국립외교원 해킹은 우연이었나: 공공기관 보안의 약한 고리는 왜 주변부 시스템에서 생기나

국립외교원 해킹은 우연이었나: 공공기관 보안의 약한 고리는 왜 주변부 시스템에서 생기나

핵심 요약

  • 국립외교원 온라인교육시스템 사건은 ‘비핵심 서비스’가 공격자에게도 비핵심이라는 가정을 버려야 한다는 경고다. 업무 중요도와 공격자가 보는 데이터 가치는 다를 수 있다.
  • 외교부는 제로데이 취약점과 시스템 보안 설정 미비점이 함께 악용됐다고 발표했다. 다만 제품명, CVE, 악성코드, 권한 유지 방식, 반출 경로 같은 세부 사항은 공개하지 않았으므로 그 빈칸을 공격 서사로 채워서는 안 된다.
  • 외교부와 일부 산하기관을 상대로 한 상반기 사이버 공격 집계 9만6483건은 ‘성공한 침해사고’가 아니다. 자동 스캔, 로그인 시도, 차단된 탐색을 포함할 수 있는 운영 지표로 읽어야 한다.
  • 실제 방어의 단위는 기관 평균 점수가 아니라 인터넷에서 발견되는 가장 약한 자산 하나다. 외부 노출 자산, 관리자 계정, 로그 흐름, 유지보수 경로를 한 장의 책임 지도에 올려야 한다.
  • 해법은 보안 제품의 추가 구매만이 아니다. 중앙 조직은 최소 기준·공격표면·관제·지휘를, 개별 기관은 자산·데이터·초기 대응을 맡는 혼합형 운영 모델이 필요하다.

사건을 ‘우연’으로 읽으면 놓치는 것

국립외교원 온라인교육시스템에 관한 공개 사실은 제한적이지만, 공격 방식의 큰 범위는 이미 공개됐다. 외교부는 2026년 7월 20일 보도자료에서 미상의 공격자가 서버 소프트웨어 제조사도 당시 인지하지 못했던 미공개 보안 취약점, 즉 제로데이 취약점과 시스템 보안 설정 미비점을 함께 악용해 2025년 4~5월 서버를 장악했고 이를 토대로 2026년 2월까지 접속했다고 밝혔다. 다만 소프트웨어 제품명, 구체적인 취약점과 CVE, 악성코드, 권한 유지 방식, 데이터 반출 경로는 공개하지 않았다. 내부에서 어디까지 이동했는지, 무엇을 반출했는지, 어느 국가나 집단이 배후인지도 확정되지 않았다. 공개된 범위와 공개되지 않은 세부 사항을 섞어 그럴듯한 공격 서사로 채우는 일은 사고 대응에도, 독자의 판단에도 도움이 되지 않는다. 출처: 외교부, 국립외교원 온라인교육시스템 사이버 공격 관련, 외교부 대변인 정례브리핑(7.23)

그렇다고 이 사건을 단지 한 교육 시스템의 개별 결함으로 축소할 수도 없다. 온라인교육은 흔히 핵심 업무망보다 낮은 업무 등급을 받는다. 하지만 외교·안보 분야 교육 서비스에는 교육 대상자의 이름, 소속, 계정 식별자, 수료 이력, 때로는 해외 근무나 직무 관련 맥락이 모일 수 있다. 데이터가 직접 기밀문서가 아니어도, 표적 피싱의 명단과 문맥을 만드는 재료로 쓰일 수 있고, 다른 서비스와 인증이 연결돼 있다면 계정 공격의 출발점이 될 수 있다. 실제로 외교부는 유출 정황 항목으로 교육 대상자의 ID, 성명, 이메일, 암호화된 비밀번호를 공지했다. 출처: 외교부, 전·현직 외교부 본부 및 재외공관 근무 직원과 그 밖의 인력의 개인정보 유출 정황 안내 공지

따라서 이 글이 묻는 질문은 “국립외교원은 왜 뚫렸나”가 아니다. 더 정확한 질문은 이렇다. 중앙부처, 소속기관, 산하기관, 해외사무소, 개발사, 유지보수업체가 함께 운영하는 서비스에서 누가 인터넷에 열린 문을 알고 있고, 누가 그 문을 잠그며, 누가 들어왔는지 볼 수 있는가. 이 질문에 답하지 못하는 조직에서는 특정 취약점이 막혀도 다른 주변부 시스템이 다음 진입점이 될 가능성이 남는다.

