배경훈, PHP 경보 높였지만 취약 현황은 미파악…"범부처 대책 마련"

[경제일보] 정부가 PHP 보안 취약점에 대응해 사이버 위기경보를 높였지만, 공공기관의 취약 버전 사용 현황과 패치 완료 여부는 파악하지 못한 것으로 드러났다. 국회에서는 경보 발령과 조치 안내가 실제 시스템 보호로 이어졌는지 확인해야 한다는 지적이 나왔다. 배경훈 부총리 겸 과학기술정보통신부 장관은 범부처 종합대책을 마련하겠다고 밝혔다.

배 부총리는 23일 국회 과학기술정보방송통신위원회 종합감사에서 “사이버 보안 컨트롤타워 체계를 정비해야 한다는 지적에 깊이 공감한다”며 “국가안보실 중심 대응을 넘어 범부처 차원의 종합대책과 관련 조직 개편을 검토하고 있다”고 말했다. 이어 PHP 취약점 대응을 넘어 근본적인 대책이 필요하다며 관련 방안을 국회에 보고하겠다고 밝혔다.

이날 감사에서는 정부의 대응 속도와 점검 체계가 도마에 올랐다. 의원들은 해외에서 취약 시스템의 접속 차단과 예방적 서비스 중단까지 이뤄진 점을 들어 국내 대응의 실효성을 따졌다.

정부는 취약점 공개 직후 보안 공지를 내고 대응 수위를 높였다고 설명했다. 최우혁 과기정통부 정보보호네트워크정책실장은 21일 오후 11시 20분 보안 공지를 게시했으며, 다음 날 위기경보를 ‘관심’에서 ‘주의’로 격상했다고 밝혔다. 정보보호최고책임자(CISO) 2만8000명과 주요 기반시설 111곳 등에도 패치를 요청했다고 덧붙였다.

쟁점은 조치를 요청한 이후의 확인 과정이었다. 한준호 더불어민주당 의원은 경보 발령 여부보다 취약한 공공 시스템을 얼마나 빨리 파악하고 보호했는지가 중요하다며 PHP 사용 시스템과 패치 현황을 물었다.

이상중 한국인터넷진흥원(KISA) 원장은 “공공행정기관은 대부분 PHP를 사용하지 않는 것으로 알고 있다”면서도 취약 버전 사용 현황과 패치 완료 여부는 아직 파악하지 못했다고 답했다. 현행 규정상 KISA가 해당 시스템을 직접 스캐닝하기 어렵다는 설명도 내놨다. 한 의원은 KISA가 해결하기 어려운 부분은 정부와 협의해 보호조치를 마련해야 한다고 지적했다.

다만 국내 대응을 접속 차단 권고조차 없었던 것으로 보기는 어렵다. KISA가 22일 공개한 기업 보안 대응 수칙에는 업데이트와 임시 조치를 적용하기 어려우면 외부 접속 차단이나 서비스 일시 중단을 검토하도록 명시돼 있다. 권고 내용과 별개로 대상 시스템을 찾아 조치 완료 여부를 확인하는 체계가 국감의 핵심 문제로 떠오른 것이다.

점검 범위도 대표 홈페이지에 한정되지 않는다. KISA 수칙은 외주 제작 사이트와 이벤트·테스트 서버, 관리자 페이지뿐 아니라 PHP가 내장된 장비·솔루션과 컨테이너 이미지까지 확인하도록 했다. 자산 목록만 보지 말고 실제 가동 중인 서버를 기준으로 점검하라는 내용이다.

이번 취약점 두 건은 로그인하지 않은 공격자가 서버에서 임의 코드를 실행할 수 있는 결함으로, 위험도는 각각 10점 만점에 9.2점이다. KISA는 패치 후 PHP 실행 서비스를 재시작하고 실제 웹서비스에 수정 버전이 적용됐는지 확인하도록 권고했다. 배 부총리가 예고한 대책의 구체적인 조직 개편안과 기관별 점검·보고 방식은 이날 제시되지 않았다.