국가 최고 보안시설에 중국산 CCTV 수백 대 설치 충격… 국정원 경고와 대법원 판결까지 무시했다
국가 최고 보안시설에 중국산 CCTV 수백 대 설치 충격… 국정원 경고와 대법원 판결까지 무시했다
한국가스공사와 한국석유공사 핵심 시설에 중국산 CCTV 수백 대가 운용 중이라는 사실이 드러났습니다. 납품업체가 이미 대법원에서 실형을 받았고 국정원이 수년 전 경고까지 발령했는데, 이후에도 같은 제품을 추가 구매했다는 대목에서 저는 솔직히 이건 단순한 행정 실수가 아니라는 생각이 들었습니다. 보안 책임 구조 자체를 들여다봐야 할 문제입니다.
국정원 경고와 대법원 판결 사이에서 벌어진 일
이 사안을 처음 접했을 때 저도 처음엔 오래된 설비를 교체 못 한 예산 문제겠거니 싶었습니다. 그런데 내막을 들여다보니 이야기가 완전히 달랐습니다. 국가정보원(國家情報院)은 2021년 12월, 특정 중국산 CCTV 제품군에 대해 공식 경고를 발령했습니다. 국가정보원이란 대한민국의 국가 안보와 정보 활동을 총괄하는 최고 정보기관으로, 이 기관이 특정 장비를 지목해 경고한다는 것은 사안이 그만큼 심각하다는 뜻입니다.
경고의 핵심은 이른바 백도어(Backdoor) 문제였습니다. 백도어란 제조사나 외부 주체가 사용자 몰래 장비에 접속할 수 있도록 숨겨놓은 통신 경로를 뜻합니다. 개방형 네트워크에 연결될 경우 해당 CCTV가 중국 제조사의 클라우드 서버와 자동으로 통신 연결이 이루어지는 구조라는 게 경고의 요지였습니다. 쉽게 말해 카메라가 찍는 영상이 중국 본사 서버로 실시간 전송될 수 있다는 이야기입니다.
납품업체는 이미 법적 제재까지 받았습니다. 중국산 장비를 국산으로 위장해 공공기관에 납품한 혐의로 기소되어 대법원에서 징역 4년이 확정됐습니다. 법원은 판결문에서 "납품업체 스스로도 보안 신뢰성을 의심했음에도 공급을 강행했다"고 명시했습니다. 형사 판결이 확정된 이후에도 한국가스공사는 동일 업체의 제품 91대를 추가 구매한 것으로 드러났습니다. 경고도 있었고, 판결도 났는데, 구매는 계속됐습니다.
이 부분에서 저는 공공기관 내부의 의사결정 구조가 실제로 어떻게 작동하는지를 다시 생각하게 됐습니다. 보안 경고가 현장 구매 담당자에게까지 제대로 전달되는 체계가 있었는지, 혹은 경고를 알면서도 가격이나 납기 문제로 눈을 감은 건지, 이 둘 중 어느 쪽이든 결론은 같습니다. 책임 소재가 불분명한 구조가 이런 결과를 만들었다는 것입니다.
최고 보안등급 시설에서 드러난 보안취약점의 실체
문제가 된 시설을 구체적으로 짚어보면 사태의 심각성이 더 선명해집니다. 한국가스공사에는 현재 243대의 해당 CCTV가 운용 중입니다. 이 중 163대는 무인 공급 관리소, 즉 국가보안시설(國家保安施設)에 준하는 등급으로 분류된 곳에 설치되어 있습니다. 국가보안시설이란 국가 기반 기능 유지에 필수적인 시설로, 일반 공공시설보다 훨씬 엄격한 출입 통제와 보안 기준이 적용됩니다.
그 중에서도 인천 LNG 기지는 국가중요시설 등급 분류 체계에서 최고 등급인 '가급'에 해당합니다. 가급 시설이란 테러, 사보타주, 또는 외부 침투 시 국가 전체의 에너지 공급망에 직접 타격을 줄 수 있는 곳에만 부여되는 등급입니다. 이 기지 내부에만 16대가 설치된 상태입니다. 한국석유공사 비축기지에도 261대가 확인됐습니다.
