[지디넷코리아]허리케인 카트리나 사건에 있어서 연방재해관리국(FEMA)은 재해 대처가 늦었다는 비난을 받고 있다. 이제 화살의 시위는 사이버보안 부서를 향하고 있다.

FEMA처럼 미국 정부의 사이버보안 기능은 3년전 22개의 연방기관을 통합한 대규모 구조조정 이후 국토방위부 산하에 집중돼 있다.

허리케인 카트리나가 급습하기 수개월 전에 감사담당자들은 FEMA의 재해환경에서의 사람을 관리하는 것과 장비를 배치하는데 대한 내부 절차가 존재하지 않는다고 경고했다. 불행하게도 정부 감사담당자들은 국토방위청이 사이버보안의 책임을 제대로 지고 있지 못하며 긴급상황에 "대비가 안 돼 있을 수" 있다고 말했다.

지지부진한 법제화 작업
국토방위청의 사이버보안 부서는 시민단체, 보안 전문가, 감사담당자들로부터 책임을 다하지 못하고 있다는 비난을 들어왔다. 사이버 재앙에 미국이 직면한다면 FEMA가 허리케인 카트리나에 대처한 수준 이상으로 국토방위청이 공격에 대처하지는 못할 것이라고 일부 사람들은 비난한다.

하원은 사이버보안 차관보 신설에 관한 법안을 통화시켜서 비상사태에 대한 대처 능력을 효율화 하고자 했다. 그러나 이 법안은 아직 상원에서 통과되지 않았다. 한편 사이버보안 당국은 고위급 직원들이 계속 이직하는 상황을 지켜보고 있다.

공공 정책 및 시민 단체인 CSIA(Cyber Security Industry Alliance)의 회장 폴 커츠는 "카트리나 사태를 보면 '우리는 준비가 됐는가?'라고 자문할 수밖에 없다. 대규모 사이버 공격에 대처할 준비가 돼있는가? 대답은 분명히 아니라고 생각한다"라고 말했다.

국토방위청은 물론 이에 반박한다. 대변인 커크 위트워스는 "사이버 보안은 지금까지처럼 앞으로도 우리 부서의 최우선순위에 놓여 있을 것"이라고 말했다.

그러나 FEMA 이상으로 국토방위청의 사이버보안 기능은 일련의 부정적 보고서, 관료적 실수에 대한 비난, 그리고 고참 직원들의 급속한 이탈 등으로 전문가와 산업계 관계자들의 우려를 사고 있다.

겉도는 사이버보안 대처 기능
국토방위청은 중요 인터넷 기능을 보호하기 위한 포괄적 계획을 수립하고 ‘공격에 대해 위기관리 기능을 제공’할 의무가 있지만 이런 의무는 10월을 ‘전국 사이버보안 인식의 달’로 선언하는 것과 같은 언론 플레이에 의해 더 잘 수행되는 것 같다.

잠재적인 문제가 있음을 암시하는 가장 확실한 증거는 사이버보안 직원들의 급속한 이탈이다. 우선 클린턴과 부시 행정부 1기 시절부터의 베테랑인 리차드 클라크는 고가의 도서 저작 계약을 맺고 정부를 떠났다. 클라크의 뒤를 이어 CDA(Communications Decency Act) 법안에 유리한 증언을 한 것으로 유명한 하워드 슈미트 그리고 아미트 요란과 로버트 리스코스키가 이탈에 동참했다.

최고 책임자 자리는 1월 리스코스키가 그만 둔 이래 공석으로 남아있다. 7월 국토방위청 장관 마이클 처토프는 후임자 물색을 약속했지만 아직 후계자를 지명하지 못했다.

존스 홉킨스 대학에서 사이버보안을 전문으로 하고 있는 아비 루빈 교수는 "나는 분명 그 자리를 차지하지 않을 것이다. 나쁜 점만 있기 때문"이라고 말했다.

