3f811e2b02fd0bd60b31729694c90" dmcf-pid="UYYVCwdztW" dmcf-ptype="general">인증은 기업 등이 정보보호를 위한 일련의 조치를 제대로 했는지 KISA 혹은 인증기관이 검증하는 제도다. KISA 소관의 'ISMS'에 개인정보보호위원회의 개인정보 보호 관리체계 'PIMS'를 결합했다.</p> <p contents-hash="d8d58fc09517feb895e0da17cff9f390c86cb50609a2cb29191c38e0d6887dfc" dmcf-pid="uGGfhrJqXy" dmcf-ptype="general">올해 4월 SKT 유심정보 서버 해킹을 시작으로 굵직한 침해사고가 몰리면서, 인증의 실효성이 지적됐다. 당국이 수백만 원 수수료를 받고 인증을 내주지만, 정작 통과한 기업들은 고객·민감정보를 제대로 관리하지 못하고 있다.</p> <p contents-hash="201518064a9a7b5efbfe12c6540c2048eb6da38e35141f2b1053e7033676bfaa" dmcf-pid="7HH4lmiBtT" dmcf-ptype="general">예를 들어 ISMS 기준에 따르면 종이·파일·모바일 기기 등을 통해 비밀번호를 기록∙저장하는 행위는 제한된다. 부득이하게 그래야 한다면, 암호화 등 보완책이 요구된다.</p> <p contents-hash="b3ea18fc67d1c1af0daab27276969e099d39f9ec53d63b02206c559abdbdf46b" dmcf-pid="zxxs2zYcGv" dmcf-ptype="general">하지만 인증을 통과한 SKT는 가입자 인증 서버(HSS) 관리용 계정 정보를 타 서버에 평문으로 저장했다. 해커는 이를 활용해 HSS 관리서버 및 HSS를 감염시킬 수 있었다.</p> <p contents-hash="eafeb77b79fc177bf2862642f0f1ba229891e8cfaabcc1b2df64c3e1ef577cf5" dmcf-pid="qMMOVqGkGS" dmcf-ptype="general">297만 명의 개인정보 유출 피해가 발생한 롯데카드도 올해 8월 인증을 통과했다. 하지만 인증이 무색하게도 그달 말 악성코드 감염 및 외부 유출 흔적이 드러났다.</p> <p contents-hash="ba27380847791384cf7f75931c16667906bef519321bd6fbcfd978eaa3cc3117" dmcf-pid="BRRIfBHEZl" dmcf-ptype="general">카드번호·유효기간·CVC 번호·비밀번호 등 부정 결제에 악용될 수 있는 정보까지 유출됐다. 위험 고객군은 약 28만 명으로 추산된다.</p> <p contents-hash="83b77f328dd4477e7640ea5dc5fc61ed03f9fda476024b3770da1a4079d375c3" dmcf-pid="beeC4bXDth" dmcf-ptype="general">특히 롯데카드의 경우 2017년에 패치까지 나온 오라클 웹로직 취약점을 손보지 않아 공격을 허용했다. 중대 취약점을 8년간 방치한 기업에도 보안 당국이 인증서를 내줬다는 의미다. </p> <p contents-hash="a0ea02f7da0bcf47bc2e905a21a04fb75ec71952702fa20596d1925cb58c3d98" dmcf-pid="Kddh8KZwZC" dmcf-ptype="general">김승주 고려대 정보보호대학원 교수 등 업계는 인증 자체가 문제라기보단, 인증을 관리하는 체계의 부실함을 지적했다. 특히 체크리스트 위주의 형식적 인증에서 벗어나야 한다.