■교육과학기술부 △대통령실 과학기술비서관 최종배△충북도 부교육감 김대성△한국교원대 사무국장 직무대리 김광호△미래기획위원회 파견 박영숙△홍보담당관 김문희△운영지원과장 박경수△지방교육재정〃 김병규△우주기술〃 고서곤△사립대학제도〃 정관수△강원대 삼척캠퍼스 행정본부장 채안병△한국교통대 사무국장 신강탁△방과후학교팀장 김상재△인재정책실 안정은△민원조사담당관 강건기△교육정보화과장 정병호△교육복지국 박진욱△대학지원실 김형수△연구개발정책실 송기출 이은주△교과서기획팀장 김현동△정보보호〃 조재익△연구관리〃 이필남△지역대학과장 신인섭△뉴질랜드교육원 파견 염기성△경인교대 총무과장 윤권수△서울과학기술대 이상연△인사과 강정자△운영지원과 임연준△감사관실 김용만△교육정보통계국 최윤홍△기획조정실 김효신 정오채 조태섭 최응윤△대학지원실 김성근 박재성△연구개발정책실 조철희 황영욱△인재정책실 유희승 채홍준 ■문화체육관광부 △한국예술종합학교 총무과장 박찬석△국립중앙도서관 〃 김기훈△해외문화홍보원 외신협력과장 정인규△국립현대미술관(과장) 장경근△국립민속박물관 민속기획과장 안선국△〃 섭외교육과장 문정석△국무총리실 새만금사업추진기획단 파견 김정호△국가경쟁력강화위원회 〃 이정미△2014인천아시아경기대회조직위원회 김영원 ■국토해양부 △해외건설지원과장 김규철△새만금개발팀장 이홍선 ■통계청 △통계정보국장 김광섭 ■서울시 ◇승진 △도시교통본부 교통운영관 김재정△도시기반시설본부 시책사업추진단장 이갑규△여성가족정책실 저출산대책담당관 배현숙△도시교통본부 서울메트로협력관 조복연△행정국 특별사법경찰과장 박중규△상수도사업본부 남부수도사업소장 이종욱△보건환경연구원 축산물부장 신방우△주택정책실 재정비과장 최진석△도시안전실 서부도로사업소장 김안식△주택정책실 임대주택과장 양용택 ■동북아역사재단 △사무총장 석동연△홍보교육실장 설원태 ■보험개발원 ◇승진 <상무>△컨설팅서비스부문장 노병윤<이사대우>△상품요율서비스부문장 김용주△자동차보험서비스부문 자동차기술연구소장 조병곤◇전보 <부문장>△기획관리 이준섭△자동차보험서비스 권흥구△정보서비스 이건국 ■한국기계연구원 ◇실장 △기획예산 이사일△지식경영홍보 이승모 ■한국가스안전공사 ◇임명 △상임감사 김충식 ■숭실대 △외국인학생지원센터장 정진강 ■한국교원대 ◇학장 △제1대학 허병기△제2대학 이민부△제3대학 김정률△제4대학 전미영 ■한국일보사 △감사 홍원기△독자마케팅국 국장직대(부국장) 신복현 ■미래에셋증권 ◇지점장 △명일동 김선석△디지털구로 김용덕△영등포 김진곤△관악 홍성일△보라매 김지숙△의정부 김희준△신천역 박정훈 ■칸서스자산운용 ◇승진 <이사>△주식운용본부장 최승용<부장>△마케팅본부 채널마케팅1팀장 이대우△〃 채널마케팅2팀장 박상훈△인프라운용본부 인프라운용2팀장 김도경△REF본부 REF2팀장 김동진△〃 REF4팀장 이정근 ■메리츠화재 △전무 이상국△상무 이준근(메리츠금융지주 전출) 이용국 정경태 최영배 노철균△상무보 박웅 박용주 최후락 윤두열 윤여일 김회동 김명환 ■메리츠종금증권 △전무 김기형△상무 김병주 김상철 송영구 정해덕 문필복△상무보 이동진 권유훈 길기모 김석순 ■메리츠자산운용 △상무 김재상 ■메리츠금융정보 △상무보 고덕현 ■메리츠비즈니스서비스 △대표이사 사장 정구성 ■현대해상 ◇임원 선임 △정보보호최고책임자(CISO) 최철식 ■현대하이카다이렉트 ◇임원 <전보>△감사 황규진◇선임△고객서비스본부장 양채진 ■대웅제약 ◇전무 △품질보증본부 이원근△비서실 전혜숙◇상무대우△글로벌사업본부 서종원△OTC사업본부 약국사업부 진호정△ETC영업본부 서울3사업부 이용구△〃 지방2사업부 박진환△〃 서울2사업부 이용수 ■영진약품 ◇이사 △인사실장 김인△마케팅〃 김우진 ■대우인터내셔널 ◇승진 △전무 이일표 강성순 민창기 조청명△상무 노병인 정지영 이용석 정기섭 고재린 이계인 윤경택 유규천 조승환

#1. ESM(통합보안관리시스템·방화벽, 침입탐지, 가상사설망 등을 한데 모은 통합보안체계) 모니터링이 업무시간에만 실시돼 홈페이지 디도스(DDoS)·바이러스 공격 등 사이버 침해에 대한 신속 대응이 불가능함. 정보보호 관련조직이 비공식 가상조직이고 실제 정보보안 인력은 관리 전담자 1인에 불과. 인력이 부족해 정보보호활동을 제대로 할 수 없음(한국예탁결제원). #2. 통제구역·폐쇄망에서 이동식저장장치(USB), 노트북을 이용. 패스워드 변경을 안 하거나 ‘0000’ 같은 취약한 패스워드 사용. 공동사용하는 계정에 대한 부서장 승인 내역이 전혀 없음(한국증권거래소). #3. 해킹 감시용 침입차단·탐지 시스템에 2004년·2005년산 장비를 사용해 최신 공격에 무방비로 노출. 유추가능한 비밀번호를 가진 사용자 계정·데이터베이스(DB) 계정 다수 존재. 이로 인해 정보매체 보호·유지보수·위험관리 수준이 최고 5단계 중 2단계에 불과. 취약점 분석 결과 66개 지적사항 중 3개월 이상 걸리는 조치가 37개나 됨(금융결제원). 국회 정무위 이성헌 의원(한나라당)이 각 기관으로부터 제출받은 ‘2011년도 주요정보통신 기반시설 보호대책’에 따르면 국내 주요 금융·전산거래 담당기관들의 보안실태는 보안 전문가들이 경악할 수준이었다. 가장 기본적인 수칙조차 가볍게 무시하고 있었다. 정부는 은행·증권거래를 총괄하는 주요 허브기관을 정보공유분석센터(ISAC)로 지정해 정보보안을 특별관리토록 하고 있지만 기본 보안매뉴얼의 ABC도 지켜지지 않고 있었다. 정보보호 전문가들은 “예컨대 금융결제원의 해킹 차단 시스템을 통해 외부 공격이 들어오면 언제든 우리나라 전체 은행 거래가 마비될 수 있다는 뜻”이라고 경고했다. 특히 금융결제원은 2010년 기준 하루 평균 46조원, 1346만여건의 자금결제를 중계하는 컨트롤 타워임을 감안하면 실제로 해킹이 이뤄질 경우 지난 4월에 있었던 농협 전산망 마비 사태를 능가하는 상황이 닥칠 수도 있다. 시중 18개 은행 보안 컨설팅을 10년간 수행해 온 총괄기관이면서 스스로 보안에 가장 취약함을 드러낸 셈이다. 더욱이 문제는 매년 보안 점검 때마다 지적돼 온 이 같은 기본 사항들이 전혀 개선되지 않고 있다는 점이다. 이 의원은 금융기관 등이 전자금융업무, 정보기술부문을 총괄할 정보보호최고책임자(CISO)를 지정, 관리하는 내용의 전자금융거래법 개정안을 발의해 국회에 계류 중이지만 일선 금융기관들의 반발이 만만치 않다. 금융위원회도 정보기술 인력을 총 임직원 수의 5% 이상, 정보보호 인력을 정보기술 인력의 5% 이상 확보토록 전자금융감독규정 개정안을 내놨지만 규제개혁위원회에서 과다규제로 걸려 현재 조정작업 중이다. 이 의원은 “외국 유수 은행들은 정보보호 전담조직만 1000~1500명 수준이나 한국은 은행별로 평균 2~4명이 고작이고 가장 많은 국민은행이 26명”이라면서 “전자금융감독규정 개정안이 통과되면 인력부담이 최소 3~4배 이상 늘어난다는 점 때문에 금융권 반발이 거센 실정”이라고 말했다. 그러면서 “민간 금융기관에 앞서 정보보안 총괄기관들부터 먼저 대대적인 보안 취약점 개선이 이뤄져야 한다.”고 지적했다. 이재연기자 oscal@seoul.co.kr

