[서울=뉴시스] 유자비 기자 = 정부 출연 연구기관(출연연)에서 연구자료가 담긴 하드디스크가 무단 반출되고 서버 백신 설치와 보안 취약점 관리도 제대로 이뤄지지 않는 등 보안관리가 전반적으로 부실한 것으로 감사원 감사 결과 드러났다.

감사원은 28일 '공공전산망 보안관리 실태(과학기술연구분야)' 보고서를 공개하고 지난해 11~12월 6개 연구기관 대상 보안관리 실태를 점검한 결과 이같이 나타났다고 밝혔다.

감사를 진행한 연구기관은 과학기술정보통신부 소관 한국과학기술연구원·한국생명공학연구원·한국전자통신연구원·한국원자력연구원·한국과학기술정보연구원과 우주항공청 소관 한국항공우주연구원이며 통보 25건, 주의 2건 등 총 27건을 조치하도록 했다.

국가연구개발사업 보안관리지침에 따르면 연구기관들은 보안과제 수행에 사용된 노트북, 외장형 저장매체 등에 대해 반출입 절차를 마련해야 하고, 비인가 매체 사용은 금지되고 있다.

그러나 PC에 부착된 하드디스크드라이브(HDD)의 경우 이같은 보안대책 없이 연구기관의 자율에 맡기고 있어 HDD 무단 탈거·반출로 인한 기술자료 유출 등 보안사고가 발생될 우려가 있었다.

감사 대상인 6개 연구기관도 HDD의 사용 현황을 관리하지 않는 등 보안 통제가 부실한 것으로 나타났다.

5개 감사대상 연구기관의 최근 1년간 내부 PC에 부착된 HDD 탈거 실태를 분석한 결과 총 690대의 HDD가 탈거된 것으로 확인됐다. 하드디스크 탈·부착 이력 자료가 없는 한국전자통신연구원을 제외하고 분석한 수치다.

또 퇴직자가 사용한 39대 중 12대는 소재 파악이 어렵거나 연구기관 내에 없는 것으로 확인됐다. 해당 12개 중 2대의 경우 한국항공우주연구원에서 A대 부교수로 이직한 B씨가 비인가 상태로 사용하다가 4개 보안과제를 포함한 6만여개 파일을 삭제하지 않고 탈거한 후 연구자료를 반출한 사례도 확인됐다.

감사 결과 연구기관이 운영하는 서버에 대한 백신 도입도 저조했다. 한국과학기술연구원 등 5개 기관은 백신 설치가 의무가 아니라는 사유로 전체 서버 1만7073대 중 374대(2.2%)에만 백신을 설치해 운영했다.

감사 기간 중 백신 설치율이 45%인 한국항공우주연구원을 제외한 5개 기관의 251대 서버에 백신을 설치·검사한 결과, 4개 기관의 21대 서버에서 38종의 악성프로그램이 검출됐다.

또 과기정통부는 최신 보안 권고문을 공지하면서도 조치 여부는 관리하지 않는 것으로 드러났다.

이에 감사원이 6개 기관의 주요 서버 66개 모델을 대상으로 2024∼2025년 보안 권고문 405건 중 위험도 상위 3개에 대한 보안 업데이트 적용 여부를 확인한 결과, 운영체제 신규 설치에 따라 취약점이 자동 해소된 7개 모델(10.6%) 외에는 보안 업데이트를 실시한 사례가 없었다.

아울러 연구기관 직원이 기관 외부에 인터넷으로 접속 가능한 NAS 서버를 설치한 후 해킹에 취약한 상태에서 업무자료를 보관하고 사용하는 사례가 확인됐으며 직원이 자료 유출이 가능한 가상사설망 소프트웨어(S/W)를 내·외부 단말기에 설치하고 있어도 사용 현황을 파악하지 못해 연구자료 유출이 우려된 것으로 나타났다. 

감사원은 과기정통부와 우주항공청에 관련해 보안 관리를 강화하고 후속조치를 마련하라고 통보했다.


◎공감언론 뉴시스 jabiu@newsis.com