[디지털데일리 최민지기자] 서울시가 3년간 339억원을 투입하는 ‘사이버보안 종합대책’을 전격적으로 발표했다. 이번 계획의 핵심은 ‘제로트러스트’다. 전국 지자체 중 서울시가 처음으로 제로트러스트 보안 아키텍처를 도입하겠다는 계획을 공식화했다.

4일 서울시는 날로 진화하는 신‧변종 사이버 위협에 선제적으로 대응하기 위해 인공지능(AI) 기술 기반 ‘사이버보안 종합대책’을 발표했다.

이번 대책에 따르면 AI를 기반으로 기존 솔루션과 서비스를 고도화하고 AI보안관제시스템도 업그레이드해 서울시민의 개인정보를 안전하게 보호하고 사이버 위협에도 시민 생활과 직결되는 행정서비스를 중단없이 제공한다. <지난 기사 참조[서울시 보안종합계획①] AI 기반 보안체계 가동…3년간 339억원 투입>

이와 관련 김완집 서울시 정보보안과장은 “이번 사이버보안 종합대책에서 핵심 키워드 중 하나는 제로트러스트 아키텍처로, 서울시가 전국 지자체 처음으로 도입한다”고 말했다. 제로트러스트(Zero Trust)는 ‘그 누구도 믿지 말고 경계하라’는 의미를 담은 보안 방법론으로, 외부뿐 아니라 내부 위협에도 대응할 것을 권한다.

◆제로트러스트 아키텍처로 내부보안 강화

서울시는 이번 종합대책을 통해 지자체 첫 제로트러스트 보안 아키텍처를 도입하고, 사용자 인증강화를 추진한다. 서울시는 올해 하반기 1000명을 대상으로 시스템을 운영한 후, 오는 2026년까지 단계적으로 서울시 전 기관으로 확대할 방침이다.

서울시가 제로트러스트 아키텍처를 도입하는 이유는 근무환경이 달라졌기 때문이다. 하이브리드 근무환경에 대한 사이버위협 노출에 대응하고자, 제로트러스트 기반 원격근무시스템을 지자체 최초로 선제적으로 적용한다.

특히, AI와 클라우드를 활용한 업무 환경으로 변화하면서 경계보안의 문제점이 대두됐다. 네트워크 경계에만 보안을 집중할 경우, 일단 뚫리기만 하면 내부에선 위협을 판별하기 어렵다는 우려다. 더군다나 AI와 클라우드 경우 외부와 연결될 수밖에 없기에, 단절된 망분리 환경을 꾀하기도 어렵다.

이에 서울시는 최신 보안기술을 적용해 사용자 인증을 강화하고, 접근권한 세분화를 통해 다양한 근무환경 속에서도 보안성을 극대화할 예정이다.

우선, 다중인증(MFA)체계를 도입한다. 아이디(ID)와 비밀번호 외 생체정보다 모바일OTP 등으로 인증 방법을 추가하는 것이다. 현재 운영중인 누리집·정보시스템 등을 대상으로 단계적으로 다중인증을 적용 후 사용자 인증체계를 강화한다.

또한, 내부행정시스템 정보보안 강화를 위해 내부 행정망에 연결되는 유·무선 단말기에 대한 통합관리체계 및 엔드포인트 위협 탐지 및 대응 시스템(EDR) 시스템 구축 사업 등을 추진한다.

구체적으로, 네트워크접근제어(NAC) 시스템을 고도화한다. 행정망에 연결된 PC 등 유선 단말기 위주의 보안접속 통제기능을 무선공유기‧노트북 등 무선 단말기까지 확대한다. 또, 기존에 알려진 패턴의 악성코드에 대응 가능한 백신시스템 체계에서 알려지지 않는 신종 악성코드에 대응할 수 있는 EDR 체계를 도입한다.

◆공무원 해킹방어대회 열린다…민관 협력체계 구축

이와 함께 서울시는 개인정보보호 관리체계와 개인정보보호시스템을 고도화한다.

개인정보 처리시스템에 대한 현장점검을 확대하고, 기관별 개인정보 규정준수 여부 확인을 위한 통합관리체계를 구축한다. 시 홈페이지를 대상으로 개인정보 중심 보안취약점을 점검하고, 시스템 관리자와 운영자에 대한 접근권한과 관리도 강화한다. 모든 개인정보처리시스템 구축 때 ‘개인정보 위험요인 평가’를 실시해 개인정보 위험 분석 및 안전성 조치를 펼칠 예정이다.

또, PC를 통한 개인정보 유출방지체계를 구축하는 한편 개인정보 빅데이터 활용을 위한 서울시 가명정보 활용을 위한 프로세스를 마련한다. 시민과 전문가가 함께하는 ‘개인정보 시민평가단’도 구성해 시민이 직접 서울시의 개인정보 처리방침을 평가하고 개선방안을 제시할 수 있도록 한다.

서울시는 사이버보안 유관기관 협력체계를 강화하고, 전국 공무원 사이버보안 역량 강화에도 힘쓴다. 서울시는 행정안정부와 국정원 등 중앙정부를 비롯해 사이버보안 분야 국내·외 연구기관‧기업 등과 협력하고 있다. 여기에 더해 17개 광역시와 정보보안협의체를 구성해 지자체 간 협력체계를 마련한다.

국내뿐 아니라 국제협력 강화에도 힘을 쏟고 있다. 미 정보기관(DHS, CISA, NIST 등), 일본 도쿄도 등 사이버안보 국제 공조 체계를 만들어 새로운 사이버위협 정보를 신속하게 공유하고, 선진 보안기술의 서울시 도입방안 등을 협력하고 있다.

아울러, 서울시는 전국 공무원 대상으로 전국 최초 ‘공무원 해킹방어대회’를 추진하고 있다. 내년에 첫 개최 후, 국제대회로 발전시키겠다는 포부다.

한편, 서울시는 전국 지자체 최초 정보보안 전담 조직인 ‘정보보안과’를 지난 7월1일 디지털도시국 내 신설했다. 정보보안과는 ▲정보보안정책팀 ▲정보보안관리팀 ▲정보보안점검팀 ▲사이버안전센터팀 ▲개인정보보호팀으로 구성됐다.

박진영 서울시 디지털도시국장은 “도시안보가 국가의 안보로 직결된다는 AI시대에 맞는 정보보안 체계를 선도적으로 인식하고, 서울시가 세계 최고의 사이버 안전도시로 발돋움 할 수 있도록 노력하겠다”고 말했다.

김완집 서울시 정보보안과장은 “제로트러스트 보안 아키텍쳐, 다중인증(MFA) 체계 등 최신 보안기술 도입, 사이버보안 역량 강화. 국내외 협력체계 구축 등 서울시 AI기반 사이버보안 종합계획을 적극 추진해 AI시대의 새로운 사이버보안 패러다임을 서울시가 선도하겠다”고 전했다.