현대캐피탈 해킹과 농협 전산망 마비 사태를 계기로 프로그램·서비스 개발에 집중했던 금융권 내 정보기술(IT) 포트폴리오를 보안시스템 강화와 인력 육성에 초점을 맞춰야 한다고 전문가들은 17일 지적했다. 전문가들은 현대캐피탈과 농협을 타산지석으로 삼아 금융권 전체의 보안망 체계를 근본적으로 바꿔야 한다고 밝혔다. 전문가들은 ▲금융 보안 인력을 육성하고 ▲정부 조직을 혁신해야 하며 ▲금융회사 최고경영자(CEO)의 보안 인식을 높이고 ▲보안 시스템을 강화해야 한다고 강조했다. 임종인 고려대 금융보안대학원 교수는 “서버 관리를 외주에 맡기더라도 농협 본사에는 관리 능력을 갖춘 우수 요원을 확보했어야 했다.”면서 관리적 측면의 허점을 지적했다. 임 교수는 “앞으로 대책을 마련하면서 돈 들여 외국 장비를 들여놓을 생각을 할 텐데 장비만 들여오고 운영할 인력이 없다면 문제”라면서 보안 인력을 키워 내는 사회적 구조의 필요성을 강조했다. 한국은행 관계자도 컨트롤타워 성격의 금융 보안 전문가 육성이 시급하다고 지적했다. 성재모 금융보안연구원 정보보안본부장은 “일본 미쓰비시은행의 경우 3만~4만명의 직원 가운데 전산 개발 인력만 자체적으로 7000여명을 두고, 운영 인력을 별도로 300~400명을 확보하고 있어 장애가 발생해도 즉각 고칠 수 있다.”고 말했다. 임종인 교수는 금융 보안에서 권한과 책임을 갖춘 정부 기구를 만들어야 한다고 촉구했다. 정태명 성균관대 정보통신학부 교수는 “행정안전부, 방송통신위, 지식경제부, 국가정보원 등의 유관 부처는 서로 주도권 싸움만 하고 있다.”면서 정부 부처 내 컨트롤타워 부재를 지적했다. 그는 “디도스 사태 때 모든 금융회사에 대한 보안점검을 벌였어야 했다.”면서 “앞으로 금융감독원은 상시검사에서 IT 보안 관련 검사 항목을 확대해야 한다.”고 말했다. 박춘식 서울여대 정보보호학과 교수는 “정보 보호 부서는 힘들기 때문에 기피하는 경향이 있는데, 정부가 관심과 지원을 강화해야 한다.”면서 정보 보호를 강화하는 금융회사에 대해서는 정부가 세제 지원을 해주는 등의 인센티브를 제공해야 한다고 조언했다. 정보 보호 인력 채용 시 인건비 일부 지원 방안도 제시했다. 그는 “기업들은 IT 시스템 유지 비용을 내지 않고 있으며, 하청업체들은 개발할 때만 돈을 낸다.”면서 IT 비용을 단순한 비용 측면이 아니라 위험 관리 측면에서 봐야 한다고 강조했다. 유지 비용이 현실화돼야 인력에 대한 대우도 나아질 것이라는 얘기다. 정태명 교수는 “CEO들이 정보 보안의 중요성에 대해 인식하지 못하고 방관하다가 일이 터지고 있다.”면서 내부에서 문제가 발생하면 막을 수가 없는 만큼 내부 통제를 강화할 것을 주문했다. 이어 현대캐피탈의 경우는 ‘설마병’으로 봐야 한다면서 고객 정보를 모두 암호화해야 하는데 일부 소홀히 한 측면이 있고, 많은 기업들이 이런 식으로 정보가 유출당하는 사고를 낸다고 말했다. 정 교수는 현재 국회에 계류 중인 전자금융거래법 개정안이 빨리 처리돼 정보보안최고책임자(CISO)를 신설하는 것도 대안이 될 수 있다고 말했다. 김경두·오달란기자 golders@seoul.co.kr

