[비즈한국] 最近相次ぐハッキング事故による被害の拡大を受け、政府がセキュリティ体系の全面的な再検討に乗り出した。ハッキングの兆候が確認されれば、企業の申告なしに職権調査を行えるようにし、懲罰的課徴金を適用する案も推進する。ただし、政府自らも「メス」を入れるべきだとの指摘が出ている。政府の管理の空白と不十分な協力体制も、ハッキング事故の背景の一つであるという見方だ。
ここ5年間で国防部、国土交通部、個人情報保護委員会など5つの政府省庁だけで個人情報の流出が3万8000件余り確認されるなど、政府も流出事故とは無縁ではない。ハッキング事故を企業リスクではなく国家的な危機状況と見なし、サイバーセキュリティに対する全面的な刷新を始めるべきだという声が高まっている理由だ。
政府の未熟な対応はどこで露呈したか
情報セキュリティに関連する政府の役割は、「セキュリティ認証制度」のような事前管理と、「侵害事故の調査および制裁」を通じた事後対応という二つの軸に分かれる。去る4月のSKテレコムのハッキング事態以降、毎月繰り返された大規模な情報流出事件は、政府の事前予防と事後対応体制の双方に綻びがあるという事実を露呈させた。
SKテレコムとYES24053280、ロッテカード、KT030200など、最近ハッキング事故が発生した企業はすべて、国内最高レベルのセキュリティ認証「ISMS-P（情報保護および個人情報保護管理体系認証）」を受けた企業だ。このうちロッテカードは、サーバーハッキングが発生する2日前に金融セキュリティ院からこの認証を取得していた。サイバー侵害の脅威に効果的に対応する能力を備えていると認められたのだ。金融圏以外のほとんどの企業や機関は、韓国インターネット振興院（KISA）を通じてISMS-P認証を取得している。
政府が情報通信網の安全性を保証するために導入したこのセキュリティ認証は、実際には最小限の基準のみを満たす形式的な制度であるというのが業界の見方だ。企業対象の模擬ハッキングや侵入テストなどを行う国内セキュリティコンサルティング業界の関係者は、「ISMS-Pは一定時点で必須のセキュリティ要件を守っているかを確認する基準点に過ぎず、システムの絶対的な安全を保証するものではない。企業が継続的に管理・運営しながら新たな脅威に対応しなければならない」と述べた。
事後対応の穴も如実に現れた。無断小額決済事件の収拾に当たっていたKTは18日、過去4か月間実施したセキュリティ点検の結果を確認し、サーバー侵害の疑い6件をKISAに申告した。科学技術情報通信部は、SKテレコムのハッキング事故後に官民合同調査団を構成し、通信社や主要プラットフォーム各社のセキュリティ状況を点検したことがある。当時の科学技術情報通信部の発表は「特記事項は見つからなかった」というものだった。
柳済明科学技術情報通信部第2次官は19日の合同ブリーフィングで、ずさんな点検との批判に対し「KTとLGユープラス032640では、SKテレコムで発見された悪性コードが発見されなかったという点を確認したもの」とし、「それなりに強度の高い調査を行ったが、（セキュリティ状態全体を）全面的に調査する物理的な余力や状況ではなかった」と説明した。
初期対応の遅れや繰り返される隠蔽疑惑も、政府の対応が不十分であることを物語っている。現行法では、被害企業・機関が自主的に申告しなければ調査ができない。事故後の政府の「勧告」などの措置に拘束力がないことも、限界を際立たせている。政府はSKテレコムに対し、ハッキング事故による被害が発生した場合の100%補償案の策定と、違約金免除対象の拡大を勧告したが、企業はこれに従わなかった。
「認証制度の再整備、コントロールタワーの構築が必要」
KTの無断小額決済事件の犯行手法として指摘された「フェムトセル（超小型移動通信基地局）」が現行の情報保護管理体系から漏れていたことが明らかになり、事前認証制度の再整備の必要性が浮き彫りになっている。
Google出身で国会科学技術情報放送通信委員会所属の李海敏（イ・ヘミン）議員は、「今の認証制度はむしろ企業に免罪符を与えているのではないかという疑問がある」とし、「セキュリティ認証体系を現実に合わせて全面的に改編すべきであり、最低でもハッキング事故に関しては、企業の責任ある解決のために懲罰的損害賠償制度まで検討すべきだ」と強調した。
前出のセキュリティ業界関係者は、「現在のISMS認証のように普遍的な適用は難しいかもしれないが、企業の実際の防御能力を評価できるよう、現実的な脅威に合わせて強化する必要がある」とし、「認証取得後も定期的に脆弱性点検結果を提出させるか、一定水準以上のセキュリティ人材と予算を確保させることで、継続的なセキュリティ管理を誘導すべきだ」と指摘した。
政府は急いで対策作りを進めている。ハッキングの兆候があるだけで政府が職権調査に着手できるよう情報通信網法改正など調査権限の拡大を推進し、個人情報を大量に保有する企業・機関のセキュリティ義務を強化する。セキュリティ義務に違反すれば懲罰的性格の課徴金を適用し、事故対応力を高める方針だ。検討中の改正案には、「侵害事故調査審議委員会」を設置し、重大な事案の場合は専門家の審議を経て職権調査が可能にする案が含まれている。
専門家と国会の双方が、政府の責任と役割を強調している。一連のセキュリティ事故が単なる企業の面の問題ではなく、国家レベルの政策的課題であるという認識が高まっている。
特に、従来の「網分離（すべての業務PCがインターネットと遮断されているようにする概念）」原則が弱まりつつある韓国のセキュリティ環境を考慮し、新たなセキュリティパラダイムが求められているとの指摘がなされた。
24日、国会科学技術情報放送通信委員会のハッキング事態聴聞会に参考人として出席した高麗大学情報保護大学院の金勝柱（キム・スンジュ）教授は、「コロナ19の時点で変化が始まり、その後のAI政策導入によって接続が拡大した」とし、「網をすべて切り離していた内部ネットワークシステムは『無菌室』のような状態だったが、（サイバー侵害が）一時に侵入し、なす術もなく崩壊している」と説明した。金教授は「早期探知、脆弱性の先制的防御、被害発生時の無力化・遮断する体系を基盤にサイバー安保を強固にすべきだ」と述べた。
省庁間の「縦割り」的な対応から脱却し、コントロールタワーを通じた総合的な対応の必要性も論じられている。国内の金融会社による情報流出事件は金融委員会の告示に従って金融セキュリティ院が管理する一方、それ以外の産業界で発生した事故は情報通信網法や情報保護産業法などに従い、科学技術情報通信部傘下のKISAが担当する。ハッキング被害が分野を問わず発生しているだけに、一元化された管理・監督体制を構築すべきだとの評価だ。
中央大学産業保安学科の張恒培（チャン・ハンベ）教授は、「金融セキュリティ院、KISA、国家情報院などが各分野を担当し、国家安保室が統括する形式的な体系は備わっているが、現実的には組織の規模や機動力の面で限界があるうえ、協議会形式で分かれているため対応力が低下しているのが事実だ。国務調整室の機能のように、セキュリティ領域でも実質的なコントロールタワーを通じて意思決定が行われれば、適切に機能するだろう」と説明した。