[이데일리 윤정훈 기자]국내 대표 온라인동영상서비스(OTT) 티빙이 국가 공인 정보보호 관리체계(ISMS) 인증을 보유하고도 핵심 보안 기준을 지키지 않은 사실이 정부 조사에서 확인됐다. 개발·운영환경 접속키를 소스코드에 하드코딩하거나 평문으로 관리하고, 이용자 정보 데이터베이스(DB) 접속정보까지 암호화하지 않은 것으로 드러났다. 정부는 이번 사고를 계기로 ISMS 인증의 실효성을 높이기 위해 현장 점검을 강화하기로 했다.

3일 과학기술정보통신부 민관합동조사단 조사 결과에 따르면 티빙은 개발 및 운영환경 접속키 43개 가운데 41개를 소스코드에 암호화하지 않은 채 저장했다. 일부 접속키는 환경변수에 평문으로 보관됐으며, 이용자 DB 접속정보 역시 암호화되지 않은 것으로 확인됐다.

특히 접속키 관리 절차도 제대로 마련돼 있지 않았다. 개발자들에게 광범위한 프로젝트 접근권한이 부여돼 있었고, 공격자는 탈취한 개발환경 접속키를 이용해 내부에 침투한 뒤 소스코드에 노출된 운영환경 접속키를 추가로 확보해 클라우드 운영환경까지 접근했다. 이 과정에서 소스코드 361건과 이용자 정보가 유출됐다.

정부는 이 같은 관리가 ISMS 인증기준에 부합하지 않는다는 점을 확인했다.

임정규 과기정통부 정보보호네트워크정책관은 “키 관리체계는 ISMS에 명확하게 규정된 부분으로, 이렇게 관리해서는 안 되는 사안”이라고 고개를 숙였다.

이어 “인증 취소 관련된 제도는 지금 현재가 없어서 그 부분을 보완하고 있는 중”이라고 ISMS 인증 취소에 대한 질문에 답했다.

정부는 앞서 쿠팡 사고 이후 ISMS 제도 개편안을 마련한 데 이어, 인증 심사 과정에서 실제 현장을 직접 확인하는 방식으로 점검을 강화할 방침이다. 임 정책관은 “ISMS 실효성을 높이기 위해 심사 방식도 현장에 직접 가서 확인하는 방식으로 개편했다”며 향후 인증제도의 허점을 보완하겠다고 밝혔다.

과기정통부는 티빙으로부터 9월 중 재발방지 이행계획을 제출받고 10~12월 이행 여부를 점검할 예정이다. 미흡 사항이 확인되면 정보통신망법에 따른 시정조치도 내릴 방침이다