주요 정보통신 기반 시설 보호를 위한 취약점 분석 및 평가 방법

주요 정보통신 기반 시설(Critical Information Infrastructure)은 국가 안보, 경제 및 국민 생활에 중대한 영향을 미치는 정보통신시스템으로서, 사이버 공격으로부터의 보호는 국가적인 핵심 과제입니다. 이에 따라 관련 법률에 의거하여 기반 시설의 취약점을 주기적으로 분석하고 평가하는 절차는 시설의 안정성과 신뢰성을 확보하는 필수적인 과정입니다. 본 문서는 정보보안 및 개인정보보호 담당자가 기반 시설 보호를 위한 취약점 분석 및 평가 방법을 이해하고, 실무에 적용하는 데 필요한 사실 기반 정보를 제공합니다.

---

주요 정보통신 기반 시설에 대한 취약점 분석 및 평가는 「주요정보통신기반시설 보호법」 제9조(취약점 분석·평가)에 따라 매년 1회 이상 의무적으로 수행되어야 합니다. 이 과정은 기반 시설의 보안 수준을 진단하고, 발견된 취약점을 제거하여 사이버 위협에 대한 대응 능력을 강화하는 것을 목표로 합니다.

• 법적 근거:
  • 주요정보통신기반시설 보호법: 기반 시설의 지정, 보호대책 수립, 취약점 분석·평가, 침해사고 대응 등 전반적인 보호 체계를 규정합니다.
    http://www.law.go.kr/법령/주요정보통신기반시설보호법
  • 과학기술정보통신부 고시 '주요정보통신기반시설 취약점 분석·평가 기준': 취약점 분석·평가의 구체적인 절차, 방법, 항목 및 결과 처리 등에 관한 세부 기준을 명시합니다. 이 기준은 매년 정부의 최신 보안 정책과 기술 변화를 반영하여 개정됩니다.
    https://www.kisa.or.kr/2040406/form/202/view.do (과학기술정보통신부고시 제2023-53호 '주요정보통신기반시설 취약점 분석·평가 기준' 예시)
• 분석 및 평가 범위:
  • 기반 시설을 구성하는 정보시스템(서버, 네트워크 장비, 보안 장비 등), 운영체제, 데이터베이스, 웹 애플리케이션 등 모든 구성 요소를 포함합니다.
  • 물리적 보안, 기술적 보안, 관리적 보안 측면을 종합적으로 고려하여 평가합니다.
• 주요 분석 및 평가 항목 (과학기술정보통신부 고시 기반):
  • 기술적 취약점:
    • 시스템 보안: 운영체제, 서버, 네트워크 장비 등의 설정 및 관리 취약점.
    • 애플리케이션 보안: 웹 애플리케이션, 모바일 애플리케이션 등의 개발 보안 취약점(OWASP Top 10 등).
    • 네트워크 보안: 네트워크 구성, 접근 제어, 무선 네트워크 등의 취약점.
    • 데이터베이스 보안: 데이터베이스 설정, 접근 통제, 개인정보보호 조치 여부.
  • 관리적 취약점:
    • 보안 정책 및 지침: 수립 및 준수 여부.
    • 인력 보안: 보안 교육, 접근 권한 관리.
    • 침해사고 대응 체계: 사고 예방 및 대응 계획의 적절성.
  • 물리적 취약점:
    • 시설 접근 통제, 설비 보안, 재난 대비 등.
• 분석 및 평가 절차:
  1. 계획 수립: 분석 대상 및 범위, 방법, 일정, 인력 등을 포함한 계획을 수립합니다.
  2. 취약점 분석: 자동화된 도구(취약점 스캐너) 및 수동 점검(모의 해킹, 소스 코드 분석, 설정 점검 등)을 병행하여 취약점을 식별합니다.
  3. 취약점 평가: 식별된 취약점에 대해 위험도(영향도, 발생 가능성)를 평가하고, 조치 우선순위를 결정합니다.
  4. 보호대책 수립 및 이행: 평가 결과에 따라 취약점 제거 및 보완을 위한 보호대책을 수립하고 이행합니다.
  5. 결과 보고: 분석·평가 결과를 기반 시설 관리기관의 장에게 보고하고, 조치 계획을 포함하여 한국인터넷진흥원(KISA)에 제출합니다.

실무 관점에서의 의미

• CISO (정보보안최고책임자):
  • 법규 준수 및 리스크 관리: 「주요정보통신기반시설 보호법」 준수는 CISO의 핵심 책임입니다. 취약점 분석·평가 결과를 통해 조직의 전반적인 정보보안 리스크 수준을 파악하고, 이를 기반으로 보안 예산 및 인력 배정을 위한 전략적 의사결정을 지원합니다.
  • 보안 투자 효율성 증대: 발견된 취약점의 심각도와 영향도를 기반으로 보안 투자의 우선순위를 설정함으로써, 한정된 자원을 가장 효과적으로 활용할 수 있습니다.
  • 정량적 성과 측정: 주기적인 취약점 분석·평가는 보안 수준 향상을 정량적으로 측정하고, 경영진에게 보안 투자에 대한 성과를 보고하는 근거 자료로 활용될 수 있습니다.
• DPO (개인정보보호책임자):
  • 개인정보 유출 예방: 주요 정보통신 기반 시설에 저장되거나 처리되는 개인정보는 취약점을 통해 유출될 가능성이 있습니다. 취약점 분석·평가 과정에서 개인정보 관련 시스템의 취약점이 발견되면, 이는 즉각적인 조치가 필요한 사항이며 DPO는 해당 취약점의 개선을 정보보안팀에 요청하고 확인해야 합니다.
  • 법규 준수 연계: 「개인정보 보호법」 및 관련 고시는 기술적·관리적 보호조치 의무를 강조하며, 기반 시설의 취약점은 해당 보호조치의 미비를 의미할 수 있습니다. DPO는 취약점 분석·평가 결과가 개인정보보호 법규 준수 여부와 직결됨을 인지하고 CISO와 긴밀히 협력해야 합니다.
  • 협업의 중요성: CISO와 DPO는 긴밀한 협력을 통해 기술적 취약점이 개인정보 침해로 이어지지 않도록 예방하는 공동의 목표를 가집니다. 특히, 개인정보 처리 시스템에 대한 취약점 점검 항목을 강화하고, 발견된 취약점 조치 여부를 공동으로 점검하는 것이 중요합니다.

정리

주요 정보통신 기반 시설의 취약점 분석 및 평가는 단순한 의무 준수를 넘어, 국가 및 기업의 핵심 자산을 보호하고 지속적인 서비스 제공을 위한 필수적인 활동입니다. CISO는 이 과정을 통해 조직의 보안 체계를 강화하고 리스크를 효과적으로 관리하며, DPO는 개인정보보호 관점에서 잠재적 위험 요소를 식별하고 개선함으로써 개인정보 침해 사고를 예방하는 데 기여할 수 있습니다. 관련 법규와 가이드를 기반으로 한 체계적인 접근과 지속적인 개선 노력이 요구됩니다.