제 000 회 석사학위 논문

지도교수 이창무

산업보안 관점에서 경찰 내부정보 유출방지 연구

A study on the leakage prevention of the police internal information from the perspective of industrial security

중앙대학교 대학원

융합보안학과 산업보안 전공

김   종   철

2018년  6월

산업보안 관점에서 경찰 내부정보 유출방지 연구

A study on the leakage prevention of the police internal information from the perspective of industrial security

이 논문을 석사 학위논문으로 제출함

2018년 6월

중앙대학교 대학원

융합보안학과 산업보안전공

김   종   철

김종철의 석사학위논문으로 인정함

심 사 위 원 장	㊞

심  사  위  원	㊞

심  사  위  원	㊞

중앙대학교 대학원

2018년  6월

목   차

제 1장 서  론	1

제 1절 연구의 필요성 및 목적	1

제 2절 연구의 방법 및 범위	3

제 2장 이론적 배경	6

제 1절 산업보안의 개념	6

1. 산업보안의 정의	6

2. 물리적 보안	8

3. 사이버 보안	11

4. 관리적 보안	14

5. 새로운 보안위협과 융합보안의 대두	16

제 2절 선행연구 검토	18

제 3장 경찰 내부정보 유출의 심각성과 사례	22

제 1절 내부정보 유출의 심각성	22

제 2절 내부정보 유출 사례	28

제 4장 분석결과 및 정책적 시사점	35

제 1절 경찰관서의 보안실태	35

제 2절 경찰 내부정보 유출방지 방안	54

제 3절 정책적 시사점	65

제 5장 결론	75

참고문헌	77

국문초록	79

부록 : 설문지	82

표 목차

[표 2-1] 물리적 보안의 기능 및 방법	8

[표 2-2] 물리적 보안시스템의 주요 기능 및 주요 장치	9

[표 2-3] G-ISMS 정보보호 대책 통제사항	15

[표 4-1] 방문자 신분증 확인	37

[표 4-2] 방문신청서 작성	37

[표 4-3] 스크린 도어 설치	38

[표 4-4] 이석시 책상정리	38

[표 4-5] 퇴근시 서랍 및 케비넷 시건	39

[표 4-6] 사무실 비밀번호 변경	39

[표 4-7] 물리적 보안실태 만족도	39

[표 4-8] 의경폐지 이후 출입통제는 누가 해야 하는가(복수응답)	40

[표 4-9] 경찰관서 물리적 보안의 개선방향(복수응답)	41

[표 4-10] 점검 내용	42

[표 4-11] 출처가 불분명한 첨부파일 클릭 여부	44

[표 4-12] 첨부파일 클릭시 확장자명 확인	44

[표 4-13] 첨부파일 백신검사	45

[표 4-14] 자료 백업	45

[표 4-15] 파일 암호 설치	46

[표 4-16] 컴퓨터 외부반출시 자료삭제	46

[표 4-17] PC 사용자 변경시 자료삭제	46

[표 4-18] 사이버 보안 문제점과 개선방향(복수응답)	47

[표 4-19] 설문대상 분석	49

[표 4-20] 보안서약서 징구	49

[표 4-21] 자체 보안계획 수립•시행	50

[표 4-22] 보안접근 권한 부여 및 이력관리	50

[표 4-23] 도청 관련 교육	51

[표 4-24] 관리자의 보안의식	51

[표 4-25] 보안관리 및 감독체계	51

[표 4-26] 내부정보 유출 가능성	52

[표 4-27] 관리적 보안의 문제점 및 개선방향(복수응답)	52

[표 4-28] 가장 취약한 분야	53

[표 4-29] 가장 나은 분야	53

[표 4-30]  가장 중요한 분야	53

[표 4-31] 내부정보 유출 이유(복수응답)	54

[표 4-32] 보안 담당자의 덕목(복수응답)	54

그림 목차

[그림 2-1] 산업보안의 3 영역	7

[그림 2-2] 스마트 환경에서의 사이버 범죄 유형의 변화	17

[그림 3-1] 내부정보 유출	25

[그림 3-2] 경찰청 정보국이 작성, 하달한 문건	30

[그림 4-1] 사이버 보안진단의 날 팝업창	42

[그림 4-2] 보안스티커	56

[그림 4-3] 워터마크	58

[그림 4-4] 보안메일 전송 모습	59

[그림 4-5] 보안의 균형	64

[그림 4-6] 위험산출 및 위험관리 기법	73

제 1장 서  론

제 1절 연구의 필요성 및 목적

1. 연구의 필요성

첨단 IT 기술과 인프라 덕분에 국내 정보통신망 분야의 여건과 사용 환경은 빠른 속도로 발전해 왔으며 이러한 성과에 힘입어 우리나라는 세계 최고수준의 IT 강국이라는 대내외적 평가를 받고 있다. IT 기술이 발전함에 따라 첨단 보안기술이 非 IT산업으로 확산되는 등 IoT(Internet of Things, 사물인터넷)의 활성화로 일상생활은 편리해졌다. 반면, 스마트워크 방식 등 업무환경이 변화함으로써 새로운 잠재적 보안위협이 양산되고 있다. 아울러, 복합적인 위협요인까지 대두되면서 정보화 사회의 부작용에 대해 우려어린 시각이 나타나고 있다. 민간•공공분야를 막론하고 업무용 컴퓨터에서 생산 또는 저장되어 있는 전자적 형태의 자료가 적절한 방법으로 관리되지 못한 채 외부 공격자 또는 악의적인 내부자에 의해 무단 유출되거나 악성 바이러스에 감염되어 파괴되는 등 정보보안 사고가 정보화의 대표적인 역기능이라 하지 않을 수 없다.

많은 기업들이 보안사고 예방을 위해 노력하고 있지만, 안타깝게도 고객정보 또는 기밀정보가 전자우편, 인터넷 메신저 서비스, P2P 등을 통해 무차별적으로 유출되는 사고가 끊임없이 발생하고 있고, 이에 따른 기업의 경제적 손실이 급격하게 증가하고 있다(최옥현, 2009 : 2). IBM의 조사에 따르면 데이터 유출사고의 60%가 내부자에 의해 발생하고, 그중 75%는 악의에 의해, 나머지 25%는 실수에 의해 발생한다고 한다. 더욱이 일반적인 정보나 기술의 유출은 물론 최고 수준의 보안시스템하에서 철저하게 관리되어져야 할 국가핵심기술의 해외유출도 갈수록 심각해지고 있는 것이 현실이다. 산자부에서 배포한 ‘국가핵심기술 유출현황’ 자료에 따르면 총 21건의 국가핵심기술이 2012년부터 2017년 8월까지 유출되었다고 한다. 뿐만 아니라, 기업경쟁력에 상당한 부담을 줄 수 있는 기술까지 합칠 경우, 총 157건의 기술이 유출된 것으로 확인되었다. 이 중에는 세계에서 처음으로 상용화한 특수 선박 제작기술은 물론 2017년 7월 기준 세계시장에서 최고의 점유율을 보이고 있는 OLED 세정기술도 포함되어 있었다. 유출된 국가핵심기술은 1건을 제외한 20건이 모두 해외로 유출된 것으로 파악되었다. 빼내간 국가로는 중국이 12건으로 가장 많았고, 미국, 독일, 캐나다, 이스라엘, 독일, 말레이시아 등이 뒤를 이었다.(조선일보, 2017.9.1, 검색일 2018.2.26). 국가핵심기술이 외국, 특히 우리나라의 경쟁국가로 유출될 경우, 우리의 시장경쟁력이 약화되고 기술격차가 축소되어 결국 수출에 의존하는 우리나라는 적지 않은 영향을 받을 수 밖에 없다.

여기서 말하는 국가핵심기술은 산업기술의 유출방지 및 보호에 관한 법률 제2조에 따라 ‘국내외 시장에서 차지하는 기술적•경제적 가치가 높거나 관련 산업의 성장 잠재력이 높아 해외로 유출될 경우에 국가의 안전보장 및 국민경제의 발전에 중대한 악영향을 줄 우려가 있는 산업기술’로 정의할 수 있다.

유출된 국가핵심기술 21건 중에는 세계 최고의 기술력을 자랑하는 조선분야가 9건, 이어서 디스플레이 등 우리나라 산업수출의 핵심 분야인 전기전자 분야가 8건, 플랜트 분야 2건, 자동차와 의료 분야가 각 1건으로 나타났다.

그렇다면 핵심기술 등 내부정보 유출이 민간분야에서만 발생하는 것일까? 15만여명의 경찰관(의경 포함)과 방대한 정보를 가지고 있는 경찰은 이러한 내부정보 유출 시도로부터 자유로운 것일까? 민간분야의 정보 유출이 경제적 피해 중심으로 확산된다면 기본적인 개인정보와 수사자료, 주요인사 경호경비 관련 정보, 총기 관련 인허가, 운전면허 관련 정보 등 보유하고 있는 정보의 양도 많고 중요성도 금액으로 환산할 수 없을 정도인 경찰의 경우, 정보유출이 사회적인 혼란은 물론 국가안보 문제로까지 확대될 수 있다.

하지만, 이처럼 경찰의 내부정보 유출이 증가하고 있고, 그 심각성에 대한 우려가 커지고 있음에도, 아직 학계에서는 이에 대한 연구가 충분치 않는 것으로 보인다. 그나마, 이론 중심의 일부 연구가 없지 않지만, 경찰관서의 보안실태와 현직 경찰, 특히 보안담당 경찰관들의 보안의식에 관한 조사, 그리고 이를 토대로 발전방향을 모색하는 노력은 발견하기가 쉽지 않았다. 따라서, 경찰의 내부정보 유출로 인한 피해사례를 살펴보고 보안실태를 분석한 후 정책적 시사점을 도출하는 한편, 내부정보 유출방지를 위한 보다 발전된 방향에 대해 심도있게 연구할 필요성이 제기되고 있다.

2. 연구의 목적

민간 산업분야의 기술유출이 빈번해지고 피해가 심각해짐에 따라, 정부는 외국의 경제정보 또는 산업기밀 수집활동에 본격 대응하기 위해 지난 2003년 10월 산업기밀보호센터를 국정원에 창설했다. 이어, 한국산업보안연구학회가 2008년 10월에 만들어져 산업보안의 학문적 정체성을 확립했을 뿐 아니라, 산업보안에 대한 학술적인 연구를 지속하고 있다.

하지만, 이러한 노력에도 불구하고, 계좌번호, 주민등록번호 등 개인정보는 물론 국가핵심기술 등 내부정보 유출의 피해와 심각성은 계속 증가하고 있는 것이 현실이다. 우리나라는 이러한 정보유출 문제에 대응하기 위해 그간 침입방지를 위한 CCTV 시스템과 차량•사람 등에 대한 통제와 물품 반출입 통제 등 출입통제시스템을 포함하는 물리적 보안(Physical Security), 변조•위조•훼손•유출 등으로부터 핵심정보를 보호하고 네트워크를 통한 악성코드의 침입을 차단함으로써 정보의 무결성•기밀성•가용성을 제고하는 사이버 보안(Cyber Security), 데이터와 정보시스템을 보호하기 위한 각종 관리 규정이나 절차를 수립하고 민감한 핵심정보에 접근하는 개개인에 대한 권한을 부여하는 관리적 보안(Administrative Security) 측면에서 대응해 왔다.

정보통신 기술의 발전과 컴퓨터의 보급 등은 산업사회를 지식정보화사회로 변화시켰다. IT 기술의 발전은 국가전반의 성장에 막대한 파급효과를 미쳤을 뿐 아니라, 보안산업에도 적지 않은 영향을 미치고 있다. 과거 산업사회에서는 정보가 큰 비중을 차지하지 않아, 보안 산업이 주로 물리적 보안 중심으로 발전해 왔으나, 지식정보사회에 본격 진입한 이후에는 정보에 대한 보안이 제일 핵심적인 사안으로 부각되고 있다. 과거 물리적 보안 중심에서 정보가 관련된 융합적 보안으로 외부환경이 빠르게 변화하면서 하드웨어적 대응 뿐 아니라 소프트웨어적 대응이 요구되고 있다. 더 이상 물리적 보안, 사이버 보안, 관리적 보안 등 특정 보안영역에만 한정된 보안사고는 있을 수 없다. 대다수의 보안사고가 각 영역이 복잡하게 혼재되거나 교차되어 있는 상황에서 발생하고 있다. 하지만,  보안환경의 변화에 선제적으로 응전하지 못함에 따라 정보의 외부유출, 정보 변조•훼손 등 다양한 형태의 위협이 발생하고 있다. 이제는 개별보안의 영역에 국한된 분절적 대응체제로는 현재의 다변화, 복잡화된 보안위협에 효율적으로 대처할 수 없게 되었다.(김민수, 2011 : 2)

핵심 영업비밀 등 중요 내부정보가 유출될 경우, 민간기업은 막대한 재산상의 손실을 입기도 하고, 심지어 생존자체가 위협받기도 한다. 공공분야는 어떠한가? 특히, 관련 법상 ‘국민의 생명․신체와 재산의 보호, 범죄의 예방과 진압, 그 외 공공의 안녕과 질서유지’를 주요 임무로 하고, 수사기록(전과기록, 범죄사실 등)은 물론 차량과 총기 관련 면허정보, 사회 각 분야의 갈등 실태 분석 등 경찰의 내부정보는 유출로부터 안전한 지 의문을 가지지 않을 수 없다. 더욱이, 단순히 물리적인 양 뿐만 아니라, 민감성과 중요성을 섣불리  예단할 수 없는 경찰관서의 내부정보 유출은 그 결과를 상상하기도 끔찍할 정도로 위험성이 심각하다 할 것이다.

따라서, 본 연구는 경찰 정보가 악의적이거나 단순 실수로 인한 외부유출 등 복잡하고 다변화된 보안위협으로부터 어떤 방법으로 보호되고 있는지 사이버•물리적•관리적 보안 등의 실태적 분석을 중심으로 접근하되, 분석결과와 정책점 시사점을 바탕으로, 보다 효율적이고 실질적인 정보보호를 위해 융합적인 대책과 방향성을 제시하는 것을 목적으로 한다.

제 2절 연구의 방법과 범위

1. 연구의 방법

현대 정보기술의 발전으로 인한 컴퓨터의 보급과 IT기술을 이용한 정보통신의 발전은 정보화 사회를 넘어 지식정보사회로 발전하였고, 이로 인하여 세계 어디에서나 컴퓨터 및 스마트 폰을 이용하여 지식과 정보를 공유할 수 있는 사회가 되었다. 경찰관련 정보 역시 컴퓨터와 스마트폰 이용이 가능한 사람이라면 시간적•공간적 제약에 구애받지 않고 쉽게 접근할 수 있게 되었다. 지식정보사회에서는 경찰 내부정보에 대한 단순 접근 뿐 아니라, 다양한 경로를 통한 유출•훼손 등의 보안위협이 지속적으로 제기되고 있다.

이제, 정치•사회•경제•문화 등 현대사회의 거의 모든 분야에서 더 이상 보안(Security)과 무관한 영역은 존재하지 않는다고 해도 지나치지 않을 정도로, 보안은 그 적용범위와 분야가 광범위하다. 민간영역도 문제지만, 공공행정, 특히 치안행정을 맡고 있는 경찰관서에서 더욱 체계화된 보안시스템 구축이 필요하다 할 것이다. 본 연구에서는 경찰관서의 내부정보 유출 방지를 위한 출입제한 시스템, CCTV 등 물리적 보안과 인트라넷이나 e-mail 등 사이버 보안은 물론, 무엇보다 보안교육, 관리 등 관리적 보안 관점에서 보안실태를 분석하고 미비점은 없는 지, 제도적으로 보완할 점은 없는 지 등을 고찰해 보고자 한다.

특히, 수도 서울의 안녕과 질서유지를 책임지고 있는 31개 경찰서의 보안담당 경찰관들을 대상으로 설문조사를 실시하고, 이를 통해 보안에 대한 경찰관들의 인식과 경찰관서의 보안실태를 진단하였으며, 사이버 보안, 물리적 보안, 관리적 보안 영역에서 내부정보 유출방지를 위한 대응시스템 구축에 집중했다. 또한, 융합보안의 시대에 이들을 개별적으로 분리하여 검토할 경우, 입체적이고 종합적인 방안을 제시하는데 한계가 있는 만큼, 특정 보안영역을 벗어나 보안의 3영역을 함께 아우르는, 융합적 발전방안을 모색하였다.

아울러, 경찰관서에서 내부정보 유출에 얼마나 허술한 지, 내부정보 보호를 위한 관심과 노력이 어느 정도 의미가 있는 지 등을 실감할 수 있도록 내부정보 유출 피해사례를 집중 조명하고 정책적 시사점을 중심으로 연구를 진행했다. 다만, 그간 경찰관서의 내부정보 유출은 향응이나 금품을 수수하고 수사정보나 단속정보 등을 제공하는 경우가 많았지만, 이번 내부정보 유출 피해사례 조사에서는 그런 일반적인 사례는 지양하고 사회적으로 이슈화될 정도로 파급력이 크고 경찰조직 내부적으로도 반향이 컸던 사례 중심으로 접근하였다.

본 연구는 경찰관서의 보안 실태를 점검•평가하는 한편, 사이버 보안, 물리적 보안, 관리적 보안 수준을 향상시키고 궁극적으로는 융합보안을 통한 통합적 대응방안을 강구하는데 주안점을 두고 있다. 이와 관련하여, 각 영역별 보안수준과 대응체제의 실태를 분석한데 이어 융합적 보안에 대한 인터넷, 단행본, 신문, 세미나, 학위논문 등 최대한 많은 공개정보를 통해 관련 자료를 수집하고 내용분석 연구를 하였다.

아울러, 민간분야와 공공분야의 내부정보 유출 원인과 실태, 새로운 보안위협과 융합보안 측면에서의 대응방안 마련 등 보안산업 분야의 최신 트렌드에 대한 선행연구를 병행하였다. 구체적으로, 각종 보안에 대한 선행연구 검토로 정보보호 전반에 대한 이해를 도모한 후 경찰관서의 내부정보 유출의 심각성에 대한 문제의식을 공유하였고 이를 토대로 융합보안 측면에서 내부정보 유출 대응방안과 차단을 위한 종합적인 접근 필요성을 고찰하였다.

2. 연구의 범위

본 논문은 모두 5장으로 이루어져 있다. 제 1장에서는 연구의 필요성과 목적을 제시하고 연구의 방법과 범위에 대해 살펴보았다. 연구의 필요성은 ‘민간분야에서의 기술유출이 잇따르고 있는 상황에서 공공기관은 이러한 내부정보 유출 문제로부터 안심해도 되는가?’ 하는 문제의식에서 출발하였다. 공공기관 특히, 경찰은 기본적인 개인정보와 수사기록, 주요인사 경호경비 관련 기밀 등 보유하고 있는 정보의 양도 많고 중요성도 금액으로 환산할 수 없을 정도라, 이러한 정보가 유출될 경우, 사회적인 혼란은 물론 국가 안보에까지 영향을 미칠 정도로 그 위험성이 심각하다. 그간 경찰관서의 보안실태에 대한 이론적 접근이 없지 않았지만, 내부정보 유출 실태와 보안체계의 바람직한 발전방향에 대한 연구가 부족했던 것이 사실이다. 따라서, 본 연구는 경찰의 내부정보가 복잡하고 다변화된 제반 보안위협 요소로부터 어떻게 보호되고 있는 지 사이버 보안, 물리적 보안, 관리적 보안 측면에서 연구하고, 효율적이고 실질적인 정보보호를 위해 융합보안 측면에서 종합적인 대응방안과 방향성을 제시하는 것을 목적으로 하였다.

제 2장에서는 일반적인 보안의 3분야에 대한 이론적 배경을 정리하였다. 즉 시설대책이나 출입통제에 무게를 두는 물리적 보안, 네트워크 관리 또는 시스템 접근제어에 집중하는 사이버 보안, 정보보안 교육과 보안정책 등을 주로 다루는 관리적 보안과 함께 각각의 분야에서 대한 경찰관서의 보안 실태를 살펴보았다. 하지만, 정보 유출방지를 위한 다양한 대응책 강구에도 불구하고, 이러한 제도들이 통합적•유기적으로 운영되지 않고 각각 단절된 상태에서 운영•관리되고 있어, 융합화된 보안위협이 일상화되어 있는 현대 상황에서는 내부정보 유출 문제를 제대로 탐지하고 대응하기에는 제한이 있다는 점을 분명히 하고, 이를 극복하기 위한 방안으로 물리적 보안, 사이버 보안, 관리적 보안 등 전통적 보안대책과 내부정보 유출 방지 및 융합보안적 접근에 대한 각각의 선행연구를 소개하였다.

제 3장에서는 내부정보 유출의 의미와 원인, 경로 등을 분석함으로써 내부정보 유출의 심각성을 제기한 후 사회적으로 이슈화 되었을 뿐 아니라, 경찰조직 내부적으로도 논란의 대상이 되었던 내부정보 유출 사례들을 살펴보았다. 주요 사례로는 ① 2010년 4월 교육감 선거관련 SRI(Special Requirement Information) 유출 ② 2013년 10월 강원경찰청 보안수사대의 공작문서 유출 ③ 2014년 11월 정보경찰의 청와대 문건 유출 사례 ④ 2015년 6월 대공업무 기밀 유출 사건 ⑤ 2018년 3월 의무경찰 지원자 개인정보 무더기 유출 사례 등을 선별하였다.

제 4장에서는 대한민국 치안 1번지인 서울소재 31개 경찰서의 보안담당 직원을 대상으로 사이버 보안, 물리적 보안, 관리적 보안에 대한 각 경찰관서의 보안실태와 문제점, 이에 대한 보안담당 경찰관들의 인식 정도, 경찰관서 보안업무의 발전방향에 대한 설문조사 결과를  바탕으로 현재 경찰관서의 보안실태를 분석했고, 이를 근거로 내부정보 유출방지를 위한 현실적인 대안과 함께 정책적 시사점을 제시하였다.

끝으로, 제 5장에서는 앞 장의 고찰을 바탕으로 경찰관서 보안체계의 개선방안을 정리하였다. 구체적으로 물리적 보안 분야에서는 ① 보안 앱 설치 ② 업무용 노트 일괄회수•폐기 등을, 사이버 보안 분야에서는 ① 출력 후 파기까지 종이문서 이력관리 ② 디지털 워크마크 ③인터넷 PC 자료저장 방지 시스템 등을, 관리적 보안 분야에서는 ① 경찰 관서장의 의식변화 및 보안담당자의 전문성 강화 ② 정보보호 문화형성과 내재화 등을 적시하였다. 그리고 제반 보안대책을 수립하고 구체화하는데 있어서 사람이 문제의 원인이자 궁극적인 해결책이라는 점에 착안하여 사람중심의 관리적 보안의 중요성을 설파하였다.

제 2장 이론적 배경

제 1절 산업보안의 개념

1. 산업보안의 정의

산업보안이라는 용어가 보편화된 것은 비교적 최근이라고 할 수 있다. ‘산업기밀보호센터’가 지난 2003년 10월 국정원에 설립된데 이어, 2006년 10월 ‘산업기술의 유출방지 및 보호에 관한 법률’이 시행되면서 산업기술과 기밀의 유출에 대한 인식이 확산되었고 산업보안이라는 용어가 방송, 신문 등 다양한 분야에서 폭넓게 사용되기 시작했다.

국립국어원의 ‘표준국어대사전’은 ‘산업’의 의미를 ‘인간의 생활을 경제적으로 윤택하게 하기 위해 서비스나 재화를 창출하는 생산적 조직이나 기업, 공업•농업•임업•목축업•광업등 유형물의 생산 뿐만 아니라, 금융업•상업•서비스업•운수업 등과 같이 생산에 직접 관련되지는 않지만, 국민경제에 불가결한 산업 분야도 포함하며, 좁은 의미에서는 공업만을 가리키기도 한다’고 정의하고 있다.

아울러, ‘보안’은 사회 안녕과 질서를 지키고 안전을 유지하는 것을 의미한다. 일반적으로 보안이라는 말을 생각할 때, 많은 사람들은 국가나 기업의 중요한 핵심정보를 은밀하면서도 불법적인 방법으로 침해하려는 크래커(Cracker)를 먼저 떠올리지 않을까 짐작된다. 따라서 보안에 대한 일반 시민들의 주요 관심은 권한없는 자의 접근으로부터 핵심정보를 안전하게 보호하고자 하는 것이다. 인가되지 않은 접근은 단지 외부의 네트워크만을 의미하는 것이 아니라, 조직 내에서 같은 네트워크를 공유하고 있는 동료라고 해도 정보의 중요성과 민감도에 따라 네트워크를 분리하거나 엄격하게 접근을 통제함으로써 중요정보를 보호해야 할 필요성이 제기되고 있다.

현재, 보안이란 용어는 국가 기관마다 각각 상이한 뜻으로 사용되고 있다. 국방부에서는 국가의 안전보장에 영향을 주는 문서, 인원, 통신과 보호지역 등을 불순분자나 간첩의 침해행위와 적성국가와의 경쟁을 극복하고 이기는데 필요한 요인을 찾아 그것을 보호하는 제반 대책을, 국정원에서는 간첩•기타 반국가활동세력과 그 추종분자의 국가에 대한 위해 행위로부터 국가의 안전을 보장하는 것을(정보및보안업무기획•조정규정, 대통령령), 경찰에서는 범죄로부터 생명•신체 및 재산을 보호하고 공공의 안녕•질서를 유지하는 모든 활동(물론, 경찰의 다양한 분야 중 수사기능에서는 수사보안, 정보기능에서는 정보보안, 인사기능에서는 인사보안 등 세분화된 표현을 사용하기도 한다.)으로 이해한다. 이렇듯 보안의 개념이 사용 기관에 따라 다양한 의미를 지니고 있지만, 국내에서는 軍에서 보안이라는 단어를 가장 많이 사용하였고, 그 외에도 경찰과 기타 국가기관 및 일반 기업에서도 보안의 중요성이 강조되면서 오늘에 이르고 있다.(박동희, 2013 : 9)

따라서, 위에서 살펴본 ‘산업’과 ‘보안’의 개별적 의미를 토대로 접근할 때 ‘산업보안’의 개념은 넓은 의미에서 ‘모든 경제활동을 범죄로부터 보호하는 일체의 노력’이라고 해석할 수 있다. 다시 말하자면, 소극적으로는 피해를 예방하는 손실방지(Loss Prevention) 활동은 물론, 적극적으로는 범죄로부터 산업을 보호하고 유형, 무형의 모든 자산을 안전하게 지키는 자산보호(Asset Protection) 활동을 의미한다. 산업보안의 개념을 ‘범죄, 즉 각종 법익침해 행위로부터 생명•신체 및 재산을 보호하고 공공의 안녕•질서를 유지하는 모든 활동’으로 규정할 때 산업보안은 크게 시설대책이나 출입통제에 방점을 두는 물리적 보안, 네트워크 관리 또는 시스템 접근제어에 주안점을 두는 사이버 보안, 정보보안 교육과 보안정책에 주로 집중하는 관리적 보안의 3가지 영역으로 나누어질 수 있는데, 아래에서는 내부정보 유출방지를 위한 보안영역별 제도와 최근 주요 기술동향 등에 대해 알아보고자 한다.

[그림 2-1] 산업보안의 3 영역

(출처 :  https://blog.naver.com/g_post/220343110653 검색일 : 2018.3.26)

2. 물리적 보안

(1) 물리적 보안의 개념과 기능

물리적 보안은 발생 가능한 각종 위해요소들로부터 인원과 자산 등을 보호하기 위해 전개되는 물리적인 조치를 의미한다. 즉, 지진, 폭염, 화산폭발, 태풍, 폭설, 홍수 등과 같은 자연재해는 물론, 내부에서 물리적 보안영역 밖으로 정보와 자원을 유출하거나 외부로부터 물리적 보안영역 안으로 침입하는 것을 방지하기 위한 보안방법 중 하나로, 사이버 수단을 이용하는 사이버 보안에 대비되는 표현이라고 할 수 있다. 보안대상을 물리적으로 보호하기 위해서는 위해요인이 보안대상에 접근하는 것 자체를 통제해야 한다. 물리적 보안은 일반적으로 사람이나 물품, 차량 등에 대한 통제를 기본업무로 하면서, 자산의 반출입에 대한 통제와 검색, 위해요소의 감지와 감시, 위험상황 대응 등을 통해 시설과 자산의 보호, 주요 인사의 신변보호, 안전사고 및 화재의 예방과 대응, 도청의 예방과 탐지 등을 수행한다.

[표 2-1] 물리적 보안의 기능과 방법

주요 기능	주요 방법
자산 및 시설보호	‣보안인력․보안시스템․보호장치 운용 ‣물품 반출입 통제 및 검색, 사람․차량 출입통제
주요인사 보호	‣인원․차량․장비 운용 ‣안전조치, 대피 및 방호
화재 및 안전사고의 예방․대응	‣위험 경고․안내판 설치, 안전시설 설치, 소화장비 사용 ‣운전자 및 보행자 통행로 구분, 경고․주의판 사용 ‣순찰, 경보 및 대피, 화재 초기진압
도청의 예방	‣도청방해 및 도청탐지 ‣도청 방지시설 운용

(출처 : 산업보안학, 한국산업보안연구학회 : 241)

(2) 물리적 보안시스템

물리적 보안시스템은 물리적 보안업무의 주체인 사람을 보조하여 보안과 관련된 업무를 더욱 실효적으로 추진할 수 있도록 하는 보안수단으로, 차량•인원•물품 등의 통제, 감시, 경보 등의 기능을 하게 된다. 크게 CCTV 시스템, 출입통제시스템, 침입감지시스템으로 구분되고, 출입통제시스템에는 검색시스템, 차량통제시스템, 물품도난방지시스템이 포함된다.

[표 2-2] 물리적 보안시스템의 주요 기능과 장치

보안시스템	주요 기능	주요 장치
CCTV 시스템	‣인원․차량 등 실시간 감시 ‣영상인식, 영상녹화 ‣영상전송	‣카메라, 모니터, 렌즈, 부수장치 ‣DVR, 지능인식, Motion Detection ‣인터넷, 동축케이블 등 통신매체
출입통제 시스템	‣물품 반출입 통제, 인원․차량 출입 ‣물품검색 ‣물품 도난방지	‣인식장치(카드, RFID, 지문인식 등) ‣금속탐지기, X-ray 검색기 ‣물품 도난방지 장치
침입감지 시스템	‣비상 통보 및 대응 ‣무단침입 감지 및 경보 ‣무인경비 서비스	‣경보장치 ‣감지기 ‣관제 S/W

(출처 : 산업보안학, 한국산업보안연구학회 : 254)

1) CCTV 시스템

CCTV는 Closed Circuit Television의 약자로 폐쇄회로 TV를 의미한다. 즉, 카메라와 모니터를 케이블로 연결하여 촬영된 영상정보를 특정인만 볼 수 있도록 하는 TV를 말하는데, 교통 관제용, 산업용, 교육용, 방재용, 의료용, 화상정보 전달용 등 다양한 용도로 활용된다. CCTV 신호는 일반 텔레비전 방송과 달리, 마이크로 웨이브 링크, 동축케이블 또는 제어 접근이 가능한 다른 전송매체로만 전송되기 때문에 일반 시민들은 임의로 수신할 수 없다. 금융권 등 보안이 필요한 곳이나, 주택가 이면길 등 우범지대에 무인 감시용으로 사용되는 경우가 많다. 최근에는 경찰수사의 기본이라고 할 정도로, 모든 영역에서 CCTV에 대한 의존도가 높아지고 있다. 특히, CCTV 설치를 통해 범죄에 대한 두려움 감소, 범인 발견, 경찰인력 보완, 범죄예방과 억제, 체포의 용이성 등의 효과를 얻을 수 있다. 하지만, 일반 시민들의 초상권 및 프라이버시 침해 우려 등도 함께 거론되고 있다.(두산백과)

2) 출입통제시스템

출입통제시스템은 인가된 사람과 비인가된 사람을 각각 구분하여 출입을 허용하거나 통제하는 시스템이다. 출입통제장치는 출입통제라는 기본적인 기능 외에 출입자에 대한 인식기능과 관리기능을 이용하여 근무태만 관리 등 추가적인 기능도 수행할 수 있다. 출입통제를 위한 방법은 크게 세 가지 범위로 압축될 수 있다. 그 중 하나는 인가된 사람에게만 발급된 증표에 의한 방법, 즉 인식카드이고, 다른 하나는 얼굴이나 지문, 음성, 홍채 등과 같이 신체적 특징점을 활용하는 것이며, 나머지 하나는 비밀번호를 사용하는 것이다. 인식을 위해 주어진 증표나 비밀번호, 신체적 특징을 같이 사용할 수 있으며, 이처럼 두 가지 이상의 인식방법을 동시에 사용하는 것을 다중인식이라고 한다.

