"국정원 경고도 무시했다" 국가보안시설 한국가스공사 비축기지 중국산 CCTV 방치 논란
"국정원 경고도 무시했다" 국가보안시설 한국가스공사 비축기지 중국산 CCTV 방치 논란
국가 최고 보안 등급 시설인 한국가스공사 비축기지에서 중국 서버와 무단 통신 위험이 경고된 감시 장비 수백 대가 지금 이 순간도 버젓이 돌아가고 있습니다. 더 황당한 건, 국정원이 이미 경고를 날렸고 납품업체 대표가 대법원에서 실형까지 받았는데도 해당 기관이 같은 모델을 수십 대 더 사들였다는 사실입니다. 뉴스를 처음 접했을 때 저는 오타인 줄 알았습니다.
원산지 위조, 단순 불량품 문제가 아닙니다
이번 사안의 출발점은 원산지 위조(Country of Origin Fraud)입니다. 원산지 위조란 제품의 생산국을 허위로 표기해 납품하는 행위로, 단순한 소비자 기만을 넘어 국가 조달 시스템 전체를 흔드는 범죄입니다. 중국산 CCTV를 국산으로 둔갑시켜 공공기관에 납품했다는 것 자체가 이미 심각한 위법이지만, 문제는 그 납품지가 평범한 관공서가 아니라는 점에 있습니다.
한국가스공사가 운영하는 LNG 비축기지와 무인 공급 관리소는 에너지 공급망 보안(Energy Supply Chain Security)의 핵심 거점입니다. 에너지 공급망 보안이란 발전소, 가스 공급망, 송전망 같은 에너지 기반 시설이 외부 위협으로부터 차단된 상태를 유지하는 것을 뜻합니다. 이런 곳에 설치된 감시 카메라가 중국 본사 서버와 몰래 통신할 가능성이 있다는 건, 단순히 화면이 새는 수준이 아닙니다. 시설 내부의 운영 패턴, 보안 취약 시간대, 출입 경로까지 고스란히 외부로 흘러나갈 수 있습니다.
제가 직접 공공기관 보안 감사 관련 사례들을 찾아보니, 이런 공급망 침투 방식은 이미 여러 나라에서 현실화된 위협입니다. 미국 정부가 화웨이와 ZTE 장비를 연방 통신망에서 퇴출시킨 것도 같은 맥락입니다. 그런데 우리는 같은 경고를 받고도 추가 구매를 했습니다. 솔직히 이건 예상 밖이었습니다. 아무리 행정 편의주의가 심하다 해도, 대법원 판결이 난 뒤에도 같은 장비를 더 사들인다는 발상은 일반적인 무관심의 범주를 벗어납니다.
현재 문제가 된 감시 장비의 주요 위험 요소를 정리하면 다음과 같습니다.
- 펌웨어(Firmware) 백도어 가능성 — 제조사가 원격으로 장비를 제어하거나 데이터를 수집할 수 있는 숨겨진 경로
- C2(Command and Control) 서버 통신 — 장비가 외부 서버와 주기적으로 통신하며 운영 정보를 전송하는 구조
- 암호화 미적용 영상 전송 — 보안 프로토콜 없이 평문으로 영상 데이터가 흘러나가는 취약점
- 원격 업데이트 경로 악용 — 펌웨어 업데이트를 빌미로 악성 코드가 삽입될 수 있는 가능성
이 중 어느 하나만 현실화돼도, 국가 기반 시설의 감시 체계 전체가 무력화될 수 있습니다. 실제로 국가정보원 사이버안보센터는 외국산 감시 장비의 보안 취약점에 대한 가이드라인을 수차례 발표해 왔는데, 이번 사안은 그 경고가 현장에서 얼마나 무시됐는지를 정확히 보여줍니다.
보안 불감증, 경고를 받고도 왜 아무것도 안 했을까
납품업체 대표가 대법원에서 실형을 선고받은 건 2024년의 일입니다. 그 판결이 확정되는 동안에도 한국가스공사는 해당 모델을 교체하지 않았고, 오히려 같은 모델을 수십 대 추가 구입했습니다. 이 대목을 처음 읽었을 때 저는 이게 오보가 아닌가 싶어서 여러 경로로 다시 확인했습니다. 오보가 아니었습니다.
