[사설]PHP 사태, 경보만 울리고 조치 여부 모르는 정부

정부세종청사 과학기술정보통신부 사이버침해대응과 사무실. 연합뉴스

전 세계 웹사이트에 널리 쓰이는 프로그래밍 언어 PHP 보안 결함 사태는 사이버위기에서 신속한 경보만큼이나 이후 대응이 중요하고 어렵다는 사실을 보여준다.

이상중 한국인터넷진흥원(KISA) 원장은 국정감사에서 "공공기관의 취약 버전 사용 현황과 보안 패치 완료 여부를 파악하지 못했다"고 밝혔다. 개별 시스템을 직접 점검할 권한에도 한계가 있다고 했다. 경보를 발령해도 현장에서 얼마나 조치했는지 확인하고 추가 대책을 마련하기 어렵다는 얘기다.

특히 보안 조치를 실행하기 어려운 곳이 영세 사업자의 오래된 홈페이지다. 온라인 쇼핑몰은 외부 업체의 서버를 빌려 홈페이지를 운영하는 경우가 많다. 서버 관리업체가 보안 조치를 끝내도 쇼핑몰 자체가 구형 PHP로 만들어졌다면 프로그램을 따로 고쳐야 한다. 이 과정에서 홈페이지가 제대로 작동하지 않거나 영업에 차질이 생길 수도 있다. 전문 인력이 없는 소상공인에게 업데이트하라는 권고만으로는 부족하다. 정부가 관련 업체와 협력해 점검과 프로그램 교체를 지원해야 한다.

이런 사각지대를 해소하려면 부처 간 협업이 필수적이다. 공공기관과 금융회사, 개인정보를 다루는 사업자까지 관리 영역이 넓어 어느 한 부처가 모두 책임질 수 없다. 과학기술정보통신부와 KISA가 기술 정보를 제공하고 관계 부처가 소관 분야의 점검을 맡되, 그 결과를 공유하는 체계가 뒷받침돼야 한다. 국가안보실 중심의 기존 대응체계가 제 역할을 할 수 있도록 권한과 책임을 명확히 하는 것이 우선이다.

정부는 이번 사태에서 드러난 제도적 한계를 진단하고 보완해야 한다. 국회도 점검과 정보 공유에 필요한 법적 근거를 살피고, 노후 시스템 교체를 지원할 예산을 마련해야 한다. 주요 기반시설부터 어떤 소프트웨어를 사용하는지 체계적으로 관리하는 방안도 필요하다. 사이버 보안의 성패는 경보를 얼마나 빨리 발령했느냐가 아니라, 위험에 노출된 시스템을 실제로 안전하게 만들고 그 결과까지 확인했느냐에 달려 있다.

아시아경제 column@asiae.co.kr