기술발달로 수많은 정보가 전자적으로 저장되고 대량으로 유통될 수 있는 환경이 구축되면서 부작용이 급증하고 있다. 해킹이나 바이러스, 정보유출과 같은 내․외적 요인에 의한 침해 사고가 잇따르고 있다. 국가정보원에 따르면, 교육기관에서 발생하는 침해사고가 전체 사고의 30% 이상을 차지하고 있다. 지난해 말에는 브라질 침해사고대응기관으로부터 국내 모 대학이 피싱 경유지로 악용되고 있다는 신고를 받고, 국가사이버안전센터(NCSC)에서 조사를 실시한 바 있다.

실제, 대학의 정보보호 수준은 언뜻 보아 문제점이 없어 보이나 속내를 살펴보면 낙제점 수준이다.

한국교육학술정보원은 2006년 교육(행정)기관 정보보호 정보화전략계획(ISP) 수립’을 위해 전국 대학을 대상으로 ‘대학의 침해사고 대응 솔루션 도입 및 조직구성 현황'을 조사했다.

조사결과, 네트워크 보안을 위한 솔루션 도입은 Firewall(침입차단시스템) 92.61%, IDS(침입탐지시스템) 39.90%, IPS(침입방지시스템) 약 50.25% 정도로 침해 위협에 대한 차단 기능은 상당부분 충족하고 있으나, 사전예방을 위한 침입 탐지 및 방지 등은 미흡한 편이었다.

서버/서비스 보안을 위한 솔루션 도입은 SecureOS 약 29.06%, Anti-Spam 63.05%, DB 암호화 2.96%, 문서보안 4.43% 등으로 서버/서비스 보안 분야는 상당히 취약하며, 보안 인식 또한 매우 미흡한 것을 알 수 있다. 다만, 과거 대학이 Spam 메일 발송지로 자주 사용되었던 관계로 Anti-Spam 제품의 도입은 상당히 높았다.

PC 보안을 위한 솔루션 도입은 바이러스 백신이 98.03%로 거의 모든 PC에 백신이 설치되어 있었다. 다만 이를 전체적으로 관리할 수 있는 PMS(Patch Management System) 도입은 33.50%로 백신 업데이트 및 취약점 현황 파악 등은 미흡한 편이었다.

통합 보안관리 및 모니터링을 위한 솔루션 도입은 ESM(Enterprise Security Management) 5.42%, TMS(Threat Management System) 0.49%로 몇몇 대학을 제외하고는 설치된 대학이 거의 없었다. 이는 인터넷상의 침해 위협을 사전에 감지하고 대처방안을 찾아낼 수 있는 기반이 매우 취약함을 의미한다.

침해사고 대응 조직 구성 현황을 살펴보면 정보보호 조직 구성 69.46%, 침해사고 대응팀 구성 55.17%로 나타났으나, 일부 대학을 제외하고는 24시간 보안관제가 되고 있지 않았다. 또한 전담조직이 아닌 보안 업무를 겸임하고 있는 경우가 많았으며, 전담조직의 경우에도 3명 미만의 인력으로 구성되어 있는 경우가 대부분으로 나타났다.

마지막으로 침해사고 발생시 대응을 위한 업무기준 설립의 경우, 31.84%만이 설립되어 있다고 답했다. 정보보호 인력에 대한 교육․훈련도 30%만이 이뤄지고 있다고 답해 침해사고에 대한 체계적이고 전문적인 대응이 어려운 것으로 나타났다.

전체적으로 볼 때 우리 대학은 침해차단시스템, 바이러스 백신, Anti-Spam 등 기본적인 침해사고에 대해서는 일정 수준 대비를 하고 있으나, 침해사고를 사전 예방하고 사고 발생시 신속히 대처할 수 있는 종합적인 정보보호 체계 구축은 미흡하다.

대학이 오랜 기간 축적해 온 주요 연구 성과들이 불법적인 방법으로 외부로 누출되었을 경우 그 파급효과는 국가의 안위를 위태롭게 할 수도 있는 중대한 사안이 될 수 있다. 지식의 생성과 축적이 증가되는 만큼 지식을 지킬 수 있는 보안의 중요성도 증가하는 것은 말할 필요도 없다.

따라서 지금이라도 각 대학의 특성에 적합한 정보보호 종합지원 체계(정보보호 전담조직 및 인력, 시스템, 법․제도 등)를 시급히 수립하여야 한다. 이러한 종합지원 체계를 기반으로 예산, 인력 투입 등 실질적인 지원이 뒷받침되어야 할 것이다.

정보보호는 무엇보다도 우선 추진되어야 하는 일이며, ‘정보보호의 수준이 곧 대학의 경쟁력을 결정’하는 주요인이 될 것임을 대학 스스로 인식하는 것이 중요하다. 정보보호는 해도 그만 안 해도 그만인 것이 아니라 우리 모두가 스스로 지켜야 하는 의무이자 책임이다.