관리자 다중인증 없는데…가스기술공사, 긴급 점검서 취약점 ‘0건’

한국가스기술공사가 금융권 해킹 사태 이후인 10월 6일 긴급 보안점검을 실시한 뒤 계정·인증 보호 분야에서 취약점 0건을 보고한 것으로 나타났다. 19일 임문영 더불어민주당 의원이 공개한 공사 제출자료에 따르면, 공사는 다중인증(MFA) 적용 여부와 무차별 대입 공격, 퇴직자 계정, 비밀번호 초기화 등을 점검 항목으로 삼아 긴급 보안점검을 진행했다.

공사는 이 점검 결과 계정·인증 보호 분야의 취약점을 0건으로 보고했다. 최근 긴급 보안점검 결과에서도 취약점 0건이 보고됐다.

그러나 실제 운영 기준에서는 시스템 관리자 계정에 다중인증(MFA)이 적용되지 않은 것으로 나타났다. 반면 일반 직원과 외주 인력은 내부망 접속 시 일회용 비밀번호(OTP) 인증을 적용받고 있다.

점검 결과와 관리 실태 사이의 차이와 관련해 공사 측은 관리자 계정이 방화벽과 IP 접근제한으로 통제되고 있다고 설명했다.

다중인증은 2가지 이상 인증을 통과한 사용자만 접근을 허용하는 방식이다. 계정 로그인 기본 단계는 아이디·비밀번호 입력의 1차 인증이다. 다중인증의 구성 예시로는 지문 인식 등 추가 인증을 요구하는 방식이 있다.

반면 다중인증을 적용하지 않고 방화벽·IP 접근제한만 사용할 경우에는 아이디·비밀번호 인증만 유지된다. 이 경우 허용된 IP 대역을 경유하거나 내부자 계정을 탈취하면 접근 가능성이 생긴다. 이런 조건에서는 공격 위협에 무방비로 노출될 가능성이 있다.

이와 관련한 실제 사례로는 신한은행 개인정보 유출 사고가 있다. 해당 사고에서는 대출모집인 전용 서비스가 문제된 대상으로 거론됐다. 이 서비스에는 별도의 추가 인증 수단을 요구하는 다중인증 체계가 적용되지 않은 사실이 알려졌다.

이 같은 중요성 증대에 따라 국가정보원은 올해 5월 1일 개정한 '국가 사이버보안 기본지침' 제76조 제4항에 관련 내용을 반영했다. 개정 지침에는 정보시스템 관리자 권한 인증에 다중인증을 적용하도록 명시됐다. 다만 정보통신망 또는 정보시스템 특성상 불가피한 경우에는 미적용이 가능하다는 예외 규정도 뒀다.

한편 한국가스기술공사 관련 자료의 주제는 2026년 금융권 해킹 사태 이후 긴급 보안점검 실시 여부 및 결과다. 관련 사진의 출처는 임문영 의원실이다.

공사의 보안 운영 실태와 관련해 관리자 계정에 다중인증이 적용되지 않은 이유가 확인 필요 사항으로 제시됐다. 임 의원은 관리자 계정에 다중인증이 미적용된 상태였다고 지적했다.

이와 함께 긴급 보안점검에서 취약점 0건이 보고된 경위도 확인 필요 사항으로 꼽혔다. 임 의원은 관리자 계정에 다중인증이 미적용된 상태에서 긴급 보안점검 결과 취약점 0건이 나온 점을 지적하며, 점검 기준과 문제 없음 판단 근거를 명확히 설명할 것을 요구했다.

보안 인력 측면에서는 미흡점이 발견됐다. 임 의원실 설명에 따르면 공사 정보보안센터 인력은 5명이며, 전체 직원 2339명 대비 정보보안센터 비중은 0.21%다. 또 ISMS-P 인증 심사원 자격 보유 인원은 1명인 것으로 나타났다.

전국 14개 지사에서는 타 업무 담당 직원이 사이버보안 업무를 겸직하고 있는 것으로 파악됐다. 임 의원은 국가 가스시설 관리 기관의 정보보안이 국민 안전과 직결된다고 강조하며, AI 도입 속도보다 관리자 계정·현장 PC·보안관제까지 잇는 보안 체계 구축이 필요하다고 강조했다.

출처: 아이티데일리 (IT DAILY) · 김호준 기자
원문: https://www.itdaily.kr/news/articleView.html?idxno=242294

참고자료

• https://www.itdaily.kr/news/articleView.html?idxno=242294