만약 인터넷이 완전히 다운된다면(로버트 모리스가 만들었으며 네트워크 관리자들이 이를 제거하기 위해 컴퓨터를 네트워크에서 분리한 1988년의 웜이 현재 출현한 꼴이 된다) 국토방위청의 사이버보안 담당자들은 권한은 별로 없지만 모든 책임을 져야 할 것이라고 루빈은 말했다. "실제 책임은 정책을 준수하지 않은 사람들에게 있지만 사이버보안 총책임자는 면직될 것이며 비난에 직면할 것이다,"

불균형한 권한과 책임
다른 고위직 직원들도 국토방위청을 떠나고 있다: 국토방위청의 전국 사이버 보안국의 부 디렉터는 CERT(Computer Emergency Response Team)의 수장이 떠났다. 인프라스트럭처 보호 담당 차관, 그리고 정보 보호를 책임진 차관보가 지난해 모두 국토방위청을 떠났다.

국토방위청 내부에서 버보안에 대한 노력을 증가시키는 일은 미국 하원의 지원을 받고 있다.

올해 초 캘리포니아주 민주당 소속 하원의원 조 로프그렌과 텍사스주 공화당 소속 하원의원 맥 쏜베리는 사이버보안 담당 차관보 신설을 위한 기존의 회의로부터 연계된 법안 작업을 다시 시작했다.

이 새로운 자리는 국토방위청 장관에게 바로 보고하게 되며, 미국의 물리적 인프라스트럭처를 총괄하는 담당자와 동일한 위치에 서게 된다. 현재 국토방위청 구조를 보면 사이버보안 최고 책임자는 국토방위청 장관보다 몇 단계 아래에 위치해 있다.

쏜베리는 이번 법안을 도입하면서 "차관보직 신설은 조직변경 이상의 의미가 있다. 이는 사이버보안이 우리가 직면한 수많은 국토방위 업무에 묻히지 않도록 확실히 하기 위한 것"이라고 말했다.

이번 제안서는 결국 2006년도의 국토방위 인증법(Homeland Security Authorization Act) 이라는 더 광의의 법안에 포함되며 하원에 의해 승인됐다. 그러나 5월 이후 상원의 국토방위 위원회에 계류돼 있다. 상원 위원회는 더 이상의 조치가 있을 것인지 명시하지 않았다.

외부 인사들은 7월 처토프가 발표한 조직개편에 기대를 걸고 있다. 조직 개편의 일환으로 그는 NSA의 전직 고문이자 존경받는 기술 변호사인 스튜워트 베이커를 영입해 정책담당 차관보에 앉혔다. 베이커는 상원의 인준을 기다리고 있다.

CSIS의 기술과 공공정책 프로그램 디렉터인 짐 루이스는 "4년 동안 엉망이었으며 새로 영입된 인사들이 이를 고쳤으면 한다"라고 말했다.

루이스는 "과거에 국토방위청과 국토방위 위원회는 사이버 분야에서 무엇을 해야 할 지 정말 몰랐다. 마치 헤드라이트에 비춰진 사슴과 같은 상황에 처했던 것 같다. 누가 책임자인지 분명하지 않다. 사이버보안에 역할이 있다고 주장하는 수많은 위원회를 보면 약 12개나 된다. 책임을 질 위원회가 12개라면 누구도 책임이 없다는 것과 같다"라고 말했다.

911 테러를 계기로 급물살
연방정부가 사이버보안에 집중하지 않는 가장 큰 이유는 아마도 명백할 것이다. 바로 2001년 9월 11일의 테러이다.

이 공격이 있기 전에 인터넷과 컴퓨터 보안은 최우선 순위는 아니었지만 백악관으로부터 관심을 일부 끌기는 했다. 2000년 2월 클린턴 대통령은 사이버보안에 관한 회의를 기술 전문가들과 가졌다. 그는 몇 개월 후 해병방위대 사관학교(Coast Guard Academy)에서 가진 연설에서 "전력 시스템, 핵 발전소, 항공교통 통제, 컴퓨터 네트워크와 같은 중요한 시스템들은 모두 컴퓨터에 의해 연결되고 수행된다"라고 발언하기도 했다.