공격자는 조직도를 보지 않고 연결도를 본다

공격자의 목표가 반드시 핵심 서버의 정면 돌파는 아니다. 보통은 더 쉽게 접근할 수 있는 자산에서 신원정보, 계정, 내부 구조, 인증 토큰을 얻은 뒤 다음 단계로 갈 수 있는지를 계산한다. 이때 공격표면은 홈페이지 수가 아니라 인터넷에서 닿을 수 있는 도메인, 하위 도메인, API, 클라우드 저장소, 가상사설망, 원격 관리 페이지, 외부 인증 연동, 협력사 포털의 전체 집합이다.

공공기관의 실무에서 이 목록은 대개 한 곳에 있지 않다. 정보화 부서, 업무 부서, 보안 부서, 클라우드 담당, 용역사가 각각 다른 목록을 가지고 있고, 이름과 소유자가 다르거나 사업 종료 뒤 남은 도메인과 시험용 API가 빠지면 실제 외부 노출 자산과 기관이 아는 자산은 달라진다. 문제는 해커가 기관의 자산대장을 기준으로 공격하지 않는다는 데 있다. 외부에서 찾을 수 있으면 그 자산은 이미 공격표면이다.

교육, 채용, 행사, 연구 협업, 민원, 협력사 포털은 ‘주변 서비스’처럼 보이지만 외부 사용자를 받아야 하고 접근성 요구가 강하며 사업 일정 때문에 빠르게 개통되는 경우가 많다. 본부 내부망보다 인터넷 경계에 가까운 이유다. 여기에 단일 로그인이 연결되고 관리자 계정이 원격 유지보수에 열려 있다면, 업무의 중심성만으로 보안 우선순위를 낮게 매기는 방식은 위험하다.

공공 분야 주요정보통신기반시설 취약점 분석·평가 기준도 자산 식별, 자산 등급·중요도 관리, 자산별 관리자와 관리 책임자 지정, 서비스 현황과 업무 흐름의 문서화를 점검 항목으로 둔다. 다만 이 기준은 법적으로 지정된 주요정보통신기반시설에 적용되는 기준이며, 모든 공공기관 주변부 시스템에 동일하게 의무 적용되는 것은 아니다. 국립외교원 온라인교육시스템에 이 기준이 직접 적용됐다고 볼 근거도 없다. 그럼에도 자산 식별, 관리 책임자 지정, 위험등급 부여와 개선계획 수립이라는 원칙은 일반 정보시스템에도 참고할 수 있다. 자산을 모르면 위험을 배분할 수도 없기 때문이다. 세부 점검항목은 고시 붙임과 KISA의 기술적 취약점 분석·평가 방법 상세가이드에서 확인할 수 있다.

‘비핵심’과 ‘저가치’는 같은 말이 아니다

보안 등급을 정할 때 조직은 대체로 서비스 중단의 업무 영향을 먼저 본다. 멈추면 즉각적인 피해가 큰 업무가 상위 등급을 받는 것은 타당하다. 그러나 침해 위험은 가용성만으로 결정되지 않는다. 공격자가 탐내는 가치는 데이터의 민감성, 표적화 가능성, 계정 재사용 가능성, 다른 시스템으로 이어지는 인증 관계, 사회공학에 쓰일 맥락 정보까지 합쳐 판단해야 한다.

예를 들어 온라인 교육 플랫폼에는 수료 여부와 시청 기록만 있다고 생각하기 쉽다. 하지만 사용자 집단이 특정 직무·기관에 속해 있고, 이메일과 조직 정보가 최신이며, 비밀번호 재설정이나 단일 로그인과 연결돼 있다면 가치가 달라진다. 채용 시스템의 이력서, 행사 시스템의 참석자 명단도 마찬가지다. 기밀망과 분리돼 있어도 사람과 계정의 관계를 제공하면 후속 공격의 정찰 자산이 된다.