3) 침입감지시스템

침입감지시스템(Intrusion Detection System)은 침입 등 비정상적인 상황을 현장 감지기를 통해 감지한 후 경보 등의 형태로 제공하여 이상상황에 적절하게 대응할 수 있게 해 주는 시스템이다. IDS는 도난경보시스템(Burglar Alarm System), 전자경비시스템(Electronic Security System) 등으로 불리고 있으며, 기계경비회사가 이를 용역 서비스 형태로 제공하면서 무인경비시스템이라고 알려져 있기도 하다. 특히, 외곽(울타리) 침입감지를 위해 사용되는 침입감지시스템을 외곽감지시스템 또는 울타리 감지시스템이라 부른다.

4) 검색장비

①) X-ray 검색기 : 반입되는 위험물이나 무기, 자산 등의 물품을 검색하기 위해 사용되며, 대상물질의 성분을 구분하여 판독하는 방법과 밀도 차이를 구분하여 판독하는 방법이 있다.

②) 전신 검색기 : 인체에 X선 등의 전자파를 투시하여 은닉한 물품을 검색하는 장비이다. 사생활 침해 논란이 있지만, 이를 보완할 수 있는 방법이 제시되면서 사용이 증가하고 있다.

③) 금속탐지기 : 철금속 물질과 일부 비철금속 물질(금, 은, 동 등)을 탐지할 수 있지만, 비금속성 물질은 탐지가 곤란하다. 하지만, 최근에는 금속탐지기에 걸리지 않으면서도 일반 무기와 같은 치명적인 위력을 가지고 있는 유리섬유 강화 플라스틱 등으로 만들어진 무기를 주변에서 쉽게 구할 수 있으므로, 이를 탐지할 수 있는 방안이 마련되어야 할 것이다.

5) 물품도난방지시스템

물품도난방지시스템(Electronic Article Surveillance)은 중요 도서나 물품 등이 정당하지 않은 방법으로 외부로 유출되는 것을 경보•감시하는 장치로, 다양한 방법으로 활용되고 있다.

(3) 도청의 개념과 예방

감청은 통신비밀보호법 제2조에 ‘전기통신에 대하여 당사자의 동의없이 기계장치•전자장치 등을 사용하여 통신의 음향•문언•부호•영상을 청취•공독하여 그 내용을 지득 또는 채록하거나 전기통신의 송•수신을 방해하는 것’이라고 규정되어 있다. 감청은 범죄수사나 안보상 목적으로 법원의 허가 등 적법한 절차를 통해 각종 정보를 파악하는 것으로, 단체나 개인의 사적인 이익을 위해 개인, 기업, 국가 등 타인의 승낙과 동의를 얻지 못한 채 유•무선 또는 기타의 수단이나 방법으로 대상자의 전화통화나 대화내용 등을 청취 및 녹음함으로써 사생활을 침해하고 각종 신상파악과 정보를 수집하는 도청과 구분된다. 도청은 ‘도둑처럼 몰래 훔쳐 듣는다’는 뜻으로 경제적•정치적 또는 개인적 목적 등의 이유로 지속 증가추세에 있다. 기업 차원에서는 경쟁사의 인수•합병, 마케팅 및 신제품 개발 전략 등을 입수하기 위해, 개인 차원에서는 이혼소송에 유리한 정보 확보 등을 위해 악용되고 있지만 불법적인 방법으로 이루어지고 있는 만큼, 철저하게 차단되어야 한다.

도청으로 인한 기업의 기밀유출과 개인의 프라이버시 침해 등이 사회적으로 이슈화되면서 유•무선 도청기기 탐지에 관한 관심이 증가하고 있다. 2004년 1월 통신비밀보호법을 개정하여 불법감청설비탐지업을 등록제로 전환하도록 규정함으로써 공식적으로 불법감청을 예방•차단하는 한편, 불법적인 감청설비를 탐지할 수 있게 되었다. 세계 주요국의 정보기관들은 상당부분 도청에 의존하여 자국의 핵심이익에 필요한 정보를 수집하고 있고, 이를 위해 도청장비를 꾸준히 개발 중인 것으로 알려져 있다. 범인체포나 수사를 통해 실체적 진실에 기여하는 감청과는 달리, 도청은 불법을 전제로 하는 만큼, 상당한 논란이 될 수 있다.

3. 사이버 보안

(1) 산업보안을 위한 IT 보안체계

컴퓨터와 네트워크 상에 발생할 수 있는 정보보안상의 모든 사고위협으로부터 내부 정보자원의 가용성, 무결성, 기밀성을 보호하고 유지하는 것이 사이버보안의 목적이다. 가용성(Availability)은 DDoS 등 외부의 공격으로부터 파일, 데이터베이스 등 내부의 정보자원을 보호하기 위해, 불법적인 접근은 불허하고 허가된 사용자만 사용하도록 인가하는 것을 의미한다. 무결성(Integrity)은 변경 시도 등으로부터 내부정보를 보호하기 위한 것으로, 인가된 사용자만이 내용을 변경할 수 있게 하는 것이다. 즉, 원래 정보가 변조되거나 불법적으로 위조되는 일이 없이 완전하게 유지되는 것을 의미한다. 기밀성(Confidentiality)은 도청 등으로부터 내부의 정보처리 과정을 보호하기 위한 것으로 전송자료 또는 내부자료에 대해 인가된 사용자 외에는 외부에서 내용을 확인하거나 볼 수 없도록 하는 것을 의미한다.

(2) IT 보안기술

1) 메신저 및 이메일

메신저 및 이메일 보안이란 인터넷을 통한 메신저 및 전자메일의 내용을 암호화하고 규칙에 따라 사전 필터링을 하는 내부정보 유출통제 기술을 말한다. 전송 ID, 메시지 크기, 키워드, 수신지 주소, 첨부파일 개수, 첨부파일 이름 등의 규칙에 기반한 필터링을 하고, 규칙에 위배되고 어긋나는 내용을 탐지하는 기능이 있다.

2) 이동저장장치 보안

개인용 컴퓨터에 연결될 수 있는 이동저장장치(Memory Card, Mobile Phone 등)에 대한 권한을 통제하는 IT 보안기술을 말한다. 다양한 통신채널 및 이동저장장치를 통한 파일유출 가능성에 대비하여 인증기능 및 사용자 식별, 저장된 정보의 임의복제 방지 기능, 지정 데이터 암•복호화 기능 등이 사용되고 있다.

3) 문서보안(Digital Rights Management)

문서보안은 기존의 파일 암호화를 토대로 각종 권한관리•인증관리가 첨부되어 권한이 없거나 인증되지 않은 사람은 전자문서 접근을 불가능하게 한다. 또한, 문서 생성에서부터 유통과 폐기에 이르기까지 모든 과정에 보안규칙을 적용하고 문서의 유출경로까지 파악함으로써 기밀문서 등의 무단 유출을 방지하기도 한다.

4) 데이터베이스 활동 모니터링

내부자에 의한 데이터베이스 유출이나 외부 해킹은 금전적인 손해는 물론 직의 신뢰성에 심각한 손상을 입힐 수 있다. 이를 방지하기 위해 DB에 대한 의도적인 파괴나 변경, 인가되지 않은 접근, 데이터의 일관성을 저해하는 사고 등으로부터 DB를 감시하고 외부 접근을 탐지•통제하는 IT 보안기술을 데이터베이스 활동 모니터링이라고 한다.

5) 데이터베이스 암호화

DB 암호화는 데이터를 암호화하여 저장하고 필요한 경우, 이를 복구하여 조회• 변경하고 재차 암호화하여 저장하는 IT 보안기술을 말한다. 저장 데이터에 대해 의도적인 정보의 파괴나 변경은 물론, 인가되지 않은 접근 등으로부터 데이터를 보호하며, 데이터를 암호화하는 것이 데이터 유출시에도 중요정보의 악용을 막기 위한 가장 확실하고 안전한 방법이다.

6) 네트워크 접근 제어

사용자 단말기가 네트워크에 연결되는 순간부터 단말기의 보안 상태를 점검하여 조직의 보안정책에 위배되는 단말기에 대해서는 격리•치료•접속 허용 등 과정을 거쳐 내부 네트워크와 가입자 단말기를 보호하는 IT 보안기술을 말한다.

7) IT 보안관제

IT 보안관제란 전문 보안업체가 인력과 기술, 프로세스 등을 제공하여 시스템과 네트워크 손상을 막기 위해 실시간으로 모든 시스템을 모니터링하여 신속히 대응, 관리하는 것이다.

(3) 최신 IT 보안기술 동향

1) 데이터베이스 보안 기술

지난 2009년 정보통신망 이용촉진 및 정보보호 등에 관한 법률의 데이터베이스 관리 시스템에 대한 위·변조 방지 및 접속기록 보관 규정으로 인해 시장이 급속히 성장하고 있다. 관련 법에 따라, 인터넷 사업자 및 전기통신 사업자 등에게 적용되던 개인정보의 기술적·관리적 조치의 기준이 준용사업자들로 확대되면서 법 적용이 대형 할인점, 여행사, 병원 등 소규모 사업자에 이르게 되었다. 데이터베이스 암호화 시장도 정보통신망법으로 인해 기업들이 미루어왔던 데이터베이스 암호화 계획을 본격적으로 추진해 운영하고 있어 관련 시장의 확장세가 두드러지고 있다.

2) 네트워크 보안기술

① 침입방지시스템(IPS : Intrusion Prevention System) : 네트워크 보안을 위한 필수 솔루션이 바로 침입방지시스템이다. 기관과 기업들이 날로 급증하는 악성 침해, 유해 트래픽, 다양한 애플리케이션의 취약점 공격으로부터 정보자원 보호를 위해 도입해 운영하고 있다. 하지만 시장이 포화상태에 이르렀고, 통합관리의 열풍과 보다 전문적인 지식을 요구하는 까다로움이 성장을 더디게 하면서 침입방지시스템에 대한 관심이 다시 이목을 집중시키고 있다.

② 분산서비스 방해공격 차단시스템(DDOS : Distributed Denial of Service) : 2009년 7월 7일 국내 공공기관(청와대, 국회, 한나라당, 외통부, 국정원, 행정안전부, 국방부 등), 언론사(조선닷컴), 금융권(외환은행, 신한은행, 농협 등), 기업(안철수 연구소, 네이버, 다음 등) 등 사회적 공공재를 겨냥한 분산서비스 방해공격으로 서비스 장애가 야기된 이후, 분산서비스 방해공격 전용 차단시스템 시장이 큰 폭으로 성장하고 있다.

③ 통합보안시스템(UTM : United Threat Management) : 그간 많은 기업들이 방화벽, 바이러스 백신 소프트웨어, 가상사설망 등의 보안 솔루션을 별도 운영해 왔지만 최근에는 복합기능 보안 솔루션이 인기를 끌고 있다. 통합보안시스템은 고성능, 다기능의 보안기능을 단일 프로그램 형태로 구성하고, 관리의 복잡성을 최소화함으로써 고객의 수요를 충족시켜 주고 있어 차세대 통합보안 장비로 거론되고 있다. 특히 보안기기에 대한 성능적인 이슈와 관리의 어려움을 복합적으로 처리함으로써 미래의 주력 시장으로 성장할 것으로 전망된다.

3) 사회공학적 침해 기술

① 기반시설 침해 기술(Stuxnet)

바이러스 코드 안에 스턱스 넷으로 시작하는 파일이 많아 붙여진 이름이다. 스턱스넷은 작동 메카니즘이 완전하게 분석되지 않았으며, 비밀 서버에 접속해 스스로 업데이트를 하는 등 정교하게 제작된 컴퓨터 바이러스로 알려져 있다. 바이러스에 감염된 MP3 플레이어, USB 저장장치 등을 회사 컴퓨터에 연결할 때 침투한다. 스턱스 넷은 반도체, 원자력, 철강, 화학, 전기 등 주요 산업 인프라의 제어시스템에 침투해 오작동을 일으키는 악성코드를 심어 시스템을 마비시킬 수 있다. 전체 바이러스 감염의 60%가 이란에서 보고되고 있어,  이스라엘이나 미국이 이란 핵시설을 무력화시키기 위해 유포한 사이버 무기로 추정된다.

② 지능 지속형 침해 기술(Advanced Persistent Threat)

APT는 ‘다양한 IT 방식과 기술들을 이용해 정치적이거나 경제적인 목적을 위해 특정 대상에게 다양한 보안 위협들로 지속 공격하는 일련의 행위’로 정의된다. 과거의 IT 보안위협은 해커들이 방화벽을 뚫고 정보를 취득해 가거나 시스템을 무력화하는 경우가 대다수였다. 하지만, 이러한 취약점을 방어하기 위한 대책이 강구되자 핵심 시스템에 접근하기 위해 사회공학이라고 불리는 방법을 이용하기 시작했다. 사회공학이란 사회가 개인의 심리보다 기계적인 자체논리에 의해 움직인다는 개념으로, 원래 사회학 등에서 도입된 개념이다. 그러나 산업보안 분야에서는 기술적인 방법이 아니라, 사람을 타겟으로 해서 내밀한 정보를 취득하는 기법을 의미한다. 네트워크 보안담당자와 인간적인 신뢰를 구축한 후 이메일이나 전화를 통해 정보를 취득하거나 정보의 가치를 제대로 인식하지 못해 무심코 유출되도록 유도하는 것 등이 대표적인 방법이다. 사회 기간산업시설, 정부기관, 금융기관, 정보통신기업 등이 APT 공격의 주요 대상이 되고 있다.

4. 관리적 보안

(1) 정부의 인적보안 조치

기업 입장에서 시설, 문서, 전산시스템 등 중요하지 않은 것이 없지만, 이 모든 것을 관리하고 운영하는 주체는 사람이다. 정보보안은 결국 사람을 관리하는 일이고 이것이 곧 관리적 보안이다. 이와 관련 행안부는 ‘전자정부 정보보호관리체계 인증 등에 관한 지침’(개정 2013.2.20. 행안부 훈령 제 232호)의 별표 3(G-ISMS 정보보호 대책 통제사항)에서 정보보호가 필요한 분야로 정보보호 조직, 정보보호 정책, 자산관리 등에서부터 물리적 보안, 인적보안, 개인정보보호 등에 이르기까지 11개 분야 131개 세부통제 항목을 명시적으로 밝히고 있다. 이중 인적보안과 관련해서는 신규인력 채용단계는 물론 재직 時, 직무변경 또는 퇴직 時, 그리고 외부자와 관련된 보안위협을 적시하고 있다. 구체적으로 살펴보면 신규 인력을 채용할 경우 인적보안은 책임과 역할, 적격성 심사, 고용계약 등에 따른 내용을 이행하고, 재직 時 인적보안 방안으로는 정보보호 수행관리, 정보보호 훈련 및 교육, 징계규정 등이 있고, 직무변경 및 퇴직에 대한 내용으로는 퇴직시 책임사항과 자산의 반납, 접근권한의 제거 등이 있다. 끝으로, 외부자 보안과 관련된 세부통제는 외주 용역계약에 대한 보안, 민원인 접근에 대한 보안, 외부자와 관련된 위험파악 등이다.

Government Information Security Management System

[표 2-3] G-ISMS 정보보호 대책 통제사항

분야	통제	세부통제	인증 심사기준
인적보안	채용시 인적보안	역할과 책임	직원의 신규 채용시 정보보호에 관한 역할 및 책임이 문서화 되어야 한다.
		적격심사	관련 법규 및 업무 요구사항에 따라 채용 대상자에 대한 적격심사가 수행되어야 한다.
		고용계약	채용 대상자는 정보보호에 대한 책임이 포함된 고용계약서에 동의하고 서명하여야 한다.
	재직시 인적보안	정보보호 수행관리	내부직원 및 외주용역 全 직원이 수립된 정책 및 기관의 절차에 따라 정보보호를 수행할 수 있도록 관리하여야 한다.
		정보보호 교육 및 훈련	내부직원 및 외주용역 全 직원을 대상으로 주기적인 정보보호 교육 및 훈련을 실시하여야 한다.
		징계규정	보안을 위반한 직원에 대한 공식적인 징계 규정이 있어야 한다.
	퇴직 및 직무변경	퇴직시 책임사항	퇴직 및 직무변경에 관한 책임이 명시적으로 정의되고 수행되어야 한다.
		자산의 반납	모든 직원은 퇴직 및 계약 종결시 소유한 기관의 자산을 반납하여야 한다.
		접근권한의 제거	퇴직, 계약 종결 또는 직무변경 등의 사유가 발생할 경우, 정보 시스템에 대한 해당 직원의 접근 권한이 제거되어야 한다.
	외부자 보안	외부자와 관련된 위험파악	외부자와 관련된 업무에서의 정보와 정보처리시설에 대한 위험을 파악하고, 접근권한을 부여하기 전에 적절한 통제를 구현하여야 한다.
		민원인 접근에 대한 보안	기관의 정보 및 자산에 대한 민원인의 접근을 허용하기 전에 파악된 보안 요구사항에 대한 적절한 조치를 수행하여야 한다.
		외주용역 계약에 대한 보안	기관의 정보 또는 정보처리시설에 대하여 외주용역 직원의 접근을 허용할 경우, 기관의 보안요구사항을 계약서상에 명시하여야 한다.

(출처 : 전자정부 정보보호관리체계 인증 등에 관한 지침 중 별표 3)

(2) 관리적 보안

관리적 보안은 중요한 정보를 가진 부서에서 어떤 보안정책을 가지고 있는가 또는 소속 직원에 대한 훈련, 교육 등을 포함하는 관리적 부분을 뜻한다. 즉, 기술적•물리적 보안을 시스템적으로 추진하기 위한 정보보호 절차 및 체계, 사고대책, 감시 조직 등의 정보보호 활동을 말한다. 관리적 보안은 보안지침, 보안정책(Security policy), 보안절차(Security procedure), 인사보안, 정보보호 교육, 보안조직, 보안훈련(Security education), 복구절차 등의 개념을 총괄하는 전사적 보안관리 시스템이다. 아울러, 보안관련 활동을 실시간으로 감시•탐지하는 보안관제나 취약요소를 분석해 보완하는 모의 해킹, 정보보호 전담조직을 편성하고 업무를 지원하는 등 제반 관리적 요소를 통칭하는 것을 의미한다.

최근 기업의 기밀정보 도난, 사이버 테러, 개인정보유출 등 보안사고의 작은 부분만이 기술적 문제에 해당하고, 나머지 대다수는 보안정책 미수립, 보안교육 미흡 등 관리 소홀, 즉 사람에게 기인하는 사고라는 인식이 점점 대두되고 있다. 기술적•물리적 보안은 국내 보안환경에서 어느 정도 충실하게 대비되어 있지만, 관리적 보안은 상대적으로 미흡하다는 판단 속에 관리적 보안의 중요성과 필요성이 최근 들어 더욱 확산되고 있는 것이다. 관리적 보안은 여러 가지 보안위협 중에서도 내부정보 유출 문제를 심각하게 보고 있는데, 내부정보 유출의 중심에 사람이 있다고 본다.

5. 새로운 보안위협과 융합보안의 대두

(1) 새로운 보안위협

보안을 ‘범죄로부터 생명과 신체, 재산을 보호하고 공공의 안녕•질서를 유지하는 제반 활동’이라고 규정할 수 있다. 다시 말하자면, 범죄, 즉 법익침해 행위로부터 산업을 보호하는 활동이며, 소극적인 의미의 피해를 예방하는 손실방지(Loss Prevention) 활동과 적극적인 의미의 유•무형의 자산을 지키는 자산보호(Asset Protection) 활동을 모두 의미한다. 하지만, 인터넷이 발전하면서 보안에 대한 공격양상이 양적•질적으로 크게 달라지고 있다.

사이버 범죄는 과거에는 능력 과시(Ability show-off) 목적으로 이루어졌기 때문에 해킹을 당한 기관이나 조직에서 해킹을 당했다는 사실 자체를 알지 못하는 경우도 있었다. 그러나 현재에는 명백한 금전적 이득(Clear monetary goal)을 위해 행해지는 경우가 많기 때문에 해킹을 당한 기관이나 회사에서 피해 사실을 가장 먼저 인지하고 있다. 또한 사이버 범죄의 대상과 관련하여 과거에는 시스템 자체를 대상으로 공격을 했는데, 현재는 시스템 내에 존재하는 기업기밀이나 고객 정보 등을 대상으로 하고 있다. 왜냐하면 공격하는  입장에서는 시스템을 공격하는 것보다 시스템 내에 있는 기업기밀이나 고객 정보를 확보하는 것이 금전적 이득 측면에서 더욱 가치가 있기 때문이다.

사이버 범죄의 방법 면에서도 많은 변화가 있었다. 과거에는 직접 공격(Attacking Directly) 일변도로 자행되어졌다면 현재는 우회경로(roundabout path)를 이용하는 경향이 두드러지고 있다. 과거 사이버 범죄의 경우 자신의 역량을 과시하는 것이 목적이었을 뿐 아니라 범죄성에 관한 인식도 충분하지 못했으나, 현재에는 해킹 등 사이버 범죄의 주된 목적이 경제적 이득이며 이런 행위가 중한 범죄임을 알고 있는 만큼, 경찰 등 수사기관의 추적 가능성을 최소화하기 위해 우회경로를 사용하는 것이다.

끝으로, 과거에는 웜•해킹 등을 통한 바이러스•악성코드 공격이 불특정 다수를 대상으로 이루어졌다면 이제는 다양한 IT 기술과 방식을 이용해 목적과 목표를 명확하게 설정한 APT(Advanced Persistent Threat) 공격 등 주로 경제적인 목적(정치적인 목적을 가진 경우도 일부 있음)을 위해 특정 대상을 목표로, 조직적이고 지속적으로 공격하는 형태로 전개되는 등 보안위협의 유형이 복잡화, 다양화되고 있다.

[그림 2-2] 스마트 환경에서의 사이버 범죄 유형의 변화

(출처 : 사이버포렌식전문가협회 도식을 일부 변경)

(2) 융합보안의 개념과 필요성

융합보안의 개념은 여러 가지 의미로 풀이되고 있다. 일반적으로 ‘위험관리(Risk Management) 차원에서 CCTV•출입통제를 중심으로 하는 물리적 보안(Physical Security)과 정보통신 시스템을 기반으로 지식정보를 보호하는 사이버 보안(Cyber Security)을 융합하는 개념’이다. 무엇보다 ‘보안을 물리적 보안과 사이버보안으로 각각 분리•관리하는데서 비롯되는 비효율성을 극복하기 위해 고안된 개념’으로 이해되고 있다. 즉, 사이버보안과 물리적 보안 간의 융합을 의미한다. 보안기술이 非 IT 기술•산업과 융•복합되어 창출되는 것을 뜻하는데, ‘융합보안의 개념정립과 접근방법’(김정덕 외, 2009년)에서는 ‘운영의 효율성 및 효과성 향상, 비용 절감 등의 방법으로 전사적 차원에서 위험요소를 통제•관리하기 위하여 조직의 모든 보안요소들이 상호협력하고 점진적으로 통합되는 체계’라고 정의하고 있다.

과거에는 물리적보안과 사이버보안을 상호 관련성이 없는 별개의 시스템으로 인식하는 경향이 많았지만, 물리적 보안이건 사이버 보안이건 범죄행위로부터 자산을 보호하고 손실을 방지하는 기본 속성과 원리에는 큰 괴리가 없다. 단지 수단과 대상에서 차이가 있을 뿐이다. 물리적 보안에서 강조하는 접근통제나 침입탐지 등은 사이버 보안에서도 같은 방법으로 강조하는 원칙이다. 어디를 지키고 어떤 방법으로 보호하느냐 하는 보호의 대상과 수단이 다를 뿐, 손실을 방지하고 자산을 보호하는 근본적인 목표는 차이가 없는 것이다.

하지만, 물리적 보안과 사이버 보안이 동일한 목적을 가지고 있다고 하여도 세부적으로 주안점을 두는 분야가 다른 만큼, 통합적으로 운영되지 않고 상호 단절된 상태에서 독립적으로 관리, 운영되는 경우, 내부정보 유출문제를 제대로 감시하고 대응하기에 한계가 있다. 무엇보다 사물인터넷이 발전하면서 센서와 통신기능이 내장된 각종 사물들이 인터넷에 연결되고 있다. 네트워크에 연결되는 기기가 많아질수록 보안위협에 대한 불안전성이 더욱 커질 수 밖에 없는 구조이다. 특히, 사물인터넷의 대상이 되는 디바이스 자체의 보안성이 취약하기 때문에 기존에는 사이버 공간에만 머물던 해킹이 물리적인 영역으로 까지 용이하게 확산될 수 있는 여건이 마련되고 있는 것이다.

예를 들어, 2015년 10월 국내 조선사 3곳에서 10년 이상 숙련된 기술자로 근무하면서  USB에 석유시추선 핵심 설계도면 등을 저장하여 유출한 인도인을 구속한 사건이 있었다. 이 사건의 본질을 물리적 보안의 시각에서 접근해야 하는지, 아니면 사이버 보안의 문제로 이해해야 하는지에 대한 고민이 생긴다. 보안대상으로 접근할 때는 사이버 보안이지만, 사이버 보안대책만으로는 해결할 수 있는 문제가 아니다. 이처럼 지식 정보화 사회의 보안은 사이버보안이나 물리적 보안의 어느 한 영역만으로는 해결하기가 여의치가 않다. 결국 내부정보 유출사건 등 최근 이슈가 되고 있는 트렌드에 대응하기 위해서는 사이버 보안과 물리적 보안이 상호 보충적으로 관리되어야 하므로 각각의 보안영역 범위 내에서 개별적 대책을 고집하기 보다는 융합보안 측면에서 접근해야 한다는 것을 알 수 있다.

경향신문(조선사 빅3 석유시추선 핵심 설계도면 유출 인도인 구속, 2015.10.29., 검색일 2018.3.22)

제 2절 선행연구 검토

1. 물리적 보안 선행연구

김하중(2018)은 물리적 보안강화를 위해, 물리보안 전문업체와 보안 담당자를 지정하고 CCTV 등의 보안장비를 관리하고 있지만 대다수 민간기업과 공공기관에서는 보안사고 예방을 위한 물리적 보안 아키텍처 구축에 대한 인식이 부족하다는 것을 지적하면서 물리적 보안 관리체계의 한계와 이를 극복하기 위한 방안을 연구했다. 구체적으로 I-PASA(IoT Based Physical Security Architecture) 적용 도입의 이론적 배경을 체계화하고 공공 및 민간기업의 보안 담당자들에게 물리적 보안 강화를 위한 아키텍처 도입 타당성을 검증하고 향후 물리적 보안을 도입하려는 기관 및 회사에서 활용 가능한 가이드를 제시했다.

이건우(2012)는 최근 CCTV 시스템은 보안을 강조한 폐쇄회로가 아닌 네트워크를 통한 개방성을 가지게 되면서 해킹에 무방비로 노출되어 있으며 인터넷망을 통한 영상정보 수집과 원격제어가 가능하여 개인 영상정보가 불특정 다수인에게 유출되는 등 프라이버시 침해 가능성이 많다는 점을 지적했다. 이에, 네트워크 CCTV 시스템 정보보호를 위한 구체적이고 현실적인 인증제도를 수립하기 위해 KISA-ISMS를 기반으로 CCTV 관련 법규 및 지침을 통해 필수요건 사항을 분석하고 조사하여 CCTV-ISMS 인증을 위한 평가항목을 수립했다.

2. 사이버 보안 선행연구

신완수(2012)는 경찰 정보통신보안 실천수준의 영향요인에 관한 연구에서 연구변수간 상관관계 분석과 다중회귀분석을 실시해 본 결과, 개인적 실천수준을 향상시키기 위해서는 ‘관리적 정보보안 통제변수’를 강화해야 하며 무엇보다 강력한 의지를 가지고 정보보안 정책을 추진하는 방법이 개인적 실천수준에도 매우 긍정적인 효과를 야기한다는 것을 보여주고 있다. 정보보안 정책 중에서도 급변하는 IT 중심의 정보보안 환경에 부합할 수 있도록 IT 보안정책을 재•개정하고 이러한 보안정책이 현장의 경찰관들에게 충분한 수준으로 전달될 수 있도록 하는 것이 실효적인 보안사고 예방 대책이라고 제언하고 있다.

주차원(2013)은 사이버 공격에 대한 위협요소가 증가하고 있는 상황에서, 사이버 공격에 대한 국가•공공기관의 적절한 대응을 위해 국내 사이버 공격현황과 대응기술을 고찰한 후 대응방안으로 ① 국가•민간까지 포함하는 사이버 안전관리 체계 공고화 ② 침해사고 대응기관 및 전문 보안업체의 헌신적인 노력 ③ 다양한 정보보안 제품의 인증체계 정비 ④ 평가업무의 전문성과 신속성을 보장하기 위한 평가기관 의무 강화와 각 분야의 정보보안 담당자들의 보안의식 강화 ⑤ 전폭적인 정보보안 예산의 확대 등을 제시하고 있다.

맹수영(2013)은 사회공학적 기법을 악용한 해킹메일의 피해가 점점 증가하고 있고, 피해자들의 대다수가 악성코드에 감염된 사실을 알지 못해 중요정보 유출이 심각하게 우려되는 상황에서, 해킹메일에 대한 경각심과 보안의식 향상을 위해 해킹메일 훈련을 제안하고 있다. 아울러, 조직 내부 직원들이 해킹메일 뿐 아니라, 전반적인 해킹의 위험으로부터 피해를 최소화할 수 있는 방안으로 보안의식 및 교육 강화 필요성을 강조하고 있다.

3. 관리적 보안 선행연구

박진하(2012)는 기존 정보보안 교육에 관한 연구에 대한 선행조사 및 해외 정보보안 교육 사례와 효과에 대해 조사하고 조직에서 실제 보안교육을 담당하고 있는 보안 담당자들을 대상으로 현재 교육환경 및 개선사항에 대한 설문을 통해 향후 설계해야 할 교육방향에 대해 연구하였다. 실효적인 정보보안 교육설계 및 수행방안을 위해, 효율성 향상을 위한 정보보안 교육콘텐츠 생산과 정보보안 전문인력의 교육역량 강화를 제시하였다.

박동희(2013)는 군 장병들의 최근 보안의식과 실태, 그리고 군에서 발생한 보안사고 사례분석을 통해 문제점을 파악하고 이러한 문제의식을 바탕으로 발전방향을 연구하였다. 구체적으로 제도적 측면에서는 군사기밀의 과도한 지정이 없도록 지정권자 확대 또는 비밀로서의 가치 상실시 즉시 해제 등 국민의 알권리를 최대한 보장하고, 정신 보안교육과 보안 실무교육 등 보안교육을 강화하도록 하였으며, 현실적 측면에서는 보안실무자의 전문화와 강력한 신상필벌을 제시하였다.

차재원(2016)은 공공분야 보안관제 및 보안관제에 대한 연구논문과 문헌자료 등을 검토한데 이어, 공공분야 보안관제 경력이 있거나 현직 공공기관 보안관제 종사자들을 대상으로 설문조사를 하였다. 이를 통해 실제 공공분야 보안관제 업무 지표를 도출하였고 공공분야 보안관제 센터 업무의 보안성 향상 방안을 제시하였다.

4. 내부정보 유출방지 관련 선행연구

최옥현(2009)은 무선과 유선이 결합되고 방송과 통신의 경계가 무의미해지는 등 IT기술을 기반으로 하는 산업 간의 융합으로 정보보안 환경이 급변하고 있는 상황에서 국가기관 및 공공기관에서는 전자적 형태의 자료가 적절하게 관리되지 못하고 방치된 채 비인가자에 의해 무단으로 유출되거나 악성 코드에 의해 파괴되는 등 내부정보 유출사고가 잇따르고 있다고 지적하였다. 아울러, 악의적인 내부자 개념을 정의하고 내부자에 의한 정보유출 경로 등 위협요소를 분석한 후 국가기관 및 공공기관의 내부정보 유출을 방지하기 위해서는 기관장의 높은 관심 아래 정보보호 UCC 및 포스터 경연대회 등 다양한 캠페인 실시와 함께 정보보호에 대한 지속적인 투자가 이루어져야 함을 강조하고 있다.