9월 11일의 테러로 부시 행정부가 인터넷 분야에서 가진 가상적인 위협에 대한 주의는 군사적 공격, 알 카에다, 그리고 이라크 침공으로 전환됐다.

CSIA 의장인 커츠는 "국토방위청이 신설됐을 때 사이버보안은 레이더 화면에서 분명히 사라졌으며 아직도 국토방위청은 해법을 모색중"이라고 말했다. 이 단체는 시만텍, 맥아피, RSA 시큐리티, PGP, 컴퓨터 어소시에이츠 등으로 구성돼 있다.

9월 11일 공격 이전에도 연방정부의 사이버보안 관련 노력은 별로인 것으로 평가받았다. 2001년 초 발간된 108 페이지 분량의 보고서에서 정부 감사담당자들은 FBI 의 NIPC (National Infrastructure Protection Center) 가 너무 관료주의화된 나머지 해커들을 추적하거나 인터넷을 공격에서 방어할 계획을 수립하는 일에 놀랄 정도로 비효율적인 것을 발견했다고 말했다.

2년전 의회가 국토방위청을 신설했을 때 FBI의 NIPC는 국방성의 NCS(National Communications System), 상무성의 CIAO(Critical Infrastructure Assurance Office), 에너지성의 분석 센터 그리고 FCIRC(Federal Computer Incident Response Center)와 조용히 통합됐다.

결과는 혼재된 것으로 나타났다. GAO(Government Accountability Office)가 2005년 발간한 보고서에 따르면, “봇 네트워크, 범죄단, 외국의 정보국, 스패머, 스파이웨어 개발자, 테러리스트 들이 미국의 정보 공동체 등에 의해 인지됐으며, 이들은 모두 새로운 위협이다. GAO는 비록 국토보안청이 13가지의 책임을 지고 있지만 아무것도 제대로 처리하지 못했다"고 GAO는 밝혔다.

또 다른 분석에 따르면 국토방위청은 호환이 안되는 컴퓨터 시스템에 의해 어려움을 겪고 있으며 국토방위청은 또한 민간 기업과 컴퓨터 보안 정보를 공유하는데 있어서 한참 뒤처져 있다.

국토방위청은 업무를 성실히 수행해 왔다고 주장해왔다. 지난해 국토방위청은 NCAS (National Cyber Alert System)를 구축해 민간합동의 전국적으로 조율된 방식에 의해 인터넷 위협과 결함에 대한 정보를 배포하고 있다. 다른 계획에는 11월로 예정된 단계별 사이버공격 훈련이 있다.

국토방위청의 위트워스는 "국토방위청 내부에 사이버보안의 책임을 지우는 것은 필요한 조치로 이는 사이버보안이 다른 하부구조와 밀접하게 결합돼 있으며 이 분야를 조직에서 떼어낸다면 양측 모두 타격을 입을 것"이라고 말했다.

상대적으로 밀리는 사이버보안
그러나 적절한 도구와 투자가 이뤄져야 한다고 워싱턴 주립대 전산과 교수인 에드 라오우스카는 말했다. 그는 대통령의 ITAC(Information Technology Advisory Committee)에서 공동 의장을 맡았는데 이 위원회는 연방차원의 사이버보안 노력을 비판하는 보고서를 2월 발간했다.

라조우스카는 이메일 인터뷰를 통해 "국토방위청은 물론 대규모 살상 무기에 우선 치중하고 있지만, 필수적인 인프라스트럭처 보호 특히 사이버보안 면에서 너무 적은 주의를 기울이고 있다"라고 말했다.

국토방위청은 현재 13억 달러의 과학, 기술관련 예산 중 1700만 달러를 사이버보안에 사용하고 있다고 그는 말했다. 그의 위원회가 작성한 보고서는 사이버보안 연구개발 활동에 NSF 투자를 9000만 달러 증액할 것을 요청하고 있다.

이때까지 라조우스카는 "미국은 우리가 필요로 하는 보다 안전한 IT를 구축하는 것이 아니라, 반창고를 붙이는 처방만 할 것"이라고 말했다.@