ㅣ데일리포스트=곽민구 기자ㅣ“사고 발생 시점부터 사안을 심각하게 받아들이고 있으며 과기부의 원인 분석 결과에 따른 시정 요구사항을 전사적인 차원에서 최우선으로 수행할 예정입니다.”
과학기술정보통신부(과기부)는 올해 초 발생한 LG유플러스의 대규모 고객 정보 유출과 디도스 공격으로 인한 장애에 대한 주요 원인으로 ‘관리 미흡’을 지적하며 책임 있는 시정 조치를 요구하자, LG유플러스는 즉각적인 해결에 나설 것임을 시사했다.
과기부와 한국인터넷진흥원(KISA)은 27일 오전 서울 종로구 정부서울청사에서 브리핑을 열고 'LGU+ 침해사고 원인분석 및 조치방안'을 발표했다. 조사를 통해 과기부는 LG유플러스의 관리자 인증체계 미흡과 라우터 외부 노출 등의 취약점을 확인했다.
이에 과기부는 LG유플러스에 ▲AI기반 고객정보처리시스템 구축을 통한 사이버 위협 실시간 감시 ▲IT 자산 중앙로그관리시스템 구축 및 정기 점검 ▲분기별 1회 이상 모든 IT 자산 보안 취약점 점검 ▲IT자산 통합관리시스템 도입 ▲보안 인력·예산 확대 ▲정보보호책임자의 CEO 직속 조직화 ▲연 2회 이상 맞춤형 모의 사이버훈련 수행 및 임직원 보안교육 ▲실무 반영 보안매뉴얼 개발 등의 시정사항을 요구했다.
정부의 시정요구를 접한 LG유플러스는 다시 한 번 피해를 입은 고객에게 사과를 전한 뒤 “그동안 외부에서 주신 다양한 염려와 의견을 충분히 반영하고, 뼈를 깎는 성찰로 보안·품질에 있어 가장 강한 회사로 거듭나겠다”고 각오를 밝혔다.
시정요구에 대한 구체적 실천 방안에 대해 LG유플러스는 “지난 2월 CEO 직속의 사이버안전혁신추진단을 구성하고 ▲사이버 공격에 대한 자산 보호 ▲인프라 고도화를 통한 정보보호 강화 ▲개인정보 관리 체계 강화 ▲정보보호 수준 향상 등 4대 핵심 과제에 102개 세부 과제를 선정해 수행하고 있다”며 “이를 위한 1000억 규모의 대규모 투자도 진행 중이다”고 설명했다.
LG유플러스는 “사고 직후 개인정보 보호 및 디도스 방어를 위한 긴급 진단과 보안 장비 및 솔루션 도입, 클라우드를 활용한 서비스의 긴급 점검, 접근제어 정책(ACL) 강화 등 즉시 개선이 가능한 부분들을 조치 완료했고, IT 통합 자산관리 시스템, AI 첨단기술을 적용한 모니터링, 중앙 로그 관리 시스템, 통합관제센터 구축에 대한 세부 과제도 착수했다”고 전했다.
이어 “화이트 해커 등 외부 전문가를 활용한 취약점 점검 및 기술적 예방활동 강화, AI기반 개인정보 탐지 시스템 구축, IT서비스 이상행위 모니터링 시스템 고도화를 위해 세부 과제를 수립해 추진 중이며 외부 전문가 그룹과 협력해 현 보안 수준을 점검하고 향후 개선방향 도출을 위한 자체 진단도 진행하고 있다”고 덧붙였다.
그 외에도 LG유플러스는 외부 전문가 그룹으로 구성된 정보보호자문위원회 가동, 회사 내 CISO·CPO 조직 개선과 전문 인력투자, 개인정보의 관리체계 개선, 미래보안기술 연구투자, USIM 무상 교체, 피해보상협의체 운영, 대학 및 교육기관과 연계된 사이버 보안 전문인력 육성 등도 함께 이행해 나가고 있음을 강조하며 “새롭게 임명되는 CISO, CPO를 주축으로 개인정보를 비롯한 전사적인 정보보호 강화 활동을 지속할 예정이다”며 “진행상황은 단계별로 투명하게 공개하고, 종합적 보안 대책은 추후 상세히 설명하는 시간을 갖을 것”이라고 말했다.