공급망 보안(Supply Chain Security)이라는 개념이 있습니다. 공급망 보안이란 장비나 소프트웨어를 조달하는 전 과정에서 외부 위협 요소가 유입되지 않도록 관리하는 보안 체계를 말합니다. 미국, 영국, 호주 등 서방 국가들이 화웨이와 하이크비전 같은 중국 기업 제품을 공공 인프라에서 퇴출하기 시작한 것도 이 개념에 기반합니다. 미국 사이버보안 및 인프라 보안국(CISA)은 공급망 보안을 국가 핵심 인프라 보호의 최우선 과제 중 하나로 명시하고 있습니다.
저는 이 사안에 대해 "중국 제품이라서 무조건 위험하다"고 단정하는 시각과, "실제로 해킹 피해가 확인된 것도 아닌데 과민반응 아니냐"는 시각이 공존한다는 걸 압니다. 두 번째 입장을 취하는 분들도 있는데, 저는 그 논리에는 동의하기 어렵습니다. 실제 피해가 발생하고 나서야 조치를 취하는 것은 에너지 인프라 보안에서 용납될 수 없는 사후 대응입니다. 이미 구조적으로 외부 통신이 가능하다는 사실 자체가 위협 요소입니다.
현재 확인된 주요 현황을 정리하면 다음과 같습니다.
- 한국가스공사: 총 243대 운용 중, 이 중 163대는 국가보안시설 준하는 무인 공급 관리소에 배치
- 인천 LNG 기지(가급 국가중요시설): 내부에 16대 설치 확인
- 한국석유공사 비축기지: 261대 운용 중
- 국정원 경고(2021년 12월) 이후 한국가스공사는 동일 업체 제품 91대를 추가 구매
- 납품업체는 대법원에서 징역 4년 확정 판결 수령
수치만 놓고 봐도 이것이 우발적 실수의 수준을 넘어섰다는 것을 알 수 있습니다. 경고 이후의 추가 구매가 특히 납득이 되지 않습니다. 내부에서 이 경고 문서가 어느 선에서 멈췄는지, 그 경로를 추적하는 것이 사후 조사의 핵심이 되어야 한다고 봅니다.
지금 당장 필요한 대응 방향과 재발 방지 구조
장철민 의원은 "가스공사와 석유공사는 위반 모델에 대한 조치를 즉시 시행하고, 산업통상자원부는 보안 점검 체계를 전면 재검토해야 한다"고 촉구했습니다. 이 방향에는 저도 동의합니다. 다만 단순히 해당 CCTV를 걷어내는 것만으로는 충분하지 않다고 봅니다.
물리적 보안(Physical Security)과 사이버 보안(Cyber Security)의 경계가 무너졌다는 게 이번 사안의 본질입니다. 물리적 보안이란 시설에 대한 외부인의 접근을 통제하는 체계를, 사이버 보안이란 네트워크와 디지털 시스템을 외부 침입으로부터 보호하는 체계를 말합니다. CCTV는 물리적 보안 장비이지만, 네트워크에 연결되는 순간 사이버 보안의 취약점이 될 수 있습니다. 이번 사안이 그 교과서적인 사례입니다.
공공기관의 보안 장비 조달 체계를 보면 현재 조달청의 나라장터를 통한 최저가 입찰 구조가 여전히 핵심 경로입니다. 보안 장비에 대해서도 가격 경쟁이 우선시되는 구조 안에서 국산 혹은 검증된 장비가 밀려나는 현상은 이미 업계에서 공공연하게 알려진 문제입니다. 국가정보원이 보안 적합성 검증(보안적합성검증, Security Suitability Verification) 제도를 운용하고 있지만, 이 제도가 에너지 공기업의 CCTV 조달 단계에서 실질적인 거버넌스로 작동했는지는 이번 사안이 명확히 보여줍니다.
제 경험상 이런 보안 사고는 개인의 무지보다 구조의 허점에서 더 자주 비롯됩니다. 담당자가 아무리 경각심이 높아도, 조직 내 보안 검토 단계가 조달 프로세스와 연동되지 않으면 경고 문서는 결재 서류 더미 속에 묻힙니다. 이번 사태 이후 필요한 것은 개별 시설의 장비 교체에 그치는 것이 아니라, 국가중요시설 보안 장비 조달 전반에 대한 사전 승인 의무화와 사후 모니터링 체계 수립입니다.
