전자 정부 시스템 구축 시 감리 단계 에서 보안 이 허술 하 게 관리 되 고 있 어 문제 로 지적 되 고 있 다 .   해당 공공 기관 이 시스템 구축 뒤 점검 단계 에서 최소한 의 비용 을 들이 려 하 기 때문 이 다 . 정부 는 감리 규정 을 통해 보안 을 유지 해야 한다는 내용 을 제시 하 고 있 으나 실제로 는 취약점 분석 프로그램 을 돌려보 는 수준 에 그치 고 있 는 실정 이 다 . 개인 정보 보호법 , 주민 등록 번호 수집 제한 등 정보 보호 를 위한 정책 들 이 강화 되 고 있 는 시점 에서 정작 정부 가 구축 한 정보 시스템 보안 에 대해서 는 철저 한 검증 이 이뤄지지 않 고 있 는 것 이 다 .   감리 법인 들 은   보안 분야 를   전문 적 으로 다루 기 에 는 비용 이나 인력 면 에서 한계 를 느끼 는 경우 가 많 다고 하소연 한다 . 25 일 행정 안 전부 및 한국 정보 화 진 흥원 ( NIA ) 관계자 들 에 따르 면 , 국내 정보 시스템 사업 에 대한 감리 과정 에 는 보안 성 에 대한 점검 을 요구 하 는 항목 이 포함 돼 있 다 . 그러나 익명 을 요구 한 국내 감리 법인 관계자 는 " 규정 은   있 으나 보안 의 어떤 부분 을 구체 적 으로 다뤄야 하 는지 에 대해서 는 아직 부족 하 다 " 고   귀뜸 했 다 . 정보 시스템 에 대한 감리 는 정부 가 발주 한 사업 이 IT 서비스 회사 를 통해 구축 된 뒤 제대로 구현 되 고 있 는지 를 제 3 자 를 통해 점검 하 는 과정 이 다 . 공공 에서 발주 한 사업 은 의무 적 으로 정보 시스템 에 대한 감리 를 받 게 돼 있 다 . 문제 는 보안 이 별도 의 항목 없이 서류 상 으로 만 관리 되 고 있 다는 점 이 다 . 지난해 3 월 초 에 개정 된 전자 정부 법 제 57 조 제 5 항 에 따른 정보 시스템 감리 기준 에 는 보안 관련 사항 에 대해 국가 정보원 의 지침 에 따라 보안 성 검토 등 보안 대책 의 적정 성 에 대해 평가 를 해야 한다고 명시 했 다 . 현재 국정원 은 정보 보호 와 관련 해 CC 인증 제도 를 운영 중 이 다 . 정보 시스템 감리 는 실제 시스템 이 문제 없이 구현 되 고 있 는지 를 점검 한다는 점 에서 CC 인증 을 받 은 솔루션 이나 장비 를 사용 했 다고 해서 반드시 안 전하 다고 확신 하 기 는 힘들 다 . 사전 에 보안 적 으로 문제 가 없 다고 인정받 은 제품 들 을 사용 하 더라도 실제 시스템 을 운영 하 는 과정 에서 는 또 다른 보안 취약점 에 노출 될 가능 성 이 높 기 때문 이 다 . 이 와 관련 행정 안 전부 정보 자원 정책 과 김성일 사무관 은 " 규정 상 정보 시스템 관리 는 시스템 의 효율 성 향상 , 안전 성 확보 를 위해 진행 한다고 명시 돼 있 다 " 며 " 보안 도 이 요건 에 포함 된다 " 고 설명 했 다 . 감리 과정 에서 로그 분석 등 의 과정 을 통해 보안 적 인 요소 까지 점검 을 하 도록 돼 있 다는 것 이 다 . 국내 한   보안 컨설팅 회사 대표 는   " 감리 가 대개 보안 점검 항목 에 따라 서류 상 문제 가 없 는지 를 확인 하 고 , 자동 화 된 취약점 분석 도구 를 돌려보 는 데 그치 고 있 다 " 며 " 문제 는 보안 쪽 감리 를 허술 하 게 했 다가 사고 가 터지 면 더 큰 문제 가 발생 할 수 있 다 " 고 말 했 다 . 이 를 예방 하 기 위해 감리 에서 는 물론 초기 개발 단계 에서부터 보안 성 을 전문 적 으로 검토 하 는 작업 이 필요 하 다고 그 는 덧붙였 다 . 이 에 대해 박춘식 서울 여대 정보 보호 학과 교수 는 " 그동안 정보 시스템 영역 에 는 보안 적 인 조치 를 반드시 취해야 한다는 명시 된 규정 이 없 었 다 " 며 " 감리 법인 들 도 정보 보안 의 경우 에 는 요청 이 있 을 경우 에 만 마지못해 수행 할 뿐 " 이라고 밝혔 다 . 더구나 기존 에 정보 시스템 통제 , 소프트웨어 품질 보증 등 의 영역 을 주요 평가 대상 으로 삼 다 보 니 보 안 항목 은 상대 적 으로 뒷전 으로 밀려나 게 된다 . 현재 전자 정부 를 포함 한 공공 기관 의 정보 시스템 에 대한 감리 는 주로 시큐어 코딩 쪽 에 집중 돼 있 다 . NIA 에서 는 지난해 하반기 부터 약 100 여 명 의 시큐어 코딩 전문 보 안 진 단원 을 자격 시험 을 거쳐 선발 했 다 . 그러나 국내 보안 업계 전문가 는 " 운전 면허 가 있 다고 모두 운전 을 잘 할 수 있 는 것 이 아닌 것 처럼 보안 의 기술 적 인 관점 에 대해 충분 한 검토 가 이뤄져야 한다 " 고 강조 했 다 . [ 관련 기사 ] ☞ ` 전자 정부 ` 가져가 는 안행 부 , 기대 반 우려 반 ☞ 올해 기업 보안 키워드 ` 모니터링 `☞ SW 산업 협회 " 전자 정부 ` 국산 SW 도입 ` 총력 "☞ 시큐어 코딩 구매 ` 정부 냐 시행 사 냐 `… 갑론을박 손경호 기자 ( sontech @ zdnet . co . kr ) ▶ IT 세상 을 바꾸 는 힘 < 지디 넷 코리아 >▶ IT 뉴스 는 < 지디 넷 코리아 >, 게임 트렌드 는 < 게임 스팟 코리아 >▶ 스마트폰 으로 읽 는 실시간 IT 뉴스 < 모바일 지디 넷 >[ 저작권자 ⓒ 메가 뉴스 & ZDNet & CNET . 무단 전재 및 재 배포 금지 ]