그래서 위험 등급은 ‘이 서비스가 멈추면 얼마나 아픈가’와 ‘이 서비스가 뚫리면 공격자가 다음에 무엇을 할 수 있는가’를 함께 물어야 한다. 실무용으로는 다음 다섯 질문이 유용하다.

  • 인증 없이 또는 일반 계정으로 접근 가능한 기능은 무엇인가.
  • 어떤 개인·조직·업무 맥락 데이터가 있고, 그 조합이 표적화에 얼마나 유용한가.
  • 로그인·비밀번호 재설정·API 키·파일 저장소가 다른 시스템과 어떻게 이어지는가.
  • 관리자와 용역사 계정이 어디서 어떤 방식으로 접속하는가.
  • 침해를 확인할 로그가 남고, 누가 그 로그를 실제로 읽는가.

‘중요 시스템만 강하게 보호하고 나머지는 표준 수준으로’라는 표현이 거친 이유가 여기 있다. 표준은 모든 외부 노출 시스템에 적용하고, 추가 통제를 데이터와 연결성에 따라 얹어야 한다. 낮은 업무 중요도가 낮은 보안 책임을 뜻해서는 안 된다.

9만6483건은 침해 건수가 아니다

국회 외교통일위원회 소속 김준환 더불어민주당 의원실이 확보한 자료를 인용한 서울신문 보도에 따르면, 2026년 상반기 외교부·한국국제교류재단·한국국제협력단을 상대로 집계된 사이버 공격 시도는 총 9만6483건이었다. 이는 외교부가 자체 보도자료로 발표한 공식 통계가 아니라 의원실 확보 자료를 인용한 언론 보도다. 수치는 경각심을 주지만 ‘9만6483번 침해됐다’는 뜻으로 바꾸면 안 된다. 보도상 집계의 정의와 탐지 기준 전체가 공개된 것은 아니며, 공격 시도 건수에는 취약점 스캔, 무차별 로그인, 웹 요청 탐색, 차단된 자동화 트래픽 등이 섞일 수 있다.

그렇다고 숫자를 무시할 이유도 없다. 시도량은 공격 성공 여부보다 방어 체계의 관찰 능력과 외부 노출의 크기를 보여주는 신호가 될 수 있다. 다만 기관별로 같은 탐지 규칙과 기록 기준을 쓰지 않는다면 건수의 많고 적음은 공격 강도보다 로그 수집 수준의 차이를 반영할 수도 있다. 어떤 기관은 웹방화벽 차단 기록까지 모두 세고, 어떤 기관은 사고 대응 티켓이 된 건만 센다. 숫자를 비교하려면 먼저 ‘무엇을 한 건으로 셌는가’부터 맞춰야 한다.

경영진 보고에는 세 숫자를 분리하는 편이 낫다. 차단된 공격 시도, 조사가 필요한 이상 징후, 침해가 확인된 사건과 영향 범위다. 여기에 평균 탐지·차단 시간, 외부 노출 고위험 자산 수, 기한 내 해소되지 않은 취약점 수를 붙이면 ‘공격이 많다’는 공포보다 운영 결함을 고칠 수 있는 지표가 된다.

약한 연결고리는 사람의 실수만으로 생기지 않는다

먼저 분류를 바로잡아야 한다. 국립외교원은 외교부 산하 공공기관이 아니라 외교부 소속기관으로, 산하 공공기관과는 법적 지위와 관리 체계가 다르다. 산하기관이 본부보다 항상 취약하다는 일반화도 틀렸다. 독립적으로 성숙한 보안 조직과 운영 체계를 가진 산하기관은 많다. 문제는 조직 형태 자체가 아니라, 본부의 보안 정책, 기관의 예산·인력, 개별 시스템의 계약 조건, 운영사의 기술 접근권이 서로 다른 속도로 움직일 때 하나의 서비스가 여러 책임 경계 사이에 놓인다는 구조다.

