과방위 국정감사 PHP 취약점 대응과 보호조치 공방

10월 23일 과학기술정보통신부 등에 대한 종합국정감사에서는 PHP 취약점 대응의 속도와 실효성이 쟁점이 됐습니다. 여야 의원들은 정부가 위험을 얼마나 빨리 알렸는지와 함께 실제 취약 시스템을 찾아 보호했는지를 따졌습니다. 배경훈 부총리 겸 과학기술정보통신부 장관은 정부도 문제를 심각하게 보고 있다며 종합적인 대응체계를 마련하겠다고 답했습니다.

PHP는 웹사이트 개발과 운영에 쓰이는 프로그래밍 언어입니다. 최형두 국민의힘 의원은 이번 취약점이 인증 절차 없이 서버를 장악하는 데 악용될 수 있다고 설명했습니다. 그는 은행뿐 아니라 카드·보험·증권 등 금융권 전반으로 조사를 확대해야 한다고 요구했습니다.

정부는 초기 대응이 늦었다는 비판에 취약점 발표 직후 필요한 조치를 취했다고 설명했습니다. 최우혁 과기정통부 정보보호네트워크정책실장은 10월 21일 오후 11시에 취약점을 확인하고 오후 11시 20분에 보안 공지를 했다고 밝혔습니다. 공지에는 보안 결함을 고치는 패치의 즉시 적용과 업데이트가 불가능한 시스템의 오프라인 운영 권고를 담았다고 설명했습니다.

정부는 10월 22일 낮 12시부터 민간 분야 사이버위기 경보를 '관심'에서 '주의'로 높이고 긴급 대응체계를 가동했습니다. 정보보호최고책임자 약 2만 8,000명과 주요 기반시설 111곳 등에 긴급 대응을 요청했다고도 설명했습니다. 이 수치는 정부가 대응을 요청한 대상이며, 취약점이 발견됐거나 보완을 마친 시스템의 수를 뜻하지는 않습니다.

공공기관의 실제 점검 현황도 질의 대상이 됐습니다. 이상중 한국인터넷진흥원(KISA) 원장은 한준호 더불어민주당 의원의 질문에 공공행정기관은 대부분 PHP를 사용하지 않는 것으로 알고 있다고 답했습니다. 다만 취약한 버전이 설치된 시스템 수와 패치 완료 현황은 아직 파악되지 않았다고 밝혔습니다.

이 원장은 현행 규정상 KISA가 해당 시스템을 직접 스캔해 일괄 점검하기는 어렵다고 설명했습니다. 한 의원은 그렇다면 정부와 협의해 보호조치를 마련해야 한다고 요구했습니다. 논의는 보안 공지를 발송한 시점뿐 아니라 점검 권한과 기관 간 협력체계를 어떻게 보완할지로 이어졌습니다.