배경훈 부총리 겸 과학기술정보통신부 장관이 23일 서울 여의도 국회에서 열린 과학기술정보방송통신위원회의 종합감사에서 질문에 답하고 있다. /뉴시스

[더팩트｜우지수 기자] 프로그래밍 언어 PHP의 보안 취약점으로 사이버위기 경보가 격상됐지만 한국인터넷진흥원(KISA)은 국내 공공 시스템의 취약 버전 사용 현황을 아직 파악하지 못한 것으로 나타났다. 정부가 보안 공지에 그치지 말고 취약 시스템을 찾아 보호하는 데 나서야 한다는 지적이 국정감사에서 잇따랐다.

23일 배경훈 부총리 겸 과학기술정보통신부 장관은 국회 과학기술정보방송통신위원회의 과기정통부 종합감사에서 대응체계를 고쳐야 한다는 요구에 "정부 차원에서도 문제의식을 굉장히 심각하게 생각하고 있다"며 "범부처 차원의 종합대책을 마련하고 관련 조직도 고민하고 있다. 조만간 발표하겠다"고 밝혔다.

PHP는 웹사이트와 웹서비스를 만드는 데 널리 쓰이는 언어다. 이번에 발견된 취약점 2건은 공격자가 인증 절차 없이 서버에서 악성 명령을 실행할 수 있게 하는 문제다. 악용되면 개인정보 유출이나 웹사이트 변조·마비로 번질 수 있다. 정부는 22일 낮 12시부터 민간 분야 사이버위기 경보를 '관심'에서 '주의'로 올리고 긴급 대응체계를 가동했다.

서천호 국민의힘 의원은 이날 PHP 취약점이 국가안보에 영향을 줄 수 있는 중대한 사안인데도 정부 대응이 소극적이라고 지적했다. 정부가 처음 인지한 시점과 조치 내용을 묻자 배 부총리는 PHP 개발진이 취약점을 발표한 직후 조치에 들어갔다고 답했다.

최우혁 과기정통부 정보보호네트워크정책실장은 "그저께 수요일 오후 11시에 확인됐고 오후 11시20분에 보안 공지를 했다"고 설명했다. 공지에는 즉시 패치를 적용하고 업데이트가 어려운 시스템은 오프라인으로 운영하라는 권고를 담았다. 정보보호최고책임자 약 2만8000명과 주요 기반시설 111곳 등에도 긴급 대응을 요청했다.

서 의원은 "정부가 취한 조치는 각 기관에서 알아서 적절히 처리하라는 수준"이라며 "가장 속도감 있게 대응해야 할 분야에서 정부의 대응이 너무 느리다"고 비판했다.

최형두 국민의힘 의원은 금융권 등 주요 시스템에 미칠 영향을 우려했다. 최 의원은 "인증 없이 바로 서버를 장악할 수 있기 때문에 위험한 것"이라며 "은행뿐 아니라 카드·보험·증권 등 금융권 전방위 조사로 확대해야 한다"고 강조했다. 보안 패치가 나오기 전부터 위험을 파악해 대비하는 체계가 필요하다며 과기정통부가 사이버보안 대응에서 더 적극적인 역할을 맡아야 한다고도 주문했다.

한준호 더불어민주당 의원은 경보를 얼마나 빨리 냈는지보다 취약 시스템을 찾아내 보호했는지가 중요하다고 짚었다. 한 의원이 중앙행정기관과 지방자치단체, 공공기관에서 PHP를 쓰는 시스템이 몇 개인지 묻자 이상중 KISA 원장은 "공공행정기관은 대부분 PHP를 사용하지 않는 것으로 알고 있다"고 답했다. 취약 버전이 설치된 시스템 수와 패치 완료 현황에 대해서는 "아직까지 파악되지 않고 있다"고 했다.

이 원장은 현행 규정상 KISA가 해당 시스템을 직접 스캔하는 방식으로 일괄 점검하기는 어렵다고 설명했다. 한 의원은 "그렇다면 정부와 논의해서 보호조치를 해야 한다"며 관련 제도와 대응체계 보완을 요구했다.

index@tf.co.kr