로그인
NEWS
업계뉴스
가스기술공사 보안평가 2년 연속 하락…관리자 계정도 취약
[에너지신문] 국가 가스시설의 정비와 안전점검을 담당하는 한국가스기술공사의 정보보안 관리체계가 국정감사에서 도마에 올랐다.
시스템 관리자 계정에 다중인증(MFA)이 적용되지 않은 상태에서 긴급 보안점검 결과 취약점이 0건으로 보고됐고, 국가정보원 정보보안 관리실태평가 점수도 2년 연속 하락해 최근 5년 중 최저치를 기록했다는 것.
이에 따라 사이버공격 시도와 악성코드 공격이 증가하는 가운데 내부망 생성형 인공지능(AI) 플랫폼까지 구축하면서 에너지 공공기관의 정보보안 역량을 전반적으로 점검해야 한다는 지적이 나온다.
한국가스기술공사에 대한 국가정보원 정보보안 관리실태평가 점수가 2년 연속 하락해 최근 5년 중 최저치를 기록한 것으로 나타났다. (사진은 한국가스기술공사 본사 전경)
더불어민주당 임문영 의원이 19일 한국가스기술공사로부터 제출받은 자료 공개에 따르면 가스기술공사는 금융권 해킹 사태 이후 지난 10월 6일 긴급 보안점검을 실시했지만 계정·인증 보호 분야에서 발견된 취약점은 0건으로 보고됐다. 점검 항목에는 다중인증 적용 여부와 무차별 대입 공격, 퇴직자 계정, 비밀번호 초기화 등이 포함됐다.
그러나 시스템 관리자 계정에는 다중인증이 적용되지 않은 것으로 나타났다. 일반 직원과 외주 인력은 내부망 접속 시 일회용 비밀번호(OTP)를 이용한 다중인증을 거치지만, 관리자 계정은 방화벽과 IP 접근제한으로 통제하고 있다는 게 가스기술공사 측의 설명이다.
국가정보원은 올해 5월 개정한 ‘국가 사이버보안 기본지침’에서 정보시스템 관리자 권한 인증에 다중인증을 적용하도록 규정했다. 다만 정보통신망이나 정보시스템의 특성상 불가피한 경우에는 예외를 인정하고 있다. 이에 따라 관리자 계정의 다중인증 미적용 근거와 긴급점검에서 취약점이 발견되지 않은 판단 기준을 확인할 필요가 있다는 지적이다.
정보보안 평가도 하락세다. 한국가스기술공사의 국가정보원 정보보안 관리실태평가 점수는 2024년 83.76점에서 2025년 78.21점, 2026년 73.8점으로 떨어졌다. 2년 사이 9.96점 하락하며 최근 5년 중 가장 낮은 점수를 기록했다.
사이버공격 시도는 2024년 17건에서 2025년 35건으로 두 배 이상 증가했다. 특히 악성코드 공격은 같은 기간 3건에서 26건으로 약 8.7배 늘었다. 올해도 10월 초까지 21건의 공격 시도가 확인됐다. 가스기술공사는 공격에 대한 조치를 모두 완료했으며, 실제 피해는 발생하지 않았다고 밝혔다.
AI 도입 확대에 따른 보안 대응도 과제로 지목됐다. 가스기술공사는 지난 7월 31일 3억4320만원(부가세 별도)을 들여 내부망 생성형 AI 플랫폼을 구축했다. 내부 지식문서 4000건 이상을 반영하고 부서별 업무지식을 활용한 AI 에이전트를 만들 수 있도록 했다.
외부 생성형 AI에 업무자료를 입력하지 못하도록 보안수칙을 마련하고 AI 보안 가이드라인도 수립했지만, AI를 활용한 자동화 공격 탐지체계는 ‘해당없음’으로 답했다. 현재 산업통상부 사이버안전센터의 보안관제를 받고 있으며, 올해 AI 기반 데이터 유출 방지(DLP) 시스템도 도입했다. 공사는 AI 보안관제의 필요성을 인정하고 내년도 예산으로 약 3억원의 반영을 요청한 상태다.
보안 전담인력과 현장 관리 수준도 문제로 거론됐다. 정보보안센터 인력은 전체 직원 2339명 가운데 5명으로 0.21%에 그쳤다. 보안 관련 자격증 보유자는 1명이며, 전국 14개 지사에서는 다른 업무를 맡은 직원이 보안 업무를 겸직하고 있다. 정보보안 최고책임자(CISO)도 경영전략본부장이 겸임한다.
지난해 내부감사에서는 지자체가 위탁 운영하는 수소충전소의 인터넷 연결 PC에 백신이 설치되지 않거나 최신 보안패치가 적용되지 않은 사례가 확인됐다. 본사 설계부서 공용 PC 3대에서도 백신 미설치와 보안패치 미적용 문제가 지적됐다.
가스기술공사는 평택·인천·통영·삼척·제주 등 5개 LNG 생산기지와 전국 5346km의 천연가스 주배관 정비·안전점검을 담당한다. 국가 에너지 기반시설과 관련된 기술정보를 다루는 만큼 정보보안 사고가 발생하면 국민 안전과 에너지 공급에도 영향을 미칠 수 있어, 정보보안 관리체계 전반의 실효성을 높여야 한다는 지적이다.
임문영 의원은 “관리자 계정에는 다중인증이 적용되지 않았는데 긴급 보안점검에서는 취약점이 0건이라는 결과가 나왔다”라며 “어떤 기준으로 점검했고, 왜 문제가 없다고 판단했는지 명확히 설명해야 한다”고 밝혔다. 이어 “AI 도입에만 속도를 낼 것이 아니라 관리자 계정부터 현장 PC, AI 보안관제까지 실제 작동하는 보안체계를 갖춰야 한다”고 강조했다.