문승주(2009)는 민간•공공 영역을 불문하고 내부정보 유출이 잇따르고 있는데도, 내부정보 유출 침해 가능성에 대한 취약성을 식별하기 위한 보편적인 평가지표나 평가방법이 존재하지 않는다는 문제를 제기하면서, 신뢰할 수 있는 내부정보 유출통제 보안수준 평가방법을 제시하기 위해 한국정보보호진흥원(KISA) 정보보호관리체계(ISMS)와 국제표준에 해당하는 ISO/IEC 27001의 위험분석 및 평가방법 등 현행 방법론을 연구하였다. 이를 기반으로, 정보자산의 손실은 계량적 분석이 어려운 점을 감안하여 정성적 분석방법과 관리적, 물리적, 기술적 보안과 같은 내부정보 통제체계의 평가접근을 위한 기준선접근법을 적용한 평가지표를 개발하여 내부정보유출 통제부문의 보안수준을 평가할 수 있는 기준을 정립하였다.

신혜원(2012)은 내부자들이 합법적인 권한을 통해 기업 내 중요정보와 핵심기술을 유출하려는 시도에 대한 위험을 예측•관리하기 위해 내부자들의 위험도를 평가하기에 적합한 위험분석 방법론을 제시하였다. 먼저, 위험도 산출의 대상인 내부자와 보호해야 하는 내부정보를 정의하였고, 내부자에 의한 내부정보 유출 유형을 분류하고 유출현황과 사례를 연구하였다. 또한, 내부자의 행위에 따른 프로파일링 생성과 정보유출에 대한 이상 징후를 탐지하기 위한 시나리오를 적용하여 내부자들의 위험도를 평가•산출하고 주요 모니터링 대상인 블랙리스트를 산출하여 내부자들의 불법적인 정보유출 시도행위를 모니터링 할 수 있게 하였다. 이러한 연구를 토대로 사건처리/위험분석/위험평가/사후관리에 이르는 총 4단계의 내부자 위험도 분석 방법론을 제안하고 있다.

5. 융합보안 측면에서 선행연구

이창훈(2010)은 융합보안시스템으로 물리보안과 정보보안 영역을 접목하였고, 이를 통해 기존의 정보보안에 치우쳐 있던 패러다임을 산업보안과 기타 세분화된 분야의 보안영역으로 확대•적용할 수 있도록 변화시켰고, 아울러 산업기밀 및 개인정보 유출 방지 등 다양한 각도에서 접근할 수 있게 하였다.

최진묵 외(2010)는 최근 이슈화되고 있는 융합보안 산업의 특징과 시장 현황을 파악함으로써 통합화되고 있는 융합보안 관제의 발전방향과 기술적 동향을 제시하였다. 또한, 융합의 기술적 동향은 보안 관제분야에서 복합적 원인을 갖는 보안사고에 대응할 수 있는 시스템을 마련해 주었고, 일부 대규모 시설이나 조직에 한정되었던 보안 관제를 개인에게도 서비스 형태로 제공하는 등 서비스의 확대를 도모할 수 있는 토대를 제시하였다. 또한, 관제 대상의 영역별 융합을 통해 각 관제 대상에서 일어나는 이벤트를 체계적으로 관리하고 상관관계를 효율적으로 분석할 수 있는 보안관제 모델을 수립•운영함에 있어, 다양한  경험의 축적이 융합보안관제의 성패를 좌우하는 결정적인 요소라고 제시하였다.

김민수(2011)는 산업사회에서 지식정보화사회로 변함에 따라 정보의 가치가 더욱 부각되고 의존성이 증가되고 있는 반면, 보안에 대한 취약성도 심화되고 있는 상황에서 통합적 보안관리를 하지 않고 일원적 보안관리 방법으로는 각종 보안 위협에 대한 문제점을 진단하고 대응방안을 강구하는데 한계가 있다는 것을 지적하였다. 아울러, 복합적 보안위협에 대한 대응방안으로, ① 기업적 측면에서 APT와 같은 네트워크를 통한 악성코드 침입과 관련, 전문보안업체를 통한 사전예방 및 사후대처를 철저히 하는 한편, 보안사고를 은폐하지 말고 적극적으로 원인규명을 함으로써 2차 피해와 되풀이되는 피해를 막아야 한다고 주장하고 있다. ② 관리적 측면에서는 보안관리와 보안교육의 실시와 함께 물리보안과 정보보안의 융합화로 인한 새로운 기기와 제품의 생산으로 더욱 향상되고 안정적인 보안영역을 구축할 수 있을 것으로 기대하고 있다. ③ 국가적 측면에서는 국가핵심기술 지정을 통한 보호를 확대하되, 다원적 법체제와 협의적 보안영역으로 인한 한계점들을 극복할 것을 주문하고 있다.

제 3장 경찰 내부정보 유출의 심각성과 사례

제 1절 내부정보 유출의 심각성

1. 프레너미(Frenemy)의 대두

정부는 2009년 7월 초 좀비 PC 11만여대가 22개 주요 사이트를 비롯한 정부기관을 공격해 인터넷 망을 마비시킨 디도스(Distributed denial of service) 공격을 잊지 말고 사이버 보안의 중요성을 기억하자는 의미에서 지난 2012년부터 매년 7월 둘째 주 수요일을 ‘정보보호의 날’로 지정하여 기념행사를 하고 있다. 하지만, 벌써 여섯 번째 정보보호의 날을 맞이했고 정부와 민간기업의 다양한 노력에도 불구하고, 개인의 정보유출에 이어, 기업과 공공기관의 내부정보 유출 등 다양한 정보유출 사고가 끊이지 않고 있다. 우려할 만한 사실은 정보유출이 단순하게 양적으로 증가되고 있을 뿐 아니라, 보안위협의 종류가 갈수록 복합화되고 다양한 방법과 채널로 부단하게 보안사고가 일어나고 있고, 그 결과가 점점 심각해져 가고 있다는 것이다. 새로운 기술의 등장은 또 하나의, 새로운 잠재적 보안위협을 양산하게 되고, 이러한 보안위협에 그간의 물리적 보안, 사이버 보안, 관리적 보안 등 개별적•단편적 형태의 대응으로는 종합적이고 실효적인 대책 마련에 한계를 보여 왔다.

또한, 암호화 및 사용자 인증 등의 첨단 보안기술이 헬스케어, 에너지, 자동차 등 非 IT산업에 활용되는 IoT가 확산되면서 보안이 금융보안, 의료보안, 산업보안, 국방보안 등 사회 全 분야와 밀접하게 관련되고 있다. 스마트폰의 등장으로 업무환경의 변화 또한 가속화되고 있다. 그동안 사무실에 국한되었던 근무형태가 스마트 워크 방식 즉 현장 또는 자택에서 IT 기술을 이용하여 업무를 수행하고 화상회의 시스템을 이용한 원격근무 등 개방형 환경으로 변화하였다. 이와 같이 업무환경의 경계선이 무너지고 기술의 발달로 인한 스마트폰과 같은 초소형 휴대장치의 등장 등은 기존의 보안시스템에 있어서는 새롭고도 낯선 보안위협이 될 수 밖에 없다. 이러한 업무환경 변화와 보안위협에 대한 대안으로 융합보안이 대두되고 있는 것이다(김민수, 2011 : 63)

새로운 보안위협 중에서도 내부자료 유출 문제로 피해를 보는 민간기업들과 공공기관들이 지속적으로 증가하고 있어, 내부자 위협문제에 특히 관심이 집중되고 있다. 인터넷 메신저 서비스, 전자우편, P2P 등을 통해 고객정보 또는 기업 기밀정보가 무단 유출되는 등 내부정보 유출사고에 따른 기업과 공공기관의 경제적 손실•신뢰도 훼손 등이 급격히 증가하면서 친구(Friend)이자 적(Enemy)을 의미하는 ‘프레너미(frenemy)’, 다시 말해서 내부직원에 의한 정보유출이 조직에 미치는 위협과 영향력이 더욱 높아지고 있다.

기업의 관리영역의 범위를 벗어난 IT 기기를 활용해서 업무를 수행하다 부지불식 중에 중요한 정보를 유출하거나 퇴직 직전에 조직의 기밀 정보나 지적 재산을 빼돌리는 등 핵심 정보 유출사고의 상당수가 외부침입이 아니라, 전•현직 임직원의 악의적 의도나 부주의에서 비롯되고 있다. 내부자 위협이 증가한다는 사실 자체가 낯설고 새로운 것은 아니다. 기업과 공공기관에서 다양한 자료를 축적하고 있고, 활용을 극대화하기 위해 공급사, 파트너사, 클라우드 제공업체, 고객 등과 긴밀하게 공유하고 있는 현실에서, 내부자 위협문제가 지속적으로 증가하고 있다는 점이 안타까울 뿐이다.

2. 보안전문업체의 관련 연구 및 설문조사

지난 2016년 6월 네덜란드에 소재한 웹 호스팅 제공업체 베레록스(Verelox)는 고객들이 가상 서버와 데이터에 접근하지 못하도록 서비스 전체를 통제•차단해야 했다. 또 다른 랜섬웨어(Ransom ware)가 발생한 것일까? 베레록스는 IBT(International Business Times)를 통해 "회사를 그만 둔 직원이 불만을 품고 ‘모든 고객 데이터를 삭제하고 대부분의 서버를 지워버렸기 때문에 발생한 것’이라고 밝혔다. 다행스럽게도 며칠 후 베레록스는 중요한 데이터를 손실 없이 복구할 수 있었다.

위의 사례에서 보듯이, 보안에 투자하는 돈과 노력이 큰 폭으로 증가하고 있다고는 하지만, 기관이나 기업들이 느끼는 불안감은 오히려 더욱 짙어지고 있다. 이 불안감의 가장 큰 원인이 바로 내부자의 위험임이 최근 설문조사 등 연구보고를 통해 드러났다. 먼저, 해이스택스 테크놀러지(Haystax Technology)가 2017년에 전 세계 보안전문가 508명을 대상으로 실시한 설문조사 결과를 살펴보겠다.

조사 결과 응답자의 74%는 ‘현재 회사는 내부자 위험에 매우 취약하다’고 답했는데, 이는 2016년에 같은 방법으로 진행된 설문보다 약 7% 증가한 수치이다. 또 56%는 내부자 위험으로 인한 사건이 지난 1년간 더욱 빈번해졌고 75%는 내부정보 유출 문제 해결 비용이 50만 달러에 달하는 것으로 예상한다고 응답하기도 했다. 해이스택스는 내부자 위험으로 인한 사건들을 세부적으로 분류했다. 응답자의 70%가 ‘조심성 없이 데이터를 다루다가 실수로 유출되는 경우’를 꼽았고, 68%는 ‘조직내 보안관련 정책을 알고도 무시해버리다가 정보가 유출되는 경우’를 꼽았다. 악의를 가진 내부자가 고의로 벌이는 사건도 61%나 차지했다.

2016년 IBM 조사에 따르면, 모든 데이터 유출의 60%가 내부자로 인해 발생했다고 한다. 그 가운데 75%는 악의로 인한 것이었고 25%는 실수였다. 2017년 버라이즌(Verizon) 설문조사에서는 내부자로 인한 데이터 유출이 77%에 달하는 것으로 나타났다. 액센추어(Accenture)의 2016년 ‘사이버 보안 및 디지털 신뢰 실태’(State of Cybersecurity and Digital Trust) 설문조사에서 기업 보안담당 임원들은 ‘내부자 데이터 도난과 악성코드 공격’을 가장 크게 우려하는 것으로 나타났다. 응답자의 대부분인 69%는 기업에서 이전 12개월 동안 내부자가 절취(또는 데이터 변형)를 시도하거나 절취에 성공한 적이 있다고 말했다. 2015년 보안파일 공유 서비스 제공없체인 비스콤(Biscom)에서 실시한 설문조사의 응답자 4명 가운데 1명 이상이 기업에서 퇴사할 때 데이터를 가지고 나온다고 인정했다. 그 가운데 85%는 자신이 작성한 자료를 가지고 나왔으며 잘못되었다고 생각한 적이 없다고 말했다. 그리고 데이터를 가지고 나온 사람 가운데 95%는 고용주가 이를 방지할 툴이나 정책이 없거나 정책이 있다고 하더라도 무시했기 때문에 가능했다고 말했다.

3. 내부정보 유출

(1) 내부정보 유출의 경로와 의미

다양한 보안전문업체의 연구와 설문조사를 통해 내부자 위협, 특히 악의를 가진 내부자 공격에 대해 기관이나 기업이 그동안 취해 왔던 조치들이 제대로 효과를 발휘하지 못하고 있다는 것을 알 수 있다. 이제 그동안 수많은 보안 전문가들이 심각성을 경고해 온 내부정보 유출의 의미와 경로, 그리고 원인과 실태 등을 살펴 보겠다.

영화 ‘미션 임파서블’을 본 사람이라면 주인공(Tom Cruise)이 로프에 위태롭게 매달린 상태에서 컴퓨터에 있는 파일을 복사하는 장면을 기억할 것이다. 엄격하게 관리되고 통제되는 내부정보를 유출하기까지의 지난한 과정을 묘사하고 있지만, 실제 현실에서는 훨씬 간편하고 쉬운 방법으로 내부정보가 유출되는 사례들을 어렵지 않게 볼 수 있다. 내부정보가 유출되는 사례는 ‘내부 사용자에 의한 유출’과 ‘외부침입으로 인한 유출’ 등 크게 두 가지로 구분되는데, 외부침입으로 인한 유출은 상대적으로 단순하다. APT 공격, 해킹 등 말 그대로 조직의 네트워크 외부에서 내부로 은밀하게 침입하는 것들이다. 내부 사용자에 의한 유출에는 내부 임직원이 중요한 자료를 USB, 노트북 등의 저장장치와 프린터 등을 이용하여 복사를 한 후 물리적 보안검색을 피해 외부로 유출하는 직접 유출과 기관내의 인트라넷이나 인터넷을 이용하여 E-mail 등을 통해 전송한 다음 외부에서 이를 다운받는 형식의 사내-공공망 유출이 있다(김민수, 2011 : 41). 유출경로를 불문하고 내부 사용자에 의한 유출은 악의적인 내부자와 부주의에 의한 내부자로 구분될 수 있다. 악의를 가진 내부자 뿐만 아니라, 부주의한 직원 역시 내부정보 유출의 원인이 되고 있는 것이다. 내부 네트워크•시스템 등에 합법적으로 접근할 수 있는 권한을 가진 직원조차 한순간의 부주의로 기업을 위험에 처하게 할 수 있다. 중요 데이터가 담긴 USB 드라이브나 노트북을 택시에 두고 내리거나 커피숍에 두고 나와 분실하는 것 등이 좋은 예다. 출력된 중요 문서의 분실, 잘못된 이메일 발송, 집에서 남은 업무를 처리하려고 자신의 메일 계정으로 중요한 데이터를 전송하는 것 등 그 방식도 다양하다. 기관이나 기업 내부의 사정을 잘 알고 있는 내부 임직원들이 개인의 이익이나 악의적인 의도로 중요 내부정보를 유출하거나 조직 내의 중요한 시스템에 위협을 가한다면 외부자에 의한 위협보다 더 심각한 신뢰상실 및 재산적 손해가 발생될 수 있다. 이러한 내부정보 유출은 기관 및 개인이 가지고 있는 정보를 자손심 회복, 경제적 이익 등 다양한 목적을 위해 정보주체가 동의하지 않은 상태에서 내부자가 무단으로 해당 정보를 가지고 가는 행위를 의미한다.

[그림 3-1] 내부정보 유출

(출처 : 신혜원, 2012 : 7)

(2) 내부정보 유출의 원인

드라마나 영화에서 경쟁 업체의 핵심 정보를 거래하는 장면이 심심치 않게 등장한다. 이때 거래되는 정보의 종류는 주요 설계도면, 입찰정보, 핵심인사 정보, 차기 프로젝트 내용 등 다양하다. 이렇게 유출된 중요문서는 어느 정도 경제적 가치가 있을까? 일반적으로 영화나 드라마에서는 서류가방에 가득한 뭉치 돈을 보여줌으로서 매우 비싸다는 것을 암시한다. 단지 영화나 드라마 속에서만 이렇게 묘사되는 것일까? 많은 정보유출 사례는 실제로 내부정보 유출의 가장 큰 이유가 경제적 목적, 즉 ‘돈’이라는 것을 보여 준다. 외부침입에 의한 보안사고는 특별한 메시지나 경고를 전달하려는 의도가 있다면 내부자에 의한 정보유출은 금전적인 목적이 크다고 할 수 있다. 내부정보 유출의 또 다른 원인으로는 개인의 업무성과를 ‘기업의 자산’으로 보기보다 ‘본인의 소유’로 접근하는 시각이 강하기 때문이라는 주장도 있다. 그러다 보니 이직 또는 퇴직하면서 회사의 영업 고객 리스트를 뽑아 가지고 나간 후 자신의 신규사업 등에 이용하는 사례가 반복적으로 나타나고 있다.

금전적인 이익을 목적으로 하는 내부정보 유출 사고가 최근 증가하는 배경은 무엇일까? 기술의 발달 및 기기의 소형화, 높은 위험에 따른 고소득 보장, 디지털 정보의 무형화, 경기악화에 따른 고용 불안 등을 내부자에 의한 정보유출의 주요 배경으로 거론할 수 있을 것이다. 첫째로 노트북과 디지털 카메라, USB 등 고성능 휴대용 정보기기 및 저장장치의 발달과 보편화, 그리고 소형화로 인해 대규모의 정보유출이 훨씬 수월해졌다. 또한, 무선 인터넷의 초고속화와 인터넷 메신져 서비스, 대용량 웹메일 및 웹하드 등은 파일을 어렵지 않게 외부로 전송, 유출할 수 있게 해 준다. 둘째로, 디지털 자료의 특성상 정보시스템에 저장된 무형화된 정보와 파일은 외부로 전송하거나 복사하여도 원본 파일에 손상이 전혀 발생하지 않으며 분실, 직접적인 파괴 등이 없어 경쟁업체의 은밀한 유혹으로 연결되고 결과적으로 내부정보 유출 시도를 더욱 부추기게 된다. 셋째로, 최근에는 급격한 경기침체로 평생직장이 보장되지 않고 정리해고 또는 이직이 빈발하면서 자신의 가치 상승을 위해 내부정보 유출을 시도하는 횟수가 증가하고 있다. 물론, 앞에서 언급했듯이 악의적인 내부자 뿐 아니라 단순 실수나 부주의로 인한 내부정보 유출 역시 무시할 수 없는 수준이다. 어떤 이유에서건 내부정보 유출의 원인은 매우 다양해서 일률적으로 규정하기가 어렵기 때문에 내부 공격자를 구체적으로 정의하거나 분류해 내는 것은 매우 제한적인 일이다(최옥현, 2009 : 37).

(3) 내부정보 유출의 심각성

많은 보안 담당자들은 크래커(Cracker)를 두려워하지만, 정작 대형 보안사고의 대부분은 내부자에 의해 발생되어 왔다. 미국 연방수사국(FBI) 보고서에 따르면 보안사고의 80%는 내부자에 의한 것이라고 한다(한국경제매거진, 2015.1.17. 해커보다 더 무서운 내부자 부주의, 검색일 2018.3.2). 정보통신 기술을 이용하는 조직이라면 기업이든 정부든 또는 세계적 기업을 대상으로 서비스를 제공하는 클라우드 사업자든 간에 내부자에 의한 보안위협이 큰 문제가 되고 있다. 조직은 중요정보 및 데이터를 책임지고 있는 담당자를 어떻게 관리할 것인지 고민하지 않을 수 없다. 결국 이 문제는 ‘감시자를 누가 감시할 것인가’ 하는 딜레마로 귀결된다.

초기에는 외부침입에 의한 정보유출 사고가 많았다. 그러나 정보통신 환경이 복잡해지고 보안사고의 양태가 지능화됨에 따라 현재는 내부자에 의한 사고가 점증하는 추세이다. 에드워드 스노든 사건은 내부자 위협을 그 어느 때보다 경계해야 할 시기가 되었음을 알려주는 역할을 했다. 내부자에 의한 정보유출이 외부 침입에 의한 것 보다 금전적으로 더 큰 피해를 야기하고 방어가 더 어려운 위협을 초래하는 경우가 많다. 보안시스템 강화로 인해 보안장벽을 뚫고 들어올 수 있는 외부요인은 줄었지만, 내부 직원을 대상으로 한 보안은 상대적으로 취약하기 때문이다. 즉, 외부의 도둑이나 강도는 피해자의 집으로 침입해 들어가야 한다. 하지만, 그 집 안에 살고 있는 누군가가 물건을 훔치려 한다면 그럴 필요가 없다. 현관문 열쇠와 보석함의 위치를 잘 알고 있기 때문이다. 데이터 침해사고를 조사하는 미국 NCI(National Cybersecurity Institute, 국립 사이버안전 연구소)의 COO(Chief Operating Officer, 최고 운영 책임자)인 제인 르클레어는 “불만을 가진 내부직원이 초래할 위험에 대비하는 것이 가장 어렵다”고 지적했다. 아울러, “NCI가 외부 데이터 침해 사고에 많은 시간을 투자한다고 생각할지 모르지만, NCI는 내부위협을 가장 크게 걱정하고 있다”고 했다(CIO Korea, 가장 큰 보안위협은 내부에 있다? 2015.9.30, 검색일 2018.3.2).

미국 NSA(National Security Agency, 국가안보국) 요원으로 근무하던 중 미국내 통화감찰 기록 및 감시 프로그램 등 기밀문서를 공개하고 제3국으로 망명하였다

국내에서 발생한 개인정보 유출사건 중 최악의 사건으로 알려진 카드3사 정보유출을 비롯해 최근 가상화폐 대책 유출 등 민간분야와 공공분야의 대다수의 보안사고는 협력사 직원 또는 내부 직원에 의해 발생되고 있다. 지금까지의 기술 및 정보유출 사건 통계 등 관련 자료는 전•현직 직원이 유출의 주요 창구라는 사실을 보여준다. 결국 완벽에 가까운 기술적 시스템과 조치를 구현했더라도 내부직원 등 핵심 정보에 접근할 수 있는 사람이 엉뚱한 생각을 가진다면 보안사건•사고를 완벽하게 차단할 수 없다는 것은 자명한 일이다. ‘가장 위험한 적은 바로 내부에 있다’라는 말이 있다. 악의적인 내부자는 가장 내밀하면서도 철저한 방법으로 중요정보를 훼손 또는 파괴할 가능성이 있다. 반면, 침투하기에 가장 쉽고, 방지 및 발견, 관리하기에는 가장 어려운 위협이다. 아울러, 감정적으로나 정치적으로 가장 의욕이 넘쳐나는 공격자이기도 하다(최옥현, 2009 : 34). 내부정보의 유출과 관련하여 주요 관리대상으로는 주요부서 직원이나 임원 등 주요정보 접근 가능자와 퇴직 예정자, 진급누락자, 외주업체 직원 등이 우선 고려될 수 있다.(김민수, 2011 : 74).

2014년 1월 국민카드, 롯데카드, NH농협카드 등 카드 3사가 보관․관리 중이던 1억 건 이상의 방대한 고객정보가 외부 용역업체 직원에 의해 유출되었다. 용역직원은 각 카드업체의 위변조, 분실 탐지 시스템 개발 사업의 책임자로, 시스템 테스트 용도로 제공받은 고객들의 개인정보를 USB에 담아 유출한 것으로 확인되었다.(시사IN 2014.1.8. ‘카드사 고객정보 1억 400만건 유출...사상 최대’, 검색일 2018.3.29).

2017년 12월 13일 국무조정실장 주재 가상화폐 대책회의를 비공개로 한 후 정부대책을 같은 날 14:36분에 언론에 공개했다. 하지만, 이보다 약 2시간 30분 전에 정부 대책이 온라인에 유포되는 일이 발생했다. 총리실 조사결과 기재부와 관세청 담당자들이 카카오톡 단톡방을 통해 관련 정보를 공유하는 과정에서 외부로 유출된 것으로 알려졌다(한국경제 2017.12.15., ‘가상화폐 대책자료 어떻게 유출됐나’, 검색일 2018.4.3) .

일반적으로 경찰행정의 기본은 계(係) 단위이고, 경찰수사는 팀(Team) 단위로 이루어진다. 업무량이 많고 난이도가 높아도 계원, 팀원들끼리 화합하고 이해한다면 처리해내지 못할 일이 없다고 말한다. 하지만, 수많은 기초자료 수집과 밤샘 분석 등을 통해 얻은 결론이 보고과정이나 내부 계•팀원들과 정보공유 과정에서 누군가에 의해 외부로 유출된다면, 수사의 가장 핵심적인 압수수색 영장 집행 일시나 장소가 사전에 유출된다면... 그런 조직의 기능이 정상적으로 작동할 수 있을까? 이처럼, 내부자에 의한 정보유출의 가장 우려스러운 점은 같은 사무실에 근무하는 동료를 더 이상 믿지 못한다는 상호불신의 조장이 아닐까 생각된다. 서로를 믿지 못하고 ‘혹시 ?’하는 생각에 옆 자리 동료를 의심하다 보면, 상호간 결속력 저하는 물론 업무에 대한 몰입도도 떨어지는 등 악순환이 발생하는 것이다. 결국 내부정보 유출로 인한 피해를 국민이 고스란히 떠안아야 한다는 결론에 이르게 된다.

(4) 내부정보 유출에 대한 경찰의 인식 정도

내부정보 유출의 심각성에 대한 사회적 공감이 확산되고 있지만, 경찰관서의 인식은 안타까울 정도이다. 전국 방방곡곡에서 근무하는 모든 경찰관들이 접근할 수 있는 경찰청 통합포탈내 ‘현장 활력소’라는 코너에 지난 2월 말 ‘호소합니다. 동료 경찰관의 근무처 또는 연락처를 피의자에게 알려준 적 없나요?’라는 제목의 글이 게시되었다. 글쓴이는 충분한 주의를 가지고 민감하게 다루어져야 할 동료 경찰의 근무지와 연락처 등 개인정보를 피고인이나 피의자 등에게 알려주는 일이 있어서는 안되는데도, 정작 본인은 이런 일로 두 번이나 고통 받았다고 주장하였다. 일부 몰지각한 경찰관의 내부자료 유출행위에 경종을 울리는 한편, 피해 경찰관의 고통을 공감하고 개인정보 유출에 대한 인식전환을 촉구하는 차원에서 경찰 내부망에 올라있는 있는 원문을 그대로 게재한다.

현장 활력소는 경찰관이 현장에서 느끼는 애로사항은 물론 법•제도적 보완이 필요한 부분 등에 대해 허심탄회하게 동료 경찰관들과 고민을 나누고 조언을 구할 수 있는 컨텐츠이다.

‘경찰관 동료 여러분, 호소합니다. 동료의 근무장소와 연락처를 사건 관계자인 피의자나  피고인에게 절대로 알려주어서는 안 됩니다. ～ 내용 중략 ～심적으로 힘듭니다. 더욱이 가족에게는 말도 못하는 아픔. 나를 죽인다고 했었으니 길에서 만나 칼이라도 맞으면 바로 대응할 수 있도록 항상 삼단봉을 몸에 지니고 다녔었지요. 더운 여름에도 방검복을 옷 안에 받쳐 입고 다닐 정도였어요. 모자를 눌러쓰고 앞에서 오는 남자의 행동이나 인상착의를  살피고... ～ 내용 중략 ～공무집행 방해사건 피고인이 제가 근무하던 곳으로 여러 번 찾아왔습니다. 밤에 술을 마시고 찾아오기도 했었지요. 탄원서라는 걸 써달라고 합니다. 민 아무개라는 사람인데, 이 사람은 공무집행방해 또는 폭력전과가 많습니다. 그 전에도 제가 출동한 현장에서 신임 순경의 낭심을 걷어 차서 현행범으로 체포, 입건하였습니다. 그 뒤로 징역형을 받은 걸로 아는데, 약 1년쯤 뒤 밤에 신고현장에서 또 다시 마주쳤으며 약 1～2시간 정도 달래고 귀가를 종용하는 과정에서, 심한 욕설과 모욕은 참았으나 저를 떠다 밀어 공집으로 다시 체포하여 본서 형사팀 당직에게 보냈습니다. ～ 내용 중략 ～ 그 후 까맣게 사건을 잊고 있었는데 인접 경찰서로 발령이나 근무 중 이 자가 저를 찾아 온 겁니다. 합의서나 탄원서를 써 달라고  여러 번 찾아옵니다. 때로는 밤이나 새벽에도 파출소로 전화해 저를 찾거나 제 전화번호를 묻습니다. 심지어 제 연락처를 알아내기 위해 동료 경찰관을 사칭하기도 했습니다. 파출소 직원들에게 저를 죽인다고 몇 차례 말했다고 합니다. 이 민모 피의자가 당시 어떤 사건으로 재판 중이었습니다. 수배가 되었다가 잡힌 모양인데 탄원서나 합의서가 없으면 징역 등 실형 판결을 선고받을 수 밖에 없는 입장에 처하니, 탄원서를 받으러 찾아 온 겁니다. 물론 써주지 않았습니다. 약 3달인가 지나니 연락이 없더군요. 징역형을 받고 교도소에 간 것으로 추정합니다. 이 민모 피고인은 단순히 음주소란 등으로 벌금형에 그칠 사람이 아니라 탄원서가 필요할 정도로 악질이었던 거죠. 실형 살기 싫어서... 저의 전근무지인 지구대에 가서 제 근무장소를 물었고 우리의 동료인 그 누군가가 e-사람을 조회해서 알려주었을 것으로 추측합니다.’

내부자에 의한 정보유출에 대한 현장 직원들의 무감각함을, 정당한 법집행을 하고도 동료들의 부주의 또는 무감각함으로 고통받은 현장 직원의 모습을 잘 표현한 사례가 아닐 수 없다.

제 2절 내부정보 유출 사례

경찰의 내부정보 유출 문제는 인터넷이나 신문, 방송 등을 통해 심심치 않게 보도되고 있다. 대부분은 취급자의 부주의나 실수 등에 의해 발생하는 비의도적이고 우발적인 행위 보다는 친분을 계기로 청탁을 받거나 금전적 이익을 목적으로 내부정보를 유출하는 경우였다. 즉, 유흥업소나 오락실 업주 또는 브로커, 전직 동료 등으로부터 금품이나 향응 등의 대가성 로비를 받고 단속 또는 수사사항을 유출하거나 개인정보를 무단 조회하는 일들이 적지 않았다. 물론 기자 등과의 개인적 친분이나 검찰•국정원 등 국가기관간의 오랜 협조 관행에 따라 내부정보를 공유하는 일도 없지 않았다. 하지만, 본 연구에서는 일반적인 사례와 정보공유 차원의 기관간 협조문제는 논외로 하고 사회적으로 이슈화되어 논란이 된 사례들을 중심으로 살펴보겠다.

1. 교육감 선거 관련 문건 유출(2010.4월)

제 5회 전국동시지방선거와 함께 실시될 예정인 교육감 선거를 앞두고, 2010년 4월경 경찰청 정보국에서 작성한 교육감 후보들에 대한 정보수집 지시 문건이 유출되면서 사회적 파문을 일으켰다. 경찰청은 “자체 감찰조사 결과, 담당 직원이 ‘한 대기업 노조가 교육감 선거에서 진보진영을 돕는다’는 내용의 언론 보도를 보고, 특정 단체의 선거 개입과 관련된 정책 보고서를 만들기 위해 친분이 있던 9개 지방경찰청 담당 정보관에게 ‘아이템 공유’라는 제목으로 글을 올린 것으로 나타났다”는 내용의 보도자료를 배포하면서 “선거에 영향을 미치려는 의도는 없었다”고 해명하였다.