첫째는 예산과 인력의 비대칭이다. 교육·행사·연구 시스템은 사업 단위 예산으로 구축된 뒤 적은 인력으로 유지되는 일이 있다. 개통 시점에는 기능 검수가 눈에 잘 보이지만, 몇 년 뒤 라이브러리 교체, 인증 방식 변경, 관리자 계정 정리는 운영 예산의 뒷순위가 되기 쉽다. 담당자가 게을러서가 아니라 서비스 생애주기 전체의 책임과 재원을 설계하지 않은 결과일 수 있다.

둘째는 외주 운영의 책임 단절이다. 개발사, 유지보수사, 클라우드 사업자, 기관 담당자가 나뉜 구조에서 ‘누가 패치해야 하는가’는 생각보다 복잡하다. 취약점 공지는 어느 쪽이 받고, 영향 평가는 누가 하며, 야간 긴급 조치는 누가 승인하는가. 계약서가 이 질문을 답하지 않으면 기술적으로 가능한 조치도 행정적으로 멈춘다.

셋째는 관제의 단절이다. 본부 보안관제센터가 있어도 모든 소속기관 서비스의 로그가 같은 수준으로 들어온다는 보장은 없다. 운영사가 자체 콘솔에서만 로그를 보고 계약 종료 뒤 기록을 가져올 권리도 없다면 침해 흔적을 한 흐름으로 연결하기 어렵다. ‘중앙 관제에 연동됐다’는 말은 경보 전송이 아니라, 사건 때 신원·접속·권한·데이터 접근·외부 통신을 상관 분석할 수 있다는 뜻이어야 한다.

넷째는 평가의 평균 함정이다. 정기 점검 통과율, 교육 이수율, 평균 취약점 조치율은 의미 있는 관리 지표다. 그러나 외부에 노출된 한 서버의 오래된 관리자 페이지, 만료되지 않은 협력사 계정, 인수인계되지 않은 클라우드 저장소를 평균이 상쇄해주지는 않는다. 공격자는 평균 점수를 공격하지 않는다. 가장 약한 한 지점을 찾는다.

국가정보원은 공공기관 사이버보안 실태평가에서 업무망 사용자 인증체계 도입, 취약한 내부망 접근 경로 제거 같은 기술 조치와 전담조직 보강, 주기적 보안감사 같은 제도 개선을 함께 언급했다. 장비 하나가 아니라 운영 책임과 접근 경로가 같이 관리돼야 한다는 뜻이다. 2026년 1월 발표된 2025년 평가에서도 전담조직 확대로 등급이 오른 기관이 있는 반면, 백업·복구 훈련이 형식적으로 이뤄지고 비인가 기기 통제가 미흡한 사례가 지적돼 기관 간 편차가 남아 있음을 보여준다. 출처: 국가정보원, 2024 공공기관 사이버보안 실태평가 결과 발표, 국가정보원, 2025 국가·공공기관 사이버보안 실태평가 결과

계정은 가장 흔한 경계이자 가장 자주 방치되는 자산이다

공공기관 서비스의 가장 위험한 계정은 직원 계정만이 아니다. 유지보수 업체의 원격 접속 계정, 장애 처리용 관리자 계정, 시스템 간 연동용 서비스 계정, 퇴직·전보 뒤 남은 계정, 공유 운영 계정이 모두 포함된다. 공격자가 취약점을 찾지 못해도 유효한 계정 하나를 얻으면 정상 사용자처럼 보이기 쉬워진다.

여기서 최소 권한은 ‘권한을 적게 준다’는 구호가 아니다. 한 계정이 업무에 필요한 시스템·명령·기간에만 접근하도록 설계하고, 권한의 요청·승인·발급·검토·회수 증거를 남기는 운영 방식이다. 외부 유지보수 계정은 상시 허용보다 작업 단위 승인과 만료 시각을 기본값으로 두는 편이 낫다. 관리자 계정에는 다중인증을 적용하고, 공유 계정은 개인 식별이 가능한 계정으로 분리해야 한다.

