공개 데이터 페이지 배포 앞의 보안성 검토 부담

어제 저녁, 공공AX 네트워크 대화창에서는 다른 사이트를 구경하며 가볍게 이야기하던 중이었다. 그 한가운데에서 공공기관에서 일한다는 한 참가자가 질문을 올렸다. 만들어 둔 페이지를 공개하려 했는데 내부에서 제동이 걸렸다는 이야기였다.

저 질문이 있는데 보통 이같은 페이지 만드실 때 보안성 검토 받고 공개 진행하시나요?

내부에서 단순 보여주는 페이지도 보안 이슈 있을 수 있다 하셔가지구 배포가 좌절되어서 여쭤봐요

질문 글에는 어떤 페이지인지 적혀 있지 않았다. 나중에 같은 참가자가 직접 풀어 쓴 설명이 그 빈칸을 채운다.

책임을 질 각오라는 첫 답

가장 먼저 길게 답한 참가자는 배포 때 주의가 필요한 이유부터 짚었다. 누군가 내 웹사이트에 악성코드를 심어 배포하면 그 책임이 내게 돌아온다는 설명이었다.

누군가 내 웹사이트에 악성코드 심어서 배포하면 그걸 내가 책임져야 하기 때문에 배포시에는 주의하셔야 하는 게 맞습니다.

같은 참가자는 자기가 보기에 대부분은 웹사이트를 열면서 보안성 검토를 받지 않는다고 했다. 다만 이것은 그 참가자의 관측이고, 다른 참가자들이 이를 확인해 주지는 않았다. 조건도 붙었다. 내부 자료를 연결하지 않고 공개된 공공데이터로만 구성하며 사고가 났을 때 책임질 각오가 있다면 시도해 볼 수 있다는 말이었다.

내부자료 연결 없이 대국민공개 공공데이터로만 구성하고 보안사고시 책임질 각오를 하신다면 사설 웹사이트 열기에 도전하는 것입니다.

어렵다기보다 귀찮다는 반응

밤 아홉 시 무렵 다른 참가자가 배포 때 악성코드 말고 어떤 보안 이슈가 있는지, 배포가 그렇게 어려운 일인지 물었다. 이 질문 뒤에 또 다른 참가자가 이렇게 말했다.

배포가 어렵다기보다는 책임질일이 생기니 귀찮은거 아닐까요

이 참가자는 이어서 공무원은 책임지는 일이 가장 부담스럽지 않느냐고 덧붙였고, 질문한 참가자는 이 무렵, 앞선 첫 답을 두고 이렇게 적었다.

어느 정도 리스크는 감안하고 하는거군요.

또 다른 참가자는 누군가 책임져야 하는 문제라며 맞장구쳤다. 책임을 말한 두 참가자의 말은 모두 기술적 난이도보다 책임이 누구에게 가느냐를 가리킨다. 다만 이것은 각자의 짐작이고, 질문한 참가자가 겪은 반려 사유가 실제로 그랬는지는 대화에서 확인되지 않았다.

검토 사항이 많다는 현실

한 참가자는 보안검토 사항이 250개라고 짚었고, 다른 참가자는 보안보다 운영 항목에 가까운 내용도 많다고 했다. 이 참가자는 AI에게 해당 프로젝트의 보안 취약점을 비판적으로 분석해 패치하게 해 보라고도 권했다.

한 공공기관 참가자는 웹서비스라면 원칙적으로 담당 보안팀이나 상위 부처에서, 중요한 서비스라면 상급 보안 기관의 보안성 검토까지 받고 진행해야 뒤탈이 없다고 했다. 질문자는 늦은 밤 뒤이어 자기가 만든 것이 어떤 페이지인지 구체적으로 적었다.

공개 데이터만 사용하고 사용자 입력이나 저장하는 요소 없이 화면을 보여주기만 하는 페이지라 크게 위험요소 없는 줄 알았는데 검토할 사항들이 많네요

그리고 문제없이 쓰려면 내부용으로 가거나 용역 업체를 끼는 쪽을 택해야겠다고 정리했다.

업체를 쓰는 이유와 절차의 의미

업체 이야기가 나오자 앞서 보안팀과 상위 부처를 말한 참가자가 의견을 보탰다.

공공에서 업체를 껴서 개발하는 이유는 전문성도 있지만 사고났을때 책임 전가의 이유도 있다고 생각합니다.

이 참가자는 AI가 다 만들어 주는 지금은 그 책임을 보안성 검토라는 절차로 여러 사람에게 나눈다는 의미도 있다고 보았다. 또 현재의 보안성 검토는 대부분 체크리스트 기반의 서류 점검으로 넘어가고 있다고 말했다. 이는 그 참가자가 본 현황이며, 다른 기관도 그렇다는 확인은 나오지 않았다.

같은 참가자는 얼마 뒤 자기 경험도 전했다. 담당 부처가 부담스러워해서 상급 보안 기관의 보안성 검토를 받은 적이 있고, 담당관이 AI 쪽은 잘 몰라 여러 번 질문하며 관심 있게 검토해 준 덕에 잘 넘어갔다는 이야기였다.

담당관님도 AI쪽은 잘 모르셔서 여러번 질문도 주시고 관심있게 보안성검토 진행해주셔서 잘 넘어갔었던 경험이 있습니다.

조만간 관련해서 지침이 나오지 않을까라는 기대는 가지고 있습니다.

윤리기준과 영향평가를 둘러싼 말

중간에 다른 참가자는 정부가 윤리기준 마련과 영향평가를 하라고 하지 않았느냐고 물었다. 국민에게 영향이 가는 부분은 받으라고 들었다며, 그래서 절차가 더 어려워질 것 같다고 했다.

그래서 더 어려워질것같은데 국민에게 영향이가는 거 관련해서는 받으라고 하더라구요

또 다른 참가자는 같은 두 항목을 짚으며, 도입 전 영향평가 지침은 개편되어 곧 나올 것 같고 윤리기준은 다수의 중앙행정기관이 이미 자체 수립해 공표하고 있다고 했다. 이 내용은 그 참가자의 설명이며 대화 안에서 근거가 제시되지는 않았다.

읽어 볼 점

이 대화에서 배포를 가로막는 것으로 지목된 것은 기술 결함이 아니라 절차와 책임이었다. 공개 데이터만 쓰고 입력도 저장도 없는 페이지라는 설명이 나온 뒤에도, 참가자들은 위험의 크기보다 사고가 났을 때 누가 책임지느냐를 먼저 이야기했다. 한 참가자는 대부분 검토 없이 연다고 보았고, 다른 참가자는 상위 기관까지 받아야 뒤탈이 없다고 했다. 두 말은 서로 부딪히며, 어느 쪽이 일반적인지는 대화에서 가려지지 않았다. 확인되는 것은 질문자가 내부용으로 가거나 용역 업체를 끼는 쪽으로 정리했고, 경험담을 전한 참가자가 곧 지침이 나올 것이라는 기대를 걸었다는 점까지다.