주간경향(총 2 건 검색)

[IT칼럼]행정전산망 먹통 사태 ‘포스트모템이 필요해’(2023. 12. 04 07:00)

2023. 12. 04 07:00 경제 김국현 IT 칼럼니스트

Photo by Taylor Vick on Unsplash 행정전산망 먹통 사태가 수습되자, 그 원인을 규명하기 위한 민관 합동 태스크포스가 꾸려졌다. 이번 일은 정부 전산 시스템의 한계를 또다시 여실히 드러낸 사례. 그 한계란 정부 스스로가 시스템의 주인이 아니라는 점이다. 정부는 산하기관에 일을 내려보내고, 산하기관은 다시 입찰을 통해 발주를 준다. 조직의 윗선으로 올라갈수록 프로젝트 일정만 챙길 뿐 구체적인 기술에 대해서는 눈과 귀를 닫고 배우려 들지 않는다. 기술적인 것은 아래에서나 할 일이라고 생각한다. 이러니 조직 내에 지식은 쌓이지 않는다. 문제가 생기면 사람을 부르면 그만이라고 생각하는 피라미드 구조의 관료 조직, 그 최하단에 시스템이 위치한다. 전통적인 조달방식이다. 납품받고 건물 짓는 거야 그렇게 해도 될지 모르지만 전산 시스템은 그렇게 해서는 그 끝이 좋지 못하다. 왜냐하면 오늘날 전산 시스템은 하부구조인 동시에 인터페이스라서다. 시스템이 곧 얼굴이기도 하고, 요즈음에는 그 조직의 존재 의미 그 자체를 대체할 정도로 살아 움직이는 대상이니 수시로 살피고 만져줘야 한다. 시스템을 속속들이 알고 있지 않으면 주인이 될 수 없다. 안타깝게도 그런 의미에서 수많은 정부 시스템의 주인은 정부가 아니다. 시스템을 ‘준공’한 하청은 계약이 끝나면 그저 남이니 조직 내 누구도 전체를 이해하지 못한다. 일을 해주고 떠나간 이들에게 책임을 씌워 봐야 아무것도 해결되지 않지만, 누구도 다치지 않는 해법이라 자주 쓰인다. 이번 전산망 사건도 그렇게 건드리기 힘든 상태로 굳어진 시스템 어딘가가 터진 일이었을 게다. 정치권에서는 대기업 공공 소프트웨어 사업 참여 제한 규제 탓에 실력 없는 중소기업이 맡아서 이 지경이 된 것이라고 엉뚱한 주장을 하는데 대기업도 일이 끝나면 떠나버린다. 원인 규명 태스크포스는 보통 고위 관료와 교수가 리더를 맡고, 외부 전문가들이 참여한다. 이 또한 문제다. 이렇게 당사자성이 결여된 구성은 감사의 성격을 띠고 비난 성토 대회로 끝나기 쉽다. 재발 방지 종합대책이 나온다고 해도 지적질로 점철된 ‘사후약방문’일 뿐이다. 민간에서는 웹사이트가 10분만 멈춰도 대형사고다. 초단위로 매출에 미친 영향이 계산되고, 그 여파가 주가에 반영되기도 한다. 추락한 이미지는 경쟁사에게 기회가 된다. 그럼에도 소프트웨어로 만들어진 시스템은 늘 멈춘다. 유능한 엔지니어들이 모인 집단에서도 마찬가지다. 그래서 이들 기업은 ‘포스트모템(postmortem)’을 한다. 부검이라는 무서운 번역 대신 회고라고 번역된다. 사고가 발생하거나 프로젝트가 끝난 후, 당사자들이 이해관계자들과 함께 모여 배운 교훈을 추려내고 조직 프로세스를 변경해 전체 조직 역량을 개선하는 조치를 취한다. 꽤 자주 하는데 건설적이고 협력적인 학습의 기회가 돼서다. 포스트모템의 주체는 시스템을 만든 당사자들이어야 한다. 수시로 사건·사고가 터져도 정부 시스템에서는 포스트모템이 일어나지 않는다. 제3자를 비난할 뿐이다. 이러한 손가락질 감사가 치사하게 느껴지고 두려워지니 복지부동으로 점점 더 일을 벌이지 않고, 시스템은 다시 굳어져만 간다.