계정 점검은 네 질문으로 시작할 수 있다. “실제 소유자는 누구인가”, “마지막 사용과 권한 검토는 언제인가”, “계약·재직 종료와 자동 연결돼 비활성화되는가”, “원격 접속 때 개인 식별·다중인증·작업 기록이 남는가.” 답할 수 없는 계정은 기능 개선보다 먼저 정리할 대상이다.

협력사를 통한 우회 위험은 추상적 우려만은 아니다. 국가정보원은 독일 헌법보호청과 함께 낸 북한 방산기술 사이버위협 합동 권고문에서, 공격자가 방산기관에 직접 침투하기보다 보안이 취약한 유지보수 업체를 먼저 해킹해 서버 계정정보를 절취한 뒤 기관 서버에 무단 접속을 시도한 양상을 설명하고, 협력업체 원격 유지보수의 보안 관리 필요성을 강조했다. 이 방식이 국립외교원 사건에 그대로 적용됐다고 볼 근거는 없지만, 협력사 경로가 별도 보안 경계여야 한다는 실무적 이유는 분명하다. 출처: 국가정보원, 韓獨 정보기관, 북한의 방산기술 사이버위협에 경고

중앙 관제는 로그를 많이 모으는 일이 아니라, 조사 가능한 상태를 만드는 일이다

사고 뒤에 가장 먼저 부딪히는 질문은 “누가 언제 무엇을 했는가”다. 답하려면 웹 접속 기록만으로는 부족하다. 인증 기록에는 로그인 성공·실패와 다중인증 결과가, 운영체제 기록에는 권한 상승과 프로세스 실행이, 데이터베이스 기록에는 민감 데이터 조회·대량 추출·권한 변경이, 클라우드 감사 기록에는 설정 변경·키 발급·저장소 공개가 남아야 한다.

중요한 것은 전량 수집 경쟁이 아니다. 로그가 많아도 자산·사용자 식별자, 시간, 행위, 결과, 원격 주소 같은 공통 필드가 빠지면 연결할 수 없다. 기관별 시간이 어긋나거나 로그가 순환 저장돼 사라지고 외주사가 원본을 제공할 의무가 없다면 사고조사는 단서 없는 퍼즐이 된다. 최소한 시간 동기화, 보존 기간, 접근 통제, 위변조 방지, 중앙 전송 범위, 원본 보전 절차를 공통 기준으로 정해야 한다.

개인정보 보호 체계도 이 원칙을 이미 요구한다. 개인정보의 안전성 확보조치 기준은 제2조에서 접속기록을 개인정보처리시스템에 접속하는 자가 수행한 업무내역을 식별자·접속일시·접속지 정보·처리한 정보주체 정보·수행업무 등으로 기록한 것으로 정의한다. 또한 제4조는 내부 관리계획에 접근 권한의 관리, 접근통제, 개인정보의 암호화, 접속기록 보관 및 점검에 관한 사항을 포함하도록 하고, 개인정보 보호책임자가 그 이행 실태를 연 1회 이상 점검·관리하도록 정하고 있다.

중앙 관제의 역할은 이 공통 언어를 제공하는 데 있다. 중앙은 로그 연동 최소선, 고위험 탐지 규칙, 위협정보, 중대사고 판단을 맡고, 각 기관은 자기 서비스의 정상 기준을 알고 경보 확인과 차단 판단을 맡는다. 중앙이 모든 업무 맥락을 대신 알 수 없고, 각 기관이 국가 차원의 위협 흐름을 혼자 볼 수도 없기 때문이다.

조달 문서가 보안 설계의 마지막 페이지가 되어서는 안 된다

많은 보안 문제는 시스템이 가동된 뒤 발견되지만, 결정은 발주 단계에서 이미 내려진다. 요구사항에 가용성·기능·성능만 있고 로그, 패치, 계정, 사고조사, 종료 절차가 없으면 운영 단계에서 추가하기 어렵다. 사업 기획과 예산 편성 때부터 데이터·연동·외부 노출·운영 주체를 보안 설계 입력값으로 넣어야 한다.

