[연중기획-따뜻한 디지털 세상]<2부>보안은 생존이다-쉿! '내부의 적'

지난 7월 국내 유수 반도체 제조기업인 A사로부터 반도체 제조공정 관련 핵심 기술자료를 유출하려던 전현직 직원 7명이 검찰에 구속되는 사건이 발생했다.

주동자 K모씨는 A사 前 생산기술센터 부장 출신. 그는 조세면제국가인 '케이만군도'에 페이퍼 컴퍼니 L사를 설립한 뒤 A사 출신 핵심연구원 6명을 포섭해 최첨단 반도체 제조공정기술인 '낸드 플래시(NAND Flash)' 메모리 기술을 유출, 중국 현지에 공장 설립하려다 첩보를 입수한 국가정보원과 검찰에 덜미가 잡혔다.

이 과정에서, 현직 엔지니어들은 반도체 제조공장에 대한 설계자료와 제조공정 기술 관련 자료를 CD와 메모리카드 등에 담아 외부 유출을 시도했다. 그들이 빼돌리려던 낸드 플래시 메모리 기술은 집적도가 뛰어나 주로 대용량 저장장치에 사용되며, 작년 한해 영업이익만 2조원에 달하는 A사의 주력제품이다.

만약, 이같은 음모가 적발되지 않았다면, 향후 5년간 무려 12조원에 달하는 피해를 입었을 것이라는 게 검찰의 추산이다. 무엇보다 이 사건은 향후 전현직 연구원 80명을 추가로 전직시키려던 국내 최대의 기업형 산업스파이 사건으로 주목을 받았다.

내부자에 의한 정보유출은 일개 기업은 물론 국가적으로 막대한 손실을 입히는 보안의 최대 위협요소로 대두되고 있는 것이다. 그동안 반도체, 모니터, 휴대폰 등 IT 기술분야가 산업 스파이들의 주된 표적이었으나, 최근에는 자동차 등 업종을 가리지 않고 전방위적으로 확대되고 있다. 실제, 이달에는 현대자동차의 신차 핵심정보를 중국으로 유출하려했던 협력업체가 사전에 발각되기도 했다.

◇77조원 해외 기술유출 시도

첨단 기술정보의 중요성이 높아지면서 이를 유출하려는 산업 스파이도 날로 급증하고 있다. 국가정보원에 따르면, 1998년부터 2005년 6월까지 산업스파이 적발건수는 총 82건으로, 그대로 유출됐더라면 약 77조에 달하는 피해가 발생할 뻔했다. 그러나 이처럼 세상에 알려진 사례는 빙산의 일각에 불과하며, 전 산업분야에 걸쳐 다방면으로 이루어지고 있다는 게 보안 전문가들의 추정이다.

국정원 산업기밀보호센터 관계자는 "이같은 산업기밀 유출은 주로 기업 내부에 불만을 품거나 좀더 좋은 조건에 이직하려는 전 현직 연구인력과 임원 출신에 의해 저질지고 있다"며 "기업의 핵심정보 유출의 89% 이상이 이같은 내부자에 의한 소행"이라고 지적했다.

핵심 기술만 산업 스파이들의 표적이 되는 건 아니다. 최근에는 온라인쇼핑몰이나 이동통신회사들이 보유한 개인정보도 공공연히 유출되고 있는 실정. 지난해 말 이통사 직원과 개인정보 브러커 등 15명이 총 600여만명의 개인정보를 빼돌린 사건에 이어 올초 모 대기업 계열의 홈쇼핑에서 200만명의 회원 DB가 유출된 것이 대표적이다. 한마디로 '돈'되는 정보는 죄다 산업스파이의 표적이 되고 있는 것이다.

◇조직 인력관리와 교육 시급

내부 정보유출이 사회적 문제로 대두되자, 기업들도 앞다퉈 내부 보안 강화에 더욱 열을 올리고 있다. 가령, 노트북 PC와 카메라폰 반입을 막고, USB 메모리 스틱이나 CD 등을 사용하지 못하도록 한다던가 e메일 및 데이터베이스(DB) 감시 등 내부 보안 솔루션을 도입했다.

그럼에도 불구하고, 내부정보 유출을 기술적으로 100% 완벽히 차단하는 것 자체는 현실적으로 불가능하다. 최근에 경기도 소재 IT부품업체에 발생했던 정보유출 미수사건이 대표적인 사례다. 이 회사는 중소기업으로는 드물게 내부 보안 시스템까지 구축해 사용하고 있던 기업이라는 점에서 충격적이다. 정보유출을 시도했던 사내 연구인력은 보안시스템이 정상 운영되지 못하도록 운영체제(OS)를 안전모드 상태로 가동한 뒤 자료를 다운 받았던 것으로 드러났던 것.

최근에는 직접적으로 사내 정보유출이 어려워지자 외주업체나 협력사 등을 통한 정보유출도 다반사로 벌어지고 있다. 작년 모 정부부처감사에서 해당 기관의 핵심 문서가 IT 시스템 외주업체 직원 PC에서 발견돼 논란을 빚기도 했다. 그는 업무 특성상 시스템을 자유롭게 드나들 수 있었던 것이다.

올초 발생한 온라인 쇼핑몰 고객 데이터 유출사고때도 범인은 다름아닌 거래업체인 택배회사 직원인 것으로 드러났다. 회원정보 DB를 공유하고 있었던 게 화근이 됐다. 이처럼 정보유출 사건은 미처 생각 못했던 '허점'에서 이루어지고 있다.

국정원 관계자는 "최근에는 목표로 잡은 타깃 회사의 사내 직원이나 협력업체들을 통해 정보를 캐내는 수법이 이용되고 있는데, 조금씩 수집된 정보를 종합하면 상당히 방대한 정보가 가공 생성된다"며 "보안 시스템을 아무리 잘 갖춰논다해도 결국 제대로된 의식교육이 없다면 무용지물이 될 수 밖에 없다"고 지적했다.

그나마 보안시스템도 대기업들의 전유물이지, 중소, 벤처기업은 보안의식 자체는 여전히 미미한 수준. 이 때문에 벤처기업에서 기술력은 곧 기업의 존폐를 좌우한다는 점을 각인해 보안투자에 적극 나서야된다는 지적도 제기되고 있다.

STG시큐리티 김양욱 컨설팅 본부장은 "제대로된 내부 보안을 위해선 물리적, 기술적, 관리적인 측면에서 다차원적이고 복합적인 시스템이 갖춰져야 한다"며 "무엇보다 조직 구성원들에 대한 철저한 보안의식 교육이 선행돼야 한다"고 강조했다.

이와 함께 현재 정보유출에 대한 경각심을 불러일으키기 위해선 계류중인 산업기밀보호법도 시급히 통과돼야한다는 게 보안 전문가들의 지적이다.