산하기관엔 ‘인증 점검’ 주문한 산업부, 정작 본부는 ‘다중인증 미흡’

김정관 산업통상부 장관이 지난 8월 청와대에서 열린 업무보고에서 발언하고 있다. 청와대사진기자단

인공지능(AI)을 활용한 사이버 보안 강화에 나선 산업통상부가 기본적인 보안 조치인 ‘다중인증 설정’에서는 미흡하다는 지적을 받은 것으로 나타났다. 소관 공공기관에는 계정·인증 점검을 주문하면서 본부의 보안 관리에는 허점을 드러낸 것이다. AI·자동화 공격을 별도로 집계하지 않아 관련 공격 규모와 대응 실적을 파악하기도 어려운 것으로 나타났다.

22일 더불어민주당 임문영 의원이 산업부에서 제출받은 자료에 따르면, 산업부는 올해 진행 중인 국가정보원 보안관리실태 평가에서 ‘정보시스템 환경설정 및 다중인증 설정 미흡’을 지적받았다. 산업부는 이에 대해 “조치 예정”이라고 답했다.

다중인증은 비밀번호 외에 휴대전화 인증번호나 지문 인식 등 추가적인 수단으로 본인 여부를 확인하는 방식이다. 비밀번호가 유출되더라도 제3자의 계정 접근을 막기 위한 기본적인 보안 조치다. 산업부가 직원의 생성형 AI 사용 지침으로 제출한 국정원 보안수칙에도 다중인증 설정이 명시돼 있다. 산업부는 지난 3일 소관 공공기관에 ‘계정·인증 점검’을 공지하기도 했다.

산업부는 사이버 보안을 강화하기 위해 지난 3월부터 산업통상 사이버안전센터에서 AI를 활용한 보안관제를 운영하고 있다. 내년 정부 예산안에는 산업부와 소관 공공기관을 대상으로 하는 AI 모의해킹 사업도 반영했다. 이처럼 첨단 기술을 활용한 보안 강화에 나섰지만, 정작 기본적인 인증 설정에서는 미흡하다는 지적을 받은 것이다.

AI·자동화 공격의 규모와 대응 실적을 확인할 수 있는 통계도 미흡한 것으로 나타났다. 산업부는 대량 로그인 시도 등 AI를 활용한 자동화 공격을 별도로 구분하지 않고 기존 홈페이지·디도스 공격 통계에 포함해 집계하고 있다고 설명했다. 이에 따라 제출된 통계만으로는 AI·자동화 공격의 규모나 대응 실적을 파악하기 어렵다.

임 의원은 “산하기관에는 인증을 점검하라고 하면서 정작 본부는 다중인증을 지적받았다면 지시를 따를 기관이 없을 것”이라며 “AI 보안관제를 도입했다는 사실만으로 보안 수준이 입증되는 것은 아니다. 무엇을 파악했고 무엇을 막았는지 보여줘야 한다”고 말했다.