계약에는 적어도 다음이 문장으로 남아야 한다.

  • 재수탁자를 포함한 구성요소 목록과 외부 라이브러리·서비스의 변경 통지 방식
  • 취약점 통보 후 영향 평가·우회조치·패치·검증의 담당자와 기한
  • 운영자·유지보수자의 원격 접근 승인, 다중인증, 개인별 계정, 작업 기록, 권한 회수 조건
  • 기관이 보유할 로그의 종류·보존·반출 권리와 사고 시 원본 보전 및 조사 협조 의무
  • 중요 데이터의 위치와 백업·파기, 계약 종료 시 계정 폐기와 데이터 반환·삭제 검증
  • 침해 의심 시 통지, 차단 권한, 대외 보고 협력, 복구와 재발방지 보고의 책임

이 항목은 공급자를 불신하기 위한 처벌 조항이 아니라, 사고가 났을 때 ‘우리 소관이 아니다’라는 빈틈을 없애기 위한 운영 인터페이스다. 주요정보통신기반시설 취약점 분석·평가 기준도 관리기관이 직접 수행하거나 전문기관에 위탁할 수 있도록 하면서, 취약점에 위험등급을 부여하고 개선방향을 수립하도록 요구한다. 위탁 뒤에도 관리기관의 위험 수용과 개선 책임은 사라지지 않는다.

평균 점검표를 ‘최악의 하나’ 점검으로 바꾸는 법

평가 체계는 두 층으로 나눠야 한다. 첫 층은 모든 조직이 지켜야 할 최소선으로 자산 책임자 지정, 외부 노출 자산 목록, 관리자 다중인증, 외부 계정 만료, 중요 로그 전송, 취약점 처리, 사고 연락망이 여기 든다. 둘째 층은 실제 공격 경로를 찾는 심층 점검이다. 인터넷에서 발견되는 자산이 내부 대장과 일치하는지, 낮은 등급 서비스가 고가치 데이터를 다루지는 않는지, 협력사 계정이 우회로가 되지는 않는지를 본다. 다음 점검표는 보안팀만의 과제가 아니라 정보화, 개인정보보호, 구매·계약, 업무부서, 운영사가 같은 자리에서 한 시스템씩 확인할 때 효과가 크다.

확인할 질문 확인 자료 조치가 필요한 신호
외부에서 보이는 자산이 모두 등록됐는가 도메인·IP·API·클라우드 목록과 자산대장 소유자 없는 하위 도메인, 시험 환경, 종료 사업 자산
데이터 가치가 업무 등급에 반영됐는가 개인정보·조직정보·연동 관계·권한 구조 낮은 등급인데 표적화 가능한 명단 또는 인증 연계 보유
누가 관리자로 접속하는가 계정 목록, 권한 검토 기록, 원격 접속 기록 공유 계정, 다중인증 미적용, 계약 종료 후 살아 있는 계정
사고를 재구성할 수 있는가 인증·애플리케이션·DB·클라우드 로그와 보존 정책 시간 불일치, 로그 공백, 운영사 단독 보관, 원본 미확보
취약점이 실제로 닫히는가 자산별 조치 이력, 예외 승인, 재검증 결과 기한 없는 예외, 담당자 없는 미조치, 재검증 누락
사고 때 누가 결정하는가 연락망, 역할표, 모의훈련 결과, 계약 조항 차단·보고·조사 책임이 서로 다른 부서에 흩어짐

이 표의 목적은 점검 항목을 늘리는 것이 아니라 ‘예’라고 답한 근거를 남기는 것이다. 자산 목록에는 담당자 이름이, 계정 목록에는 만료일이, 로그 연동표에는 마지막 수신 시각이 있어야 한다. 문서가 아닌 운영 증거로 확인할 때 평균 점검의 맹점을 줄일 수 있다.