</p> <p contents-hash="3ed09beb35dddb047a704e4dfe5569bd3ba412d4b56ca1122f4f941a2d44ce9e" dmcf-pid="9JJl695r5I" dmcf-ptype="general">김승주 교수는 "최근 해외 사례를 봐도 체크리스트 형태로 보안인증을 끝내는 경우는 없다"며 "최신 위협동향, 시나리오 등을 반영한 관리가 필요하다"고 주문했다. </p> <p contents-hash="adacd1c9cc84c0f98a6c6f2895a257e4bfadae1d2e32091e4dc77c55a3846a7b" dmcf-pid="2iiSP21mYO" dmcf-ptype="general">현실과 동떨어진 보안인증 범위도 고민해야 할 문제다. KT 무단 소액결제의 핵심 수법인 초소형기지국(펨토셀)은 ISMS 인증범위에서 빠진 것으로 드러났다. KISA는 인력·예산 한계로 인해 말단 장비가 아닌 코어망 중심으로 인증을 진행했다고 해명했다.</p> <p contents-hash="2bc01f4e0a8972cc8162fe74d7c206c0c3e23eff1aa79d2de766f37d3ebc28d0" dmcf-pid="VnnvQVts5s" dmcf-ptype="general">지적이 이어지자 KISA·개보위 등 보안당국을 중심으로 제도 개선에 나섰다.</p> <p contents-hash="78f7bf6bb6300562ce613ba187430ff9a4dec112647ede79564d4713f0ba542d" dmcf-pid="fLLTxfFOGm" dmcf-ptype="general">KISA 측은 "현행 ISMS는 기업 규모와 서비스 유형에 상관없이 모든 정보통신서비스 제공자에게 동일한 기준·기간을 적용한다는 문제가 있다"며 "기업의 규모, 서비스 중요도, 사고발생 시 사회적 파급력 등을 고려하는 방향으로 정책을 개선하겠다"고 말했다.</p> <p contents-hash="b3c0f73d74372a4e02a7ece855c002c78aa52afc9d1f7af8c4b6bf3428b9f8ed" dmcf-pid="4PPrKuyjGr" dmcf-ptype="general">파급력이 큰 고위험 산업군에는 강화된 인증체계를 적용한다는 의미다. 국회와 함께 구체적 계획·법안을 마련 중이며, 올해 안에 개선안을 발표하겠다고 덧붙였다. </p> <p contents-hash="33a45fdacbee5a2c4545ff69990aab937dfb25a31c48bba91a3f206b34c41af7" dmcf-pid="8QQm97WA1w" dmcf-ptype="general">또 KISA는 취약점 점검, 모의해킹 등 현장 중심으로 보안인증 점검을 강화한다는 방침이다.</p> <p contents-hash="e524a1dc296b4e112902acd359f5ca32a45a4295a63f1b04bcbb4a7214adc020" dmcf-pid="6xxs2zYc5D" dmcf-ptype="general">legomaster@news1.kr<br><br><strong><용어설명></strong><br><br>■ 펨토셀<br>가정이나 소규모 사무실을 위한 초소형·저전력의 이동통신 기지국이다. 데이터 트래픽 분산이나 음영지역 해소의 목적으로 사용된다. 서비스 가능 반경은 통상 수십미터 이내다.<br><br>■ ISMS<br>ISMS(정보보호관리체계·Information Security Management System)는 다양한 사이버 위협으로부터 기업·기관이 보유한 주요 정보자산을 체계적으로 보호하기 위해 수립하는 정책과 절차, 기술적·관리적 기준을 모두 포괄하는 보안 관리 프레임워크다.<br><br>■ ISMS-P<br>정보보호 및 개인정보보호 관리체계<br><br> </p> </section> </div> <p class="" data-translation="true">Copyright © 뉴스1. All rights reserved. 무단 전재 및 재배포, AI학습 이용 금지.</p> 관련자료 이전 미모의 옥순, 영호에 직진 “2순위 영수 0% 의미 없어” (나는 솔로)[결정적장면] 10-09 다음 최예나, BTS 진과 아침식사에 월클 체감 “대패삼겹살 구워줘”(라스)[결정적장면] 10-09 댓글 0 등록된 댓글이 없습니다. 로그인한 회원만 댓글 등록이 가능합니다.