금융 당국의 발걸음이 빨라지고 있다. 김석동 금융위원장과 권혁세 금융감독원장은 18일 은행회관에서 5대 금융지주 회장들과 긴급 회동을 갖고 금융 보안 대란 등 각종 금융 현안을 논의할 예정이다. 금융 당국 수장들이 함께 민간 금융회사 최고경영자(CEO)들과 공식 회동하는 것은 매우 이례적인 일이다. 은행 쪽 참석자는 이팔성 우리금융지주 회장, 한동우 신한금융지주 회장, 김승유 하나금융지주 회장, 어윤대 KB금융지주 회장, 강만수 산은금융지주 회장이다. 김 위원장이 이번 간담회를 통해 ▲금융회사 전산 보안 ▲부동산 프로젝트파이낸싱(PF) 대출 및 건설사 부실 문제 ▲가계 부채 연착륙 ▲서민 금융 기반 강화 ▲신용카드 부문 과당 경쟁 등 금융 관련 현안에 대한 의견을 나누고, 시장 안정을 위해 금융권이 적극 협력하고 대응해 줄 것을 당부할 예정이라고 금융위는 설명했다. 금융 보안 대란과 관련해 전문가들은 ‘제2의 농협’ 사태가 일어나지 않기 위해서 국회와 당국도 제 역할을 해야 한다고 지적한다. 최근 국회에 제출된 전자금융거래법 개정안이 조속히 처리돼야 한다는 이야기도 나온다. 금융회사는 정보보호 최고책임자(CISO) 지정을 의무화하고, CISO는 전산 시스템 운용에 필요한 인력과 예산 편성 및 관련 계획을 수립하도록 개정안은 규정하고 있다. 개정안을 발의한 이성헌 한나라당 의원 측은 17일 “금융권은 보안을 최대화해야 하는데 가급적 최소화하고 있으며, 해킹을 당해도 재수가 없다고 생각하는 경향이 있다.”면서 “국회에서도 금융 보안에 대한 관심이 부족했는데 입법 과정을 최대한 서둘러 조속히 법이 시행되도록 해야 한다.”고 말했다. 금융회사의 정보 보호 인력과 예산 부족도 문제지만 금융 당국의 인력 상황도 크게 다르지 않다. 금감원이 정보기술(IT) 부문 검사를 해야 할 금융회사는 180개지만 담당 직원은 11명뿐이다. 한때 금감원 내에 IT 검사국이 독립적으로 존재하기도 했으나 현재는 IT 검사실로 축소된 상태다. 사고가 났을 때 검사를 나가도 보조적인 역할을 하는 데 그치고 있다. 금융 당국의 인력 증강은 물론 금융권 감독도 강화해야 한다는 의견도 나온다. 금융 당국은 2005년 국내에서는 처음으로 인터넷 뱅킹 해킹 사건이 일어났을 때 종합대책의 하나로 금융기관의 전체 IT 예산 가운데 정보 보호 예산을 3% 이상, 전체 IT 인력 가운데 정보 보호 인력을 3% 이상 유지하도록 행정 지도했다. 2009년 디도스 공격 사태 이후에는 이 비율을 각각 5%로 강화했다. 이러한 가이드라인에 대한 관리 감독이 제대로 이뤄졌더라면 농협 사태를 방지할 수도 있었다는 게 전문가들의 중론이다. 홍지민기자 icarus@seoul.co.kr