IT칼럼

[배상훈 프로파일러의 범죄도시](13)경찰 전산망 국민정보, 시민통제 필요하다(2018. 08. 06 15:02)

2018. 08. 06 15:02 사회 배상훈 서울디지털대학 경찰학과장(프로파일러)

경찰이 가지는 국민에 대한 정보가 너무나도 허술한 통제·관리 하에 있다. 취득된 정보는 광대한데 부실한 관리를 넘어 국민을 통제·조정하려는 불순한 집단에 의해 오용될 가능성이 상존하는 것이 지금의 상태이다. 시민단체인 ‘군인권센터’는 지난 7월 30일 기무사령부의 광범위한 민간인 사찰을 폭로했다. 센터가 폭로한 바에 따르면, 우선 민간인이 군 시설을 방문할 때 통상 개인정보가 담긴 신분증을 제출한다. 그때 수집된 개인정보가 민간인 사찰에 활용됐다는 것이다. 구체적으로 기무사는 그 개인정보를 전체적으로 취합해 자체 수사부서로 넘겼고, 수사부서는 경찰 전산망을 통해 개개인의 신상정보나 범죄경력, 출입국경력 등을 확인했다고 한다. 이 같은 수법으로 피해를 본 민간인은 수백만 명, 또는 그 이상에 이를 것으로 추정된다. 더욱 충격적인 것은 정치인이나 기자 등 공적인 영역에서 일하는 사람들뿐만 아니라 그저 평범한 일반인, 예를 들어 군대에 간 친구를 만나러 온 면회객들도 사찰의 대상이 됐다는 점이다. 7월 30일 오전 임태훈 군인권센터 소장이 서울 신촌 이한열기념관에서 국군기무사령부 조직 구조 및 사찰 방식에 대한 공개 기자회견을 하고 있다./이상훈 선임기자 어떻게 기무사가 자유롭게 이용했나? 필자가 주목한 점은 사찰에 이용한 시스템에 있다. 기무사가 활용한 전산망은 경찰이 통합·관리하는 ‘온라인조회시스템’이었다고 한다. 필자는 이 시스템을 다뤄본 경험이 있다. 경찰에서 퇴직하기 직전에 근무했던 곳이 바로 일선 경찰서 전산실이었고, 그 전산실에 ‘온라인조회시스템’의 단말기 터미널이 있기 때문이다. 이 터미널 단말기는 보안2급 비밀취급허가자만 접근이 가능하다. 그 자료 또한 수사나 신원조사 목적으로만 활용할 수 있게 돼 있어 수사관이라고 해도 접근 허가를 받아야 한다. 또 반드시 전산실로 직접 와서 해당 정보를 출력된 형태로만 가져가도록 보안이 돼 있었다. 그런데 이렇게 철저히 관리하는 경찰 시스템을 기무사는 어떻게 자유롭게 이용했을까? 어쩌면 그 해답은 2011년 발생한 기무사의 ‘조선대 교수 불법해킹 사건’에 있을 듯하다. 당시 국방부 검찰단은 지금과 유사한 혐의를 확인했다. 당시 검찰은 (경찰망 회선이) 50대가 넘는 것으로 확인을 했다. 또 조회를 당한 사람들의 리스트가 존재했는데 주로 ‘부대를 출입하는 사람들’이었다. 공사 인부, 물품 납품업자들, 외부강사들이 그 대상이다. 그런데 그 외부강사들 중에 조선대 교수가 있었다. 애초에는 출입기록이 발단이 되어 개인정보조회를 했고 그 조회를 통해 관련 수사·범죄경력 기록를 찾다 감청 및 해킹으로까지 이어진 것이다. 당시 국방부는 군무원 2명과 부사관 2명 등 4명을 처벌하는 수준에 그치고 정작 중요했던 경찰망 회선으로 추정되는 50대를 기무사가 어떻게 접근·이용할 수 있었는지에 대해서는 문제제기를 하지 않고 넘어갔다. 경찰의 전산망은 당연히 폐쇄망이다. 컴퓨터 단말기 하나를 이용해도 하드 디스크가 두 개인 형태로 내부망과 외부망을 물리적으로 분리해서 업무를 볼 수 있도록 돼 있다. 개인 PC도 철저히 폐쇄적으로 관리하는 것은 물론 국민의 중요한 개인정보를 운영하는 망 역시 폐쇄망인 것은 지극히 당연한 일이다. 그런데 무슨 이유로 경찰은 50개나 되는 회선을 기무사가 쓰도록 했을까. 일선 경찰서마다 1~2개 정도의 회선 터미널이 있을 것이고, 지방청의 광역수사대 같은 곳은 1000개 미만의 회선이 있을 것으로 추정된다. 이처럼 중요한 조회 터미널을 기무사가 50회선이나 자유롭게 사용하도록 놔뒀다는 것은 대통령과 국방장관의 통화가 감청되는 것과는 비교할 수 없을 정도로 위중한 사항이다. 