"어차피 망분리(網分離, Network Separation)가 되어 있으니 외부 통신은 불가능하지 않냐"는 반론도 있습니다. 망분리란 내부 업무망과 외부 인터넷망을 물리적 또는 논리적으로 분리해 외부 침투를 차단하는 방식입니다. 하지만 국정원 경고가 명시한 것은 '개방형 네트워크에 연결될 경우'라는 조건부였고, 실제 현장의 네트워크 구성이 어떤 상태인지는 전수 점검 없이는 알 수 없습니다. 전제를 낙관적으로 가정하는 것 자체가 이미 보안의 실패입니다.
자주 묻는 질문
Q. 이번에 문제가 된 중국산 CCTV는 어느 제조사 제품인가요?
A. 현재 공개된 보도에서는 특정 제조사 이름이 명시되지 않은 상태입니다. 다만 국정원이 2021년 경고를 발령한 중국산 CCTV 제품군, 그리고 납품업체가 국산으로 위장해 공급한 제품이 동일 계열임은 확인된 사실입니다. 구체적인 제조사 정보는 현재 진행 중인 조사 결과에 따라 추가 공개될 것으로 보입니다.
Q. 망분리가 되어 있으면 외부 통신이 불가능한 거 아닌가요?
A. 망분리가 완벽하게 구현되어 있다면 이론적으로는 차단이 가능합니다. 하지만 국정원 경고는 '개방형 네트워크와 연결될 경우'라는 조건을 전제로 하고 있어, 현장의 실제 네트워크 상태가 전수 점검 없이는 안전하다고 단정할 수 없습니다. 망분리를 믿고 넘어가는 것 자체가 보안에서는 위험한 낙관론이라고 보는 시각도 있습니다.
Q. 공기업이 국정원 경고를 무시하고 추가 구매를 했다면 처벌받을 수 있나요?
A. 현재의 법 체계에서 공기업이 국정원의 권고성 경고를 무시했다는 이유만으로 직접적인 형사 처벌을 받기는 쉽지 않습니다. 다만 국가중요시설 보안 관리 의무 위반, 담당자의 직무 유기 등으로 행정적 또는 민사적 책임을 물을 수 있는 여지는 있습니다. 이번 사안을 계기로 보안 장비 조달에 대한 법적 강제 기준 마련이 필요하다는 주장이 나오는 이유이기도 합니다.
Q. 해외에서는 중국산 CCTV를 어떻게 처리하고 있나요?
A. 미국은 2022년 국방수권법(NDAA) 개정을 통해 하이크비전, 다후아 등 중국 CCTV 제조사 제품을 연방정부 조달에서 완전 배제했습니다. 영국은 2022년 11월 정부 건물 내 중국산 감시 카메라 신규 설치를 금지했습니다. 이처럼 공급망 보안 차원에서 중국산 감시 장비를 공공 인프라에서 퇴출하는 흐름은 이미 서방 국가들 사이에서 확산되고 있습니다.
Q. 지금 당장 시민이 할 수 있는 것은 무엇인가요?
A. 직접적인 조치는 정부와 국회의 몫이지만, 관련 국정감사 자료와 의원 발의 법안에 관심을 가지고 추적하는 것이 현실적인 참여 방법입니다. 국가중요시설 보안 장비 조달 기준 강화를 담은 법안이 발의될 경우, 공청회나 입법 예고 단계에서 의견을 제출하는 것도 가능합니다. 작은 관심이 정책의 속도를 바꾸는 경우가 생각보다 많습니다.
국가 에너지 인프라의 보안은 사고가 난 뒤에야 논의할 수 있는 성격이 아닙니다. 이번 사태가 드러낸 것은 특정 장비의 문제가 아니라, 경고가 행동으로 이어지지 않는 구조의 문제입니다. 즉각적인 장비 철거와 전수 조사는 물론, 국가중요시설 보안 장비 조달 전 과정에 사전 보안 검증을 의무화하는 제도적 개편이 따라야 합니다. 이번 사안이 일회성 뉴스로 소비되지 않도록, 국정감사와 후속 입법 과정을 지속적으로 지켜볼 필요가 있습니다.
--- 참고: https://www.instagram.com/p/DevNv2gh7NP/?cplk=bzhkeHVrNTF5eTV2