하지만, 실제 하달된 문건에서는 ‘후보단일화, 무상급식 이외에 좌파 진영에서 어떤 선거 전략을 가지고 있는지’, ‘민주노총, 전교조 등이 좌파 교육감 후보를 어떤 방법으로 지원하고 있는지’ 등을 파악하라고 요구하고 있다. 반면, 우파 교육감은 ‘어떤 전략을 가져야 선거에서 승리할 수 있을 것으로 보는지’ 등을 확인하라고 하는 등 편향된 입장을 보여 비판이 더해졌다. 참여연대 등 많은 시민사회 단체에서는 ‘공정하게 선거를 관리해야 하는 경찰이 과거 독재정권 시절에나 하던 선거사찰을 통해 여당과 정부를 지원하고 있다’면서 경찰의 불법 선거개입 의혹에 대해 형사고발을 하는 등 반발하였다. 경찰청에서는 실무 직원이 순수한 아이디어 차원에서 정보를 수집했는데 의욕이 앞서다 보니 실수를 한 것으로 규명하면서 징계와 문책성 인사를 했지만, 이 사건은 경찰의 선거개입 논란 및 정치적 중립성 위반 혐의 등으로 한동안 파문이 적지 않았던 것은 사실이다.

[그림 3-2] 경찰청 정보국이 작성, 하달한 문건

(출처 : 연합뉴스 2010.4.21. 서울교육감 선거 정보수집 문건, 검색일 2018.3.4)

2. 공작문서 유출(2013.10월)

2013년 10월 말쯤 서울 영등포구 소재 전국교직원노조 사무실에 문건 하나가 우편으로 접수되었다. ‘국가보안법 위반 혐의 공작 진행 보고’라는 제목의 문건에는 당시 전교조 000 강원지부장을 대상으로 한 공작 내용이 기재되어 있었다. 강원지방경찰청 보안수사2대장이 2010년 11월 5일 보고한 것으로 기록된 이 문건은 요보안(要保安) 이라는 글자가 상단에 적혀 있는 Ⅲ급 비밀문서였다. 이 문건에는 000 전교조 강원지부장의 신상정보는 물론 그의 아내의 개인정보, ‘공작개요’, ‘내사계획’, ‘내사상황’ 등이 자세하게 기재되어 있었다. 항목 중 ‘공작 내용’에는 000 지부장이 ‘노조원에 대한 부당징계 저지’, ‘해직교사 복직’ 등 40여건의 문서를 전교조 홈페이지에 올리고 ‘일제고사 폐지’, ‘공무원노조 탄압중단 기자회견’ 등 20여회의 반정부 행위를 했다고 적시되어 있었다. 또 문건은 000 지부장과 그의 부인 뿐 아니라 주변 인물들 까지도 세세한 부분까지 신상을 파악하고 미니홈피•블로그 등 인터넷 자료 66건을 확보했다고 밝히고 있다. 아울러, 000 지부장을 ‘북한 찬양은 물론 의식화 활동과 각종 집회•시위의 배후조종 등 반국가 행위 가능성이 다분한 자’로 분석하고, 당시 민주노동당과 민주노총 등과의 연대활동 여부 등을 내사하여 구체적인 혐의점을 발견할 경우, 공작으로 전환할 계획이라고 적어 놓았다.

문건이 접수된 곳은 전교조 뿐만이 아니었다. 서울 용산구 소재 전국농민회총연맹 사무실과 강원도 춘천시 소재 춘천시민연대에도 각각 내사첩보 입수보고와 종합공작 계획서 등이 우편으로 배달되었다. 이 문건에도 역시 ‘Ⅲ급 비밀’이라는 글자가 문서 상단과 하단에 선명하게 인쇄되어 있었다. 구체적으로 2009년 6월에 강원지방경찰청 보안수사2대에서 작성한 ‘종합공작 계획서’에는 당시 농민회 강원연맹 사무처장인 △△△씨 등 3명에 대한 공작계획이 적혀 있었다. ‘대적산’이라는 공작명으로 이름 붙여진 공작 계획에는 공작 목적을 ‘전농 강원도연맹, 춘천청년회의 조직 실체규명•핵심 활동가 사법처리’라고 분명하게 밝힌 가운데, 공작기간을 2009년 7월부터 2010년 7월까지로 정해 두고 있다. 또한, 공작 계획에는 ‘협조망’으로 ‘침투망 1명’을 운영하고, 주 1회 정기통신 및 수시 연락하며 2주 1회 정기 접촉 및 활동사항을 확인한다고 적혀 있어, 속칭 프락치를 대상단체 등에 잠입시켜 공작을 하려 했다고 추정할 수 있게 하고 있다. 아울러, 경찰관과 협조자와의 관계를 친인척으로 위장하고, 물의야기 및 변수방지를 위해 협조자를 엄정 선발하는 한편 수시로 교양할 것이라고 위장 방법과 주의사항까지 상세하게 계획하고 있었다. 더욱이, ‘협조자 활동 지원비’를 1회당 40만원 가량 책정하고, 협조자 물색 및 포섭비, 협조자 활용비 등 다양한 항목으로 총 7백만원의 예산까지 산정해 두고 있었다.

이후 강원지역 시민단체 중심으로 이루어진 ‘민주주의와 민생, 사회 공공성 실현을 위한 강원지역 연석회의’는 강원경찰청 앞에서 기자회견을 열고 ‘강원경찰청장 공개사과, 관련자 처벌, 불법사찰 진상규명, 재발방지 대책 마련’ 등을 촉구한데 이어, 서울, 충남 등 각지에서 시민사회단체들을 ‘종북 좌파’로 규정하고 주요 구성원들의 동향을 파악한 것으로 의심되는 경찰 문건들이 연이어 공개되었다. 시민사회단체들은 잇따른 집회와 기자회견 등을 통해 민간단체와 민간인사에 대한 전방위 사찰이라며 프락치 공작 의혹을 제기하고 있지만, 경찰은 관련자들이 국가보안법 위반 등의 혐의가 있어 관련 법률에 근거하여 합법적인 내사를 벌였을 뿐, 불법사찰 의혹과는 무관하다는 입장을 거듭 밝힌 바 있다.

이와 관련, 신문, 방송, 익명의 신고, 풍문 등을 통해 범죄의 혐의가 있다고 의심할 만한 상당한 이유가 있는 경우, 관련 법령에 따라 내사를 할 수 있다는 주장과 객관적인 혐의가 없는데도 무분별하게 내사를 하는 것은 사생활 보장 등 헌법상 기본권의 침해라는 주장이 첨예하게 대립할 수 있는 만큼, 본 연구에서는 상기 내사의 정당성 여부는 논외로 하겠다. 다만, 경찰조직 내부에서도 잘 알려지지 않을 정도로 비밀스럽고 은밀한 활동으로 인식되고 있는 보안경찰의 역할을, 그것도 극도의 보안이 요구되는 Ⅲ급 비밀로 분류된 공작 사항을 누가, 무슨 이유로 외부로 유출하였는지 의아함을 떨칠 수가 없다.

사안의 중요성을 감안하여, 경찰에서 수사를 한 결과 팩스 발송자료, 우편물 소인, 주변 CCTV 분석 등을 통해 현직 경찰관이 유출자로 확인되었다. 피의자는 당초, 강원지방경찰청내 대공수사를 담당하는 부서에서 근무하다 인사발령으로 모 경찰서로 근무지를 옮기게 되었고 전출하면서 보안수사대 근무 당시 가지고 있던 각종 공작서류 등 비밀자료를 USB에 담아 나갔다고 한다. 피의자는 새로운 근무지에서 초과근무 수당을 부당하게 수령한 의혹으로 징계처분을 받았고 소청을 목적으로 주변 동료들에게 탄원서를 부탁하였으나 거절당하자 이에 억하심정을 가지고 이전 근무지에서 다루었던 사건 관련 비밀문서를 우편이나 팩스 등을 이용하여 공작 대상기관 등으로 유출한 것으로 파악되었다.

3. 정보경찰의 청와대 문건 유출(2014.11월)

2014년 11월 말, 사실상 처음으로 박근혜-최순실 국정농단 사태를 세상에 알린, 가칭 ‘정윤회 문건’ 사건이 터졌다. 최 씨의 前 남편 정윤회씨가 문고리 3인방으로 통칭되던 정호성, 안봉근, 이재만 비서관을 통해 비선으로 국정에 개입한다는 내용이 담겨 있었다. 구체적인 혐의는 이 문건의 작성자로 알려진 박 모 前 행정관이 청와대 파견근무를 마치고 경찰청으로 복귀하면서 자신이 작성한 보고서를 개인물품 속에 담아 서울경찰청 정보분실로 옮겼고, 양질의 첩보수집에 압박을 느끼던 서울경찰청 정보관 2명이 이 문건을 무단복사한 뒤 친분이 있던 언론사 기자나 대관업무를 담당하는 대기업 직원에게 유출했다는 것이다.

정윤회 문건을 포함한 청와대 보고 문서를 넘겨받거나 내용을 전달받은 세계일보 기자는 수차례에 걸쳐 이를 단독으로 기사화했고, 한화그룹의 경영기획실 직원 역시 내부적으로 보고한 것으로 알려졌다. 이는 국정농단 사태와는 별개 사건이기는 하지만, 최고의 보안수준을 요구하는 청와대 직원이 직무 수행 중 지득한 내용을 바탕으로 작성한 내부정보를 규정에 어긋나게 외부로 반출했고, 첩보수집에 스트레스를 받던 유능한 경찰 정보관이 이를 무단 유출한 사례로, 청와대•경찰정보 분실 등 민감한 소재로 인하여 한동안 세간의 이목을 집중시켰다.

이 사건 이후 경찰 내부에서 조차 잘 알려지지 않을 정도로 비밀스럽고 은밀하게 활동하던 정보경찰의 운영에 대해 내부의 자성 목소리가 많이 제기되었다. 그 결과, 그동안 비공식적으로 정보경찰의 사무실을 청사 외부에 별도 운영함으로써 과거 사직동팀과 같은 무소불위의 활동을 하고 있다는 오해와 불신을 자초한 정보경찰의 외부 독립청사 사용을 금지하고 통제되지 않는 분실•별관을 청사 내부로 이전하는 후속 조치가 강구되었다.

4. 대공업무 기밀 유출(2015.6월)

2015년 6월 해경의 대공수사 민간인 협조자가 인천 모 경찰서 보안과 소속 경찰관을 국가보안법 위반 혐의로 고발한 사건이 있었다. 경찰관 A는 해경 소속으로 근무할 당시인 2014년 8월 평소 알고 지내던 정보원 B에게 대공 합동심문 자료, 국가정보원 직원이 표시된 단체사진, 북한에서 떠내려 온 변사체 사진 등을 담은 외장형 하드디스크를 건넨 혐의를 받고 있다. 당시 B씨는 국가보안법 위반 사범에 대한 수사에 협조하면서 정부예산에서  일정한 사례비를 정기적으로 받는 정보원으로 활동했다. A는 2014년 말 해경이 해체된 이후 인천 소재 모 경찰서 보안과 소속으로 자리를 옮긴 뒤에도 탈북자들의 주민등록번호와 여권 정보 등이 담긴 자료를 지속적으로 B에게 넘겨온 것으로 알려졌다. B는 A가 불순한 의도를 가지고 중국에서 활동하고 있는 북한 출신 공작원들에게 기밀자료를 팔면 돈이 되는지를 알아보라는 암묵적인 지시로 받아들였다고 주장한 반면, A는 ‘업무편의를 위해 모아둔 자료일 뿐 실수로 전달된 것’이라고 해명하였다. 하지만, 수집•전달된 자료는 단순 업무상 참고자료가 아니라, 국가안보에 큰 영향을 미치는 대외비 자료인 것으로 밝혀졌다. 수 백여건의 기밀자료 중 가장 우려스러운 부분은 탈북자 신상정보다. 자료에는 탈북자의 북한거주 가족, 친지들의 이름과 주소가 상세하게 나와 있는데, 북한에 유출될 경우 북한에 남아 있는 가족의 신변에 큰 위험이 초래될 것이 명백하다. 국정원과 경찰 보안수사대 등의 공안사건 합동심문조서도 원본 파일로 수집되어 있었다. 문서 상단에 붉은 글씨로 ‘대외비’라고 적혀 있지만, 이 역시 개인 하드 디스크에 저장되어 있었다. 자료 원본을 직접 내려받을 수 없거나 출력할 경우 기록이 남는 자료는 컴퓨터 모니터 화면을 직접 촬영해 보관하기도 했다. 이는 국가보안법 제4조에 명시되어 있는 ‘국가안전에 대한 중대한 불이익을 회피하기 위해 한정된 사람에게만 허용되고 적국 또는 반국가단체에 비밀로 하여야 할 사실’을 의도적으로 수집한 것이 아닌가 의심이 드는 부분이다. 자료수집과 관련하여 고의성이 없다고 보기가 어려울 정도로 A는 보안수사관이라는 지위를 이용해 대북관련 정보를 무차별적으로 수집했고, 더욱이 원문 형태의 자료 외에도 짜깁기했거나 사진으로 촬영한 정보들을 다수 보관하고 있었다.

보안 기능은 타 기능의 경찰관들조차 무슨 일을 하는지 명확하게 알지 못할 정도로 업무의 특수성이 인정된다. 이정도로 극도의 보안이 요구되는 업무를 수행하는 보안수사관이 무슨 이유로 민감한 자료들을 외장형 하드 디스크에 담아 민간인에게 넘긴 것일까 궁금하지 않을 수 없다. 이 고발사건과 별도로 B는 대북한 정보활동을 수행한 대가로 약속받은 수천만원이 미지급되었다며 국가와 A를 상대로 각각 임금소송을 제기한 것으로 알려졌다. 아직 재판이 진행 중인 만큼 정확한 이유를 알 수는 없지만, 여러 가지 정황을 종합할 때 B의 주장처럼 A가 금전적인 이익을 목적으로 대공업무 기밀을 넘긴 것이 아닐까 짐작이 된다.

여기서 추측할 수 있는 것처럼, 우리나라의 수사•정보기관이 공안사건과 관련된 중요한 정보와 증거를 ‘돈’을 주고 살 수 있다면 거꾸로 우리나라의 정보 역시 돈을 매개로 북한 또는 제3국과 거래되는 일종의 ‘정보시장’이 형성되어 있을 것이라는 생각은 공공연한 사실이 아닐 수 없다. 기밀자료 수집의 목적과 방법을 분명히 밝혀야 하겠지만, 개인이 마음만 먹으면 핵심 국가기밀을 임의로 유출해 속칭 ‘정보시장’에 유통시킬 수 있는 허술한 보안시스템은 반드시 짚고 넘어가야 할 문제이다.

5. 의무경찰 지원자 개인정보 유출(2018.3월)

연합뉴스(2018.3.21. 의경 지원자 개인정보 무더기 유출...경찰, 뒤늦게 진상조사, 검색일 2018.3.28)

2018년 3월 20일 저녁 의경 지원자의 어머니가 자녀의 합격여부를 확인하기 위해 구글 검색을 하던 중 자녀의 성명, 주민등록번호, 연락처, 이메일, 은행계좌 등 개인정보가 인터넷에 유포중인 사실을 알고 112신고를 한 사실이 있었다. 유출경로를 확인한 결과 2018년 1월 초 00지방경찰청 의무경찰계 사무실에서 의경 대원이 제 358차 00지방경찰청 의경 지원자들의 병적사항 등을 확인하기 위해 내부망의 의무경찰관리자 홈페이지에 접속하여 지원자 1,401명의 개인정보가 담긴 파일을 내려받은 후 내부망 게시판의 게시글에 파일을 첨부하여 외부망 의무경찰 홈페이지 게시판으로 자료를 전송하였다. 같은 날 오후에 외부망 의무경찰 홈페이지 게시판에서 위 파일을 내려받아 행안부에서 운영하는 ‘행정정보 공동이용센터’를 이용하여 지원자들의 병적사항을 확인한 후 의경 모집일정 안내 게시판에 지원자 개인정보가 포함된 엑셀파일을 단순한 부주의로 업로드 하였다. 하지만, 실수를 인식한 즉시 관련 게시물을 삭제했으나, 업로드한 엑셀파일이 의경 홈페이지 데이터베이스에 저장되어 있었고, 구글에서 1,401명의 개인정보를 공개정보로 간주하고 수집하여 검색엔진을 통해 정보를 제공한 것으로 드러났다.

담당자가 ‘부주의로 인한 실수로 개인정보가 유출되었다’고 주장하고 있고 전후 정황을 봤을 때 상당부분 수긍이 되기도 하지만, 안타깝게도, 현재 경찰의 개인정보와 사이버 보안인식 실태와 수준을 대변하는 대표적인 사례가 아닐까 생각된다. 먼저, 의무경찰 홈페이지에 개인정보 보유기간을 1년으로 명시하고도 정작 의경지원 업무 담당자의 PC에는 2014년～2016년간 00지방경찰청 의경 지원자의 개인정보 800만 여건을 파기하지 않고 보유하고 있는 등 개인정보 파기 조치에 소홀한 것으로 드러났다. 다음으로는 주민등록번호는 고유식별정보로서 시스템 내 보관할 경우, 암호화하여 보관해야 함에도, 1만여건을 암호화하지 않거나 쉽게 해독 가능한 형태로 업무용 PC에 보관하는 등 주민등록 암호화 조치도 미흡하였다. 끝으로, 시스템 접근권한을 개인별로 차등 부여하여 관리해야 함에도, 의경대원이 부서 ID 계정을 공유하여 시스템내 관리자 취급 업무까지 수행하는 등 의경 홈페이지에 대한 접근 통제관리에 소홀하였고, 개인정보의 분실•도난•유출•위변조 또는 훼손 등에 대비하여 접속기록을 반기별 점검해야 함에도 10년 기간 동안 단 한 차례만 점검하는 등 접속기록 점검 역시 미흡했던 것으로 밝혀졌다.

이와 관련하여 경찰에서는 개인정보보호법을 인용하여 ① 개인정보는 보유기간 경과 및 처리 목적을 달성한 경우, 지체없이 파기하고 복구 또는 재생되지 않도록 조치하고(법 제21조) ② 주민등록번호•운전면허번호•여권번호, 외국인등록증 등 고유식별정보를 처리하는 경우에는 유출 등 방지를 위하여 반드시 암호화 조치를 이행토록 하고(법 제24조) ③ 개인정보를 취급하면서 알게 된 내용을 누설하거나 권한없이 다른 사람에게 제공하는 행위를 금지(법 제59조)토록 재강조 지시한데 이어 개인 PC의 주민번호 보유현황 및 암호화 이행여부를 일제 점검하는 등 유사사례 방지를 위해 노력하고 있다.

제 4장 분석결과 및 정책적 시사점

제 1절 경찰관서의 보안실태

1. 물리적 보안

(1) 물리적 보안실태

경찰에서는 국가중요시설의 방호태세 등을 점검하고 있는데, 국가중요시설은 공공기관, 공항, 항만, 주요 산업시설 등 적에 의하여 점령 또는 파괴되거나 기능이 마비될 경우 국가안보와 국민생활에 심대한 영향을 미치는 시설을 말한다.(통합방위법 제2조). 국가중요시설은 시설의 기능과 가치정도, 역할의 중요성 등에 따라 국방부 장관이 관계 행정기관의 장 및 국가정보원장과 협의하여 등급(가,나,다 급)을 분류하여 지정하는데, 경찰관서 중에서도 경찰청은 나급으로 지정, 관리되고 있다. 이렇듯, 도식적인 면에서 뿐 아니라, 실제 경찰서에서는 각종 개인정보와 수사자료 등을 보관하고 있는 만큼, 경찰서에 대한 물리적 보안의 중요성이 간과되어져서는 안 된다. 경찰서의 물리적 보안은 출입하는 사람, 차량과 물건 등을 통제•관리함으로써 경찰서 내에서의 범죄와 사고 등을 예방하고 방지하는 것이다. 즉, 허가되지 않은, 정당한 권한없는 사람이 출입하거나 위험한 물건의 반입 또는 인가되지 않은 물건이 반출되는 것을 차단하려는데 그 목적이 있다고 할 것이다. 모든 경찰 시설물에 대한 물리적 보안대책은 시설의 건설계획 단계에서부터 검토되어야 하며, 경찰관서의 기능에 장애가 되지 않는 범위 내에서 보안시설물 및 장비 등을 선택하는 것과 함께 추진해야 한다.

현재, 대다수 경찰서에서는 의무경찰이 출입통제를 하고 있다. 서울지방경찰청과 경찰청의 경우, 중대 규모의 경비대를 운용하고 있지만, 그 외 16개 지방경찰청에서는 14명 정도의 경비대가, 서울시내 31개 경찰서를 포함한 전국의 경찰서에서는 타격대(14명 정원)가 자체경비를 하고 있다. 당초, 타격대는 대테러•작전 목적으로 운용해야 하지만, 경찰서는 국가기밀•총기류•개인정보•사건기록 등을 보관하는 중요시설인 만큼, 방문객 안내•출입자 통제 등을 위해 자체경비가 필요한 상황을 감안하여 경찰서 자체경비 임무를 타격대에게 수행하도록 하고 있다. 또한, 전국의 경찰서는 직원들을 대상으로 집회 및 시위 관리를 위한  비상설 중대를 운영하고 있으나 기본적으로 직원들이 고유의 업무를 가지고 있는 만큼, 방화•무단침입 등 돌발상황에 신속하게 대응하는 데는 한계가 있다. 한편, 서울의 경찰서에는 평상시 도보 및 기동순찰 실시로 범죄의 예방과 제지, 대민 봉사활동, 거동수상자에 대한 불심검문 등을 하고, 경비상황시에는 혼잡경비 및 다중범죄 진압을, 작전상황시에는 비상 거점배치와 대간첩 작전 등을 위해 방범순찰대를 운영하고 있는데, 규모는 중대급이다. 하지만, 일반적인 경찰서의 출입통제 업무는 위에서 설명한 것과 같이 경찰서별 타격대가 수행하고 있는데, 정문입초, 로비, 안내 등 3～4명의 의경이 일시점 근무를 하고 있다. 현재 20,729명(2018년 기준)의 의무경찰은 매년 동일한 비율(20%)로 금년부터 5년에 걸쳐 감축작업을 시작하여 오는 2023년 9월 완전 폐지를 목표로 하고 있으므로, 경찰관서의 출입통제 업무와 관련된 중장기 대책마련이 필요한 실정이다.

구분	2018년	2019년	2020년	2021년	2022년
의경정원	20,729명	15,547명 (-5,182)	10,365명 (-5,182)	5,182명 (-5,182)	1,570명＊ (-3,612)
배정인원	9,624명	8,328명	4,118명	2,094명

＊기존 복무인원이 전역하는데 일정기간이 소요되어 완전폐지는 2023년 9월 예상

우선, 단기적으로 근무인원을 최소화하는 방향으로 자체경비 의무경찰 인원을 축소하되, CCTV•보안자동문 설치 등 출입통제를 자동화하고, 집회·시위 등 돌발상황이 발생할 경우에는 관서별 비상설 직원중대가 신속하게 대응할 필요가 있다. 장기적으로는 예산 확보에 따라 관서별로 순차적으로 추진하되, 치안역량 강화 및 현장경찰 충원을 위해 자체경비를 외부용역으로 대체해야 할 것이다. 구체적으로 경찰관서에서 숙영하며 상시 대응이 가능한 의무경찰을 외부용역으로 대체할 경우 관서별 대비경력이 8명(2명×4교대)씩 추가 필요하고 1인당 평균 비용 역시 3천만원(피복비•보험료 등 포함) 가량 소요될 것으로 판단된다.

한편, ‘국가공무원 당직 및 비상근무 규칙’ 제 13조에 의거하여 경찰관서에서는 일과시간 종료 후 최종 퇴청자가 일일보안점검을 자체 실시하고, 이를 당직근무자가 확인하는 과정을 통해 사고발생을 방지하고 예방보안 관리체계를 확립하고 있다. 구체적인 점검항목으로는 ① 서류보관 상태(책상 위 서류방치, 캐비넷 잠금), ② 소등상태 ③ 청소상태 ④ 화기단속 상태(프린터, 컴퓨터, 복사기, 전열기, 선풍기 등), ⑤ 문단속 상태 등이 있다. 마지막으로 사무실을 나가는 사람은 ｢전자문서시스템 e‒사람 보안점검｣에서 점검결과를 항목별로 입력하고, 다음날 상황담당관(상황실장 또는 상황부실장) 또는 사무실 보안관리 책임자가 이를 확인하고 있다. 청사 순찰근무 중 당직 근무자가 화재징후 등 보안상 특이 문제점을 발견할 경우, 먼저 현장조치를 한 후 상황담당관(상황실장·부실장)에게 즉시 보고하고 있다, 교통, 형사, 경비, 지구대 등 교대근무 부서는 근무가 종료되는 팀에서 보안 상태를 점검하고, 근무일지에 기재한 후 새로 근무하는 팀에게 이상 유무를 인계하는 방법으로 진행된다.

(2) 물리적 보안에 대한 설문분석 결과

2018년 3월 현재 전국 254개 경찰서 중 관할인구 및 112 신고건수 등 제반 치안부담 요소를 종합할 때 대한민국 치안의 대표지역으로 평가되는 수도 서울의 치안을 맡고 있는 경찰서의 보안실태와 경찰관들의 보안인식을 알아보기 위해 서울소재 31개 경찰서의 보안담당 경찰관을 대상으로 2018.2.20.부터 3.9까지 내부망 메신져와 전화 통화 등으로 물리적 보안, 사이버 보안, 관리적 보안 실태 및 이에 대한 경찰관의 인식에 대한 설문조사를 하였다.

‘경찰청사 출입 및 보안관리 지침’ 제15조 1항에서 ‘경찰관서 방문자는 운전면허증 또는 주민등록증 등 신분을 확인할 수 있는 증명서를 제시하여 보관 하여야 한다고 명시하고 있지만, 현장에서는 항상 방문자의 신분증을 확인한다’고 응답한 직원은 35.5%에 불과했고, 심지어 전혀 하지 않거나 거의 하지 않는다고 응답한 경찰관이 13%에 이르고 있다.

[표 4-1] 방문자 신분증 확인
	계		항상 한다 (100%)		대부분 한다 (70～99%)		가끔 한다 (30～69%)		거의 하지 않는다 (1～29%)		전혀 하지 않는다(0%)
	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)
전체	31	100.0	11	35.5	14	45.2	2	6.5	2	6.5	2	6.5
20대	4	100.0	2	50.0	2	50.0	0	0.0	0	0.0	0	0.0
30대	20	100.0	6	30.0	9	45.0	2	10.0	2	10.0	1	5.0
40대 이상 40대가 5명이고 50대 이상이 2명에 불과해 연령별 분석을 20대, 30대, 40대 이상으로 분류하여 통계처리하였다.	7	100.0	3	42.9	3	42.9	0	0.0	0	0.0	1	14.3

‘경찰청사 출입 및 보안관리 지침’ 제14조에는 경찰관서를 방문하고자 하는 외부인은 안내실에서 성명과 연락처, 방문 사무실 등을 포함하는 방문 신청서를 작성하도록 하고 있다. 하지만, 현장의 보안담당 경찰관들 중 35.5%만이 규정대로 외부인의 출입기록을 유지하고 있고, 방문신청서를 아예 작성하지 않거나 거의 하지 않는 경우도 9.7%에 이르고 있다.

[표 4-2] 방문신청서 작성
	계		항상 한다		대부분 한다		가끔 한다		거의 하지 않는다		전혀 하지 않는다
	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)
전체	31	100.0	11	35.5	15	48.4	2	6.5	2	6.5	1	3.2
20대	4	100.0	1	25.0	2	50.0	0	0.0	1	25.0	0	0.0
30대	20	100.0	7	35.0	10	50.0	2	10.0	1	5.0	0	0.0
40대 이상	7	100.0	3	42.9	3	42.9	0	0.0	0	0.0	1	14.3

또한, 각종 사건사고 관련 조사 등을 위해 일반 시민들의 경찰관서 출입이 빈번함에도 현재 육안 감시에 의존하여 청사 출입을 통제하고 있는데, 소수 인력에 의한 출입 통제로 청사 무단침입이나 위험물을 이용한 범죄예방에 한계가 있고 체포•구속 피의자의 도주사례 마저 발생하고 있다. 이에, 스크린 도어 등 기본적인 출입통제 시설 구축을 통한 선제적 보안사고 예방의 필요성을 강조하고 있지만, 서울 소재 31개 경찰서 중 27개 경찰서(87.1%)가 스크린 도어를 설치하여 일반인의 자유로운 사무실 출입을 통제하고 있고 나머지 4개 경찰서(12.9%)는 설치 검토조차 않고 있는 것으로 확인되었다.

서울 중부경찰서는 1일 평균 방문객 1,050여명을 일시점 의경 2명이 청사 출입을 통제하고 있다.

세계일보(2016.4.5. 사건처리에 불만...경찰서 찾아가 황산테러-경찰 4명 부상...돌발 폭력 무방비, 검색일 2018.4.3)

매일경제(2015.11.19. 인천 남부경찰서에서 수갑찬 피의자, 담장 넘어 도주, 검색일 2018.4.3)

[표 4-3] 스크린 도어 설치
	계		있다		없다
	(명)	(%)	(명)	(%)	(명)	(%)
전체	31	100.0	27	87.1	4	12.9
20대	4	100.0	3	75.0	1	25.0
30대	20	100.0	18	90.0	2	10.0
40대 이상	7	100.0	6	85.7	1	14.3

한편, 경찰서의 각 사무실에 주요 언론사의 사회부 기자를 포함하여 일반시민들이 출입하고 있고, 이들에 의한 문서 등 내부정보 유출가능성을 배제할 수 없는 상황인데도, 일정기간 자리를 비울 경우 책상위에 문서를 치운다는 사람은 71%이고, 가끔 치우는 경우가 19.4%, 거의 치우지 않는 사람도 9.7%에 이르는 것으로 나타났다.

[표 4-4] 이석 時 책상정리
	계		항상 한다		대부분 한다		가끔 한다		거의 하지 않는다		전혀 하지 않는다
	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)
전체	31	100.0	8	25.8	14	45.2	6	19.4	3	9.7	0	0.0
20대	4	100.0	3	75.0	0	0.0	1	25.0	0	0.0	0	0.0
30대	20	100.0	4	20.0	9	45.0	5	25.0	2	10.0	0	0.0
40대 이상	7	100.0	1	14.3	5	71.4	0	0.0	1	14.3	0	0.0

마찬가지로 퇴근할 때에 서랍과 케비넷 등을 시건장치하는 비율(58.1%)도 기대이하이고, 거의 시건하지 않거나 전혀 하지 않는 비율이 25.8%에 이르고 있어 일선 경찰서의 보안 담당자들의 문서보안에 대한 인식이 많이 낮은 것이 아닌가 우려스러울 정도이다. 물리적 보안조치 미비로 내부정보 유출은 물론 당사자는 징계 등 불이익을 받기도 한다. 2016년 전남 모 지역 학교 행정실 책임자는 캐비넷의 시건장치가 고장났음에도 별도 조치없이 관리를 소홀히 하던 중 불상의 침입자가 캐비넷에 보관 중이던 학생들의 인적, 학적, 출결사항 등이 기록된 학생생활기록부 1,429명 분을 훔쳐간 사건이 발생했다. 이후 전남도교육청에서는 인사위원회의 의결을 거쳐 성실의무 위반을 이유로 그 책임자에게 견책처분을 내렸고 他 지역으로 인사발령을 하였다. 이와 관련하여, 당사자가 전남도교육감을 상대로 견책처분 취소 소송을 제기하였으나, 법원에서는 관리책임자에 대한 징계처분이 적법하다며 청구를 기각한 사건이 있었다.

뉴시스(2017.8.27. 캐비넷 관리소홀로 생활기록부 도난, 행정실 책임자 징계 적법, 검색일 2018.4.10)

[표 4-5] 퇴근 時 서랍 및 캐비넷 시건
	계		항상 한다		대부분 한다		가끔 한다		거의 하지 않는다		전혀 하지 않는다
	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)
전체	31	100.0	10	32.3	8	25.8	5	16.1	7	22.6	1	3.2
20대	4	100.0	1	25.0	0	0.0	1	25.0	1	25.0	1	25.0
30대	20	100.0	6	30.0	5	25.0	4	20.0	5	25.0	0	0.0
40대 이상	7	100.0	3	42.9	3	42.9	0	0.0	1	14.3	0	0.0

경찰관서의 사무실은 모두 도어 락 시스템을 이용하고 있다. 그동안에는 도어 락 비밀번호 변경과 관련한 지침이 없었지만, 지난 2016년 3월 공시생에 의한 정부서울청사 침입사건 이후 분기별 1회 이상 비밀번호를 변경하도록 업무 지시한 바 있다. 하지만, 현장에서는 사무실 비밀번호를 아예 변경하지 않고 사용하는 비율이 7개 경찰서 22.6%를 차지하고 있고, 주기적으로 변경하는 24개 경찰서 중에서는 반기 1회 변경하는 곳이 8개 경찰서(33.3%), 분기에 1회 변경이 7개 경찰서(29.2%), 년 1회 변경하는 곳이 6개 경찰서(25%) 등의 순으로 드러났다.

