[아이티데일리] 한국지역정보개발원이 도입 추진하고 있는 ‘시군구 공통기반 노후장비 교체 및 보안강화 사업’ 가운데 가장 중요한 부문이라고 할 수 있는 ‘DB접근제어시스템 구축’ 솔루션으로 선정돼 도입되고 있는 B사의 보안 솔루션이 제안요청서에서 요구하고 있는 4가지 CC인증 요구조건을 충족시키지 못하고 있는 것으로 알려져 선정 및 도입 논란은 물론 주민등록등초본, 가족관계, 지문 및 인감정보 등 국민 개개인의 각종 정보 유출 우려가 높다는 지적이다.

더욱이 한국지역정보개발원은 제안된 제품과 인증서를 받은 제품이 다르고, 제안된 제품(2가지 이상의 방식 제안요청)과 인증서를 획득한 제품(단일 방식으로만 CC인증획득)이 다르다는 제보까지 받았음에도 불구하고 "CC인증서"를 모든 방식에 요구한 적이 없다”는 답변으로 묵살한 것으로 알려져 도대체 누구를 위한 공공기관인지 황당하다는 지적이다.

안정행정부로부터 위탁을 받아 추진하고 있는 한국지역정보개발원은 이 같은 지적에 대해 “제안요청서는 최소한의 구성요건을 명시했을 뿐, 모든 구성요건을 충족시켜야만 한다는 것은 아니다”며, “적법한 절차를 통해 선정했고, 솔루션에도 문제가 없다”는 답변으로 DB접근에 대한 중요성을 제대로 인식하지 못하고 있음을 그대로 드러내 논란의 불씨는 더욱 확산될 조짐이다. 즉 한국지역정보개발원은 개인정보 및 국가 정보에 대한 보안을 강화하기 위해 추진하고 있는 새올행정정보시스템의 중요성이나 가치를 제대로 인식하지 못하고 있을 뿐만 아니라 어떤 보안솔루션이 국가정보원으로부터 CC인증을 받았는지조차 제대로 파악하지도 못하고 선정 및 도입을 추진하고 있다는 것이다.

국가정보원의 지침에는 “구성방식별(Gateway, Proxy, Sniffing, Agent)로 CC인증, 즉 이 가운데 한 가지 방식으로 CC인증(Common Criteria, 국제공통평가기준)을 받으면 그 방식에만 한정된다”라고 돼 있고, 더 나아가 전자정부법에도 분명히 위배된다는 사실이다.

아무튼 논란의 요지는 이렇다.

지난 9월 한국지역정보개발원은 안정행정부로부터 위탁을 받아 ‘시군구 공통기반 노후장비 교체 및 보안강화 사업 - DB접근제어시스템 구축 부문’과 관련된 제안요청서(RFP)를 만들어 조달청에 의뢰해 M사가 복수 제안(S솔루션, M솔루션)한 제품이 최종 선정됐다.

이 가운데 M 솔루션이 제안서에서 요청한 요구 조건, 즉 ▲ CC인증서가 발급된 제품을 납품하여야 한다 ▲ 수요기관별 요구에 따라 Gateway, Proxy, Sniffing, Agent 등 다양한 구성방식을 제공하여야 한다는 두 가지 요구조건을 충족시키지 못한다는 것이다.

다시 말해 M솔루션은 Proxy만으로 CC인증을 받았을 뿐(2009년), 다른 방식은 CC인증을 받지 않았음에도 불구하고 선정했다는 것은 보안강화를 위해 추진하고 있는 이번 사업추진 목적에 정면 배치되는 것은 물론 전자정부법이나 국가정보원의 지침에도 맞지 않다는 것이다.

한국지역정보개발원은 이와 관련, “M솔루션은 2009년에 Proxy방식 한 가지로 CC인증을 받았고, 제안요청서상의 요구조건은 최소한의 조건이었을 뿐”이라며, “만약에 각각의 모든 구성 방식의 CC인증을 요구한다면 특정 솔루션만이 해당돼 독점을 방지하기 위해서는 최소한의 요구조건만으로 CC인증을 요구한 것이다”고 설명했다.

그러나 DB접근제어 제품으로 등록된 솔루션은 총 6개(DB Safer, Petra, Chakra, DB Insight, DB-i, Middleman)이고, 이 가운데 두 개 솔루션은 모든 구성방식에 CC인증을 받은 것으로 확인됐다. 다시 말해 한국지역정보개발원 측 관계자의 “특정 제품의 독점 방지를 위한 최소한의 요구조건이라는 답변”은 제품들에 대한 정확한 정보를 제대로 파악하지 않은 상황에서 제안서를 작성했을 뿐만 아니라 독점을 방지한다는 명분하에 특정 제품을 제외시키겠다는 의도를 갖고 추진했다는 역설적인 지적이다. 또한 한국지역정보개발원은 자신들이 작성한 제안요청서 자체도 앞뒤가 맞지 않음을 그대로 드러냈다.

한편 관계 전문가들은 이와 관련 새올행정정보시스템의 DB는 주민등록등초본, 가족관계, 지문정보, 인감증명 등 국민 개개인들의 각종 정보가 들어있는 중요한 DB인데, 한국지역정보개발원이 특정 업체의 독점을 방지한다는 명분만 고려했을 뿐 가장 중요한 국민 개개인들의 정보에 대해서는 너무 안일하게 생각하는 것 같다고 지적했다. 오히려 적법한 절차에 따라 보안을 더 강화해 개인정보보호를 해야만 할 기관이 이 같은 안일한 생각으로 보안 시스템을 구축한다면 세월호 사건보다 더 큰 사고가 날 가능성을 배제할 수 없을 것이라고 덧붙여 지적했다.