해킹 시도 8개월 만에 3,728건 '폭증'…사회보장정보원은 밤·휴일 보안관제 ‘0명'

- 의료정보보호센터 해킹 시도·디도스 탐지 2024년 900건→2025년 1,123건→올해 1~8월 3,728건…월평균 5배

- 정보원 자체 보안관제는 평일 낮 2명뿐…야간·휴일 보안 이벤트 대응에 평균 20시간 40분

- 24시간 관제 예산 8억 4,300만 원 요구했지만 정부안 2억 1,000만 원 동결…ISMS-P 인증 대비 예산도 0원

- 허종식 "취약계층 소득·건강 정보 모인 기관 보안이 밤엔 공백…국회 심사서 반드시 반영"

국민의 복지·의료 정보를 다루는 한국사회보장정보원을 겨냥한 해킹 시도가 올해 들어 폭증한 것으로 나타났다. 올해 1~8월에만 3,728건이 탐지돼 지난해 1년치의 3배를 넘었다. 그러나 정보원은 밤과 휴일에 자체 보안관제 인력을 한 명도 두지 않고 있다.

더불어민주당 허종식 의원(국회 보건복지위원회·인천 동구미추홀구갑)이 한국사회보장정보원에서 받은 자료에 따르면, 정보원 의료정보보호센터 전산망을 대상으로 한 외부 해킹 시도·디도스 탐지 건수는 2024년 900건이었다. 2025년에는 1,123건이었고, 올해는 1~8월에만 3,728건으로 급증했다. 한 달 평균으로 보면 지난해 94건에서 올해 466건으로 5배 가까이 늘었다.

공격은 늘었지만 지킬 사람은 낮에만 있다. 정보원의 자체 보안관제는 평일 주간에 2명이 상주하는 것이 전부이고, 야간과 휴일 관제 인력은 0명이다. 정보원은 "예산 문제로 주간 보안관제만 운영 중"이라고 밝혔다. 야간·휴일에는 보건복지부 산하기관 전체를 맡는 보건복지사이버안전센터의 통합 관제에 의존하고 있는데, 이 센터의 야간·휴일 근무 인력은 2명이다.

이 공백은 대응 시간으로 드러났다. 올해 야간·휴일에 사이버안전센터가 정보원에 확인을 요청한 유효 보안 이벤트는 3건이었다. 탐지 시점부터 조치와 원인 파악을 마치고 회신하기까지 평균 20시간 40분이 걸렸다. 야간에 이상 징후가 계속되면 정보원 담당자가 긴급 출동하는데, 출동에만 최대 2시간이 걸린다. 지난해 이전 자료는 "확인 불가"였다.

정보원은 24시간 관제 체계를 만들겠다며 2027년 예산으로 8억 4,300만 원(관제 인력 8명)을 요구했다. 보건복지부는 요구액을 그대로 반영했지만, 정부안에서는 올해와 같은 2억 1,000만 원으로 깎였다. 올해 예산 역시 3억 2,400만 원을 요구했으나 2억 1,000만 원만 확정됐다.

내년 7월부터 의무화되는 정보보호 및 개인정보보호 관리체계(ISMS-P) 인증 준비도 막혔다. 정보원이 요구한 전담 인력 3명과 예산 3억 9,400만 원은 반영되지 않았다. 올해 발주한 주요정보통신기반시설 보안 컨설팅 사업은 두 차례 유찰 끝에 7월에야 시작됐다.

정보원은 국가정보자원관리원에 입주한 행복이음·희망이음·복지로 등 핵심 시스템의 해킹 시도 현황조차 파악하지 못하고 있다. 해당 시스템의 보안관제는 관리원이 자체적으로 수행하는데, 관련 자료가 정보원에 공유되지 않기 때문이다.

앞서 지난해 9월 국가정보자원관리원 대전센터 화재 때는 정보원 시스템 9개가 한꺼번에 멈췄다. 복지로와 사회보장정보시스템(행복이음)은 3일 만에 복구됐다. 하지만 전자바우처시스템은 14일, 디지털돌봄시스템은 28일, 정신건강사례관리시스템은 31일 동안 장애가 이어졌다. 화재 당시 진행 중이던 소득·재산 확인조사가 중단되면서 데이터 102만 건의 정합성이 틀어지기도 했다.

허종식 의원은 "해킹 시도가 한 해 만에 몇 배로 늘어나는데, 취약계층의 소득·재산과 건강 정보가 모인 기관이 밤과 휴일에는 보안을 사실상 남의 손에 맡기고 대응에 20시간 넘게 걸리는 상황"이라고 지적했다. 이어 "그런데도 24시간 관제 예산을 전년 수준으로 묶은 것은 안이한 판단"이라며 "국회 예산 심사 과정에서 24시간 관제와 ISMS-P 인증 대비 예산이 반영되도록 하겠다"고 강조했다.