국가공무원 지역인재 7급 필기시험에 응시한 송 모씨가 근무자 뒤를 따라 정부청사에 침입, 체력단력실에서 절취한 공무원증을 이용하여 인사혁신처 사무실에 무단 침입해 담당자 컴퓨터의 합격자 명단을 조작하는 사건이 발생했다.

[표 4-6] 사무실 비밀번호 변경
	계		월1회 정도		분기1회 정도		반기1회 정도		년1회 정도		1년 이상
	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)
전체	24	100.0	2	8.3	7	29.2	8	33.3	6	25.0	1	4.2
20대	3	100.0	1	33.3	1	33.3	0	0.0	1	33.3	0	0.0
30대	15	100.0	1	6.7	3	20.0	8	53.3	2	13.3	1	6.7
40대 이상	6	100.0	0	0.0	3	50.0	0	0.0	3	50.0	0	0.0

경찰서의 전반적인 물리적 보안 실태에 대해서는 절반 이상인 16개 경찰서(51.6%)에서 현재 상태에서도 충분하다고 응답했지만, 6개 경찰서(19.3%)에서 부족하다고 생각하고 있는 점을 주목할 필요가 있다.

[표 4-7] 물리적 보안실태 만족도
	계		매우 충분하다		충분한 편이다		보통이다		부족한 편이다		매우 부족하다
	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)
전체	31	100.0	1	3.2	15	48.4	9	29.0	5	16.1	1	3.2
20대	4	100.0	0	0.0	3	75.0	0	0.0	0	0.0	1	25.0
30대	20	100.0	1	5.0	8	40.0	7	35.0	4	20.0	0	0.0
40대 이상	7	100.0	0	0.0	4	57.1	2	28.6	1	14.3	0	0.0

31개 경찰서 중 현재 3개 경찰서에서 경찰관이 경찰관서 정문의 방문자 출입통제를 하는 반면, 28개 경찰서(90.3%)는 소속 타격대원(의경)을 활용하고 있는 것으로 드러났다. 하지만, 2023년 9월이면 현재의 의경제도가 완전히 폐지될 것으로 예상되는 만큼, 관련 대책 마련이 필요하다 할 것이다. 이와 관련, 비가중케이스베이스 집계 결과, 대다수 보안담당 경찰관들(13명, 41.9%)은 홍채인식, CCTV, 스크린도어, 안면인식 등 과학기술을 이용한 시스템을 통한 통제를 대안으로 제시했고, 한시적 임기제 또는 퇴직경찰관 활용, 별도 방호직 채용 등 인력보충을 통한 방법(22.6%)과 경찰관이 직접 출입을 통제하는 방법(22.9%), 전문업체 외주(9.7%)를 통한 통제 등이 그 뒤를 이었다.

답변시 2～3개를 응답하는 곳도 있고 1개만 응답하는 곳도 있는데 분자는 모두 각 1개로 계산하고 분모는 무조건 31로 나누는 방식으로, 정부나 공공기관에서 많이 사용하고 있다.

[표 4-8] 의경폐지 이후 출입통제는 누가 해야 하는가(복수응답)

	전체		경찰이 직접 관리		전문업체 외주		시스템(출입증 홍채, CCTV, 스크린도어, 안면인식 등)		사전출입신청제 도입(인터넷 등)
	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)
전체	31	100.0	4	12.9	3	9.7	13	41.9	2	6.5
20대	4	100.0	1	25.0	0	0.0	2	50.0	0	0.0
30대	20	100.0	2	10.0	3	15.0	7	35.0	2	10.0
40대 이상	7	100.0	1	14.3	0	0.0	4	57.1	0	0.0

	인원보충(한시적 임기제나 퇴직자 활용 등)		별도 방호직 채용		보안 담당부서 수행		무응답
	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)
전체	4	12.9	3	9.7	3	9.7	2	6.5
20대	0	0.0	1	25.0	0	0.0	1	25.0
30대	3	15.0	2	10.0	3	15.0	0	0.0
40대 이상	1	14.3	0	0.0	0	0.0	1	14.3

끝으로, 조사 대상자들은 경찰관서의 물리적 보안의 가장 큰 문제점과 개선방안으로 시스템 구축과 법령정비 등(19.1%)을 가장 시급한 것으로 응답했고, 각층별 및 보안구역 스크린도어 설치(16.1%)와 부단한 보안교육으로 직원의식 개선(16.1%), 민원인과 직원의 출입동선 차별화(12.9%), 정문출입통제 시설(차량 차단기 등) 강화(9.7%), 청사 노후화 또는 임시시설 사용으로 물리적 보안시스템 구축의 어려움(9.7%) 등의 순으로 응답했다.

[표 4-9] 경찰관서 물리적 보안의 개선방향(복수응답)>
	전체		정문출입통제시설(차량 차단기 등)		층별 및 보안구역 스크린도어 설치		교육으로 직원 의식 개선		담당자 전문화(교육 및 전담화)		민원인-직원출입동선 분리
	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)
전체	31	100.0	3	9.7	5	16.1	5	16.1	2	6.5	4	12.9
20대	4	100.0	1	25.0	1	25.0	2	50.0	1	25.0	0	0.0
30대	20	100.0	2	10.0	2	10.0	2	10.0	1	5.0	3	15.0
40대 이상	7	100.0	0	0.0	2	28.6	1	14.3	0	0.0	1	14.3

	청사노후화로 물리적 보안시스템 구축 어려움		시건장치 철저준수		기타(예산, 시스템구축, 인력, 법령정비 등)		문제없음		무응답
	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)
전체	3	9.7	2	6.5	6	19.4	2	6.5	2	6.5
20대	0	0.0	0	0.0	0	0.0	0	0.0	1	25.0
30대	2	10.0	2	10.0	6	30.0	1	5.0	0	0.0
40대 이상	1	14.3	0	0.0	0	0.0	1	14.3	1	14.3

2. 사이버 보안

(1) 사이버 보안실태

사이버 공간의 신뢰와 안전은 국가와 경제가 지속 발전하기 위해 반드시 확보해야 할 핵심 인프라 자원으로 평가받은 지 이미 오래되었다. 사이버 보안문제는 일반 시민들도 체감할 정도로 일상 생활의 주요 의제가 되고 있다. 일반시민의 개인정보 유출 및 도용은 물론 민간분야와 공공분야를 악성코드 유포나 해킹 등 각종 침해사고로부터 안전하게 지키고 보호해야 하는 경찰관서 역시 사이버 공간의 안전 확보를 위해 다양한 방안을 추진 중이다.

먼저, 지난 2008년.10월부터 경찰관서는 경찰관들의 사이버보안 의식을 제고하기 위해 매월 셋째 주 수요일을 ‘사이버 보안진단의 날’로 지정하여 운영해 오고 있다. 구체적으로 모든 컴퓨터에 내 PC 지킴이 프로그램을 설치해 체크리스트에 따라 진단하고 그 결과를 분석, 보완하는 방법으로 진행되어 왔다.

[표 4-10] 점검 내용

연번	항목	연번	항목
1	바이러스 백신 설치 및 실행	7	화면보호기 설정
2	바이러스 백신의 최신 업데이트	8	사용자 공유폴더 설정
3	운영체제, MS Office의 최신 보안 패치 설치	9	USB 자동 실행 허용
4	한글프로그램의 최신 보안패치 설치	10	미사용(3개월) Active-X 프로그램 존재
5	로그인 패스워드 안전성	11	PDF 프로그램의 최신보안 패치 설치
6	로그인 패스워드 분기 1회 이상 변경	12	Adobe Flash Player 최신 업데이트

[그림 4-1] 사이버 보안진단의 날 팝업창

한편, 북한의 사이버테러 위협에 대한 경각심이 지속 확대되면서, 지난 2016년 상반기부터 전국의 모든 경찰관서에서는 업무용 컴퓨터에서 다음, 네이버 등 상대적으로 보안이 취약한 상용메일 이메일 수•발신은 물론 계정 접속 자체를 모두 차단하고 있다. 다만, 공직자통합메일(@korea.kr)이나 경찰웹메일(@police.go.kr)은 사용이 가능하다.

또한, 경찰내부의 자료유출 방지를 위해 지난 2016년 기존 보안 USB의 파일 암호화 시스템 고도화 사업을 진행하여, 부서장의 결재가 선행되어야 자료반출이 가능하도록 조치한데 이어, 2017년 상반기에는 내외부 자료를 제어•관리하고 유출을 차단하는 시스템인 자료유출방지 시스템을 시범운영한 후 하반기부터 전국적으로 이를 시행하고 있다.

아울러, 방화벽은 실질적인 공격 차단율이 30% 안팎에 불과한 점을 감안하여 무선랜 침입방지시스템과 감시 센서로 액세스포인트(Access Point) 사용 현황을 실시간으로 관찰하고, 허용되지 않은 접근을 막고 보안 취약점을 초래할 수 있는 부적절한 접속을 방지하는 등 인가되지 않은 무선통신을 통제하는 무선침입방지 시스템(Wireless Intrusion Prevention System)을 2015년 서울지방경찰청과 부산지방경찰청에서, 2016년부터는 경찰청에서도 운영하고 있다.

(2) 사이버 보안에 대한 설문분석 결과

사이버 보안과 관련하여 설문 항목은 ‘전자정부 정보보호관리체계 인증 등에 관한 지침’(행안부 훈령 제 232호)과 최근 언론 등에 보도된 주요 보안사고 원인에 따라 설문을 작성하였다. 먼저, ‘설문조사 결과’를 분석한 결과 경찰관들은 물리적 보안 보다, 사이버 보안에 대해 더욱 민감하게 반응하고 주의를 기울이고 있는 것으로 드러났다. 특히, 최근 일반시민을 대상으로 휴대전화 문자를 통해 해당 문자나 첨부된 인터넷 주소를 클릭하도록 유도해서 이를 클릭하면 악성코드가 설치되어 소액결제가 되거나 휴대전화에 저장된 연락처, 공인인증서 등 개인정보와 금융정보가 유출되는 사고가 잇따르고 있지만, 경찰관들은 출처가 불분명한 이메일이나 SMS에 포함된 URL 또는 첨부파일에 대해 93.5%가 절대 열지 않거나 거의 열어보지 않는 것으로 응답하였다.

사이버 보안과 관련하여 31개 경찰서의 보안담당 직원 31명 모두 개인정보 유출이나 디도스 공격, 악성코드 감염 등 일체의 보안 사고를 당한 경험이 없다고 응답하였다.

[표 4-11] 출처가 불분명한 첨부파일 클릭 여부
	계		절대 열지 않는다		거의 열지 않는다		대부분 열어본다		항상 열어본다
	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)
전체	31	100.0	21	67.7	8	25.8	1	3.2	1	3.2
20대	4	100.0	3	75.0	1	25.0	0	0.0	0	0.0
30대	20	100.0	13	65.0	5	25.0	1	5.0	1	5.0
40대 이상	7	100.0	5	71.4	2	28.6	0	0.0	0	0.0

최근 바로가기(＊.Ink) 파일을 활용해 변종 랜섬웨어 작동을 유도하는 악성 이메일을 유포하거나 출처가 불분명한 수신 메일에 WSF 확장자, JS 확장자 등 스크립트 파일을 첨부하여 APT 악성코드 외에도 랜섬웨어 등 다양한 악성코드에 노출되는 사건이 발생하고 있다. 따라서, 이메일로 온 첨부파일은 확장자 명을 보고 신중하게 열람해야 한다. 윈도우 기본설정에서 ‘알려진 파일 확장자명 숨기기’라는 기능이 켜져 있으면 더 큰 위험에 노출될 수 있는 만큼, 우측 상단의 ‘파일확장자명’ 체크가 해제된 상태라면 체크된 상태로 바꿔야 한다. 이와 관련 조사 대상자 중 58%가 첨부파일을 클릭할 때 확장자명을 항상 확인하거나 대부분 확인한다고 응답했지만, 세 사람 중 한 사람(29%)은 전혀 확인하지 않거나 거의 하지 않는 것으로 나타났다.

데일리시큐(2017.1.20. 확장자 숨겨 악성파일 클릭 유도 메일 유포 중...랜섬웨어 피해 주의, 검색일 2018.3.8)

[표 4-12] 첨부파일 클릭시 확장자명 확인
	계		항상 한다		대부분 한다		가끔 한다		거의 하지 않는다		전혀 하지 않는다
	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)
전체	31	100.0	5	16.1	13	41.9	4	12.9	5	16.1	4	12.9
20대	4	100.0	1	25.0	1	25.0	1	25.0	0	0.0	1	25.0
30대	20	100.0	4	20.0	8	40.0	2	10.0	5	25.0	1	5.0
40대 이상	7	100.0	0	0.0	4	57.1	1	14.3	0	0.0	2	28.6

이메일을 이용한 공격은 해커 입장에서 가장 손쉽게 악성코드를 배포하는 방법이다. 따라서, 이메일이나 메신져 사용, 개인간 파일공유 등 이용에 각별한 주의가 요구된다. 특히, 이메일 및 메신져의 첨부파일은 물론, P2P 사이트에서 파일을 내려받을 때에는 바로 확인하지 말고 백신으로 악성코드 여부를 검사한 후에 파일을 여는 습관을 가져야 한다. 이와 관련 조사 대상자들 중 25.8%는 수신메일에 첨부파일이 있는 경우 항상 백신검사를 하거나 대부분 하는 것으로 답했지만, 절반 이상(61.3%)이 백신검사를 전혀 하지 않거나 거의 하지 않는 것으로 드러나 여전히 취약한 것으로 나타났다.

[표 4-13] 첨부파일 백신검사
	계		항상 한다		대부분 한다		가끔 한다		거의 하지 않는다		전혀 하지 않는다
	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)
전체	31	100.0	3	9.7	5	16.1	4	12.9	15	48.4	4	12.9
20대	4	100.0	1	25.0	0	0.0	1	25.0	1	25.0	1	25.0
30대	20	100.0	2	10.0	2	10.0	3	15.0	11	55.0	2	10.0
40대 이상	7	100.0	0	0.0	3	42.9	0	0.0	3	42.9	1	14.3

최근 기업이나 호스팅 社의 다수 서버에 악성코드를 감염시켜 주요파일이나 문서가 암호화되고, 요구하는 돈을 보내주지 않으면 자료복구가 불가능한 랜섬웨어 피해가 확산되고 있다. 대책으로 백신이나 OS를 최신 버전으로 유지하도록 권유하고 있지만, 그것으로는 충분하지 못하고 가장 기본적인 대응방안이 백업을 자주하는 것이다. 그간 유사한 피해내용이 수차례 언론을 통해 보도되었고 경찰청에서도 수시로 대응방안을 하달하고 있지만, 조사 대상자 중 절반 이상(51.6%)이 여전히 자료 백업을 하지 않는 것으로 드러났다.

전자신문(2017.12.5., 백업 있으면 랜섬웨어 안 무섭다...인터넷 교차로 서비스 정상화, 검색일 2018.3.4)

[표 4-14] 자료 백업
	계		백업한다 백업한다고 응답한 15명 중 각 2명이 백업 주기를 월 1회, 반기 1회, 년 1회로 응답했고 1명은 분기 1회로 응답했으나, 8명이 무응답하여 백업주기와 관련된 설문은 통계학적 의미가 없는 것으로 판단된다.		백업하지 않는다
	(명)	(%)	(명)	(%)	(명)	(%)
전체	31	100.0	15	48.4	16	51.6
20대	4	100.0	1	25.0	3	75.0
30대	20	100.0	9	45.0	11	55.0
40대 이상	7	100.0	5	71.4	2	28.6

내부정보 유출 방지를 위한 가장 간단하면서도 효과적인 방법이 중요한 문서마다 패스워드를 설정하는 것이다. 물론 패스워드가 너무 복잡하면 나중에 본인도 기억하기 어려워 편의성 면에서 논란이 야기될 수 있지만, 보안성 만큼은 의심하지 않아도 좋을 것이다. 조사 대상자 중 51.6%가 파일마다 패스워드를 입력해서 관리한다고 답변한 반면 19.3%는 거의 하지 않거나 전혀 하지 않는 것으로 나타났다.

[표 4-15] 파일 암호 설치
	계		항상 한다		대부분 한다		가끔 한다		거의 하지 않는다		전혀 하지 않는다
	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)
전체	31	100.0	5	16.1	11	35.5	9	29.0	5	16.1	1	3.2
20대	4	100.0	2	50.0	0	0.0	2	50.0	0	0.0	0	0.0
30대	20	100.0	3	15.0	7	35.0	6	30.0	3	15.0	1	5.0
40대 이상	7	100.0	0	0.0	4	57.1	1	14.3	2	28.6	0	0.0

부품교체나 수리 등의 이유로 컴퓨터를 외부 계약업체로 반출할 때에는 조사 대상자의 77.5%가 자료유출 방지를 위해 하드 디스크에 저장된 업무자료를 삭제하는 것으로 나타났다. 반면 16.2%는 자료 삭제를 거의 하지 않거나 전혀 하지 않는다고 응답하였다.

[표 4-16] 컴퓨터 외부반출시 자료삭제
	계		항상 한다		대부분 한다		가끔 한다		거의 하지 않는다		전혀 하지 않는다
	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)
전체	31	100.0	10	32.3	14	45.2	2	6.5	3	9.7	2	6.5
20대	4	100.0	1	25.0	3	75.0	0	0.0	0	0.0	0	0.0
30대	20	100.0	5	25.0	10	50.0	2	10.0	2	10.0	1	5.0
40대 이상	7	100.0	4	57.1	1	14.3	0	0.0	1	14.3	1	14.3

하지만, 위와 달리, 인사발령에 의한 PC의 사용자 변경, 정년 퇴직자가 사용하던 PC를 신규직원이 사용하거나, 사망이나 기타 이유로 퇴직하는 직원이 발생하여 컴퓨터 사용자가 바뀌는 경우에는 불과 41.9%만이 컴퓨터에 보관되어 있는 자료를 삭제한다고 했고, 이보다 많은 45.2%가 자료 삭제를 전혀 하지 않거나 거의 하지 않는 것으로 나타났다.

[표 4-17] PC 사용자 변경시 자료삭제
	계		항상 한다		대부분 한다		가끔 한다		거의 하지 않는다		전혀 하지 않는다
	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)
전체	31	100.0	5	16.1	8	25.8	4	12.9	10	32.3	4	12.9
20대	4	100.0	1	25.0	1	25.0	1	25.0	1	25.0	0	0.0
30대	20	100.0	2	10.0	5	25.0	2	10.0	7	35.0	4	20.0
40대 이상	7	100.0	2	28.6	2	28.6	1	14.3	2	28.6	0	0.0

즉, 조사 대상자들은 수리 등의 이유로 컴퓨터를 경찰관서 밖으로 반출할 경우에는 정보유출을 우려하며 자료 삭제 등 안전조치를 하는 경향이 높지만, 인사발령이나 퇴직 등의 사유로 사용자가 변경되는 경우에는 내부정보 유출 가능성에 대해 크게 인식하지 못하는 것으로 분석되었다. 하지만, 그간의 사례나 언론보도 등을 볼 때 외부인에 의한 정보유출 보다는 내부자에 의한 정보유출 비율이 훨씬 심각한 것이 현실이다. 경찰관서 역시 기존 PC를 다른 직원이 사용한다면 예전 PC의 자료가 비인가자인 제 3의 직원에게 유출될 수 있는 가능성을 배제할 수 없는 것이다. 따라서, 1년에 2차례 인사발령에 의해 수 만명의 근무장소가 변경되는 경찰관서에서 내부정보 유출에 대한 특단의 대책이 필요하다 하겠다.

끝으로, 조사 대상자 중 25.8%가 동료 경찰관들의 낮은 보안의식과 지속적인 보안교육을 경찰관서 사이버 보안의 가장 큰 문제점 및 개선방안으로 꼽았고, 강력한 보안 프로그램이 구축된 메일서버 또는 사용자 식별 기능 등 시스템 보안(12.9%), 보안담당 직원의 전문성 부족(9.7%), 업무 편리성을 이유로 한 보안규정 무시 관행(9.7%) 등이 뒤를 이었다. 다만, 일부(9.7%)이기는 하지만 현재도 사이버 보안 대책이 충분하다고 인식하는 경우도 있었다.

[표 4-18] 사이버 보안 문제점과 개선방향(복수응답)

	전체		직원들의 낮은 보안의식(교육 필요)		전담 직원 전문성 제고		구체적 매뉴얼(지침) 및 교육시스템 필요
	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)
전체	31	100.0	8	25.8	3	9.7	2	6.5
20대	4	100.0	1	25.0	1	25.0	0	0.0
30대	20	100.0	4	20.0	1	5.0	2	10.0
40대 이상	7	100.0	3	42.9	1	14.3	0	0.0

	시스템보완(강력한 보안프로그램이 구축된 메일서버, 사용자 식별 기능 등)		기타(업무편의 빙자, 보안규정 무시, 경찰서 단위 모니터링 / 로그 권한분석 부여 등)		필요없음(현재 충분 등)		모름/무응답 등
	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)
전체	4	12.9	3	9.7	3	9.7	11	35.5
20대	0	0.0	0	0.0	0	0.0	3	75.0
30대	3	15.0	2	10.0	2	10.0	7	35.0
40대 이상	1	14.3	1	14.3	1	14.3	1	14.3

3. 관리적 보안

(1) 관리적 보안 실태

정보화시대를 맞아 이전의 유형적•물리적 보안대책만으로는 내부정보의 유출에 효율적으로 대처하기가 어려워짐에 따라, 기밀 또는 보안사항을 취급하는 경찰관들의 의식변화를 통해 보안환경 변화에 능동적으로, 선제적으로 대응하고자 하는 것이 더욱 시급해졌다고 볼 수 있다. 이것이 곧 관리적 보안이다. 최근 군에서는 어떻게 하면 군사기밀을 다루는 장병들의 보안의식을 고취시킬 수 있는지가 군의 중요한 보안과제로 대두되고 있는 가운데, 군사기밀 업무를 수행하는 장병들이 어떠한 정신보안 자세를 가지고 있느냐에 따라 군사 보안의식 수준이 달라질 수 있다며, 정신보안을 강조(박동희, 2013 : 12)하고 있는데, 이러한 움직임 역시 사람중심의 보안, 즉 관리적 보안의 개념과 무관치 않다 할 것이다.

그동안 경찰관서의 보안이라 하면 내부의 핵심 정보자원을 외부의 공격으로부터 안전하게 지키고자 하는 측면에 초점이 맞춰져 왔다. 대부분의 민간기업과 마찬가지로 제기되는 정보화의 역기능에 대응하기 위해서 웹방화벽, 침입탐지시스템 및 침입방지시스템 등 다양한 사이버보호 솔루션을 구축•운영하는 등 외부 공격을 차단하고 방어하는 중심의 울타리 보안에만 치중해 왔다. 하지만, 정작 중요한 것은 권한이 있는 내부 구성원에 의해 야기되는 공격에 대해서는 거의 무방비 상태이거나, 혹은 소홀하게 대응하고 있었다는 것이다. 이제는 악의적인 내부자로부터 정보자산을 안전하게 지키는 것의 비중이 보안영역에서 점점 확대되고 있는 추세이다(최옥현, 2008 : 4). 경찰관서에서도 내부자 위협에 선제적이면서 실효적으로 대응하기 위한 기술적인 측면 뿐 아니라 운영 및 관리 분야에서의 충분한 검토와 접근이 병행되어야 하는 등 관리적 보안의 중요성이 더 이상 간과되어서는 안된다.

미국의 권위있는 보안전문가이자 암호학자인 브루스 슈나이어(Bruce Schneier)는 ‘보안수준은 보안사슬의 가장 약한 고리만큼만 안전하다’고 지적했다. 마치 조그마한 틈새 하나가 저수지의 커다란 둑 전체를 한순간에 무너뜨릴 수 있다는 것과 마찬가지이다. 실제로 보안의 약한 고리들은 대부분 그것을 운영하는 데 있어서의 실수나 관리미숙 혹은 보안의식 결여 등이 아닐까 생각한다.(김민수, 2011 : 26)

관리적 보안과 관련하여 경찰관서에서는 자료유출 및 자료축적 우려를 예방하고 근절하기 위해 문서와 인원에 대해 엄격한 통제 방안을 구축하고 있다. 특히, 정보 보고서는 ‘열람 후 파기’ 원칙에 따라 평가•활용한 후 즉시 삭제하고 있다. 전산시스템에 등재된 자료는 일정기간이 경과한 후 자동삭제하되, 기록물로 충분한 가치가 있는 자료는 선별•종합하여 별도 기록물로 등재하여 관리하고 있다. 또한,  채증자료는 ‘수사 통보 및 공소시효 완성 시 자동삭제‘하고, 보관실익이 없는 경우 공소시효가 완성되기 전에라도 폐기조치하고 있다.

(2) 관리적 보안에 대한 설문분석 결과

서울소재 31개 경찰서의 보안담당 경찰관 31명은 성별로는 남성 경찰관 29명(93.5%), 여성 경찰관 2명(6.5%)이고 연령별로는 20대가 4명(12.9%), 30대가 20명(64.5%), 40대가 5명(16.1%), 50대 이상자가 2명(6.5%)으로 확인되었으며, 계급별로는 순경 8명(25.8%), 경장 10명(32.3%), 경사 9명(29.0%), 경위 4명(12.9%)으로 파악되었다.

[표 4-19] 설문대상 분석

				성별
		계		남자		여자
		응답자수(명)	구성비(%)	응답자수(명)	구성비(%)	응답자수(명)	구성비(%)
전체		31	100.0	29	93.5	2	6.5
연령대	20대	4	12.9	3	9.7	1	3.2
	30대	20	64.5	19	61.3	1	3.2
	40대	5	16.1	5	16.1	0
	50대 이상	2	6.5	2	6.5	0

경찰조직 전체(경찰관 118,181명, 2018.3.28 현재)의 계급별(순경 19,276명<16.3%>, 경장 16,218명<13.7%>, 경사 24,112명<20.4%>, 경위 45,733명<38.7%>, 경감 9,552명<8.1%>, 경정 2,609명<2.2%>, 총경 이상 681명<0.6%>)•연령대별(20대 13,517명<11.4%>, 30대 35,606명<30.1%>, 40대 36,462명<30.9%>, 50대 이상 32,596명<27.6%>) 구성과 비교하여, 서울 소재 경찰서의 보안담당 경찰관들의 계급별 분포를 볼 때 순경, 경장, 경사 계급의 비율이 전국 평균보다 압도적으로 많은 반면 경위 계급은 1/3에도 미치지 못하고 있음을 알 수 있다. 또한, 연령대별로 볼 때 20대는 전국 평균과 큰 차이가 없지만, 30대는 전국 평균의 2배 이상이, 40대와 50대는 1/2에서 1/4정도에 불과하다. 즉, 경찰관서의 보안업무가 다른 업무에 비해 경험이 적고 계급이 낮은 직원들에 의해 수행되는 것을 봐서, 보안업무에 대한 지휘부의 관심이 적고 중요성 역시 현장에서는 낮게 평가된다고 볼 수 있다.

경찰관서의 보안시스템은 외부로부터의 침입은 물론 내부정보가 정당한 절차없이 외부로 유출되는 것을 방지하기 위해 마련하는 것이다. 외주업체 직원 등이 경찰관서를 출입할 때 또는 내부 직원 채용시 등의 경우에 ① 업무상 지득하게 될 일체의 내용이 직무상 기밀사항임을 인정 ② 업무수행 중 알게 된 제반 기밀사항을 일체 누설하거나 공개 금지 ③ 기밀 누설시 관련 계약 및 법령에 따라 어떠한 불이익과 처벌도 감수 ④ 하도급 업체로 인해 발생하는 위반사항 등에 모든 책임 부담 등이 포함된 보안서약서를 받도록 규정하고 있다. 조사 대상자들 중 대다수(83.8%)는 보안서약서를 받고 있지만, 일부(6.4%)는 ‘업무를 맡은 지 얼마 되지 않아 규정을 모른다’ 등의 이유로 보안서약서를 받지 않는 것으로 나타났다.

[표 4-20] 보안서약서 징구
	계		항상 한다		대부분 한다		가끔 한다		거의 하지 않는다		전혀 하지 않는다
	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)
전체	31	100.0	17	54.8	9	29.0	3	9.7	1	3.2	1	3.2
20대	4	100.0	2	50.0	0	0.0	2	50.0	0	0.0	0	0.0
30대	20	100.0	9	45.0	8	40.0	1	5.0	1	5.0	1	5.0
40대 이상	7	100.0	6	85.7	1	14.3	0	0.0	0	0.0	0	0.0

‘보안업무규정’에서는 경찰관서를 국가보안시설로 보고 있으며, 제한지역, 제한구역, 통제구역으로 구분하여 지정하고 자체 보안대책을 수립하도록 규정하고 있다. 하지만, 조사 대상 경찰관서 중 25.8%가 계획을 수립하고도 계획대로 시행하지 않고 있다고 응답했고, 심지어 1개 관서(3.2%)는 아예 계획조차 없는 것으로 나타났다.

[표 4-21] 자체 보안대책 수립•시행
	계		계획도 있고 시행도 하고 있다		계획은 수립되어 있으나 시행은 하지 아니 한다		계획이 없다
	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)
전체	31	100.0	22	71.0	8	25.8	1	3.2
20대	4	100.0	4	100.0	0	0.0	0	0.0
30대	20	100.0	15	75.0	4	20.0	1	5.0
40대 이상	7	100.0	3	42.9	4	57.1	0	0.0

아울러, 보안사항에 접근할 수 있는 인력에 대해, 31개 경찰관서 모두 접근권한은 부여하고 있지만, 17개 관서(54%)에서 별도 이력관리를 하지 않고 있는 등 미흡한 점이 발견되었다.

[표 4-22] 보안접근 권한 부여 및 이력관리
	계		접근권한부여 및 이력관리를 하고 있다		접근권한은 부여하나 이력관리는 하지 않는다
	(명)	(%)	(명)	(%)	(명)	(%)
전체	31	100.0	14	45.2	17	54.8
20대	4	100.0	1	25.0	3	75.0
30대	20	100.0	10	50.0	10	50.0
40대 이상	7	100.0	3	42.9	4	57.1

한 가지 특기할 만한 내용은, 도청이나 몰래 카메라 등을 이용한 내부정보 유출 가능성에 대한 우려가 심각하게 제기되고 있는 상황에서도 조사 대상관서 중 13개 관서(41.9%)에서 관련 교육을 전혀 받은 사실이 없다고 답변한 것이다. 일반 시민도 아니고, 경찰관이 더욱이 보안담당 경찰관들이 관련 교육을 받지 못했다는 것은 보안에 대한 관리자들의 인식이 어느 정도 수준인지를 잘 설명해 준다 할 것이다.

[표 4-23] 도청 관련 교육
	계		정기적으로 교육받고 있다		정기적이진 않지만 교육받은 적 있다		교육받은 적 없다
	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)
전체	31	100.0	4	12.9	14	45.2	13	41.9
20대	4	100.0	1	25.0	1	25.0	2	50.0
30대	20	100.0	3	15.0	11	55.0	6	30.0
40대 이상	7	100.0	0	0.0	2	28.6	5	71.4

경찰 뿐 아니라, 모든 공공기관에서는 소관 행정목적 달성을 위해 제한된 자원(인력, 예산 등)을 최대한 효율적으로 활용하기 위해 고민하고 있다. 관서의 책임자가 어떤 철학을 가지고 있는지, 어느 분야를 중요하게 생각하는지 등에 따라 특정분야에 자원이 집중 투입되는 경우를 드물지 않게 보아 왔다. 조사 대상기관의 25.8%는 관리자들의 보안의식이 매우 부족하거나 부족한 편이라고 인식하는 등 관리자들의 전반적인 보안의식에 문제점이 있는 것으로 나타났다.