중앙집중과 기관 자율 사이의 중간 해법

모든 기관 시스템을 본부가 직접 운영하면 통제가 쉬워 보이지만, 업무 맥락을 모르는 중앙 조직은 현장 대응이 느려지고 병목이 될 수 있다. 반대로 완전한 자율을 주면 규모와 역량 차이가 곧 보안 격차가 된다. 필요한 것은 권한을 한쪽으로 몰아주는 선택이 아니라 책임을 이어 주는 운영 모델이다. 중앙은 공통 최소 기준을 만들고 외부 공격표면을 기관 경계 너머에서 확인하며 위협정보와 탐지 규칙을 공유하고 중대사고를 지휘한다. 각 기관은 자산·데이터의 실질적 소유자로서 서비스 변경을 알리고 계정·권한을 검토하며 초기 차단과 복구를 결정한다.

이 모델에서 중요한 장치는 ‘보고’가 아니라 ‘연결’이다. 새 시스템을 발주하면 중앙 자산·관제 체계에 자동 등록될 경로가 있어야 하고, 유지보수 계약이 바뀌면 외부 계정과 원격 접속 정책도 같이 갱신돼야 한다. 시스템의 생애주기에 따라 보안 정보도 함께 흘러야 한다.

오늘 시작할 30일의 우선순위

대규모 재구축을 기다리지 않아도 시작할 일은 있다.

  • 첫째 주 — 인터넷 노출 자산을 대장과 대조한다. 도메인뿐 아니라 클라우드 계정, API, 원격 관리 주소, 협력사 운영 경로까지 포함한다. 모르는 자산은 즉시 폐기가 아니라 소유자와 용도를 확정하는 것이 목표다.
  • 둘째 주 — 최고권한과 외부 계정을 정리한다. 관리자 다중인증, 공유 계정, 유지보수 계정 만료, 퇴직·계약 종료 계정의 회수 상태를 확인한다. 업무 중단 위험이 있으면 단계적 비활성화를 택하되 예외에는 기한과 승인자를 남긴다.
  • 셋째 주 — 고위험 서비스 한 곳에서 사고 재구성 훈련을 한다. 가상의 의심 로그인 한 건을 정해 어떤 계정이 어느 IP에서 로그인해 무엇을 조회했고 이후 어디로 통신했는지 확인한다. 로그가 없거나 시간이 맞지 않거나 운영사가 자료를 못 준다면 그 자체가 개선 목록이다.
  • 넷째 주 — 계약과 역할표를 갱신한다. 발주·보안·개인정보·운영 담당자와 공급사가 한자리에서 취약점 통지, 패치 기한, 로그 소유권, 원격 접근, 조사 협조, 계약 종료 절차를 확인한다. 사고 때 조치가 멈추는 지점을 사전에 드러내는 작업이다.

결론: 약한 고리는 보안이 없는 곳이 아니라, 보이지 않는 곳에서 생긴다

국립외교원 사건은 아직 공개되지 않은 부분이 많아 추측으로 결론을 내리지 말아야 한다. 다만 온라인교육시스템에서 비정상 접근 정황이 포착됐다는 공개 사실은 공공 디지털 서비스의 보안 경계를 다시 보게 한다. 핵심망이 단단해도, 중요한 사람과 데이터가 모인 주변 서비스의 자산·계정·로그·계약이 분리돼 있으면 조직 전체의 공격표면에는 빈틈이 남는다.

공공기관 보안의 약한 연결고리는 보안이 전혀 없는 기관이 아니라, 중요한 사람과 데이터가 있지만 핵심 시스템과 같은 수준으로 관리되지 않는 시스템에서 만들어진다. 이를 실무로 바꾸는 방법은 특정 기관을 탓하는 것이 아니라, 교육·채용·협업·협력사 시스템을 포함한 모든 외부 노출 자산에 대해 누가 책임지고 누가 보며 누가 사고 때 움직이는지를 연결하는 일이다. 그 연결이 되어 있을 때만 중앙의 강한 보안 체계가 조직 전체의 방어력이 된다.

참고 출처