- 국정원 보안평가 2024년 83.76점 → 2026년 73.8점, 2년 연속 하락해 최근 5년 최저
- 관리자 계정 MFA 미적용…10월 6일 긴급점검에서는 취약점 ‘0건’ 보고
- 사이버공격 시도 2024년 17건 → 2025년 35건, 악성코드 공격은 3건 → 26건
- 내부문서 4,000건 이상 활용하는 AI 플랫폼 구축…AI를 활용한 자동화 공격 탐지체계는 ‘해당없음’
- 정보보안센터 인력 5명, 전체 직원의 0.21%…14개 지사는 보안 업무 겸직
임문영 의원 “관리자 계정 보안도 제대로 점검하지 못하면서 국가 에너지 시설을 어떻게 지키겠다는 것인가”


　국가 가스시설의 정비와 안전점검을 담당하는 한국가스기술공사가 시스템 관리자 계정에 다중인증(MFA)을 적용하지 않은 상태에서 최근 실시한 긴급 보안점검에서는 취약점이 단 한 건도 없다고 보고한 것으로 나타났다. 국정원 정보보안 평가점수는 2년 연속 하락해 최근 5년 중 최저를 기록했고, 사이버공격 시도도 증가하면서 보안 관리체계 전반에 대한 점검이 필요하다는 지적이 나온다.
　더불어민주당 임문영 의원(광주 광산을, 국회 산업통상자원중소벤처기업위원회)이 한국가스기술공사로부터 제출받은 자료에 따르면, 공사는 금융권 해킹 사태 이후 지난 10월 6일 긴급 보안점검을 실시했다. 점검 항목에는 다중인증 적용 여부, 무차별대입공격, 퇴직자 계정, 비밀번호 초기화 등이 포함됐지만, 계정·인증 보호 분야에서 발견된 취약점은 ‘0건’으로 보고됐다.
　그러나 정작 시스템 관리자 계정에는 다중인증이 적용되지 않은 상태였다. 일반 직원과 외주 인력은 내부망 접속 시 일회용 비밀번호(OTP)를 이용해 다중인증을 거치지만, 관리자 계정은 방화벽과 IP 접근제한으로 통제하고 있다는 것이 공사의 설명이다.
　국가정보원은 올해 5월 1일 「국가 사이버보안 기본지침」을 개정해 정보시스템 관리자 권한 인증에 다중인증을 적용하도록 규정했다. 다만 정보통신망이나 정보시스템의 특성상 불가피한 경우는 예외로 인정하고 있다. 관리자 계정의 MFA 미적용을 어떤 근거로 허용했는지, 긴급점검에서는 이를 어떻게 평가했기에 취약점이 0건으로 나왔는지 확인이 필요한 대목이다.
　보안평가 결과도 악화하고 있다. 국가정보원 정보보안 관리실태평가 점수는 2024년 83.76점에서 2025년 78.21점, 2026년 73.8점으로 2년 연속 하락했다. 2년 사이 9.96점 떨어져 최근 5년 중 가장 낮은 점수를 기록했다.
　사이버공격 시도는 2024년 17건에서 2025년 35건으로 두 배 이상 증가했다. 특히 악성코드 공격은 같은 기간 3건에서 26건으로 약 8.7배 늘었다. 올해도 10월 초까지 21건의 공격 시도가 확인됐다. 다만 공사는 모든 공격에 대한 조치를 완료했으며 실제 피해는 발생하지 않았다고 밝혔다.
　이런 상황에서 가스기술공사는 AI 전환에도 속도를 내고 있다. 공사는 올해 경영방침으로 ‘A·I(Adapt & Improve) 경영’을 내세우고, 지난 7월 31일 3억4,320만원(부가세 별도)을 들여 내부망 생성형 AI 플랫폼을 개통했다. 플랫폼에는 4,000건 이상의 내부 지식문서가 반영됐으며, 부서별로 업무지식을 활용한 AI 에이전트를 만들 수 있도록 했다.
　공사는 외부 생성형 AI에 업무자료를 입력하지 못하도록 보안수칙을 마련하고 AI 보안 가이드라인도 수립했다. 그러나 AI를 활용한 자동화 공격 탐지체계에 대해서는 ‘해당없음’이라고 답했다. 현재 산업부 사이버안전센터의 보안관제를 받고 있으며, 올해 AI 기반 데이터 유출 방지(DLP) 시스템도 도입했다.
　공사 역시 AI 보안관제의 필요성을 인식해 내년도 예산으로 약 3억원 반영을 요청한 상태다. AI 활용 범위가 확대되는 만큼 기존 보안관제로 새로운 위협까지 충분히 대응할 수 있는지 검증하고, 필요한 보안 역량을 갖춰야 한다는 지적이다.
　보안 인력도 제한적이다. 정보보안센터 인력은 5명으로 전체 직원 2,339명의 0.21%에 불과하다. 이 가운데 보안 관련 자격증 보유자는 1명이며, 전국 14개 지사에서는 다른 업무를 담당하는 직원이 보안 업무까지 겸직하고 있다. 정보보안 최고책임자(CISO) 역시 경영전략본부장이 겸하고 있다.
　현장 보안관리에서도 취약점이 확인됐다. 지난해 공사 내부감사에서는 지자체에서 위탁받아 운영하는 수소충전소의 인터넷 연결 PC에 백신이 설치되지 않거나 최신 보안패치가 적용되지 않은 사례가 지적됐다. 본사 설계부서의 공용 PC 3대에서도 백신 미설치와 보안패치 미적용 문제가 확인됐다.
　한국가스기술공사는 평택·인천·통영·삼척·제주 등 5개 LNG 생산기지와 전국 5,346km 천연가스 주배관 등의 정비와 안전점검을 담당하는 기관이다. 국가 에너지 기반시설과 관련된 기술정보를 취급하는 만큼 정보보안 사고가 발생할 경우 국민 안전과 에너지 공급에도 영향을 미칠 수 있다.
　임문영 의원은 “가스기술공사가 자체 AI 플랫폼을 구축하고 보안 가이드라인을 마련한 노력은 평가할 만하다”면서도 “관리자 계정에는 다중인증이 적용되지 않았는데 긴급 보안점검에서는 취약점이 0건이라는 결과가 나왔다. 어떤 기준으로 점검했고, 왜 문제가 없다고 판단했는지 명확히 설명해야 한다”고 지적했다.
　이어 임 의원은 “국가 가스시설을 관리하는 기관의 정보보안은 단순한 전산 문제가 아니라 국민 안전과 직결되는 문제”라며 “AI 도입에만 속도를 낼 것이 아니라 관리자 계정부터 현장 PC, AI 보안관제까지 실제 작동하는 보안체계를 갖춰야 한다”고 강조했다. 끝.

이하 생략
※ 첨부파일 참조