[표 4-24] 관리자의 보안의식
	계		매우 부족하다		부족한 편이다		보통이다		높은 편이다		매우 높다
	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)
전체	31	100.0	1	3.2	7	22.6	11	35.5	11	35.5	1	3.2
20대	4	100.0	0	0.0	1	25.0	2	50.0	1	25.0	0	0.0
30대	20	100.0	1	5.0	6	30.0	5	25.0	7	35.0	1	5.0
40대 이상	7	100.0	0	0.0	0	0.0	4	57.1	3	42.9	0	0.0

또한, 경찰관서의 보안관리 및 감독체계에 대해서도 절반 가량인 15개 관서(48.4%)에서는 체계적이라고 답변한 반면, 5개 관서(16.1%)에서는 매우 허술하거나 허술한 편이라고 응답하였다.

[표 4-25] 보안관리 및 감독체계
	계		매우 허술하다		허술한 편이다		보통이다		체계적인 편이다		매우 체계적이다
	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)
전체	31	100.0	1	3.2	4	12.9	11	35.5	14	45.2	1	3.2
20대	4	100.0	0	0.0	1	25.0	1	25.0	2	50.0	0	0.0
30대	20	100.0	1	5.0	2	10.0	7	35.0	9	45.0	1	5.0
40대 이상	7	100.0	0	0.0	1	14.3	3	42.9	3	42.9	0	0.0

한편, 내부자에 의한 정보유츨이 점증하고 있는 상황에서 조사대상 경찰관서중 10개 관서(32.3%)에서는 악의적인 내부자가 정보유출을 시도하더라도 관리감독 등 보안시스템 작동으로 원천적으로 정보유출이 불가능하다고 답변했으나, 그보다 2배 이상 많은 21개 관서(68.8%)에서는 사전 계획을 세운다면 어렵지 않게 내부정보 유출이 가능한 것으로 드러났다.

[표 4-26] 내부정보 유출 가능성
	계		사전계획을 세운다면 가능하다		어려움없이 가능하다		관리감독 강화로 불가능하다		엄격한 체계로 원천적으로 불가능하다
	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)
전체	31	100.0	15	48.4	6	19.4	7	22.6	3	9.7
20대	4	100.0	1	25.0	0	0.0	1	25.0	2	50.0
30대	20	100.0	11	55.0	3	15.0	5	25.0	1	5.0
40대 이상	7	100.0	3	42.9	3	42.9	1	14.3	0	0.0

경찰관서의 관리적 보안의 가장 큰 문제점 및 개선사항과 관련하여, 잦은 인사이동과 인수인계 부실 등으로 담당 직원의 전문성 부족(29.0%)이 가장 시급한 것으로 나타났고, 낮은 보안의식(25.8%), 교육 기회 부족(12.9%), 구체적 지침 부재(6.5%) 등의 순으로 드러났다.

[표 4-27] 관리적 보안의 문제점 및 개선방향(복수응답)

	전체		전문화된 전담직원 (잦은 인사이동 / 인수인계 부실 등)		낮은 보안의식		교육강화
	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)
전체	31	100.0	9	29.0	8	25.8	4	12.9
20대	4	100.0	1	25.0	1	25.0	0	0.0
30대	20	100.0	6	30.0	5	25.0	4	20.0
40대 이상	7	100.0	2	28.6	2	28.6	0	0.0

	구체적이고 전문적인 지침 부재		기타 (관리공간 협소 등)		문제없음/필요없음		모름/무응답 등
	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)
전체	2	6.5	3	9.7	2	6.5	8	25.8
20대	1	25.0	0	0.0	0	0.0	2	50.0
30대	1	5.0	3	15.0	1	5.0	4	20.0
40대 이상	0	0.0	0	0.0	1	14.3	2	28.6

경찰관서의 보안업무 중 취약한 분야는 관리적 보안(38.7%) 〉 물리적 보안(22.6%) 〉 사이버 보안(16.1%) 순으로 나타났고, 상대적으로 우수한 분야는 사이버 보안(41.9%) 〉 물리적 보안(29.0%) 〉 관리적 보안(12.9%) 순으로 나타나는 등 사이버 보안에 대한 평가가 상대적으로 좋았고, 관리적 보안은 가장 아쉬움이 많은 분야로 파악되었다. 한편, 중요성에 있어서도 물리적 보안(32.3%) = 사이버 보안(32.3%) 〉 관리적 보안(25.8%)으로 드러났다.

[표 4-28] 가장 취약한 분야
	계		물리적		사이버		관리적		기타(모름, 무응답, 동일 등)
	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)
전체	31	100.0	7	22.6	5	16.1	12	38.7	7	22.6
20대	4	100.0	1	25.0	1	25.0	0	0.0	2	50.0
30대	20	100.0	5	25.0	1	5.0	10	50.0	4	20.0
40대 이상	7	100.0	1	14.3	3	42.9	2	28.6	1	14.3

[표 4-29] 가장 나은 분야
	계		물리적		사이버		관리적		기타(모름, 무응답, 동일 등)
	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)
전체	31	100.0	9	29.0	13	41.9	4	12.9	5	16.1
20대	4	100.0	1	25.0	2	50.0	0	0.0	1	25.0
30대	20	100.0	5	25.0	9	45.0	3	15.0	3	15.0
40대 이상	7	100.0	3	42.9	2	28.6	1	14.3	1	14.3

[표 4-30] 가장 중요한 분야
	계		물리적		사이버		관리적		기타(모름, 무응답, 동일 등)
	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)
전체	31	100.0	10	32.3	10	32.3	8	25.8	3	9.7
20대	4	100.0	0	0.0	2	50.0	1	25.0	1	25.0
30대	20	100.0	9	45.0	6	30.0	5	25.0	0	0.0
40대 이상	7	100.0	1	14.3	2	28.6	2	28.6	2	28.6

경찰관서 내부의 정보가 유출되는 이유로는 보안의 중요성에 대한 인식 부족 및 무관심(74.2%)을 가장 크다고 생각하고, 그 다음으로는 스마트 폰 등 첨단기기의 발전으로 인한 유출 용이(12.9%), 관리소홀(12.9%) 순으로 나타났다.

[표 4-31] 내부정보 유출 이유(복수응답)
	전체		인식부족(중요치 않다. 안이함. 무관심 등)		첨단기기(메신저, 카톡, 스마트폰 등으로 유출용이)		관리소홀		기타		모름/무응답 등
	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)
전체	31	100.0	23	74.2	4	12.9	4	12.9	1	3.2	3	9.7
20대	4	100.0	3	75.0	1	25.0	0	0.0	0	0.0	0	0.0
30대	20	100.0	16	80.0	3	15.0	4	20.0	0	0.0	1	5.0
40대 이상	7	100.0	4	57.1	0	0.0	0	0.0	1	14.3	2	28.6

끝으로, 보안담당 직원에게 가장 요구되는 덕목이나 자질로는 책임감·사명감(38.7%) 〉 전문성(22.6%) 〉 성실성(19.4%) 〉 관심과 인식(16.1%) 순으로 조사되었다.

[표 4-32] 보안 담당자의 덕목(복수응답)>
	전체		책임감/사명감		관심과 인식		성실성(꾸준함)		전문성(지속성)		모름/무응답 등
	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)	(명)	(%)
전체	31	100.0	12	38.7	5	16.1	6	19.4	7	22.6	5	16.1
20대	4	100.0	2	50.0	1	25.0	1	25.0	2	50.0	0	0.0
30대	20	100.0	8	40.0	4	20.0	5	25.0	4	20.0	1	5.0
40대 이상	7	100.0	2	28.6	0	0.0	0	0.0	1	14.3	4	57.1

제 2절 경찰 내부정보 유출방지 방안

1. 물리적 보안

(1) 보안앱 설치 의무화

국방부에서는 2013. 7월부터 특정 보안앱을 설치한 직원들만 스마트폰을 휴대한 채 청사에 들어갈 수 있는 제도를 시행하고 있다. 이 보안앱은 청사내에서만 작동하며 설치하면 안드로이드 계열 스마트폰은 문자 송•수신과 전화가 가능하고 아이폰은 문자수신, 전화만 가능하다. 또한, 직원을 제외하고 일반시민 등은 아예 휴대전화를 가지고 국방부 청사로 들어갈 수 없다. 청사 입구에서 일반 휴대폰이나 스마트폰을 맡겨야 청사내 출입이 가능하다.

경향신문(2013.7.3. 국방부 청사내에서 아이폰은 수신만 가능, 검색일 2018.1.8)

청와대에서도 정보유출을 차단하고 보안체계를 강화한다는 취지에서 지난 2017. 9월 수석•보좌관 회의에서 대통령 비서실•국가안보실 소속 全 직원을 상대로 모바일 단말기 원격통제 시스템(MDM, Mobile Device Management) 애플리케이션을 의무적으로 설치하도록 하였다. 청와대 정보통신 보안 관계자는 이 보안앱을 설치할 경우, 청와대 경내로 들어올 때 카메라와 음성녹음 기능만 자동으로 차단되고 외부로 나갈 때에는 자동으로 해제될 뿐, 통화기록이나 위치정보 등 개인정보 수집 기능은 원천적으로 차단하여 운영하고 있다는 점을 강조하고 있다.

요즘은 일상생활은 물론 근무 과정에서도 스마트 폰에 의존하는 경향이 많은 만큼, 스마트 폰을 통한 내부정보 유출 우려도 증가하고 있다. 따라서, 경찰관서에서도 직원들을 대상으로 모바일 원격 통제 시스템 앱 설치 도입을 적극 검토할 필요가 있다. 보안 앱을 설치할 경우, 일부에서 프라이버시 침해 가능성을 우려하고 있지만, 경찰관서의 내부정보 유출방지를 위한 효과적인 방법 중의 하나가 보안앱 설치라는 사실에는 크게 논란이 없는 것 같다. 다만, 위치정보와 통화기록, 인터넷 열람기록, 문자메시지 등 수집기능은 원천 차단함으로써 全 경찰관이 개인정보 침해 논란에 대한 우려 없이 자발적으로 보안 앱 설치에 동의할 수 있도록 동기부여를 할 필요가 있다.

(2) 사무공간과 면회실 분리

내부 정보자산에 대해 인가되지 않은 외부자의 불요불급한 접근을 방지하기 위해서는 각 경찰관서별로 지정한 제한지역, 제한구역, 통제구역 등 중요 시설의 출입 통제를 강화해야 하고, 근무자의 사무공간과 분리하여 업무공간 바깥에 별도의 면회실, 세미나 공간을  마련해야 한다. 또한 내방객 또는 민원인이 소지한 노트북, 카메라 및 캠코더 등 취약한 물품의 반입을 통제해야 한다.(최옥현, 2009 : 62). 설문에 응해준 서울시내 31개 경찰서의 보안담당 직원들 역시 물리적 보안의 개선방향으로 민원인과 직원들의 출입 동선 분리를 건의하고 있다.

(3) 보안스티커 활용

보안스티커는 한번 부착했다가 떼어 내면 부착면에는 흔적이 없고 라벨 자체에만 ‘VOID OPEN’ 표시가 생기거나, 부착 면과 라벨 양쪽에 훼손 흔적이 남는 등 여러 가지 방법을 통해 훼손 여부를 쉽게 알 수 있게 만든 것이다. 아래 그림의 왼쪽은 보안스티커를 붙인 모습, 오른쪽은 한 번 붙였다가 떼어 낸 상태이다.

[그림 4-2] 보안스티커

경찰관서 내부로 들어온 외부인이 휴대폰 카메라를 이용해 촬영하지 않았다는 사실을 입증하거나, 노트북을 내부로 반입해 어떤 작업도 하지 않았다는 확실한 증거를 얻기 위해 보안스티커를 휴대폰 카메라 부분에 붙이거나, 노트북의 본체와 모니터 사이에 붙이도록 의무화할 수 있다.

(4) 업무용 노트 일괄 회수•폐기

지난 2017년 1월경 과거 청와대 경호실에 파견되어 근무했던 고위직 경찰관이 파견당시 작성한 업무노트가 언론에 공개되면서 인사 관련 각종 청탁에 개입한 의혹이 제기되어 논란이 된 적이 있었다.

경인일보(2017.5.18. 인사청탁 의심 정황 업무노트 ‘경찰고위간부’ 경고 처분, 검색일 2018.1.6)

매년 말 경찰관서에서는 다음해 업무용 노트를 제작, 배포하고 있고, 많은 경찰관들이 이 업무노트에 경찰청, 지방경찰청의 강조사항이나 관서장의 업무지시 내용을 수시로 기재하고 있다. 문제는 별도 보안조치 없이 중요 업무사항이나 각종 개인정보가 빼곡하게 기재된 업무용 노트를 직원 개개인이 임의로 폐기처분하거나 방치하는 경우가 많다는 것이다. 이를 통해 민감한 내용이나 정보가 외부로 무단 유출되는 상황을 배제할 수 없다. 국가 기밀사항은 두말할 필요가 없지만, 그게 아니라도 경찰 업무내용이나 내부 문건이 불필요하게 외부에 알려질 경우 의혹이 확산될 수 있는 만큼, 내부정보 유출방지를 위해 매년 말에 경찰서별로 업무노트를 일괄 회수, 지정 업체를 통해 폐기•소각하는 등 대책이 필요하다.

2. 사이버 보안

(1) 출력후 파기까지 종이문서 이력관리

기업 정보보안이 강화되면서 메일 및 USB 메모리를 통한 정보유출이 감소하는 것과는 대조적으로 종이문서 등 출력물을 통한 정보유출이 증가하고 있다. 이에 따라, 출력물 통제를 위한 여러 가지 대책이 쏟아지고 있지만 파기 등 출력 후 이력관리 문제는 여전히 취약한 것이 사실이다. 출력물 유출사고는 출력물 PC통제 솔루션 미흡, 허가받지 않는 프린터 단말기 사용, 복사물 내용 및 사용량 통계 관리 불가 등이 주요 요인으로 거론된다. 일부 대기업이나 공공기관 등에서는 보안사고 방지를 위해 모든 출력물에 텍스트 및 이미지 로그나 워터마크를 적용하고 있다. 또한 문서 출력 전 개인인증을 통해 승인결재를 받도록 하기도 한다. 인가된 프린터 단말기 외에는 출력을 차단하거나 복사시 사용자 인증을 받도록 하는 등 출력물 유출방지에 힘쓰고 있다. 그러나, 이런 방법으로 관리된 출력물도 파기 관리가 미흡해 보안사고로 연결되는 사례가 종종 일어나고 있다. 출력을 한 후 통제•관리되지 않는 종이 문서는 개인 부주의 등으로 인해 이면지로 사용되거나 기타 폐기물 형태로 사무실 밖으로 유출되어 심각한 문제를 일으키고 있다. 중요정보가 담긴 출력물을 파쇄했다고 해서 안심할 일이 아니다. 과거 어느 일간지의 사회부 기자 사이에서는 경찰서 형사들이 사건 관련 이야기를 해 주지 않자, 휴지통을 뒤져 파쇄된 종이 뭉치를 짜맞추어 특종을 했다는 이야기가 전설처럼 전해져 오고 있다. 보다 구체적인 사례로는 불과 몇 년 전 국정농단의 주역인 최순실씨의 의료 의혹과 관련하여 기자들이 최씨가 자주 다녔던 병원에서 나오는 종량제 봉투를 가져가서 파쇄된 종이를 일일이 맞춰 보는 작업을 했더니, 거기에 최씨 모녀의 이름과 향정신성 의약품을 누구에게 얼마나 사용했는가 하는 정보도 찾을 수 있었다고 한다. 무엇보다 그 병원에서 감독기관에 제출했던 대장하고 파쇄물을 맞춘 내용이 달라 이른바 ‘이중장부’를 구성했다는 의혹을 입증하기도 했다.

JTBC 뉴스(2016.12.13, 김영재 의원 쓰레기 봉투서 찾은 ‘최순실 의료 의혹’, 검색일 2018.4.9)

이같은 출력물 유출사고의 원인은 출력 후 이력관리가 제대로 이뤄지지 않고 있다는 점이다. 개인정보보호법은 개인정보 보유기간이 경과하면 지체 없이 그 정보를 파기해야 한다고 규정하고 있다. 하지만, 실제 파기되었는지에 대한 이력관리 부재로 언제든지 개인정보가 외부에 유출될 수 있는 개연성이 있다. 이에 따라, 개인정보가 포함된 인쇄물이 보유기간 경과 후 실제 파기되는지에 대해 관리를 해야 한다. 일반적으로 출력물에는 보유기간이 기재되지만 제대로 지켜지지 않는 경우가 적지 않다. 따라서 출력물이 정해진 기간 내에 실제 폐기로 이어졌는지 파악하고 관리하는 이력관리가 중요하다. 이를 위해서는 문서세단기를 관서 내 IT 인프라에 포함해 고도화할 필요가 있다. 출력물 관리 솔루션과 세단기를 연동해 보관기간 내 파기여부를 확인하고 복사•출력 이력정보와 위변조 방지여부를 확인해야 한다. 문서관리 담당자가 오프라인으로 문서의 파기 여부를 지속 체크하고 관리하는 데는 한계가 있는 만큼, 파쇄기를 출력물 통제 솔루션과 연동하면 관서 내 자원을 효율적으로 활용하면서도 보안에 대한 우려를 상당부분 해소할 수 있을 것이다.

(2) 디지털 워터마크

워터마크(Digital watermark)는 원래 지폐나 미술품 등에 대한 불법복제를 방지하기 위해 개발된 기술로, 종이가 젖어 습기가 있는 상태에서 인쇄하고, 이를 말린 뒤 다시 양쪽 면을 인쇄하는 기술을 말한다. 하지만, 이는 저작물이나, 미술품 또는 지폐에 국한되고 디지털 콘텐츠에 사용되는 워터마크는 이와는 또 다른 방법을 사용한다. 디지털 콘텐츠에 오직 사용자만이 알 수 있는 정보를 담고 있는 부호를 삽입하거나, 음성, 영상 등의 신호에 특정한 유형이나 코드 등을 삽입하는 기술을 디지털 워터마크라고 하는데, 이 역시 데이터에 대한 불법복제를 방지하고 데이터 소유자의 소유권과 저작권을 효율적으로 보호하기 위한 기술의 일종이라고 할 수 있다. 이 디지털 워터마크는 사용자가 소프트웨어를 사용하거나 이미지를 보는 데는 전혀 지장을 주지 않으면서도 복제경로나 원본의 출처를 찾아내는 데는 매우 효과적이고 재생이 어려운 형태로 보관된다.

[그림 4-3] 워터마크

경찰관서에서 생산하는 모든 종이문서는 문서명, 출력자, 출력일시, 보안문구 등 워터마크와 함께 출력되도록 해야 한다. 세부적으로 문서 상단이나 하단에 워터마크가 표시될 경우, 해당부분을 자르고 외부로 반출할 수 있는 만큼, 대각선 사선으로 워터마크를 생성하는 것도 고려할 필요가 있다.

(3) 첨부파일이 있는 모든 메일을 보안메일로 전송

전산시스템의 발달에 힘입어 카드사용 명세서, 급여명세서 등을 e-mail로 발송하고 있다. 기존 메일 방송은 특별한 보안조치가 없기 때문에 타인이 개인 메일함을 열었거나 제 3자에게 잘못 발송된 경우, 권한 없는 자가 메일 내용을 확인할 수 있었지만, 보안메일은 개인 암호를 넣어야만 내용을 확인할 수 있기 때문에 보안성이 획기적으로 제고되었다.

주민등록번호, 계좌번호 등 민감한 개인정보가 포함되어 있는 문서는 첨부파일로 발송하고, 첨부파일이 있는 모든 메일은 보안메일을 이용하여 전송하도록 해야 할 것이다.

[그림 4-4] 보안메일 전송 모습

(4) 문서암호화 생활화

내부정보 유출방지 시스템의 기본은 오프라인(PDA, USB 등)과 온라인(파일전송, 전자우편 등) 방법을 통해 발생하는 정보의 자유로운 이동을 통제하는 것이다. 특히, 경찰관서에서 생성•유통되는 모든 전자문서에 대한 사용권한을 지정하고 암호화함으로써 허가된 소수의 내부자가 인가된 제한적 범위 안에서만 중요정보에 접근할 수 있도록 통제•관리할 필요성이 증가하고 있다. 물론 암호화로 인한 다소간 불편함은 예상되지만, 보안사고로 인한 경찰관서의 신뢰도 하락, 사회적 논란 등에 비할 문제는 아닐 것이다.

(5) 인터넷 PC 자료 저장 방지 시스템

국가정보보안 기본지침에 의거, 인터넷 PC에서 한컴오피스, PDF 파일, MS-office 등을 이용하여 문서작업을 할 경우 부팅할 때마다 기존 작업한 문서 파일이 자동으로 삭제되거나 인터넷 PC에서는 아예 문서작업 자체가 되지 않도록 하는 자료저장 방지 시스템을 모든 행정기관에 적용하고 있다. 경찰청에서도 이와 관련된 기술적•관리적 방안을 경찰정보통신보안업무규칙(2015년 1월 제정, 제48조 인터넷 PC 보안관리)에 반영하여 인터넷에서의 업무자료 저장을 금지하도록 제도화하고 있다. 하지만, PC별로 라이센스를 받아야 하고 유지보수료 등 예산상의 문제와 불편에 따른 직원들의 불만 등 현실적인 이유로 아직 구체적인 도입계획은 없는 상태이다. 그럼에도 불구하고, 내부정보 유출의 심각성을 감안할 때 내부망과 외부망을 구분하되, 외부 인터넷망에는 문서파일이 자동으로 삭제되거나 저장을 할 수 없도록 하는 것이 가장 효율적이라는 점에는 이견이 없다.

(6) 업무자료 통합관리

대다수 경찰관들은 업무를 함에 있어, 자신이 생산한 문서는 본인 소유라고 생각하는 경향이 적지 않다. 이러한 그릇된 인식 탓으로 내부정보의 유출 개연성이 크게 증가하고 있는 것도 사실이다. 하지만, 삼성 등 일부 대기업에서는 업무관련 자료를 공유자산으로 인식하여 클라우드 등에서 통합관리하고 있는 것으로 알려져 있다. 이처럼 장기적으로는 경찰관서에서도 업무자료 통합관리 방안을 적극 검토하고 추진해야 내부정보 유출 우려가 최소화 될 것이다.

3. 관리적 보안

(1) 자체 보안대책 재정비 및 수립

보안업무규정 시행규칙(대통령 훈령 제 276호) 제 42조(보호구역)에는 제한지역, 제한구역, 통제구역 등 보호구역에 대한 보안대책 수립 및 이행을 명시하고 있다. 그럼에도 불구하고 설문조사에서 드러난 것처럼 서울시내 31개 경찰서 중 1/3 가량인 9개 경찰서에서 자체 보안대책이 없거나 있어도 구체적으로 시행하지 않고 있다는 것은 매우 우려되는 현실이 아닐 수 없다. 최초 보안대책 수립 이후 주변 환경을 포함한 제반 여건이 크게 변화한 것이 사실이다. 자체 보안대책의 실효성을 제고하기 위해서는 이러한 변화 양상을 수시로 반영해야 하는 것이 당연하다 할 것이다. 모든 일이 그렇듯이 계획 수립은 그 분야에 대한 관심과 의지의 표시일 뿐 아니라 업무의 시작이고 마지막이다. 따라서 조속히 경찰서별 실정에 맞게 보안대책을 재정비하거나 새롭게 수립하되 출입 인가자의 한계설정과 비인가자에 대한 출입 통제대책, 주야 경계대책, 외부로부터의 투시•도청 및 파괴물질의 투척방지 대책, 방화대책, 경보대책, 기타 필요한 보안대책 등이 포함되어야 할 것이다.

(2) 보안에 대한 관서장의 인식변화

유사한 형태의 보안사고가 매년 끊이지 않고 발생하는 이유로 ‘관리자의 관심과 투자 부족’이 가장 큰 요소가 아닐까 생각된다. 랜섬웨어 사건처럼 사회적 이목과 함께 경영진의 관심이 집중되는 경우, 부랴부랴 대책을 마련하는 등 부산을 떨지만, 일정기간이 지나고 관심이 점차 줄어들고 별다른 사건사고가 발생하지 않으면 어렵게 확보해 둔 예산도 집행하지 않고 다른 용도로 전용하거나 그냥 넘어가는 경우가 적지 않다. 다시 강조하지만, 보안업무는 관서장이 어느 정도 관심을 가지고 있느냐에 따라 크게 영향을 받는다. 또한, 직원들의 교육만큼, 관리자들의 교육도 중요하다. 상명하복식 제복조직의 특성을 감안할 때 경찰관서의 분위기를 형성하고 유지하는데 있어, 관리자들만큼 영향력이 강한 이들도 없기 때문이다. 관리자들이 보안교육을 앞장서서 받고 지속적인 관심을 표명하며 보안훈련에 적극 참여한다면 일반 직원들이 보안을 가볍게 여길 수 없을 것이고, 관리자들이 어디서나 보안 이야기를 한다면 경찰관서의 분위기가 느슨해질 수 없을 것이다. 또한 보안사고를 야기한 사람이 그에 상응하는 처벌을 받는다면 긴장감 없이, 의식하지 못하는 사이에 반복해서 이루어지는 실수가 재발되기 힘들 것이다.

보안업무의 성과가 금방 나타나지 않는다는 이유로, 상당수 관서장이나 주요 간부들은 보안을 형식적이고 귀찮은 업무 정도로 인식하는 경향이 없지 않다. 관리자들도 전입 직원이나 신임 순경에게 업무를 맡길 정도로, 보안업무를 그저 거쳐 가는 보직 정도로 인식하고 있는 것이 사실이다. 이는 보안업무 담당자의 업무 추진에 상당히 부정적인 영향을 주고 있고 상•하향식 보안 생활화에도 적지 않은 저해요인이 되고 있다. 보안업무는 경찰관서 내의 다른 업무와 달리, 내부정보의 유출 및 보호를 담당하는 중요한 업무이므로 보안 실무자는 2-3년 이상 장기로 보직을 운영함으로써 정확하고 전문적으로 업무를 처리할 수 있는 토대를 만들어 주어야 한다. 능력을 갖춘다는 것은 보다 효율적으로 업무를 처리하는 것이므로 업무와 보안의 형평성 유지 차원에서도 바람직하다 할 것이다(박동희, 2013 : 52). 한정된 자원과 인력을 가진 경찰관서에서의 업무처리는 우선순위를 면밀하게 설정한 후 이에 따라 추진해야 하겠지만, 보안업무에 대한 더 많은 관심과 지원이 필요한 실정이다.

(3) 보안 담당자의 전문성 강화 및 자긍심 고취

본 논문을 준비하고 설문조사를 하며 서울시내 경찰서별 보안업무를 담당하는 직원들과 통화 및 내부 메일 등을 통해 접촉하는 과정에서 몇 가지 놀라운 경험을 하였다. 먼저, 대다수 보안업무 담당자들에게서 보안업무에 대한 자긍심을 찾아 볼 수 없었다. 대다수가 경찰업무를  시작한지 몇 년 되지 않아 순환보직 차원에서 보안업무를 경험하는 이들이었다. 보안업무가 왜 중요한지, 무엇을 어떻게 챙겨야 하는지에 대한 진지한 고민을 발견할 수 없었다. 또한, 나이도 적고 경험이 없다 보니, 보안업무 자체에 대한 이해도가 낮았다.

보안업무에 대한 전문성 제고를 위해 경찰청에서는 2011년 이후 거의 매년 악성코드 및 해킹탐지 등 관제기법, 정보보호 프로그램 개발 등 정보화 보안 및 전산통신 등에서 관련 분야 학위를 가진 전문가들을 특채하고 있다. 하지만 특채자의 대부분은 전보제한 기간인 5년이 지나면 지구대, 파출소나 경찰서의 다른 기능에서 근무하는 등 경찰조직 차원의 체계적인 관리가 되지 않고 있는 것으로 드러났다. 더욱이 정보•수사•기획 등 소위 주목받는 부서가 아니다 보니 주요부서라는 자긍심이 없고 단순 지원부서라는 사실에 우수한 인재들의 지원도 거의 없는 실정이다.

경찰청 정보보안 분야 인력채용 현황 : 2011년 2명, 2012년 4명, 2013년 40명 채용 / 2018년 17명 채용 예정

하지만, 전문성과 자긍심도 중요하지만, 보안담당자로서 반드시 갖추어야 할 덕목은 바로 경찰조직을 아끼고 사랑하는 마음이 아닐까 생각한다. 진정한 보안은 강제력이 아니라 조직에 대한 사명감, 애사심에서 비롯된 자발적인 법규준수 의지이기 때문이다.

(4) 경찰서별 전자정부 정보보호 관리체계(G-ISMS) 수립

정보보호 관리체계란 조직내 정보자산의 무결성, 기밀성, 가용성을 구현하기 위한 과정과 절차 즉, 정보보호 정책을 체계적으로 수립•문서화하고, 위험에 상시 대응하는 등 여러 가지 보완대책을 지속적으로 통합 관리•운영하는 프로세스이다. 행정안전부에서는 전자정부 정보보호관리체계 인증 등에 관한 지침(훈령 232호, 2013.2.20. 개정)을 개정해서 구체적으로 전자정부 정보관리체계 인증에 필요한 사항을 적시하고 있다. 이에 따라, 경찰청에서는 지난 2013년 11월 G-ISMS를 인증받았으나, 안타깝게도 3년의 유효기간이 지난 후에는 재인증을 받지 않고 있다. G-ISMS와 관련하여 경찰서 단위에서 인증을 신청하기에는 수 백 여개에 이르는 세부 인증기준을 충족시키기가 쉽지 않고, 무엇보다 네트워크 및 운영시스템 등 통신과 운영 측면의 기준이 다소 현실과 괴리된 부분이 없지 않지만, 물리적 보안 및 인적 보안 등의 세부 기준은 경찰서 단위의 기관에도 충분한 시사점을 제시해 주고 있다. 따라서, 경찰서의 내부정보 유출 방지를 위해서는 내부 보안관리자는 물론 교수 등 외부 전문가로 TF를 구성하여 경찰서별 최적화된 적합한 정보보호 관리체계를 수립하되, 보안정책 및 보안조직 수립, 상시적인 위험관리 대책구현, 사후관리 등의 다양한 정보보호 대책들이 종합적, 유기적으로 통합•관리되는 경찰관서별 맞춤형 대책 마련이 선행되어야 할 것이다.

(5) 외부 위탁인력에 대한 보안관리 강화

공공기관 및 국가기관에서 내부자에 의한 정보유출 사고를 예방하기 위해서는 공익근무요원, 사무보조원(계약직), 외주 용역업체 등 외부자에 대한 책임있고 지속적인 보안관리 강화가 필요하다. 각 경찰서에서 공익요원 및 사무보조원 등을 관리하는 경찰관은 이들에 대해 지속적인 관심을 표명하는 한편 정기적인 보안교육을 실시해야 한다. 외부 위탁업체 및 외주 용역업체 직원에 대해서는 신원확인과 보안서약서 징구 등 사전보안 조치를 명확하게 해야 하고, 경찰 공무원이 근무하는 사무공간과 해당 외부업체 직원들의 작업 공간을 물리적으로 분리하여 정기•수시 보안점검을 실시할 수 있는 근거와 보안사고 발생시 배상조항은 물론 처벌 근거 등을 명시적으로 계약서에 포함시켜야 한다.(최옥현, 2009 : 67)

(6) 정보보호 문화형성과 내재화

그간, 보안업무에 대한 신상필벌이 부족했던 것이 사실이다. 보안 위반자에 대해서는 ‘어쩌다 한 번의 실수’라는 온정주의적 접근이 이루어진 반면 보안 우수자에 대해서는 충분한 정도의 포상이 거의 없었다. 일관된 기준을 적용하지 못해 행정의 예측 가능성이 무시되고 간과되었다. 따라서, 보안사고 야기자는 사고에 대한 엄중한 책임의식을 느끼기 보다는 일단 위기상황을 벗어나고 보자는 기회주의적인 형태를 보이게 되고, 경찰업무 중 긴급을 요하는 사안에 대해서는 보안절차를 무시하는 경우가 적지 않았고, 결과만을 중시하는 풍조에 따라 사고만 없으면 절차상의 미비점을 크게 문제 삼지 않는 경우가 많아 평소에 규정을 실천하는 경찰관을 ‘꽉 막힌 원칙주의자, 고집불통자’ 등 곱지 않은 시선으로 보는 경향이 있었다. 또한, 계급이 높은 사람이나 핵심 직위에 있는 경찰관, 경미한 사고라도 자주 발생한 직원, 채무 등이 많은 사람, 인사 등에 불만을 가진 자, 불성실 근무자, 퇴직 임박자 등 내부정보 유출 가능성이 상대적으로 많은 고위험군에 대한 관리나 대책 역시 충분치 못했다.