“금융보안은 비용이 아니라 투자입니다. 금융기관 최고경영자(CEO)의 보안 마인드부터 달라져야 합니다.” 우리나라 전체 금융거래 가운데 80%가 비대면 거래로 이뤄진다. 창구에서 직원과 마주하는 대면거래가 아닌, 인터넷 뱅킹, 인터넷 결제, 모바일 결제 등이 그만큼 많다는 얘기다. 선진국의 비대면거래 비율이 50% 안팎인 점을 고려하면 엄청난 규모가 아닐 수 없다. 이러한 상황에 현대캐피탈 고객 정보 해킹 사건에 이어 농협 전산 장애 사태가 잇따르며 국내 금융 소비자들이 불안해하고 있다. 근본적인 대책은 없는 것일까. 14일 서울 여의도에서 만난 곽창규(55) 금융보안연구원장은 금융보안을 위한 예산을 쓰면 아까운 비용으로 여기는 금융기관 CEO의 마인드부터 바뀌어야 한다고 강조했다. →금융보안은 왜 중요한가. -전자금융은 편리하지만 그 이면에서는 사고가 지속적으로 발생하고 있다. 최근 들어서는 금전적 목적의 해킹 공격이 증가하고 점차 조직화되고 있다. 새로운 공격 기술이 나오는 주기도 점점 짧아지고 있다. 그러한 가운데 모바일 오피스 등 새로운 비즈니스 환경과 스마트폰 등 새로운 전자금융 거래 수단의 등장은 금융권에 새로운 과제를 던진다. 금융기관을 대상으로 한 사이버테러 발생 시 전자금융 서비스 지연 및 중단 등으로 일어나는 사회적 혼란과 경제적인 피해는 다른 어떤 분야보다 심각하다. →현대캐피탈에 이어 농협까지 사고가 잇따르고 있다. 우리 정보기술(IT) 수준이 낮아서인가. -그렇지 않다. 우리 기술 수준은 세계 최고다. 그래서 상대적으로 해외 해커들의 타깃이 되기도 한다. 그동안 전자금융거래 이용률 대비 해킹 사고 횟수를 살펴보면 전자금융시스템 보안은 상대적으로 잘 구축되어 있는 편이다. 하지만 경영자층의 보안 의식이 뒤따르지 못하고 있다. 특히 캐피털사 등 제2금융권의 정보보호 예산 및 인력 규모는 금융당국이 제시하는 가이드라인에 미치지 못하고 있는 상황이다. 적극적인 지원과 투자가 필요하다. →두 사건이 일으키고 있는 파장이 엄청난데. -현대캐피탈은 과거 사고에 견줘 대량의 금융정보가 유출됐다는 점에서 주의해야 한다. 신속한 후속 조치로 추가 피해는 막았지만, 유출된 정보를 통해 피싱 등의 2차 피해가 일어날 수 있기 때문에 주의가 필요하다. 농협 수준의 전산 장애는 사상 처음이다. 금융당국의 조사와 검찰 수사 결과가 나와 봐야 하겠지만 외부에서 내부 서버에 침입했다기보다는 내부 소행, 관리 소홀로 여겨진다. →개별 기관으로 대응하기보다는 업권별로 공동 대응해야 한다는 의견도 나오는데. -은행권역에서는 금융결제원, 증권권역에서는 코스콤이 전담해 디도스 및 해킹 공격 등에 대비하고 있다. 제2금융권의 소규모 회사의 경우 자체적으로 대응하기 어려운 게 현실이기 때문에 공동 대응을 전담하는 기관이 필요하다고 본다. →금융기관이 의무적으로 정보보호최고책임자(CISO)를 임명하는 법안이 추진되고 있는데. -국내 정보보호업무 담당자들은 책임만 있고 권한이 없는 경우가 많다. 책임을 지려면 합당한 권한이 있어야 한다. 이를 뒷받침해 주는 법적인 제도가 필요하다고 생각한다. →이번 사태가 주는 교훈은. -모든 금융권이 보안을 재점검하고 금융보안의 중요성을 다시 한번 인식하는 계기가 돼야 한다. 사실 사고가 날 때마다 호들갑을 떨다가도 시간이 지나가면 흐지부지되는 측면이 없지 않았다. 그래서는 안 된다. 정부도 마찬가지다. 홍지민·오달란기자 icarus@seoul.co.kr