일본산업뉴스요약

중앙 부처 사이트 80% 위험
미국에 뒤처진 암호화, 인력 및 예산 부족

정부기관의 웹사이트가 부정 수정이나 불법 열람의 위험에 노출되어 있다. 일본경제신문과 닛케이BP사의 전문지 ‘닛케이 컴퓨터’가 조사한 결과, 중앙 부처의 약 80%의 사이트가 열람 중에 부정 개입을 방지하는 암호를 사이트 전체에 설치하지 않았다는 사실이 밝혀졌다. 미국은 정부 정보의 신뢰성을 높이기 위해 암호화를 의무화하였고, 대부분의 중앙 부처는 암호화를 완료하였다. 일본은 인력이나 예산 수당이 지연되고 있어, 공개 정보를 활용하는 인터넷 서비스에 문제가 생길 우려가 나오고 있다.

-- 구글도 경고 --
10월 하순 이후부터 구글의 최신 열람 소프트로 경제산업성이나 총무성의 사이트 내를 검색하면, “보호되고 있지 않습니다”라는 경고가 나오게 되었다. 입력 내용이 보호되지 않아 이용자의 기호나 행동이 제3자에게 노출될 우려가 있다고 한다.

이러한 경고를 하게 된 배경에는 점점 교묘해지는 사이버 공격이 있다. 2010년대에 들어 사이버를 직접 공격하지 않고, 제3자가 통신 도중에 끼어들어 데이터를 변경하는 기술이 발달하였다. 공중 무선 LAN이 보급되면서 사이트 내용이나 이용자가 보내는 정보를 무단 수정하거나 열람 이력을 훔쳐 보는 등의 피해를 당하기 쉬워졌다.

-- 통신의 암호 처리 --
통신의 암호 처리를 로그인 화면 등 일부가 아니라 사이트 전체에서 철저하게 실시하면 이용자를 보호할 수 있다. 이 대책을 ‘상시 SSL화’라고 부른다. 구글은 14년에 “이용자가 안전한 사이트에 접속할 수 있도록 한다”라며, 모든 사이트 관리자에게 대응을 요구하였다. 자사 서비스 이용 확대로 연결시키려는 의도도 있어 갈수록 규칙이 엄격해지고 있다. 경고 발신은 그 일환이다.

일본경제신문 등의 조사에 따르면, 중앙 부처 37개 기관 중 10월 말 시점에서 상시 SSL화를 끝마친 곳은 내각관방, 국가공안위원회, 국세청 등 3개 기관이다. 나머지 28개 기관의 암호화는 문의 화면이나 전자 신청 화면 등 일부에 그쳐 있다. 독립행정법인 등 정부 계열 106개 기관의 경우도 상시 SSL화를 갖춘 곳은 약 20%정도였다.

9월 하순에는 조사표를 발송하여, 10월 하순까지 100개 기관으로부터 회답을 얻었다. 대응을 마치지 못한 기관에게 향후 방침을 물어본 결과, 90%가 ‘준비 중’ 혹은 ‘검토 중’이었고, 그 중 60%는 완료 시기가 ‘미정’이라고 회답하였다. 부정을 확인했다는 회답은 없었다. 개인의 통신을 탈취하는 부정은 알아차리기 어렵다.

정부의 데이터는 방대하다. 작업에 시간이 필요하며, 처리 능력에 대한 증강 투자도 필요하다. 내각 사이버 시큐리티(NISC)의 야마모토(山本) 내각참사관은 “각 부처에게는 시스템을 경신할 때 대처하도록 하겠다”라고 말한다. 그러나 일본정보경제사회추진협회의 오타이시(大泰司) 기획실장은 “정부는 인터넷으로 발신하는 정보의 신뢰성 확보에 대한 대처가 느리다”라고 지적한다.

미국은 앞서 있다. 페이스북이나 트위터는 10년~12년에 상시 SSL화를 완료하였다. 미국 정부도 15년에 국토안전보장성이 상세한 기술 내용을 포함한 지침을 내렸다. 각 부처의 진척 상황을 공개하면서 촉구한 결과, 16년 말까지 재무성을 제외한 중앙 부처가 대응을 마쳤다.

일본에서는 ‘라쿠텐 시장’등 주요 전자상거래나 야후 사이트에서 상시 SSL화가 추진되고 있다. 노무라총합연구소의 추계에 따르면, 전세계의 웹 접속 통신에서 차지하는 암호화 비율은 올 3월까지의 1년 동안 20%에서 40%로 증가하였다.

-- 데이터 활용에 벽 --
일본 정부의 뒤처진 대응은 또다른 문제도 초래할 수 있다. 사이트 정보를 활용하는 인터넷 어플리케이션을 사용할 수 없게 될지도 모른다는 것이다.

소프트 회사인 jig.jp(도쿄)의 후쿠노(福野) 사장은, 작년 여름에 자사에서 개발한 선거 연설 스폿을 찾는 앱이 구글의 지도 소프트에서 작동하지 않는 문제에 직면하였다. 지자체의 정보를 활용하는데 암호화되지 않은 사이트에서 데이터를 불러올 수 없게 되었기 때문이다.

규칙이 엄격해지면서 동일한 사태가 점차 늘어날 지도 모른다. 미국 애플도 암호 처리가 불완전한 사이트를 참조하는 앱을 승인하지 않는다는 방침을 시사했다.

공적 데이터를 누구나 가공하여 사용할 수 있는 ‘오픈 거버넌스’가 일본에서도 확산되고 있다. 그러나 암호화가 되지 않았다는 이유로 데이터를 활용할 수 없게 된다면 아까운 일이다.

NISC는 가까운 시일 내에 각 부처가 지켜야 하는 정보 보안 기준에, 사이트의 상시 SSL화를 포함시킬 예정이다. 그러나 순서는 제각각이다. 노하우를 공유하여 효율적으로 작업을 추진할 필요가 있다. 신속하게 움직이지 않으면 정부가 발신하는 정보의 신뢰성이 흔들릴 수도 있다.

  -- 끝 --