[창립기념일 특집 4편] 사이버가 아니라 사이비다 - 2024. 7. 6(토)

정말 어처구니가 없는 일은 또 있다.

2021년 6월 하태경 의원실에서 국내 한 원자력시설의 해킹에 대하여 보도했다. 당시 원자력시설의 사이버보안 규제를 담당하는 부서의 장이던 나는 갑자기 바빠졌다. 정부는 공식적으로 우리 회사에게 해킹의 영향이 제어시스템까지 미치지 않았는지를 확인하기 위해 특별검사를 나가도록 요청해 왔다. 나를 포함하여, 고참 검사원들인 O채O, O태O, O상O들을 검사팀으로 2021년 7월 초에 검사를 나갔다.

검사의 중점은 악성코드가 제어망으로 유입될 수 있는 경로가 될 수 있는 곳들이었다. 외부네트워크와 단절되어야 하는 Airgap, 외부저장매체가 자주 사용되는 Sneakernet 부분들이 그러한 곳이었다.

나는 그 원자력시설의 제어망의 네트워크 도면을 보고, 가장 취약한 부분은 외부의 환경방사선정보가 모여서 주제어실로 들어가는 곳이라고 생각했다. 그리고, 그 인입이 되는 부분의 네트워크 구성을 확인하기 위하여 시설담당자들, 그 시설의 외부인력 그리고 주재검사관들과 현장으로 갔다. 그 지점의 네트워크에 물려있는 호스트를 하나 잡고, 외부네트워크와 연결 단절을 확인하고자 했다. 시설담당자도 당당하게 시험해보는 것에 동의했다. 시설 외부에 물려있는 상대호스트의 IP주소를 시설 담당자에게 물어 보았으나, 알고 있지 않았다. 할 수 없이 나는 그 호스트가 물린 서브넷의 모든 IP를 점검하는 도스 스크립트를 현장에서 만들어서 실행했다. 전문 용어로 핑 스윕이라고 하는 것이다.

핑 스윕의 결과는 놀라왔다. 네트워크 회선이 단방향으로 구성되어 있어야 하는 응답이 오면 안되는 외부 호스트로 부터 응답이 들어왔다. 모두 놀라서 입을 다물지 못했다. 시설담당자는 물론, 그 시스템의 유지보수를 담당하는 외부업체 직원들이 가장 놀랐다. 외부업체 직원이 그 호스트 뒤편의 네트워크 회선을 점검했더니, 원래 있어야하는 단방향 네트워크 회선 이외에 양방향 네트워크 회선이 하나 더 있었다. 소위 전문용어로 백도어가 있었던 것이다. 정부도 우리도 시설도 놀라서 할 말을 잃었다.

달포 뒤에 경위를 조사하기 위해서 정부 주도의 조사가 있었다. 정부에서는 그 조사에 나와 당시 본부장 O나O도 참여하라고 했다. 사건의 경위들이 서서히 드러나기 시작했다. 네트워크 단방향 공사는 2017년 경에 진행을 했고, 당시 원래 설치되어 있던 양방향 회선을 제거하지 않은 것이었다. 원자력시설의 주제어실 제어네트워크가 수년간 백도어가 제거되지 않은 채로 방치되어 있었던 것이다.

그와 동시에 정부는 국내 모든 원자력시설의 제어망을 전수 조사하여 백도어가 있는지 살피도록 했다. 그 다음이 우리 회사였다. 2017년도는 우리 회사가 원자력시설의 사이버보안 규제를 시작하고 도입하는 7단계 특별검사 중에서 원자력시설의 네트워크 분리작업에 대한 검사를 하던 때였다. 당시 해당 검사를 진행한 O아O 검사원의 검사 적절성, 2019년 정기검사때 검사를 진행한 O채O 검사원의 검사 적절성에 대한 조사가 이어졌다. 나 역시 이러한 조사를 진행하는 특별사법경찰의 조사를 받았다.

그 조사의 결과 또한 놀라웠다. 공사를 해놓구선 그 간단한 ping 시험조차 하지 않았던 것이다. 공사 업체도, 시설 담당자도, 그리고 검사원들 조차도. 수년동안 ping 시험을 해본 사람이 없었다. 그 시험을 해본 사람이 내가 유일했던 것이다. 그리고, 검사원들의 검사 성실성도 도마에 올랐다. 정부 조사관은 수년동안 우리 회사 검사원들의 원자력시설 출입기록을 받아서 분석했다. 하루 8시간 검사 시간 중에서 검사원이 시설에서 검사를 수행한 시간이 세 시간 채 안되는 경우가 수두룩 하다는 것도 드러났다. 정부의 한 과장은 "전문성이 문제인 줄 알았는데, 성실성이 더 문제네요"라고 했다.

이런 사실이 드러나자 정부에서는 기관을 쇄신하라며, 광범위한 업무개선 계획을 수립하여 이행할 것을 요청했다. 그 과정에서 우리 회사의 다른 부서에 소속된 사람이 나에게 그 부서의 카톡방을 캡쳐해서 보여주었다. 그 부서의 카톡방은 나에 대한 비방으로 도배가 되어있었다. O찬O는 나를 일컬어 헬게이트를 연지도 모르고 좋아라하고 있을 거는 등의 말로 비방을 해댔다. 나는 그를 불러서, 찬찬히 서서히 따졌다. 찬찬히 서서히.

사이버가 아니라 사이비였다.