경찰관서의 정보보호 필요성에 대한 공감 속에 자율적인 보안활동이 이루어지도록 정보보호와 관련한 문화가 자연스럽게 형성되고 내재화되어야 한다. 이를 위해서는 무엇보다 계기별 또는 정기적인 정보보호 교육과 지속적인 홍보 등을 통해 경찰서 직원들이 정보보호의 중요성을 공유하고 정보보호에 대해 자발적인 동기부여를 하는 것이 우선되어야 한다. General Electric社의 前 CEO 잭 웰치는 최소한 10번 이상 말을 해야 관리자의 의도가 제대로 전달되고, 조직의 핵심가치를 위한 중요한 메시지는 최소한 700번 이상 반복하라고 강조하고 있다. 비전과 핵심가치를 사내에 부착하고 강연 등을 통해 직원들과 끊임없이 소통해야 하는 것처럼, 경찰관서의 내부정보 유출을 방지하기 위해서는 직급이 높고 낮음을 떠나 경찰관 개개인이 모든 일을 보안의 관점에서 접근하고 판단하는 등 일상생활이나 근무가 자연스럽게 보안을 중심으로 진행될 정도로 부단한 보안교육이 이루어져야 한다.

2017년 실시된 미국 사이버범죄 연구조사에 따르면 내부자 위협으로 발생한 보안사고 중 28%가 악의적인 의도없이 단순 실수인 반면, 고의적으로 저질러진 사고는 18%에 불과했다고 한다. 이 조사의 함의는 보안관련 교육이 여전히 부족하다는 것이다. 조직마다 훈련과 교육에 투자하는 시간과 예산 정도가 다르다. 하지만, 확실하고 명백한 것 중 하나는 직원들이 지나칠 정도로 치명적인 실수를 많이 저지른다는 것이다. 이는 ① 직원들이 경찰관서가 보유하고 있는 정보가치를 과소평가하고 있고 ② 데이터마다 내재가치가 다르다는 사실을 제대로 인식하지 못하고 있으며 ③ 공유가 가능한 정보가 무엇이고, 공유대상이 아닌 것은 무엇인지 구분을 명확하게 하지 못하고 있고 ④ 핵심정보에 대한 접근통제가 왜 중요한지 제대로 이해하지 못하고 있기 때문이다. 다시 말하면 이 부분을 보완한 후 부단한 교육 실시로 보안에 대한 인식과 문화를 바꿔나가야 할 것이다.

보안뉴스(2017.10.11., 내부자 위협 커지고 있는 때, 보안의 중심은 데이터, 검색일 2018.4.3)

(7) 사람중심 보안관리

기술이 발전할수록 역설적이게도 보안문제는 더욱 심각해지고 있다. People Issue를 빼고 기술만으로 보안을 유지하려는 시도는 극단적으로 아무런 의미가 없다고 표현해도 될 정도이다. 사람은 가장 통제하기 어렵고 동시에 불확실한 요소라고 한다. 정교하게 만들어진 정책이나 기술적으로 진일보한 예방 시스템이 있어도 정작 그것을 운용하는 사람의 어리석음까지 배제할 수는 없다. 보안의 최대 위협요소이자 가장 확실한 해결의 실마리는 바로 사람이다. 민간 기업의 생존이 산업보안에 달려 있듯이, 경찰 등 공공기관 역시 내부정보 유출 방지 등 보안에 무한책임을 져야 하는 시기이다. 이렇게 중차대한 보안 문제의 중심에 사람이 있을 수 밖에 없고, 결국 사람을 중심으로 보안문제를 해결해 나가야 한다.

그런 의미에서 외부로부터의 침입 가능성에 대한 대책 못지않게, 아니 그 이상으로 내부직원을 대상으로 하는 관리적 보안강화 노력이 중요하다. 이러한 기술 및 개인정보 유출 예방과 차단을 위한 핵심은 사람관리이고, 그 중에서도 내부자 관리라고 할 수 있다. 다시 말해서, 내부자에 의한 정보유출 문제를 근본적으로 해결하기 위해서는 물리적 보안과 기술적 보안 이상으로 사람 중심의 세심한 관리적 보안이 요구되고 있다. 복합화된 보안위협 속에서 기존처럼 물리적 보안이나, 사이버 보안, 관리적 보안 등 한 가지 방법에만 의존해서는 한계가 있을 수 밖에 없다. 다중보안, 융합보안이 필요한 이유이다. 공공기관의 보안은 기술과 업무 프로세스, 그리고 사람의 측면에서 입체적인 접근을 요구한다. 과거 어느 때 보다 사람과 기술, 업무 프로세스의 역량이 집중되고 교차하는 영역에서 이상적인 보안대책, 균형잡힌 보안대책이 강구될 수 있다는 확신이 필요하다.

[그림 4-5] 보안의 균형

제 3절 정책적 시사점

1. 물리적 보안

주지하는 바와 같이 보안교육이나 보안정책, 자산관리 등 정책적인 부분이 경찰관서의 관리적 보안대책이고, 기술적 보안대책이 시스템 보안, 네트워크 보안, S/W 보안 등에 해당된다면, 물리적 보안대책은 가장 기본적이면서도 자칫 간과하기 쉬운 부분이다. 왜냐하면 물리적 보안대책은 지극히 일상적이어서 다른 보안대책처럼 복잡하지 않지만, 그것을 준수하는 것은 개인적으로 어렵기 때문이다. 관리적 대책을 통해 보안정책을 수립하고 그 정책에 맞춰 기술적 시스템을 구현해 나가는 것은 개인들이 큰 저항없이 수용하게 할 수 있는 부분이다. 그러나 물리적 보안대책은 이미 정해진 관리적 보안대책 기준에 맞춰 개개인이 지켜나가야 하는 부분이다. 예를 든다면 출입문의 출입통제 절차, 사물함 등의 시건장치 등이 이에 포함한다. 물리적 보안대책을 수립했지만 그 대책들이 실제로 행동으로 실천되지 않으면서 발생한 보안사고의 대표적인 사례가 2016년 3월 발생한 정부청사에 대한 수험생 침입사고가 아닐까 생각된다. 기본적인 출입통제 대책이 규정대로 이행되지 않아 발생한 사고인 것이다. 과연 그렇다면 경찰관서의 물리적 보안은 무슨 기준을 가지고, 어떤 방향으로 대책을 준비하고 관리해 나가야 하는 것일까?

(1) 출입통제구역 재설정

물리적 보안의 가장 기본적인 요소는 출입통제(Access Control)라고 할 수 있다. 이에, 경찰관서에서는 중요 설비나 자료 등을 보관하는 장소를 공용구역, 일반구역, 제한구역, 통제구역 등으로 세분하고 있다. 공용 구역은 말 그대로 외부 방문객을 포함한 모든 인력이 접근할 수 있는 구간으로 대기실이나 로비 등을 말한다. 일반구역은 내부 직원에게 출입이 허가된 구역을, 제한구역(기계실, 전기실 등)과 통제구역(전산실 등)은 각각 중요 설비가 보관되어 있는 장소나 기밀 등 내부정보 유출시 경찰관서의 신뢰에 결정적인 영향을 미칠 수  있는 장소를 말한다. 하지만, 보수적인 성향의 경찰조직의 특성을 볼 때, 주변 환경과 업무여건의 변화에도 불구하고 지정된 보호구역의 범주를 고집하는 경향이 있다. 보호구역의 설정은 필요 최소한의 범위로 제한하되, IoT 활성화로 IT 환경과 인터넷이 일상적인 경찰업무 시스템을 근본적으로 변화시키고 있는 점을 감안하여, 경찰관서내 공간에 대한 정밀 보안진단을 통해 필요시 보호구역을 재설정하는 등 환경 변화에 능동적이고 선제적으로 대응해야 할 것이다.

(2) 출입통제 장비 및 개별 통제관리

장소를 선정한 후에는 출입통제 장비를 구비하고 이를 통해 개별적인 통제관리를 해야 한다. 개별적인 통제관리 방법에는 어떠한 것이 있을까? 대부분 관서에서 이미 구축하고 있는 번호 키 등을 이용한 방식이 있다. 먼저 번호키의 경우 주기적인 변경이 이뤄진다면 보안적인 측면에서 충분하지는 않지만 다소간 안전성을 갖췄다고 할 수 있으나 지난 번 정부 서울청사에 침입한 후 합격자를 조작한 사건처럼 번호 키를 이용하는 대다수 관서의 경우, 최초 설정된 비밀번호를 변경하지 않거나, 심지어 문 옆 벽에 적어 두기도 한다. 또한 누가, 언제 들어왔고 나갔는 지에 대한 데이터가 없어 내부 기밀문서 유출사고에 적절하게  대응을 할 수 없다. 그 다음으로 선택을 하는 방법이 출입증을 활용한 출입통제 시스템이다. 출입 및 통제에 대한 기록관리를 통해 출입통제를 하고 있고, 내부자료 유출도 어느 정도 통제 관리할 수 있지만, 출입증 자체에 어느 경찰서, 누구에 대한 자료가 선명하게 기재되어 있어 카드 복제나 분실사고 발생시 외부자가 제한없이 접근할 수 있는 만큼, 안전성이 높다고 할 수는 없다. 다음은 최근 많이 도입하고 있는 지문인식이다. 이 경우에도 지문을 실리콘 등으로 복사해서 댈 경우 출입이 가능하지만, 그래도 어느 정도 현실적인 대안이 될 수 있다. 보다 안전성이 입증된 홍체인증, 정맥인증 등 생체인증의 방법이 있지만, 대기업에서조차 금전적인 부담으로 선뜻 도입을 결정하기 쉽지 않은 상황에서 경찰관서에서 예산상 부담을 무릅쓰고 추진하기에는 한계가 없을 수 없다. 대신 지문인식 도입과 함께 출입자를 감시할 수 있는 CCTV 시스템을 함께 구축하는 것은 충분히 고려하고 추진할 만한 가치가 있다.

지난 2015년 경상북도 소방공무원들이 실리콘으로 뜬 손가락 본을 부하 직원들에게 주어, 출퇴근 지문인식기에 대리로 지문을 찍도록 해 초과근무 수당 수 백 만원을 부당하게 수령했다가 적발되기도 했다.

(3) 중요 시스템과 장비 등에 대한 보안대책

중요 시스템 및 장비 등을 절도, 화재 등의 물리적 위험으로부터 보호하기 위한 대책 마련이 필요하다. 먼저 태풍, 화재 등의 다양한 위험으로부터의 위험관리 방안과 중요 시설 등을 보호하기 위한 소화설비 마련, 중요 장비의 도난 등을 예방하기 위한 출입자 관리, 어떤 경우에도 전력의 안정적 공급을 위한 전원설비 점검 등이 이행되어야 한다. 물리적 보안대책의 핵심 포인트는 만드는 것이 아니라, 지키는 것이다. 현실에 부합하지 않는 물리적 보안대책은 불편함을 만들어낼 뿐 아니라, 결국 현실적합성이 낮아 버려지게 된다. 그리고 불편함이 만들어낸 그 공간에 보안의 위협이 자라나게 된다. 공시생에 의한 정부 서울청사 침입 사고 이후 재발방지를 위한 대책으로 출입통제 강화가 제시되었고, 이에 따라 나타난 길게 늘어선 출근길 행렬의 사진처럼 지금 추진하고 있는 대책이 탁상공론식 접근으로 일선 경찰관서에 맞지 않는 방법은 아닌 지 다시 한번 돌이켜 볼 필요가 있다.

동아일보(2016.4.8. 뒤늦게 보안... 출근길 줄선 정부서울청사, 검색일 2018.3.20)

(4) IoT(Internet of Things)와 물리적 보안의 접목

현재 국내 보안은 사이버보안이 상대적으로 크게 강조되면서 물리적 보안은 더 이상 효용이 없는 구시대의 보안방책인 것처럼 간주되고 있는 경향이 없지 않다. 마찬가지로 보안의식 제고와 물리적 보안환경의 구축을 위한 노력이 전제되지 않는 사이버보안의 강화는 사상누각이 될 뿐이다. 따라서 물리적 보안과 사이버보안이 병행되어 추진되어야 하고, 이러한 조화를 통해 현장 직원들이 보안의 필요성과 당위성을 직접 느끼게 된다면 내부정보 유출 등 현재 우리가 직면하고 있는 보안위협의 상당부분이 자연스레 해소될 것이며 이러한 과정을 통해 보안의식 역시 한층 성숙해질 것으로 기대된다.

IoT 시대가 열리면서 물리적인 환경에서의 기기 인증과 신원보증이 더욱 중요해졌다. 모든 경찰관서에서 출입카드를 사용하고 있지만, 카드 복제기를 사용할 경우 즉시 복제할 수 있다는 문제점이 있다. 한국물리보안협회가 2017년 실시한 카드복제 관련 실태점검 결과 전국 공기업의 5%만 규정대로 카드복제방지 시스템을 도입하고 있으며 나머지 공기업은 이러한 기준이 있는 것조차 알지 못하는 것으로 나타났다. 따라서, 예산사정이 허용하는 범위 내에서 출입카드에 복제방지 또는 위변조 방지 기술을 적용하거나, 지문인식 등 생체인증 기술을 추가하는 등 다중인식 방법을 모색해야 할 것이다. 다양한 기기와 다양한 환경에서, 편리하면서도 강화된 보안수준으로 출입과 접근을 통제할 수 있도록 IoT 기술을 물리적 보안에 접목하려는 노력이 필요하다.

CCTV 뉴스(2017.11.16. 5% 내외 공기업만 카드복제보호 시스템 도입...안전불감 여전, 검색일 2018.3.28)

2. 사이버 보안

스마트폰과 개인용 컴퓨터를 전 세계 누구보다 많이 쓰는 우리나라 사람들은 하루 종일 인터넷에 로그인해 있다고 해도 과언이 아닐 정도로 초연결사회(Hyper-Connected Society)에서 생활하고 있다. 인터넷은 사람들의 삶 자체를 편리하게 바꿨다. 하지만, 동시에 불특정 다수가 항상 해킹 등의 보안위협에 노출되는 부작용도 낳았다. 경찰청 차원의 집중적인 보안망 관리 못지않게 ‘개개인의 일상 업무 중 또는 생활 속 소소한 보안 습관’도 더욱 의미를 더해가고 있다. 갈수록 교묘해지고 은밀해지는 해킹 기술을 고려할 때 해킹에서 100% 안전한 방법은 없다고 해도 무방하다. 하지만, 몇 가지 기본수칙만 제대로 지킨다면 피해 가능성을 크게 줄일 수 있는 것도 사실이다.

(1) 소프트웨어를 항상 최신 버전으로 유지

사이버 보안대책의 기본이자 가장 핵심적인 사항은 소프트웨어를 최신 버전으로 유지•관리하는 것이다. 윈도우, 안드로이드 등 운영체제는 물론 웹 브라우저, 바이러스 백신, 자바, 플래시 등 주요 프로그램은 개발 업체에서 제공하는 수시 업데이트를 반드시 실행하는 것이 좋다. 전 세계 이용자들이 사용하는 과정에서 보안상 취약점이 발견되면 그때 마다 상응하는 개선방안을 내어 놓은 것이기 때문이다. 백신 역시 검증된 회사의 제품을 설치하고 지속적으로 업데이트하는 것 만으로도 어느 정도의 보안 위협은 예방할 수 있다. 2017년 5월 우리나라를 포함한 전 세계 150여개국의 대학병원, 방송사, 의약품 회사, 출판사, 지자체, 쇼핑몰 등에서 최소 수 십 만대 이상의 컴퓨터 시스템을 감염시킨 워너크라이 랜섬웨어 피해가 발생한 적이 있었다. 엄청난 피해에도 불구하고 이 모든 것의 원인이 단순 업데이트를 하지 않은 것으로 조사되면서 정기 업데이트의 중요성이 재차 부각기도 했다.

캐나다, 뉴질랜드, 미국, 영국, 일본 등은 북한을 이번 워너크라이 랜섬웨어 공격의 배후로 공식 지목했다.

(2) 중요한 자료를 수시로 백업

중요한 데이터를 정기적으로 백업하는 것도 보안의 기본 원칙이다. 요즘은 외장하드를 고집하지 않아도 통신사나 포털사이트가 제공하는 무료 클라우드 서비스를 쉽게 이용할 수 있다. 처음부터 PC 하드디스크를 분할해 중요한 파일은 별도로 저장하고, 윈도우에서 기본으로 제공하는, 완전한 디스크 암호화 기능인 ‘비트로커’를 활용하는 방법도 있다. 비밀번호나 보안카드 목록 같은 민감한 정보는 휴대폰이나 PC에 저장하는 않는 것이 안전하다.

(3) ID와 비밀번호를 정기적으로 변경

지난 2007년 1월부터 10월까지 가정집, 학원, 독서실 등지에 설치된 IP 카메라 1,600여대를 해킹한 다음 12만 7천 여 차례 무단 접속해 타인의 사생활을 훔쳐 본 사건이 있었다. 피의자는 IP 카메라를 해킹하여 이미 저장되어 있던 파일을 내려받거나 실시간 영상을 직접 녹화하는 방식으로 수 백개의 동영상 파일을 보관하고 있었다. 여기에는 부부의 성관계 모습이나 속옷 차림의 여성 등이 담긴 영상도 포함되어 있었다. 상당수 피해자들은 IP카메라의 초기 비밀번호를 변경하지 않고 그대로 유지했거나 비밀번호가 생일 또는 연이은 숫자 등으로 추정이 가능할 정도로 허술하게 관리해 온 경우가 많았다. 특수문자 등을 활용하여 비밀번호를 설정하되, 정기적으로 변경하는 것이 바람직하다 할 것이다.

(4) 신뢰할 수 없는 메일•문자 및 웹사이트 등은 열어 보지 않기

이메일, 웹사이트, P2P 서비스 등을 통해 광범위하게 유포되는 악성코드는 종종 금융사기나 개인정보 유출 등으로 연결되곤 한다. 신뢰할 수 없는 웹사이트는 아예 방문하지 않는 것이 안전한 방법이다. 특히, ‘알 수 없는 게시자’ 등 경고문구가 표시되는 앱이나 프로그램은 스마트폰이나 PC에 설치하지 않는 것이 최선이다. 카카오톡, 문자, 이메일 등으로 받은 인터넷 주소를 주의 없이 열어보는 것도 위험을 야기할 수 있다. 대중의 관심이 많은 내용에  맞춰 속칭 낚시 글 유포를 통해 악성코드를 심는 방법은 해커들의 고전적인 수법이라고 할 정도로 흔히 발생하고 있다. 예를 들어, 공무원에게는 인사 또는 정부정책과 관련한 제목의 이메일을 발송하고, 직장인이나 자영업자들에게는 거래처 주문이나 새로운 사업 아이템 등으로 위장한 이메일을 보내는 것이다. 추석이나 구정 등을 전후하여 기승을 부리는 택배사기 문자도 유사한 방법이다. 이러한 링크를 클릭하는 순간 무더기로 심어진 악성코드가 특정 앱이나 사이트로 연결되고 돌이킬 수 없는 상황에 직면하게 되는 경우가 많다.

(5) 정체불명의 앱이나 와이파이를 사용하지 않기

손전등처럼 일상생활에 유용한 앱으로 위장된 악성코드를 심은 사례도 있다. 앱을 다운받기 전에 사용후기 등을 세심하게 읽고, 믿음이 안가는 앱은 가급적 설치하지 말아야 한다. 또한, 젊은이들 사이에서는 통신요금을 아끼기 위해 무료 와이파이 장소를 찾는 경우가 많은데, 이를 타겟으로 하는 해킹도 급증하고 있다. 대부분 공공장소의 무료 와이파이는 보안에 취약해 인터넷 뱅킹 도용, 개인정보 탈취 등이 쉽게 발생할 수 있다. 터미널, 식당, 카페 등에 가짜 와이파이 존을 설치해 접속한 사람들의 정보를 가로채는 수법도 다수 적발되기도 하였다. 와이파이는 LTE 등 이동통신망에 비해 보안이 상대적으로 허술한 편이고 일반가정에 설치된 공유기도 해커의 숙주로 악용될 가능성이 많은 만큼, 반드시 비밀번호를 설정하고 이를 정기적으로 바꿔주어야 한다.

3. 관리적 보안

Information과 Technology를 기반으로 하는 지식정보화 사회에서 기술은 우리가 따라잡기 힘든 정도의 빠른 속도로 발전하고 있는데, ‘先공격, 後방어’의 고전적 대응체계로 이루어지는 기술적 보안으로는 스마트 환경에서 예상되는 각종 위협에 선제적으로 대응하는데 한계가 있을 수 밖에 없다. 이런 이유로 관리적 보안이 더욱 강조되는 것이다. 기술적 보안에 집중된 보안대책과 위험관리는 결국 기술적인 한계에 봉착하게 된다. 아울러, 사람이 기술적 위협을 인식하고 대응하는 속도는 기술의 발전에 비해 상대적으로 느리다는 점을 감안할 볼 때 기술적 위협에 대해 기술적 보안만으로 대응하는 것은 효과적이지 못하다고 할 것이다. 그래서인지 정보 보안의 관점에서는 관리적 보안의 필요성과 중요성이 점점 더 커지고 있다. 특히, 고도화된 지식정보화 사회에서는 기술기반 시스템의 보호 또는 기술적 운영을 위해서 관리적 보안의 강화가 반드시 선행되어야 함이 강조되고 있다. 관리적 보안은 기업과 조직에서 구현할 수 있는 예방적 통제로서 이상적인 정보보안의 출발이자, 종결적인 지향점이기 때문이다.

관리적 보안은 조직에 적용될 보안정책을 수립하는 것으로 시작한다. 보안 정책을 수립해야 할 책임은 조직의 관리자에게 부여되며, 관리자가 보안 정책을 수립하지 않아서 발생한 보안사고에 대해서도 전적으로 관리자가 법률적 책임을 진다. 조직의 모든 직원들은 관리자가 수립한 보안 정책을 준수해야 할 의무가 있으며, 보안 정책을 위반하는 경우에는 형사처벌이나 내부 징계처분 또는 도덕적 비난을 받게 된다.

균형잡히고 이상적인 형태의 정보보안 구현을 위해, 기술적 보안에만 의존하기 보다 관리적 보안을 적절하게 수립•병행한다면 내부 직원들에게 '보안 정책 준수에 대한 책임이 바로 내게 있구나'라는 심리적인 압박과 책임감, 자발적인 준수의지 강화 등으로 경찰 조직의 구성원으로서 정보 보안에 대한 동기부여가 될 것이다. 이처럼 보안정책 수립에서 발현되는 직원들의 동기부여와 정서적인 공감은 조직의 가장 중요한 자산 중 하나로 평가받는 내부 직원이 스스로 보안상 취약요인을 탐지해서 대응하고, 나아가 예방할 수 있게 만드는 최고의 해결책이 될 수 있다. 따라서, 최근에는 보안위협과 사고에 대응하기 위한 기술적 수단이 적절한가를 평가하기 보다는 사이버 범죄나 보안 사고를 근절하기 위한 관리적 보안으로서 보안정책은 수립되어 있는지, 그리고 규정대로 시행되고 있는지 여부를 주의 깊게 파악하는 경향이 있다. 즉, 관리자에게 부여된 관리적 보안에 부족한 부분은 없었는지 그리고 내부 직원에게 부여된 관리적인 측면에서의 과실이 없었는지를 중요하게 판단하고 있다는 것이다. 즉, 기술적 보안대책을 완벽에 가까울 정도로 구현한다고 해도 일정수준의 보안사고는 일어날 수밖에 없고, 이런 상황에서 조직의 내부 구성원과 관리자가 추진한 관리적 보안의 적절성에 따라 책임의 경감 또는 유무가 결정될 수도 있다는 의미가 된다.

하인리히 법칙에 따르면 큰 사고는 우연히 또는 어느 한순간에 돌발적으로 발생하는 것이 아니라, 그 이전에 경미한 사고들이 반복되는 과정 속에서 발생한다고 한다. 즉, 1건의 대형사고가 발생하기 전에는 29건 정도의 중간규모의 사고가 있었고, 그 전에는 300여건의 미세한 전조 징후가 존재한다는 것이다. 대형 사고에 대한 전조 징후의 탐지 또는 식별은 기술적 보안으로 어느 정도 가능하므로, 이러한 징후와 관련된 관리적 보안의 미비점 또는 공백이 있는지를 재검토 및 재점검함으로써 보안위험의 발생을 최소화할 수 있다. 설령 위험이 예방된다고 하더라도 관리적 보안실태를 재점검함으로써 대책에 투입될 자원의 비효율적 배분 또는 누수를 방지할 수 있을 것이다. 기술적 보안과 비교할 때, 기업과 조직에서 이행할 수 있는 관리적 보안 강화방법은 크게 복잡하지 않고 비용도 상대적으로 낮다. 그럼에도 조직 내에 존재하는 중요 자산의 취약성과 이에 대한 공격 가능성을 낮추는 데에는 관리적 보안이 기술적 보안보다 다분히 효과적이며, 컴플라이언스나 법률의 강제사항 준수에도 도움이 된다. 조직내에서 관리적 보안을 더욱 보강할 수 있는 방법은 아래와 같다.

(1) Top-Down Approach

가장 이상적이고 바람직한 보안은 조직의 규모에 관계없이 최고 관리자는 물론 현장의 실무 직원 한사람 한사람이 모두 보안의 필요성을 절감하고 업무 등에서의 다소간 불편함을 감수하고라도 보안을 생활화하는 쌍방향 접근이라고 할 수 있다. 하지만, 현실에서는 이런 사례를 찾기가 쉽지 않다. 더욱이 상명하복의 업무추진 방식이 일상화되어 있는 경찰과 같은 제복조직에서는 더욱 기대하기 어렵다고 할 수 있다. 이런 측면에서 접근할 때, 위에서 부터의 보안이 밑에서부터의 보안보다 훨씬 파급력이 크고 효과적이라고 할 수 있다. 따라서 기업과 조직에서 성공적인 관리적 보안을 확립하기 위해서는 최고 관리자의 적극적인 지원과 의지가 있어야 한다. 즉, 조직의 핵심 정보 보호를 위해 최우선적으로 고려해야 할 사항이 보안정책 수립인데, 이를 통해 조직 내 모든 구성원들이 정보보호에 관한 관리자의 목소리를 듣고, 의지를 체감하여, 미비점을 지속 발굴하여 보안정책의 완성도를 높여가야 한다. 이렇게 수립된 조직의 보안정책은 모든 직원과 공유되어야 한다. 물론 조직의 구성원으로서 보안 관리에 대한 책임 역시 공유되어야 할 것이다.

(2) 보고 체계 재정립

조직의 규모와 관계없이 대부분은 정보보안의 문제를 정보관리적 시각에서만 이해하고 있어 조직에 부정적인 영향을 끼칠 수 있는 보안 관련 내용을 최고 관리자에게 보고하지 않는다. 즉, IT에 국한된 문제로만 정보보안의 문제를 인식한다는 것이다. 그러나 스마트 환경으로 보안 취약점이 증가된데 이어, 업무과정에서 IT 의존도가 더욱 심화되고 있는 상황에서 정보 보안문제는 조직 존폐의 중요한 문제로 연결되므로 정보보안은 조직관리 차원에서 다루어져야 할 것이다. 이를 위해 발생 가능한 위험 및 위협의 정도에 따라 조직 내 상황을 적시성 있게 보고하고 적절한 지시를 받을 수 있는 보고체계가 정립되어야 한다. 예를 들면 위험 평가의 결과에 적합한 보안대책을 구현하기 위해서는 상당한 비용이 필요한데, 이 경우 보안 분야 관리자는 최고 관리자에게 직접 보안 대책과 필요한 예산을 보고할 수 있는 시스템이 마련되어야 한다. 반면 보안 관리자가 정보보안 사항을 직접 조직의 최고 관리자에게 보고를 하게 되면 이를 토대로 현실적인 보안정책이 수립될 것이므로 정보보안의 중요성과 민감성을 조직 전체에 확산•인식시킬 수 있을 것이다.

(3) 인적 보안 관리

조직의 자산 중 핵심자산은 누가 뭐라고 해도 내부 직원이다. 직원 관리는 단순히 인사 관리를 넘어서는 개념이다. 채용 前 단계에서는 지원자의 배경 등 신원조사를 하고 교육기록과 성과를 확인해야 하며, 특히 직원으로 채용을 결정한 때에는 기밀유지동의서(NDA, Non-Disclosure Agreement)에 반드시 본인의 서명을 받아야 한다. 이 기밀유지동의서는 직원의 행동을 구속하고 제한하려는 목적이 아니라 직원으로서 보안관련 컴플라이언스 준수 의무를 공식 인정받기 위해 작성되고 서명되는 것이다. 따라서 조직은 기밀유지동의서를 통해 조직 전체의 보안 책임을 절차적이고 공식적으로 부여할 수 있게 된다.

(4) 직무기술서 작성을 통한 변화관리 프로세스 유지

형태를 달리하고 있지만, 조직이 보유하고 있는 자산은 상당히 많을 것이다. 그 중에서도 채용, 이직, 휴가, 승진, 업무변경, 파견 등 가장 많은 변화를 경험하는 자산이 바로 직원이다. 따라서 이러한 인사수요가 발생하면 업무의 숙련도는 물론 보안관련 인식 등이 일관성있게 유지되지 못하고 들쭉날쭉 할 수 밖에 없는 구조이다. 기본적이고 반복적인 업무 뿐 아니라, 위기상황시 보안책임에 관한 내용을 체계적으로 추진하고, 설령 담당자가 바뀌더라도 보안책임이 시기적절하게 인수인계될 수 있도록 변화관리 프로세스를 도입해야 한다. 관리적 보안 측면에서 가장 효과적인 것은 직무기술서(Job Description)를 제대로 활용하는 것이라고 생각한다. 즉 직무 기술서에 일상적인 업무는 물론 보안사고 발생 등 위기상황 時 수행해야 하는 업무를 명확하게 적시해 둔다면, 담당 직원이 다양한 인사요인에 의해 교체되더라도 일상 업무는 물론 비상 상황에서의 보안 관리는 일관성 있게, 그러면서도 지속적으로 연계될 수 있다.

(5) 주기적인 보안인식 교육으로 위기관리 역량 강화

정보보안에 있어 사람이 핵심 요소라는 것은 아무리 강조해도 지나치지 않다. 아이러니하지만 조직에서 가장 중요한 자산이면서도 보안에 제일 취약한 부분이 바로 내부직원이다. 정보보안을 체계화하고 전사적으로 구현하는 데 가장 중요한 킹핀(Kingpin) 역할을 하는 요소가 고위 관리자이므로 결국 정보보안은 사람으로 귀결되는 것이다. 따라서 조직 구성원에게 보안 민감성 및 인식 교육을 주기적으로 실시해야 하며 이러한 교육은 관리자에게도 필요하지만, 보안의 최일선에 있는 사이버 보안 담당자, 물리 보안 담당자, 청소 용역자, 외주업체 직원 등에게도 초점이 맞춰져야 한다. 한편 보안 실무자가 파견 또는 위탁교육 형식으로 보안인식 훈련에 참여한다면 해당 부서에는 담당 직원이 외부요인에 신경쓰지 않고 보안인식 훈련에만 집중할 수 있도록 추가인력 등을 반드시 지원해야 한다. 보안인식 훈련을 통해 체득한 지식과 노하우는 일상 업무나 비상업무 상황에서 발생 가능한 보안 사고에 대한 직원의 초기대응 등 위기관리 능력 제고에 상당한 효과가 있으며, 이는 결과적으로 조직의 보안 구현에 핵심적이면서도 결정적인 동력으로 활용된다.

4. 시사점 분석 및 종합

(1) 물리적 보안의 한계

내부정보 유출이 국가핵심기술이나 일반행정•치안행정•군사 등에 관한 국가 기밀정보를 대상으로 발생한다면 범국가적으로 총체적인 위기에 빠지지 않을 수 없다. 내부자 위협에 있어서 잠재적 위협요인이 이미 네트워크 내에 은밀하게 존재하고 있는 상태라고 할 수 있다. 따라서, 외곾을 경계하는 행위만으로는 완벽한 보안 상태를 유지하는데 더 이상 큰 의미가 없을 수도 있다. 문제는 이미 오래전부터 정보보안의 대부분 접근방법과 대책이 물리적 보안, 즉 ‘외곾경계와 경비’에 집중되어 있다는 것이다. 그동안 국가기관과 공공기관의 정보보안 역시 내부의 정보자원을 외부의 공격으로부터 안전하게 지키고자 하는 측면에 포커스를 맞추어 왔다. 금융기관, 기업체 등 대부분의 민간기업들과 마찬가지로 경찰 등 공공기관 역시 정보화의 부작용에 대응하기 위해 다양한 정보보호 솔루션을 구축하여 운영하고 있으나, 대부분이 침입탐지시스템 및 침입차단시스템, 웹 방화벽 등 외부 공격자에 대한 방어 위주로, 울타리 보안에만 치중되어 온 것이다.

