[쿠키 경제] ‘가난한 의병(보안업체)이 고군분투했으나 관군(정부 기관)은 총사령관 없이 우왕좌왕했다.’

디도스 테러가 청와대 등 국가핵심 사이트를 우롱한 일주일 동안 노출된 현실이다. ‘정보기술(IT) 강국’ 이름을 되찾으려면 개개인의 보안 의식 제고와 함께 사이버 보안을 총괄하는 컨트롤 타워를 구축하고 침체된 보안산업에 활기를 불어넣어야 한다는 게 전문가들의 공통적인 견해다.

우선 컨트롤타워가 없다. 현재 공공부문에 대한 정보보호는 국가정보원과 행정안전부, 민간부문은 방송통신위원회와 한국정보보호진흥원, 사이버범죄는 경찰청 사이버테러대응센터가 맡고 있다. 이들 기관은 이번 사태를 맞아 저마다 수습에 힘썼지만 기대 이하였다. 대응은 한발씩 늦었고 부처 간 공조가 안돼 중구난방식이었다.

정부는 미국에서 사흘 먼저 사이버 공격이 발생한 사실을 알고서도 7일 국내 사이트 테러가 발발한 지 8시간이 지나도록 대국민 경보 발령을 미뤘다. 8일 경찰은 공격 대상 사이트가 25개, 방통위는 26개라고 밝혔다. 네이버 메일과 네이버 블로그를 하나의 사이트로 보느냐, 아니냐의 차이였다. 또 경찰은 사이트 이름을 모두 공개했으나 방통위는 민간 사이트 공개를 거부했다. 9일 방통위 브리핑에서 한 기자가 경찰이 확보한 좀비PC에 대해 묻자 “그건 경찰에 물어보라”는 답변만 나왔다. 10일엔 방통위가 국내외 숙주 사이트 5개를 발견, 차단했다고 밝힌 뒤 국정원과 경찰이 차례로 16개국 86개 IP를 통해 디도스 공격이 이뤄졌다고 발표하면서 혼선은 극에 달했다.

부처별 입장과 대응을 종합·조율하는 컨트롤타워가 없었기 때문에 빚어진 현상이다. 이 때문에 사이버 안보 총괄기구 설립이 시급하다는 지적이 곳곳에서 나오고 있다. 2003년 1·25 인터넷 대란 해결의 주역인 권석철 터보테크 부사장은 사이버 워룸 운영과 해커 양성기관 설치를 제안했다.

이번 사태에선 정부의 지지부진 때문에 민간 보안업계의 활약이 더욱 눈부셨다. 안철수연구소와 잉카인터넷 등 보안업체와 KT를 비롯한 인터넷서비스사업자(ISP)들은 백신 프로그램 제조 및 배포, 악성코드 분석, 트래픽 차단 등을 주도했다. 특히 안철수연구소는 3차 공격 대상을 예측해 피해를 크게 줄였고 좀비PC의 하드디스크 파괴도 일찍 예고했다. 다만 정부 대응이 늦어 빛이 바랬을 뿐이다.

하지만 보안업계 실상은 열악하기만 하다. 주요 업체 5곳의 지난해 영업이익을 살펴보면 안철수연구소가 97억원, 하우리 27억원, 에스지어드밴텍 27억원, 이스트소프트 107억원, 잉카인터넷이 -23억원 수준에 불과하다. 국내 PC 이용자의 낮은 보안의식과 유료 보안 서비스에 대한 거부감 때문에 보안산업이 좀처럼 살아나지 못하고 있는 것. 정부의 다양한 정책적 지원이 요구되는 상황이다.

이와 함께 무신경에 가까운 개인 PC 사용자들의 보안 의식도 문제점으로 지적됐다. 보안업계 관계자는 “악성코드의 타깃이 된 8만대의 PC에 기본적인 백신 프로그램이 깔려 있었다면 이번 공격은 무력화됐을 것”이라며 “개개인의 보안 습관이 사이버테러를 근본적으로 막을 수 있다”고 말했다. 국민일보 쿠키뉴스 천지우 기자
mogul@kmib.co.kr