이런 현상을 보안 거버넌스(Security Governance) 실패라고 부릅니다. 보안 거버넌스란 조직이 보안 위협을 인지하고 의사결정을 통해 대응하는 전반적인 체계를 의미합니다. 경고는 있었고, 판결도 있었습니다. 하지만 그 정보가 실제 구매 결정에 반영되지 않았다는 건, 조직 내부에 위협 정보가 흘러들어 갈 경로 자체가 없었거나, 흘러들어가도 의사결정권자에게 닿지 못하는 구조가 있었다는 뜻입니다.
공공기관 보안 감사에서 반복적으로 지적되는 문제 중 하나가 바로 조달과 보안의 분리입니다. 구매 담당 부서는 단가와 납기를 보고, 보안 담당 부서의 경고는 별도 채널로 관리되다 보니 두 흐름이 교차하지 않는 경우가 많습니다. 이번 사안이 딱 그 구조입니다. 국정원이 경고를 보냈어도, 그 경고가 다음 연도 구매 계획서에 반영되지 않으면 아무 의미가 없습니다.
제 경험상 이건 단순히 '몰랐다'는 말로 넘어갈 수 있는 문제가 아닙니다. 국정원 경고와 대법원 판결이라는 두 가지 공식 신호가 모두 무시됐다면, 그건 구조적 직무유기에 가깝습니다. 에너지 기반 시설에서 사이버 침투(Cyber Intrusion)가 발생할 경우, 그 파급력은 단순 정보 유출을 훨씬 넘어서 LNG 공급 차단이나 설비 오작동으로 이어질 수 있습니다. 사이버 침투란 외부 행위자가 네트워크나 장비에 무단으로 접근해 정보를 탈취하거나 제어권을 장악하는 행위입니다. 국가 에너지 인프라에서 이런 일이 벌어진다는 상상만으로도 소름이 돋습니다.
참고로 산업통상자원부는 에너지 기반 시설에 대한 보안 관리 지침을 별도로 운영하고 있습니다. 그 지침이 이번 사안에 어떻게 적용됐는지는 지금 당장 국회나 감사원이 들여다봐야 할 질문입니다.
전수조사 없이는 같은 일이 반복됩니다
인천 LNG 기지 한 곳이 문제가 아닙니다. 한국가스공사가 전국에 운영하는 무인 공급 관리소, 각지의 비축기지, 그리고 비슷한 조달 방식으로 운영되는 타 에너지 공기업들까지 범위를 넓히면, 이번에 드러난 사례는 빙산의 일각일 가능성이 있습니다. 솔직히, 이런 일이 가스공사에서만 일어났다고 믿는 사람이 얼마나 될까요.
공급망 감사(Supply Chain Audit)가 시급합니다. 공급망 감사란 조직이 사용하는 모든 외부 조달 제품·서비스의 출처와 보안 적합성을 추적하고 검증하는 절차를 말합니다. 단순히 "국산 인증서가 있느냐"를 보는 게 아니라, 실제 제조 공정과 핵심 부품의 출처를 확인하는 작업입니다. 현재 국내 공공기관 대부분은 이 수준의 감사를 체계적으로 수행하지 않고 있습니다.
제가 직접 국내 공공기관 보안 관련 감사 보고서 몇 개를 뒤져봤는데, 감시 장비의 원산지 검증이나 네트워크 통신 행태 분석을 항목으로 넣은 보고서는 찾기 어려웠습니다. 대부분 출입 통제 여부, 물리적 잠금 장치, 비밀번호 정책 같은 기초 항목들이 반복됩니다. 사이버 위협의 성격이 바뀌었는데 감사 체계는 10년 전 수준에 머물고 있는 셈입니다.
실질적인 재발 방지를 위해 최소한 아래 세 가지는 선행되어야 한다고 봅니다.
