과방위 국정감사 PHP 취약점 대응과 보호조치 공방

무슨 일인가

10월 23일 과학기술정보통신부 등에 대한 종합국정감사에서는 PHP 취약점 대응의 속도와 실효성이 쟁점이 됐습니다. 여야 의원들은 정부가 위험을 얼마나 빨리 알렸는지와 함께 실제 취약 시스템을 찾아 보호했는지를 따졌습니다. 배경훈 부총리 겸 과학기술정보통신부 장관은 정부도 문제를 심각하게 보고 있다며 종합적인 대응체계를 마련하겠다고 답했습니다.

PHP는 웹사이트 개발과 운영에 쓰이는 프로그래밍 언어입니다. 최형두 국민의힘 의원은 이번 취약점이 인증 절차 없이 서버를 장악하는 데 악용될 수 있다고 설명했습니다. 그는 은행뿐 아니라 카드·보험·증권 등 금융권 전반으로 조사를 확대해야 한다고 요구했습니다.

정부는 초기 대응이 늦었다는 비판에 취약점 발표 직후 필요한 조치를 취했다고 설명했습니다. 최우혁 과기정통부 정보보호네트워크정책실장은 10월 21일 오후 11시에 취약점을 확인하고 오후 11시 20분에 보안 공지를 했다고 밝혔습니다. 공지에는 보안 결함을 고치는 패치의 즉시 적용과 업데이트가 불가능한 시스템의 오프라인 운영 권고를 담았다고 설명했습니다.

정부는 10월 22일 낮 12시부터 민간 분야 사이버위기 경보를 '관심'에서 '주의'로 높이고 긴급 대응체계를 가동했습니다. 정보보호최고책임자 약 2만 8,000명과 주요 기반시설 111곳 등에 긴급 대응을 요청했다고도 설명했습니다. 이 수치는 정부가 대응을 요청한 대상이며, 취약점이 발견됐거나 보완을 마친 시스템의 수를 뜻하지는 않습니다.

공공기관의 실제 점검 현황도 질의 대상이 됐습니다. 이상중 한국인터넷진흥원(KISA) 원장은 한준호 더불어민주당 의원의 질문에 공공행정기관은 대부분 PHP를 사용하지 않는 것으로 알고 있다고 답했습니다. 다만 취약한 버전이 설치된 시스템 수와 패치 완료 현황은 아직 파악되지 않았다고 밝혔습니다.

이 원장은 현행 규정상 KISA가 해당 시스템을 직접 스캔해 일괄 점검하기는 어렵다고 설명했습니다. 한 의원은 그렇다면 정부와 협의해 보호조치를 마련해야 한다고 요구했습니다. 논의는 보안 공지를 발송한 시점뿐 아니라 점검 권한과 기관 간 협력체계를 어떻게 보완할지로 이어졌습니다.

배경과 경위

이번 질의는 PHP 한 가지 취약점에 대한 조치와 더 넓은 사이버보안 대응체계 문제를 함께 다뤘습니다. 이주희 더불어민주당 의원은 최근 두 달 사이 해킹 문제가 잇따랐다고 지적하며 개별 사건 대응을 넘어 보안 정책의 근본적인 전환이 필요하다고 주장했습니다. 배 부총리는 제기된 내용이 사실이라면 심각한 문제라며 정확히 분석하고 신속하게 점검하겠다고 답했습니다.

한 의원은 예방조치의 사례로 해외 대응을 제시했습니다. 그는 네덜란드가 실제 침해 확인 전 국가인증서비스를 중단했고, 미국은 패치가 불가능한 시스템의 오프라인 전환을 권고했다고 설명했습니다. 이를 근거로 국내에서도 경보 발령 여부와 실제 보호조치의 이행을 구분해 살펴야 한다고 주장했습니다.

누가 무엇을 주장하나

서천호 국회의원

세계적으로 문제가 제기된 PHP 취약점에 대한 정부의 인지와 대응이 늦었다고 비판했습니다. 정부가 설명한 조치도 각 기관이 알아서 처리하도록 맡기는 수준이라며 더 적극적인 대응을 요구했습니다.

한준호 더불어민주당 의원

경보를 얼마나 빨리 발령했는지보다 취약한 공공시스템을 얼마나 신속하게 찾아 보호했는지가 중요하다고 주장했습니다. KISA가 직접 일괄 점검하기 어렵다는 설명에는 정부와 논의해 보호조치와 제도를 보완해야 한다고 답했습니다.

배경훈 부총리 겸 과학기술정보통신부 장관

PHP 개발진의 취약점 발표 직후 관련 조치를 취했다고 설명했습니다. 동시에 PHP 문제를 넘어 근본적인 대책이 필요하다며 범부처 종합대책과 관련 조직의 개선을 검토하고 있다고 밝혔습니다.

확인된 사실과 엇갈리는 주장

앞으로 확인할 것

• 배경훈 부총리는 사이버보안 대응 조직과 제도 개선 등을 포함한 범부처 종합대책을 조만간 발표하겠다고 밝혔으며, 구체적인 발표 날짜는 제시하지 않았습니다.