미 국토안보부(DHS)의 IT 보안프로그램 운영 현황

KISTI 미리안 『글로벌동향브리핑』 2015-01-01

전체적으로 미국의 국토안보부(DHS, Department of Homeland Security)의 정보보호 프로그램 운영현황은 개선되고 있지만, 기관 내 개별 부서에서는 그에 합당한 노력이 부족한 것으로 최근 내부 감사결과 밝혀졌다. 국토안보부의 감사관은 신뢰할 수 있는 인터넷 연결, 지속적인 모니터링 및 강력한 인증 등 국토안보부의 정보시스템 보안상황이 정부 기관의 기본적인 보안표준을 규정한 연방정보보호관리법(FISMA, Federal Information Security Management Act)에 따라 전반적으로 개선되고 있다고 밝혔다. 그러나 감사관은 지난 12월 12일 제시한 보고서를 통해 국토안보부내의 기관들이 특정 정책과 프로세스를 일관성 있게 준수하고 있지는 못하다고 지적했다. 감사관은 또한 이에 대한 주요 결과를 담은 언론 자료를 배포했다. 세부적으로 감사관은 비밀 경찰당국(SS, Secret Service)이 국토안보부의 최고정보보호책임자(CISO, Chief Information Security Officer)에게 시스템 보안과 관련된 필요한 정보를 제공하기를 거부했다고 밝혔다. 그 결과 최고정보보호책임자는 비밀경찰이 보안 필수요건에 합당한 조치를 취하고 있는지 확인할 수 없었다고 지적했다. 감사관은 비밀경찰에게 필수적인 정책을 따르지 않는 것에 대해 우려를 표명하는 서한을 보냈지만, 비밀 경찰은 이후 국토안보부의 최고정보책임자(CIO, Chief Information Officer)와 협의를 통해 현재와 향후 규정된 정보만을 제공하도록 합의했다고 밝혔다. 또 다른 조사 결과로서, 감사관은 국토안보부와 관련 기관들이 합당한 운영 권한(ATO, Authority to Operate) 없이 컴퓨터 시스템을 지속적으로 운영하고 있다는 사실을 지적했다. 예를 들면, 연방비상관리법(FEMA, Federal Emergency Management Act)에서 합당한 운영 권한 없이 5개에 이르는 최고 기밀 등급 시스템을 운영하도록 하고 있다. 실제 국토안보부에서 합당한 권한 없이 운영하는 ‘민감하지만 공개(sensitive but unclassified), 그리고 ’기밀(secret)’ 시스템은 2012년 76개에서 2014년 191개로 크게 증가했다. 감사관은 언론 보도를 통해 합당한 권한 없이 시스템이 운영되면 국토안보부와 관련 기관들이 시스템에 저장되고 처리되는 정보를 효과적으로 보호할 수 있는데 한계가 있을 수밖에 없다고 지적했다. 또 다른 문제는 2013년과 2014년 10개월의 기간 동안 연방비상관리법에 의한 시스템의 수가 심각한 변동을 보였다는 점이다. 2013년 10월에는 85개였던 시스템이 2014년 1월에는 84개로 감소했다. 지난 4월에는 109개로 다시 증가하였지만, 7월에는 91개로 다시 감소하였다. 이러한 비정상적인 변동은 국토안보부의 관리 방법이 잘못되었거나, 아니면 관련 기관들이 국토안보부의 재원배분 프로세스를 우회하여 새로운 시스템을 개발하거나 확보하려는 시도 때문에 발생한 것으로 보인다고 감사관은 지적했다. 아울러 국토안보부는 적절한 시기에 보안 취약점을 최소화하려는 노력을 취하고 있지 않다고 감사관은 주장했다. 감사관은 또한 FEMA와 시민과 이민 관련 기관들이 아직도 MS의 윈도우 XP 운영시스템을 사용하여 해킹으로 인한 보안에 취약할 수 있다고 경고했다. MS는 2014년 4월 이후 同 시스템에 대한 보안 업데이트를 제공하고 있지 않다. 감사관은 국토안보부가 광대한 IT 자원을 개선하고 보호하기 위해 노력하고 있지만, 관련 기관들이 국토안보부의 지시에 적극 따를 때 그 효과가 나타날 수 있다고 지적했다. 이러한 노력이 이루어지지 않는다면, 국토안보부와 국토 안보는 심각한 위협에 직면할 것이라고 그는 주장했다. http://www.fiercegovernmentit.com/story/dhs-agencies-undermining-departments-overall-it-security-program-ig-finds/2014-12-23?utm_medium=nl&utm_source=internal