물리적 보안의 역할과 성과를 과소평가할 수는 없지만, 내부자 위협에 따라 정보유출이 증가하고 있다는 것은 외곾경계의 시대가 이미 저물어가고 있다는 것을 의미한다고 할 수 있다. 내부자 위협은 고의는 물론 단순 실수도 포함하고 있기 때문에 강력한 방지 대책 등 내부 대응이 필수적이다. 따라서, 이제는 악의적이든 단순 실수든 내부자로부터 정보자산을 안전하게 지키고 보호하는 것, 즉 내부정보 유출 방지가 보안영역에서 차지하는 비중이 점점 확대되는 방향으로  패러다임이 변화하고 있다.

(2) 기술적 보안을 통한 위험완화 및 취약성 관리

내부정보 유출 대응과 관련, 사이버 보안대책만으로 충분할까? 급속도로 발전한 정보통신 기술에 뿌리를 두고 성장해 온 현재의 스마트 환경은 ‘이용자의 편리성’에는 고무적일 정도로 큰 성과를 거둔 것이 사실이지만 '보안성'에 관해서는 상대적으로 미흡한 부분이 없지 않았다. 특히, 기업이나 조직 차원에서 더 이상 단순히 위협이라고 치부하고 무시할 수 없을 정도로 다양한 범죄 유형이 발생하고 있으며, 이러한 범죄로 인해 막대한 경제적 비용을 지불하고 사회적 기회비용을 감내해야 하는 상황에 이르렀다. 최근에는 이용자가 폭발적으로 증가하고 있는 SNS를 이용한 악성코드 유포 사례도 발생하고 있다. 과거에는 트로이 목마도 PC를 대상으로 감염되었으나 현재는 스마트폰을 중심으로 전파되면서 스마트폰 자체가 좀비 폰으로 악용되기 시작했다. 그렇다고 해서 지금까지 기업과 조직에서 이러한 위협을 인지하지 못한 채 대응방안 준비를 소홀히 한 것은 분명히 아닐 것이다. 조직의 특성에 맞게 위험을 식별하고 대응 방안으로서 다양한 보안 대책을 강구하였을 것이다. 그럼에도 불구하고 조직과 기업을 노리는 각종 위협이 여전히 증가 추세라는데 문제의 심각성이 있다.

일반적으로 조직의 위험(Risk) 요소를 평가하기 위해서는 먼저, 조직이 가지고 있는 핵심 자산(Assets)이 무엇인지 식별하는 과정이 선행되어야 한다. 이후 자산에 내재되어 있는 취약점(Vulnerability)을 진단해야 하며 이러한 취약요소를 호시탐탐 노리고 있는 외부 또는 내부의 위협(Threats) 요인을 파악해야 한다. 이러한 방법으로 위험을 산출하고 평가하는 것은 조직입장에서 위협이 되는 사항이 곧 조직이 가지고 있는 핵심 자산의 취약점을 공격하는 사항이기 때문이다. 위험이 산출되면 위험을 감소시키기 위해서 이 세 가지 속성의 발생 가능성 내지는 가치를 낮추어야 하는데, 기업의 존재이유로 볼 때 핵심자산은 오히려 가치를 높여야 하므로, 결국에는 나머지 두 속성인 위협과 내부 취약점을 낮추는 형태로 위험관리를 하고, 이를 통해 보안대책을 수립해야 한다.

[그림 4-6] 위험산출 및 위험관리 기법

	< 위험관리(Risk Management) 기법 >
Risk(↓) = Assets(↑) × Vulnerability(↓) × Threats(↓)

(출처 : (isc)2 CISSP CBK)

먼저 정보, 시스템, 직원 등이 조직이 보유하고 있는 대표적인 자산(Asset)인데, 이러한 핵심 자산에 내재되어 있는 취약점을 진단한 후에 이에 대한 공격 발생을 예상하고, 우려되는 위기 상황에 적용할 수 있는 대응방법을 사전에 강구하는 것이 현재까지의 보안 대책이었다. 좀 더 구체적으로 말하자면 대다수 보안 대책은 기술적 보안을 중심으로 진행되어 왔으며 예산이 허용되는 범위 내에서 다양한 보안 시스템을 구축하였고 이를 운용하기 위한 전문인력을 확보하는 방식으로 이루어져 왔다. 기존의 기술적 접근에 초점을 맞춘 보안 방식이 제대로 효과가 있었다면 현재 우리 사회가 직면하고 있는 여러 가지 유형의 보안사고나 사이버 범죄는 애초부터 발생하지 않았어야 한다. 하지만 현실은 그렇지 않다는 것을 스스로 입증하고 있다. 물론 이러한 방식이 전혀 효과가 없고 문제성 있는 방식이라는 것은 아니다. 과거에는 이러한 기술적 보안방식을 통해 조직 내부에 잠재해 있는 취약요소를 탐지하고 발생 가능한 위협에 선제적으로 대응하는 데 어느 정도 효과를 거둘 수가 있었지만, 이제는 기술적 보안만으로는 조직이 원하는 수준으로 취약성을 낮추고 발생이 우려되는 위협에 효율적으로 대응할 수 없다는 점을 냉정하게 직면해야 한다.

(3) 관리적 보안의 강화는 더 이상 선택의 문제가 아니라 필수

조직이 보유하고 있는 다양한 핵심 자산 중에서도 가장 중요한 것이 바로 '인력'이라는 데에는 크게 이견이 없는 듯하다. 기술적 보안 대책 수립을 통해 조직이 기대할 수 있는 최고의 이익은 보안위협 요소의 '탐지와 식별'일 것이다. 그러나 보안 위협 요소를 탐지하고 식별하는 것만으로는 조직의 위험관리 목적을 충족할 수 없고 탐지 및 식별된 보안 위협 요소에 대한 '검토와 판단'이 이루어져야, 비로소 위험 관리의 목적을 충족할 수 있다. 검토와 판단은 기술적 보안을 통해 하는 것이 아니라 내부 직원들의 일상적인 업무는 물론 비상상황에서의 업무에 대한 관리적 보안을 통해 달성되어 진다. 스마트 환경으로 급속하게 변화하고 있는 현 시점에서, 제기되는 위협들을 기술적 보안만으로는 실효적으로 대응할 수 없다는 점에 대해서는 이미 사회적인 공감대가 형성되고 있다. 또한 IT를 토대로 하는 기술의 발전은 사람이 적절하게 통제하고 관리할 수 있는 범위를 벗어나 빠르게 발전하고 있는데 ‘먼저 공격받은 후 방어하는’ 현재의 업무 시스템으로 구성되는 기술적 보안으로는 스마트 환경에서 우려되는 다양한 위협요소에 충분하고 적절한 수준으로 대응할 수 없다는 사실도 놓쳐서는 안 된다. 사이버 보안과 물리적 보안을 100% 정비했다고 해도 결국 현실적으로 보안시스템을 운용하는 것은 사람이다. 이것이 보안의식과 보안교육 강화 등 사람 중심의 보안, 즉 관리적 보안이 거듭 강조되는 이유이기도 하다.

분명한 것은 경찰을 비롯한 공공기관 및 국가기관에서도 내부정보 유출에 효과적으로 대응하기 위해서는 물리적 보안을 기본으로 하되, 사이버 보안과 함께 관리•운영 측면에서 충분한 접근이 동시에 이루어져야 제대로 된 방안이 수립될 수 있다는 것이다.

제 5장 결론

네트워크 기반의 인터넷이 전 세계적으로 보편화되고 일상화되면서 생활과 업무의 편리성이 크게 증가한 반면 개인 사생활 침해, 불건전 정보 유통, 시스템 파괴, 데이터 해킹 등 범죄행위 역시 급격하게 확산되고 있다. 이제는 이러한 정보화의 부작용이 지역과 국경을 초월하여 우리 사회의 안녕과 질서를 위협하는 불안요소라는 사실을 누구나 인식하고 있을 정도이다. 이 중에서도 정보 유출, 그것도 내부자에 의한 정보유출 문제는 영원한 숙제가 아닐 수 없다. 그동안 경찰청에서는 각종 보안위협으로부터 조직의 중요 정보자산을 보호하고 지속가능한 세계 최고 수준의 치안서비스 제공을 위해 물리적, 기술적, 관리적 부문에서 다양한 보안정책과 전략을 추진해 왔다. 그럼에도 불구하고 내부정보 유출사고가 연이어 발생하고 사회적으로 이슈화되면서 그간 조치들의 실효성에 의문을 제기하지 않을 수 없게 되었다. 각 보안영역의 노력들이 하나로 역이지 못해 보안정책이 시너지 효과를 내지 못하고 있을 뿐 아니라, 복합적 보안위협이 제기되고 있는데도 특정 분야에 국한된 보안대책만을 고수하면서 보안사고 근절에 한계를 보이고 있다는 분석이 설득력을 얻고 있다.

따라서, 본 연구에서는 복합화된 내부정보 유출을 방지하기 위해 서울소재 31개 경찰서 보안담당자들을 대상으로 사이버 보안, 물리적 보안, 관리적 보안 영역에서의 보안실태를 점검하고 발전방향에 대한 설문조사를 하였다. 아울러, 선행연구 및 사례 분석을 통해 경찰 내부정보 유출의 심각성을 공유하고 정책적 시사점을 도출하였으며, 이를 토대로 ① 물리적 보안 분야에서 보안앱 설치와 업무용 노트 일괄 회수•폐기 등을 ② 사이버 보안 분야에서 출력 후 파기까지 종이문서 이력관리와 디지털 워터마크, 인터넷 PC 자료저장 방지 시스템 도입 등을 ③ 관리적 보안 분야에서 경찰 관서장의 인식변화 및 보안담당자의 전문성 강화, 정보보호 문화 형성과 내재화 등을 제시한데 이어, 결국 이 모든 것을 추진하는 것은 사람인 점에 착안하여, 사람 중심의 융합보안적 대책 마련을 촉구하였다.

그간 경찰관서의 보안대책 중 일부 미흡한 부분이 없지 않았지만, 본 연구를 위한 설문을 진행했을 당시 현장 보안 담당자들의 높은 관심과 향후 계획에 대한 질의 등을 통해 정보보안을 바라보는 관점의 변화가 이미 진행 중임을 감지하게 되었고 이는 경찰조직의 정보보안 인식제고에 큰 도움이 될 것으로 기대된다. 보안의 가장 취약한 부분은 사람이라고 한다. ‘사슬의 강도는 가장 약한 고리 만큼만 강하다’는 격언은 보안 분야에도 적용된다고 할 수 있다. 기존의 인증체계 구축 및 솔루션 도입 등에 대한 관심과 노력 만큼, 보안교육과 훈련을 통한 조직원들의 보안인식 제고 등 인적보안에 노력을 배가한다면 균형잡힌 정보보안의 고도화를 이룰 수 있을 것이다. 아울러, 경찰관서장 등 관리자들이 정보보안에 대한 투자를 소모적인 지출로 보기보다 지속가능한 발전을 위한 필수요소라고 인식하고 정보보안에 대한 법규 준수 등 일방적인 강요보다는 사명감과 경찰조직에 대한 애사심을 바탕으로, 보안정책에 대한 현장 직원들의 자발적인 이해와 실천이 필요하다 할 것이다. 만족스럽지는 못하지만, 본 연구가 후속 연구는 물론 향후 경찰관서의 보안정책 수립에 다소간 도움이 되기를 기대해 본다.

다만, 본 연구는 서울소재 31개 경찰서의 보안담당 경찰관을 대상으로 설문조사가 이루어졌기 때문에 경찰청이나 지방경찰청 단위 또는 여타 지역의 경찰서와는 조사결과에 있어 어느 정도 차이가 발생할 수도 있다. 따라서, 본 연구결과를 전체 경찰조직의 보안실태와 구성원들의 보안의식으로 일반화하는 것은 다소 무리가 있을 수 있다. 또한, 첨단 보안제품이나 시스템 등은 경찰관서의 예산상 한계 등으로 시사점이나 발전방향으로 고려하지 못했다는 아쉬움이 남는다. 한편, 일반 행정기관과 달리 보안의 중요성을 강조하는 경찰조직의 분위기에 더해 내부정보 유출방지라는 본 연구의 속성상 경찰의 내부자료 접근에 한계가 있어 언론 등 공개적인 자료에 의존할 수 밖에 없었으며, 그나마 모두 국내 자료에 국한될 뿐, 우리나라와 경제규모, 치안여건 등이 유사한 외국경찰의 보안관련 실태와 규정 등에 대한 비교연구학적 접근이 여의치 못한 데 대한 안타까움은 향후 숙제로 남겨 두었다.

참 고 문 헌

< 국내 문헌 >

강석구․이원상. (2014). 사이버범죄 관련 법령정비 방안. 한국형사정책연구원 연구총서

경찰정보통신 운영규칙. (2010) 경찰청 예규 제 426호

경찰청. (2013). 경찰청사 출입 및 보안관리 지침

경찰청. (2013). 보안업무편람

김민수. (2011). 보안환경 변화에 따른 융합보안 발전방향, 경기대학교

김하중. (2018). IoT(Internet of Things)를 활용한 물리적 보안 강화 아키텍처, 건국대학교

맹수영. (2013). 해킹 보안의식 제고를 위한 방안 연구, 성균관대학교

문승주. (2009). 내부정보 유출 통제를 위한 보안수준 평가방법 개발에 관한 연구, 조선대학교

박동희. (2013). 군 보안규정의 문제점과 발전방향 모색, 경기대학교

박진하. (2012). 효율적인 정보보안 교육설계 및 수행방안, 건국대학교

보안업무규정 시행 세부규칙. (2010). 경찰청 훈령 제 612호

보안업무규정 시행규칙. (2010). 대통령 훈령 제 276호

보안업무규정. (2008). 대통령 훈령 제 21214호

신완수. (2012), 경찰 정보통신보안 실천수준의 영향요인 연구, 고려대학교

신혜원. (2012), 기업내 정보유출 방지를 위한 내부자 위험도 분석 방법론 연구, 고려대학교

윤해성․윤민우. (2012). 사이버테러의 동향과 대응방안에 관한 연구. 한국형사정책연구원

이건우. (2012). 공공기관 CCTV 정보보호관리체계에 관한 연구, 단국대학교

이준택 외 11인. (2016). 실전 정보보호개론. 법문사,

이창무·김민지. (2013). 「산업보안이론」. 서울: 법문사.

전자정부 정보보호관리체계 인증 등에 관한 지침. (2013). 행정안전부 훈령 제 232호

주차원. (2013), 공공기관 사이버침해 유형에 따른 위험도 분석과 대응방법에 관한 연구, 고려대학교

차재원. (2016), ISO 27001과 ISMS를 활용한 공공분야 보안관제 업무 향상에 관한 연구, 건국대학교

최옥현. (2009), 내부자에 의한 정보유출 위협과 대응방안 수립에 관한 연구, 한남대학교

최진묵 외(2010), 융합보안시장 동향보고, SJIS SDS journal, 통권20호, 삼성 SDS

최창학. (2009), 공공기관의 효율적인 정보보호 방안에 관한 연구, 시정연구논총(P 729-752)

한국산업보안연구학회. (2012). 「산업보안학」. 서울: 박영사.

<국외문헌>

Anderson, Kent. (2007). Convergence : A holistic approach to risk management, Network Security, 4～7

Brooks, David J. (2010). What is security : Definition through knowledge categorization, Security Journal, 225～239

Top trends in the Gartner Hype Cycle for Emerging Technologies, 2017(Aug, 15, 2017)

http://www.gartner.com/smartwithgartner/top-trends-in-the-gartner-hype-cycle-for-emerging-technologies-2017/

국 문 초 록

산업보안 관점에서 경찰 내부정보 유출방지 방안

김종철

융합보안학과 산업보안 전공

중앙대학교 대학원

사물인터넷과 스마트워크 등 초연결 사회가 되면서 생활과 업무 환경의 편리성은 증가한 반면, 복합화된 보안위협으로 인해 내부정보 유출 가능성은 점점 높아져 가고 있다. 민간분야에서의 내부정보 유출은 경제적인 손실 등에 국한되지만, 국민의 생명․재산보호, 범죄의 예방과 진압, 공공의 안녕과 질서유지 등을 임무로 하고 있고, 개인정보, 수사기록 등 중요성과 민감성을 예단할 수 없는 방대한 정보를 가진 경찰관서의 내부정보 유출은 사회적 혼란은 물론 국가안보 문제로까지 이어질 수 있다.

그동안 경찰관서를 비롯한 공공기관의 정보보안은 외부의 공격으로부터 내부의 정보자원을 안전하게 지키기 위해 외곾경비와 경계, 즉 울타리 보안에 치중해 온 것이 사실이다. 하지만, 최근에는 내부직원에 의한 정보유출 사고가 지속 증가하면서, 외부침입 보다는 고의든 실수든 내부자 위협에 대비하는 방향으로 보안 패러다임이 변화하고 있다.

내부정보 유출방지와 관련하여 경찰관서에서는 사람과 차량, 물건에 대한 출입통제와 침입방지에 주안점을 두는 물리적 보안, 위조․변조․유출․훼손 등으로부터 기밀정보를 보호하고 네트워크를 통한 악성코드의 침입을 막는 사이버 보안, 각종 보안관리 규정과 절차를 수립하고 민감한 핵심 정보에 접근을 시도하는 개개인에게 인가 등 권한부여를 하는 관리적 보안 등의 측면에서 노력해 왔지만, IT 기술의 발달로 보안위협의 유형이 다양화된 상황에서 분절적 접근으로는 효과적인 대응에 한계가 있었다.

이에, 경찰관서의 보안실태와 발전과제 연구를 위해 서울시내 치안을 맡고 있는 31개 경찰서의 보안담당 경찰관을 대상으로 보안의 3영역에 대한 설문조사를 한 결과, 물리적 보안에서는 보안앱 설치 의무화, 업무용 노트 일괄 회수•폐기 등을, 사이버보안에는 출력후 파기까지 종이문서 이력관리, 디지털 워터마크 도입 등을, 관리적 보안에서는 보안에 대한 관서장의 인식변화, 정보보호 문화형성과 내재화 등을 발전방향으로 제시하였다.

본 논문은 경찰관서의 보안체계에 대하여 사람과 기술, 그리고 업무적 프로세스 측면에서 총체적인 접근을 하되, 보안의 최대 위협요소이자 가장 확실한 해결의 실마리는 바로 사람이라는 점에 착안하여, 사람 중심의 보안관리, 즉 내부정보 유출방지 대책을 사이버 보안, 물리적 보안, 관리적 보안을 넘어서 융합적 보안을 구체화했다는데 그 의의가 있다.

<ABSTRACT>

A study on the leakage prevention of the police internal information from the perspective industrial security

Kim Jong Chul

Department of Convergence Security

The Graduate School

Chung-Ang University

The possibility of internal information leakage is rising up due to the complex security threats while convenience of living & working condition is increasing as It was stepping into the hyper-connected society such as IoT, Smart Work. Internal information leakage of police departments which keep huge amount of information(personal information, criminal investigation data...) can cause social disorder as well as national security unrest, on the other hand internal information leakage in private sectors can be mainly limited to the economic loss.

It is true that the information security of public institutions including police department focused on the vigilance and fence security to keep internal information resources in safe. As the information leakage by the insider is rapidly increasing recently, the security paradigm itself is changing into preparing against inside threats rather than outside intrusion.

With the regard to the prevention of internal information leakage, the police departments have made efforts on 3 fields, ① Physical security which focuses on CCTV system, Access Control of people, vehicles, objects and so on ② Cyber security concentrating on keeping confidential information safe from forgery, alteration, leakage, deformation, protecting from trespassing of malicious code through the networks ③ administrative security mainly on the establishment of regulations and procedures, security education... Nevertheless, it has limits in coping effectively with fragmentary and segmental approach in the diversified situation of security threats because of IT developments.

After carrying out a survey of 31 security police officers in 31 police stations in SEOUL on security situation and developmental direction of police departments, I can present improvement direction : security APP installation obligation in physical security,  introduction of digital watermark in cyber security, change in perception of police chiefs in administrative security.

This thesis deals with people, technology, working process of security systems in police departments, based on the ideas of people who is the most serious threatening element as well as the most definite answer to security threats. This study is more meaningful in taking a concrete forms of convergence security transcending 3 fragmentary approach : physical security, cyber security, administrative security.

<설문조사>

서울 소재 31개 경찰서의 보안업무 담당 경찰관을 대상으로 보안의식과 경찰관서의 보안실태를 진단하고자 합니다.

설문은 일반사항과 물리적 보안, 사이버 보안, 관리적 보안 순으로 구성되어 있고, 객관식 문항과 주관식 문항이 혼재되어 있습니다.

응답하신 내용은 절대 비밀이 보장되며 설문결과는 경찰관서의 보안체계 강화를 위한 통계 분석 목적에만 활용됨을 알려드립니다.

<일반 사항>

귀하의 성별은 어떻게 되시나요?

① 남성 ② 여성

2. 귀하의 연령은 어떻게 되시나요?

① 20대  ② 30대  ③ 30대  ④ 40대  ⑤ 50대

<물리적 보안＊>

＊ 사고․도난 등 각종 위해요소로부터 보안대상(정보, 시설물 등)을 보호하기 위한 각종 조치(출입통제, 감시 및 감지, 순찰, CCTV 등)을 의미함

1. 귀하가 근무하는 경찰관서의 정문 출입통제는 누가 하나요?

① 의경 ② 공익 근무요원 ③ 경찰관 ④ 기타(     ) ⑤ 하지 않는다

2. 직원 外 외부인(他 경찰관서 직원, 일반시민 등)이 경찰관서를 출입할 때 정문초소에서 신분을 확인(신분증 요구 등) 하나요?

① 항상(100%) 한다

② 거의(70～99%) 한다

③ 가끔(30～69%) 한다

④ 거의(1～29%) 하지 않는다

⑤ 전혀(0%) 하지 않는다

3. 귀하가 근무하는 경찰관서에서는 출입자 통제를 위해 출입 기록(출입자, 들어온 시간, 나간 시간, 방문목적 등)을 유지하나요?

① 항상(100%) 한다

② 거의(70～99%) 한다

③ 가끔(30～69%) 한다

④ 거의(1～29%) 하지 않는다

⑤ 전혀(0%) 하지 않는다

4. 귀하의 경찰서에는 정문 근무자 외에 현관 근무자가 별도 있나요?

① 있다   ② 없다

5. 현관에서 각 사무실로 자유로운 출입을 제한할 수 있는 시설

(스크린 도어 등)이 있나요?

① 있다  ② 없다

6. 귀하는 일정시간 자리를 비울 경우, 책상 위에 문서를 치우나요?

① 항상(100%) 치운다

② 거의(70～99%) 치우지 않는다

③ 가끔(30～69%) 치운다

④ 거의(1～29%) 치우지 않는다

⑤ 전혀(0%) 치우지 않는다

7. 퇴근시에는 서랍과 캐비넷 등에 시건장치를 하나요?

① 항상(100%) 한다

② 거의(70～99%) 한다

③ 가끔(30～69%) 한다

④ 거의(1～29%) 하지 않는다

⑤ 전혀(0%) 하지 않는다.

8. (도어 락의 경우) 사무실 비밀번호는 주기적으로 변경하나요?

① 변경한다  ② 변경하지 않는다

9. (위 질문에서 ①을 체크한 경우에) 변경 주기는 어떻게 되나요?

① 월 1회 정도               ② 분기에 1회 정도

③ 반기에 1회 정도           ④ 년 1회 정도

⑤ 1년 이상

10. 귀하가 근무하는 관서의 물리적 보안은 충분하다고 생각하나요?

① 매우 충분하다

② 충분한 편이다

③ 보통이다

④ 부족한 편이다

⑤ 매우 부족하다

11. 귀하가 근무하는 경찰관서의 물리적 보안과 관련, 가장 큰 문제점은 무엇이고, 어떤 방향으로 개선되어야 한다고 생각하나요?

12. 의경제도 폐지(2023년 9월) 이후에는 경찰관서의 출입자 통제가 어떻게 이루어져야 한다고 생각하나요?

13. 他 부처나 외국의 우수 물리적 보안사례 등 우리나라 경찰관서에 적용할 필요가 있다고 생각하는 시책이나 아이디어가 있나요?

<사이버 보안＊>

＊ 모든 정보자원(데이터를 처리하여 가공한 결과)에 대한 허가되지 않은 접근으로, 위조, 변조, 유출, 훼손 등과 같은 정보보안 사고로부터 네트워크와 시스템, 데이터를 보호하는 것으로 기술적 보안이라고도 함

1. 귀하의 컴퓨터는 부팅 時 패스워드를 입력하도록 되어 있나요?

① 입력해야 한다        ② 입력이 필요없다

2. 사무실에서 사용 중인 PC의 보안피해를 입은 경험이 있나요?

① 있다        ② 없다(② 응답시, 4번으로 가세요)

3. 보안피해 경험이 있다면 어떤 종류의 사고인가요?

① 개인정보 유출                 ② 악성코드 감염

③ 스미싱                        ④ 랜섬웨어

⑤ 디도스 공격                   ⑥ 기타(            )

4. 귀하는 출처가 불분명한 이메일이나 SMS에 포함된 URL 또는 첨부파일을 열어 보나요?

① 절대 열어보지 않는다          ② 거의 열어보지 않는다

③ 가끔 열어 본다                ④ 거의 열어 본다

⑤ 항상 열어 본다

5. 귀하는 첨부파일을 클릭할 때 확장자 명을 확인하나요?

① 항상 확인한다

② 거의 확인한다

③ 가끔 확인한다

④ 거의 확인하지 않는다

⑤ 확인한 적이 없다

6. 귀하는 수신메일에 첨부파일이 있을 경우, 백신 검사를 하나요?

① 항상 한다

② 거의 한다

③ 가끔 한다

④ 거의 하지 않는다

⑤ 백신검사를 한다는 것을 생각해 보지 못했다

7. 귀하는 주요 자료는 주기적으로 백업하고 있나요?

① 백업한다 (① 응답시, 9번으로 바로 가세요)

② 백업하지 않는다

8. 백업한다면 얼마나 자주 하나요?

① 주 1회

② 월 1회

③ 분기 1회

④ 반기 1회

⑤ 년 1회

9. 귀하는 사용 중인 전자메일을 해킹으로부터 보호하기 위해 어떤 방법을 사용하나요?

① 백신 프로그램

② 키보드 보안 프로그램

③ 정기적인 비밀번호 변경

④ 기타(                )

⑤ 특별히 사용하는 방법이 없다

10. (위 문제에서 ③번 응답시) 비밀번호 변경주기는 어떻게 되나요?

① 1개월 이내

② 1-3개월

③ 3-6개월

④ 6개월-1년

⑤ 1년 이상

11. 주요 문서는 파일마다 패스워드를 입력해서 관리하나요?

① 항상 입력한다                    ② 거의 입력한다

③ 가끔 입력한다                    ④ 거의 입력하지 않는다

⑤ 입력하지 않는다

12. 교체·수리·반납 등의 사유로 컴퓨터를 외부로 반출할 경우, 자료유출 방지를 위해 하드디스크에 저장된 업무자료를 삭제하나요?

① 항상 삭제한다                    ② 거의 삭제한다

③ 가끔 삭제한다                    ④ 거의 삭제하지 않는다

⑤ 삭제하지 않는다

13. 퇴직․전출 등의 사유로 컴퓨터 사용자가 바뀔 경우, 컴퓨터에 보관되어 있는 기존 자료를 삭제하나요?

① 항상 삭제한다                    ② 거의 삭제한다

③ 가끔 삭제한다                    ④ 거의 삭제하지 않는다

⑤ 삭제하지 않는다

14. 귀하가 근무하는 경찰서 사이버 보안의 가장 큰 문제점은 무엇이고, 어떻게 개선(보완)되어야 바람직하다고 생각하나요?

15. 他 부처나 외국의 우수 사이버 보안사례 등 우리나라 경찰관서에 적용할 필요가 있다고 생각하는 시책이나 아이디어가 있나요?

<관리적 보안＊>

＊ 중요한 정보를 가진 곳에서 어떤 보안 정책을 가지고 있는가 또는 그 정보를 관리하는 사람에 대한 교육, 훈련 등을 포함하는 관리적 부분

보안사항에 접근할 수 있는 사람에 대해 보안각서를 받고 있나요?

① 항상 받는다

② 거의 받는다

③ 가끔 받는다

④ 거의 받지 않는다

⑤ 받지 않는다

2. (④, ⑤ 답변시) 각서를 받지 않는 이유는 무엇인가요?

① 규정을 몰라서

② 귀찮아서

③ 다른 사람을 믿기 때문에

④ 다른 사람을 불편하게 하는 것 같아서

⑤ 기타 (        )

3. 보안사항에 접근할 수 있는 인력에게 정기 보안교육을 하고 있나요?

① 항상 실시한다

② 거의 실시한다.

③ 가끔 실시한다.

④ 거의 실시하지 않는다

⑤ 실시한 적이 없다

4. 자체 보안계획을 수립, 시행하고 있나요?

① 보안계획을 수립, 시행하고 있다

② 보안계획이 수립되어 있지만, 계획대로 시행은 하지 않는다

③ 별도 보안계획이 없다

5. 주요 보안사항에 접근할 수 있는 인력에 대한 접근권한 부여 및 접근 이력을 관리하고 있나요?

① 접근권한 부여 및 접근 이력을 관리하고 있다

② 접근권한은 부여하고 있지만 이력관리는 하고 있지 않다

③ 접근권한은 부여하지 않지만 이력관리는 하고 있다

④ 접근권한을 부여하지 않고 있고, 이력관리도 하지 않는다

6. 귀하는 도청․몰카 예방 등 보안 교육을 받은 사실이 있나요?

① 정기적으로 교육을 받고 있다

② 정기적이지는 않지만 교육을 받은 사실은 있다

③ 교육을 받은 사실이 없다

7. 귀하가 근무하는 관서의 관리자들의 보안의식은 어떤가요?

① 매우 부족하다

② 부족한 편이다

③ 보통이다

④ 높은 편이다

⑤ 매우 높다

8. 귀하가 근무하는 관서의 보안관리 및 감독체계는 어떤가요?

① 매우 허술하다

② 허술한 편이다

③ 보통이다

④ 체계적인 편이다

⑤ 매우 체계적이다

9. 귀하가 근무하는 관서에서 내부자가 기밀을 유출할 수 있는 가능성은 어느 정도라고 생각하나요?

① 사전 계획을 세운다면 가능하다

② 어려움없이 유출이 가능하다

③ 관리감독 강화로 유출이 불가능하다

④ 엄격한 보안체계로 원천적으로 불가능하다

10. 경찰서의 관리적 보안의 가장 큰 문제점은 무엇이고, 어떻게 개선(보완)되어야 바람직하다고 생각하나요?

11. 경찰서의 보안업무(물리적 보안, 사이버 보안, 관리적 보안) 중 가장 취약한 분야가 무엇이고, 상대적으로 가장 나은 분야는 무엇인가요?

◉ 가장 취약한 분야 :

◉ 상대적으로 가장 나은 분야 :

12. 他 부처나 외국의 우수 관리적 보안사례 등 우리나라 경찰관서에 적용할 필요가 있다고 생각하는 시책이나 아이디어가 있나요?

13. 경찰 내부의 문서가 외부로 유출되는 경우가 종종 있습니다. 그 이유가 무엇이라고 생각하나요?

14. 경찰관서의 보안업무, 즉 물리적 보안, 사이버 보안, 관리적 보안 중 무엇이 가장 중요하다고 생각하나요? 그 이유는 무엇인가요?

15. 경찰관서의 보안업무 담당자에게 가장 요구되는 자질은 무엇이라고 생각하나요? 그 이유는 무엇인가요?

장시간 설문에 응해 주셔서 감사합니다.