- 전국 에너지 기반 시설 감시 장비 전수 실태 조사 — 모델명, 제조국, 펌웨어 버전, 외부 통신 이력을 포함한 전면 점검
- 조달 단계에서의 보안 검토 의무화 — 구매 결정 이전에 보안 담당 부서의 사전 승인을 필수 절차로 고정
- 위험 장비 방치 및 추가 구매 관련 책임자 문책 — 경고를 인지하고도 묵인·강행한 의사결정자에 대한 명확한 책임 귀속
이 중 첫 번째조차 아직 공식적으로 발표된 계획이 없다는 게 현실입니다. 지금 필요한 건 "철저히 조사하겠습니다"는 보도자료가 아니라, 조사 완료 시점과 결과 공개 범위를 못 박는 구체적인 로드맵입니다.
자주 묻는 질문
Q. 중국산 CCTV가 국산으로 둔갑했다는 게 어떻게 가능한가요?
A. 국내 조달 시장에서는 납품업체가 제출하는 원산지 증명서와 인증서류를 주로 서류 심사로 확인합니다. 실물 부품의 제조국을 현장에서 직접 검증하는 절차가 없거나 형식적으로만 운영되는 경우, 외산 장비를 국산으로 바꿔 쓴 명판이나 허위 서류만으로도 통과될 수 있습니다. 이번 사건의 납품업체 대표가 대법원에서 실형을 받은 것도 바로 이 허위 원산지 표기 때문입니다.
Q. 중국산 CCTV가 왜 보안 위협이 되나요? 화면만 찍는 거 아닌가요?
A. 현대 IP 카메라는 단순 영상 장치가 아닙니다. 인터넷에 연결된 소형 컴퓨터에 가깝고, 펌웨어 안에 외부 서버와 주기적으로 통신하는 코드가 심어져 있으면 영상 데이터뿐 아니라 내부 네트워크 정보까지 외부로 전송될 수 있습니다. 국정원이 경고한 '중국 서버와의 무단 통신 위험'이 바로 이 가능성을 지칭합니다. 에너지 시설처럼 운영 패턴이 중요한 곳에서는 특히 치명적입니다.
Q. 국정원 경고가 있었는데도 왜 공공기관이 조치를 안 했나요?
A. 현재 공공기관의 보안 거버넌스 구조에서는 국정원 경고가 보안 부서에 전달되더라도, 실제 조달·구매 의사결정 채널과 연동되지 않는 경우가 많습니다. 경고를 접수한 보안 담당자와 장비를 발주하는 구매 담당자가 별개 부서로 운영되고 정보 공유 의무가 없으면, 경고는 경고로만 남고 구매는 계획대로 진행됩니다. 이번 사안은 그 구조적 단절이 얼마나 위험한지를 보여주는 사례입니다.
Q. 비슷한 문제가 다른 공기업에도 있을 가능성이 있나요?
A. 가능성이 높습니다. 한국가스공사와 유사한 조달 방식으로 운영되는 에너지 공기업, 수도·교통 같은 국가 기반 시설 운영 기관들도 동일한 취약점에 노출돼 있을 수 있습니다. 현재로선 전국 단위 전수조사가 이루어지지 않은 상태이기 때문에, 이번 사안이 가스공사에만 국한된 문제라고 단정하기 어렵습니다.
Q. 이미 설치된 장비는 어떻게 처리해야 하나요?
A. 가장 확실한 방법은 위험 장비를 인터넷망과 완전히 차단한 뒤 단계적으로 교체하는 것입니다. 단기적으로는 해당 장비를 외부 네트워크와 물리적으로 격리(에어갭, Air Gap)하거나, 외부 통신 차단 정책을 적용하는 방식을 쓸 수 있습니다. 다만 이미 오랜 기간 가동된 장비라면 그간 어떤 정보가 외부로 흘렀는지 사후 추적도 병행해야 합니다.
결국 이번 사안은 보안 장비 하나의 문제가 아닙니다. 국가 기반 시설을 지키는 조달 체계, 경고를 현장에 반영하는 거버넌스, 그리고 사후 책임을 묻는 제도 모두가 함께 무너진 결과입니다. 제가 바라는 건 단 하나입니다. 이번 한 번만큼은 "철저히 살펴보겠습니다"로 끝나지 않는 것. 전수조사 착수 시점, 완료 시점, 결과 공개 계획을 국민 앞에 명확히 내놓아야 합니다. 그게 최소한의 책임입니다.
--- 참고: https://www.instagram.com/p/DetRpQwNnCH/?exln=bDlxcnI5NDllMzc4
