민감한 질병정보, 정부기관 보안기능은 허술

[국감]복지부 해킹시도 빈번…44개국 연간 수백 건

복지부 산하기관들이 보유하고 있는 개인정보가 매우 부실하게 관리되고 있는 것으로 나타났다.

이 같은 사실은 국회 복지위 소속 한나라당 임두성 의원이 6일 복지부 국정감사를 위해 보건복지가족부로부터 제출받은 ‘산하기관 개인정보관리실태 점검결과’를 분석한 결과다.

복지부가 질병관리본부, 대한적십자사, 국립암센터를 비롯한 복지부 산하 11개 기관을 대상으로 정보유출방지, 문서보안, 로그관리, DB보안, 서버보안, 보안서버, 인증관리 등 7대 보안기능 구축현황을 점검한 결과, 보안기능을 모두 갖춘 기관은 11개 평가대상 기관 중 3개 기관에 불과한 것으로 나타났다.

그나마 보안기능을 모두 갖춘 3개 기관은 국민건강보험공단, 국민연금공단, 기초노령연금정보센터인 것으로 확인됐다.

임두성 의원은 “이들 기관이 평소 개인정보 유출사고가 빈번해 국민적 불신의 대상이 되어 왔다는 점을 감안하면, 상대적으로 나머지 대상기관들의 개인정보관리체계가 얼마나 허술한지 가늠해 볼 수 있다”고 지적했다.

특히 보안기능을 갖추지 못한 것으로 드러난 8개 기관이 취급하고 있는 개인정보는 대부분 국민들이 가장 민감하게 생각하고 있는 질병정보라는 점에서 문제가 더욱 심각하다.

즉, 국민의 질병정보를 주로 다루는 국가기관에서 제대로 된 보안기능도 갖추지 못한 채 운영되어 온 것다.

임의원은 이 중에서도 로그기록 관리가 제대로 안되고 있다는 점을 가장 큰 문제점으로 꼽았다. 로그관리가 안된다는 것은 업무외의 목적으로 누군가 자료를 임의 열람하더라도 누가, 언제, 어떤 자료를 열람했는지 확인이 불가능하다는 것을 의미하기 때문.

각 기관별 개인정보관리상의 문제점을 살펴보면, 질병관리본부는 질병정보 등 개인정보를 보안조치 없이 이메일로 전송하고 있어 질병정보가 외부로 노출될 가능성이 상존하는 것으로 나타났다.

국립암센터는 외부 웹메일을 사용할 수 있도록 함으로써 대용량 연구자료들이 유출될 가능성이 높았다. 장기이식관리센터는 외부 위탁기관 관리자의 접근방식이 ID, 패스워드방식으로 되어 있어 해킹 우려가능성이 상존하고 있었다.

또한, 대한적십자사를 비롯한 질병관리본부, 암센터, 장기이식관리센터, 사회서비스관리센터, 일산병원, 국립의료원 등 대부분의 기관들이 개인정보시스템을 외부에 위탁관리하고 있어, 외부업체에 의한 정보유출 가능성이 있다는 지적을 받았다.

이러한 보안상의 취약점과 더불어, 보건복지가족부 관련 사이트를 대상으로 연간 수백 건의 해킹시도가 이뤄지고 있는 것으로 밝혀져 충격을 주고 있다는 것이 임두성 의원의 지적이다.

현재 대전에 위치한 정부통합전산센터에서 모니터링 되고 있는 보건복지가족부 관련 38개 사이트에 대한 해킹시도 건수를 집계한 결과, 지난해에만 900여건이 감지되고 있는 것으로 조사됐다.

2007년 한해 동안 총 920건, 월평균 77건의 해킹시도가 감지됐고, 2008년에는 9월까지 총 789건, 월평균 66건의 해킹시도가 있었던 것으로 파악됐다.

2008년도에 발생한 해킹시도 중 침입국가 파악이 가능한 547건을 분석한 결과, 총 44개국에서 해킹을 시도한 것으로 나타났다. 국가별로는 중국이 264건으로 가장 많았으며, 한국 83건, 미국 48건 순으로 나타났다. 독일, 브라질, 터키도 각각 19건, 18건, 15건으로 상위에 랭크됐다.

이러한 실태와 관련해 임두성 의원은 “가장 철저하고 안전하게 관리되어야 할 국민 질병정보가 정부기관에 의해 허술하게 관리되고 있음이 밝혀져 유감”이라며 “그동안 국민연금, 건보공단, 심평원 등 대형기관의 개인정보 관리에 관심이 집중되는 동안, 타 기관들은 사실상 사각지대에 방치된 셈이다”라고 주장했다.

이어 임의원은 “보건의료 관련 정부 및 공공기관은 가장 민감하고 중요한 국민 질병정보의 집합소인 만큼, 어느 기관 하나도 관리를 소홀히 해선 안 된다”고 덧붙였다.

임두성 의원은 “복지부 산하 모든 기관들이 국민연금 및 건강보험공단 수준의 개인정보관리시스템을 갖추도록 집중적인 투자가 필요하다”면서 “특히 복지부는 산하기관에 대한 정보보안 모니터링체계를 도입하고, 질병정보 등 모든 개인정보에 접근 시 공인인증서를 활용하도록 관리시스템을 개선해야 한다”고 대책마련을 촉구했다.