이는 기무사 사령부 건물 안에 감시받지 않는 경찰 온라인조회시스템 단말기 회선이 50대나 있고, 국민 모두가 기무사에 의해 상시적으로 감시받고 사찰당하고 있다는 것을 의미하기 때문이다. 물론 기무사는 이에 대해 어떤 해명도 하지 않고 있고, 경찰도 마찬가지인 상태이다. 다만 기무사 관계자가 “무분별한 조회를 막기 위해 경찰 전산망 수를 종전의 3분의 1 수준으로 줄여서 운용하고 있다”고 KBS에 전한 사실만이 보도된 상태이다. 기가 막힌 일이다. 회선을 한 개로 해도 5000만 국민의 개인정보를 군 정보기관이 맘껏 보는 것은 매한가지인데 국민을 희롱하는 것과 다름없는 발언이다. 경찰이 가지는 국민에 대한 정보는 크게 두 가지로 나누어진다. 하나는 수사경력기록이고, 다른 하나는 범죄경력기록이다. 후자는 어떤 사람이 범죄를 저질러서 처벌을 받은 기록을 관리하는 것으로서 검찰의 형사사법망과 공유될 가능성이 높다. 반면 전자는 오로지 수사상의 목적으로 국민 개인이 범죄와 연루되었을 경우 그 사실을 기록하는 것이다. 그 의미는 가해자, 피해자, 목격자 등 신분과 무관하게 모두 기록된다는 의미다. 그래서 이 기록의 경우 매우 제한적으로, 수사상의 목적만으로 이용되어야만 한다. 그런데 엉뚱하게도 기무사령부의 기무부대요원, 즉 군 정보수사요원이 기무사령관의 자의적인 판단에 의해 무차별적으로 열람하였고 현재도 하고 있다는 점은 계엄령 문건 이상으로 무시무시한 ‘빅브라더’의 국면으로 봐도 무방하다. 그런데 정치권도 행정부도 그 심각성을 잘 모르고 있는 듯하다. 이는 경찰이 어떤 수준의 어떤 정보를 보유하고 있는지 아무도 모르기 때문일 것이다. 경찰청장도 모를 것이다. 물론 국정원장도, 기무사령관도 모를 것이고, 당연히 대통령도 모를 것이다. 정치권도 행정부도 심각성 인식 못해 왜일까. 한국의 근대 경찰은 대한제국의 경무 부서에서 시작되었지만 그 자취는 없고 대부분 일제의 고등경찰이 그 근간이다. 고등경찰은 조선인에 대한 광범위한 사찰을 문서화해서 보관했고 그것을 이어받은 것이 해방 이후 경찰이었다. 노덕술과 같은 악질 친일 경찰이 주축이 되어 기존 일제 잔재를 그대로 유지했고 한국전쟁을 거치면서 이승만 정권의 특무대·방첩대와 (인적·물적으로) 호환했을 것이다. 그 이후 박정희 정권의 주민등록제도와 연결되어 아라비아 숫자 코드로 문서화된 개별 국민의 사찰이 가능해졌고, 거기에는 10지 지문 번호도 기록되었다. 그래서 예전에는 불심검문을 할 때 10지 지문을 보면서 기록을 확인해서 국민을 통제했던 것이다. 물론 당시 중앙정보부(KCIA)는 굳이 이 막대한 종이 정보를 자신들이 보관할 필요가 없었을 것이다. 말 잘 듣는 정보경찰이 존재했기 때문일 것이다. 문제는 1994년 전후로 정부의 주민등록 전산화와 발맞춰 경찰이 가진 막대한 정보를 전산화하는 작업이 생겼다는 점이다. 몇 년의 작업을 거쳐 전산화가 이루어졌고 그 결과가 앞서 말한 그 기록들이다. 핵심은 그 기록이 얼마나 방대한지 그 누구도 모를 것이라는 사실이 아니라 현재도 그 기록이 너무나도 허술한 통제·관리 하에 있다는 점이다. 대부분 경찰 고위간부나 행정자치부 고위간부들이 형식적인 관리부서를 두거나 혹은 관변 지식인으로 구성된 위원회로 형식적으로 관리하고 있는 실정일 것이다. 취득된 정보는 광대한데 부실한 관리를 넘어 국민을 통제·조정하려는 불순한 집단에 의해 오용될 가능성이 상존하는 것이 지금의 상태이다. 계엄령 문건도 큰 문제이지만, 국민의 개인정보를 손바닥 보듯 볼 수 있도록 전방위적 사찰이 가능한 형태로 관리되는 것이 더 큰 문제다. 경찰의 정보를 관리할 시민정보위원회를 구성하는 것은 시급한 문제다. 또 과거 어떤 일들이 자행됐는지를 철저히 확인하고, 방대한 개인정보가 불법적으로 이용될 수 없는 구조를 만드는 근본적인 개혁작업은 당장 시작해야 할 과제다.

배상훈 프로파일러의 범죄도시