[단독]해킹에 뚫린 과학특기대 카이스트, 관리 '사각지대'였다

(서울=뉴스1) 김정현 기자,김승준 기자 = '과학기술 특성화 대학' 한국과학기술원(KAIST·카이스트)에서 해킹으로 3만609명의 개인정보가 유출된 가운데, 카이스트는 과학기술정보통신부와 교육부 어디에도 공식 정보보호 검증을 받지 않는 '보안 사각지대'라는 사실이 새롭게 확인됐다.

과학기술 특성화 대학이기 때문에 학생과 교직원 개개인의 과학 및 정보통신기술(ICT)에 대한 이해도는 대한민국 최정상급이지만 정작 교육부나 과기정통부 어느 한곳도 카이스트의 보안시스템을 점검하지 않고 있었다. 타 대학이 교육부와 과기정통부를 통해 강도높은 정보보호 점검을 받는 것과는 상반되는 모습이다.

◇카이스트, 교육부 진단도, ISMS 인증도 안받는 '사각지대'

6일 <뉴스1> 취재 결과 카이스트는 한국인터넷진흥원(KISA)이 관할하는 '정보보호관리체계(ISMS) 인증'은 물론, 국내 대학들이 교육부로부터 받는 '정보보호 수준 진단'까지 받지 않는 보안 검증의 '사각지대'였다.

카이스트는 고등교육법 제2조에 따른 '대학'이 아니다. 따라서 교육부 산하로 편재돼 있지 않다. 교육부 소관 대학이 아니기 때문에 교육부에서 매년 실시하는 대학 정보보호 수준 진단을 받지 않는다.

또 카이스트는 행정상 한국과학기술원 특별법에 따라 설치된 과기정통부 산하 유관기관인 '과학기술원'으로 분류돼 있다. 과기정통부 산하 공공기관인 셈이다.

민간 기업이나 공공기관은 ISMS를 의무적으로 받아야 하는데 카이스트는 교육기관이기 때문에 ISMS 의무대상에서도 누락돼 있었다. 실제로 과기정통부 확인 결과 카이스트는 ISMS 인증을 받지 않았다.

이에 대해 카이스트 측은 "카이스트의 정보보호 수준은 교육부가 아닌 과기정통부에서 점검한다"며 "과기정통부 정보보호담당관이 시행하고 있는 지침에 따라 정보보호 수준을 점검하고 있다"고 답했다.

과기정통부 담당자는 해킹을 방지하기 위해 갖춰진 사항을 묻는 질문에 대해 "보통 정보보호 시스템이라고 하는데, 침입방지 시스템, 탐지 시스템 등을 기본적으로 갖춰져 있다"고만 답했다.

◇교육부 산하 타 대학은 매년 정보보호 수준 진단 또는 ISMS 인증 '의무'

현재 국내 대학들은 교육부의 정보보호 수준 진단을 받거나, ISMS 인증을 통해 각 학교의 정보보호 체계가 잘 운영되는지 검증을 받고 있는 상태다.

앞서 지난 2016년 6월 정부는 대학의 정보보호 수준을 높이기 위해 정보통신망법 시행령을 통해 재학생 수 1만명 이상인 대학을 ISMS 인증 의무화 대상으로 지정했다.

그러나 대학들이 중복 검증에 대한 불만을 제기하면서 올해 2월 과기정통부와 교육부의 협의를 통해 교육부 정보보호 수준 진단에서 '우수'를 받으면 ISMS 인증을 면제해주기로 한 바 있다.

교육부 산하의 국내 대학들은 정보보호 체계가 잘 운영되는지를 확인하기 위해 매년 교육부로부터 정보보호 수준진단을 받는다. 교육부는 정보보호 수준 진단을 통해 교육기관의 정보보호 관리체계와 정보 침해 예방 활동 수준을 진단하고 있다.

◇과학기술 특성화 대학의 '해킹' 불명예…체계화된 외부 기관 검증 부재

카이스트에는 이처럼 교육부에서 주기적으로 정보보호 수준 진단을 받는 다른 대학과 달리 외부 기관의 체계화된 정보보호 수준 검증 과정이 없다.

카이스트가 '과학기술 특성화 대학'이면서도 역대 2번째 발생한 대규모 대학 개인정보 해킹 사건의 주인공이 된 '불명예'의 원인은 구조적인 문제라는 지적에 힘이 실리는 이유다.

그동안 국내에서 대학이 보유하고 있는 개인정보를 대량으로 해킹당한 사례는 지난 2018년 확인된 '대전대학교 해킹 사건'이 유일했다. 당시 대전대의 한 졸업생은 대전대의 사이버교육시스템을 해킹해 4만2000여건의 개인정보를 유출했다. 대전대는 이를 2년이 지난 뒤에야 확인했다.

익명을 요구한 한 국내 보안 전문가는 "그동안 국내 대학들이 정보보호를 위한 ISMS 인증 취득에 소홀했어서 과기정통부와 교육부가 정보보호 수준 진단을 높여 이를 대체하는 방식으로 협의하는 등 방안을 마련했었는데 카이스트라는 '구멍'이 발견된 것"이라며 "카이스트뿐 아니라 다른 과학기술원들에 대한 보안수준 점검도 필요한 것으로 보인다"고 말했다.

카이스트 해킹만으로 끝이 나지 않을 수 있다.

현재 국내에는 카이스트를 비롯해 Δ광주과학기술원(GIST) Δ대구경북과학기술원(DGIST) Δ울산과학기술원(UNIST) Δ한국해양과학기술원(KIOST)까지 총 5개의 과학기술원이 있다. 이중 한국해양과학기술원만 해양수산부 산하에 있고 나머지 과학기술원은 과기정통부 소속이다.