행정망 ‘재해 복구’ 이상 없다?…‘이원화’는 언제쯤 [취재후]

'전대미문'의 행정망 마비. 사고가 터지고 이를 복구하는 과정과 사고 원인을 발표하는 과정 등을 보면서 도무지 머릿속을 떠나지 않는 의문점이 생겨났습니다.

대표적인 대민 전자 서비스 '정부24'가 24시간 이상 먹통 됐으면 그건 '디지털 재난'으로 봐야 한다는 의견이 많았습니다. 재난이 발생했으면 대체 시스템을 가동한다든지 재난 상황에 맞는 후속조치가 이어졌어야 했습니다. 하지만 이번 사고를 돌이켜보면 기억에 남는 건 '라우터' 말고는 없었다는 것. 저 혼자만의 착각은 아니었을 겁니다.

■ 멈춰선 행정망…무슨 일이 있었나?

지난해 11월 17일 아침 8시 46분, 전 세계적으로 우수하다고 자신(?)했던 대한민국 전자정부 시스템의 대표적인 서비스 '정부24' 등이 멈췄습니다. 여권 신청하려고 각종 서류를 뽑아 구청을 찾아가거나 주민등록등본 하나 발급받으려고 주민센터를 찾아갔었던 번거로운 일들이 모바일 '앱' 하나로 해결됐으니 편리성 하나만큼은 매우 훌륭하다고 평가받았던 이 시스템이 순식간에 무용지물이 된 겁니다.

전자정부 시스템이 우수한 만큼 '몇 분 안에 해결되겠지' 했던 장애는 24시간이 지나도록 해결되지 않았습니다. 2022년 발생한 카카오 먹통 사태에 정부나 정치권 등은 거의 '재난' 수준으로 인식했었습니다. 그런데 정부 행정망이 24시간 이상 먹통이 되는 '디지털 재난' 이 발생한 겁니다.

■ 의문 1. 행정망 마비, 왜 '재해복구시스템'이 가동되지 않았을까?

재난이 발생했으면 재빨리 복구하는 것이 상식입니다. 그런데 정부는 장애 원인을 제대로 찾지 못했습니다. 일반인들은 잘 알지도 못하는 'L4 스위치' 오류라고 했다가 나중에는 '라우터' 오류 때문이라고 정정했습니다. 하지만 네트워크 구축의 기본 개념인 'OSI 7Layer' 개념대로라면 장비 하나가 오류를 일으켰다고 전체 서비스가 무너지는 것 또한 쉽게 납득되지 않습니다.

어디서 문제가 발생한 것인지 찾고 고쳐야 원상복구가 되는 것은 당연합니다. 하지만 원인을 찾는 과정이 힘들다면 사실상의 '재난' 상황이고, 지침에 따라 기존 서비스의 대체 시스템을 가동해야 합니다.

통상적으로 데이터센터를 구축하고 운영할 때는 'DR(Disaster Recovery)'이라 부르는 '재해복구시스템'을 구축하기 때문입니다.

재해복구시스템 (DR:Disaster Recovery)

재난 수준의 상황이 발생했으니 많은 사람이 DR을 가동하지 않은 이유를 궁금해했습니다. 하지만 돌아오는 답은 "DR 시스템은 구축돼 있다. 그러나 이번 경우는 데이터손실이 발생한 사고도 아니고 지진 등으로 센터가 무너진 것도 아니기에 대상이 아니었다"는 말이 전부였습니다.

그렇다면 왜 대체 시스템을 돌리지 않았던 것일까요? 첫 번째 의문점입니다.

■ 의문 2. 행정망 마비, 재해복구시스템(DR)이 존재하기는 할까?

2022년 카카오 먹통 사고로 다시 돌아가 보겠습니다. 데이터센터 건물 화재로 서비스 장애가 발생했었죠. 당시 정부나 정치권 등에서는 대체 시스템이 제대로 작동하지 않았던 점을 질타했고 알고 보니 한 건물 내에 똑같은 장비가 있었다는 것이 문제가 됐습니다.

하나의 물리적 공간에 똑같은 두 개의 시스템을 돌리는 것을 흔히 '이중화'라고 부릅니다. 이와 달리 다른 공간에 똑같은 시스템을 예비형태로 운영하는 것을 '이원화'라고 합니다. 카카오는 왜 이원화 시스템을 구축하지 않았는지가 도마 위에 오르기도 했습니다.

정부 행정망은 어떨까요. 정부 데이터센터는 행정안전부 국가정보자원관리원이 맡아 운영하고 있습니다. 대전에 본원이 있고 광주와 대구에 센터가 있습니다. 공주센터도 건립 중입니다.

행정망 장애의 최초 장애 지점은 'GPKI(Government Public Key Infrastructure)'였습니다. 우리가 흔히 온라인으로 은행 업무를 볼 때 최초 로그인 단계에서 신원을 인증하는 '공인인증서'를 쓰는 것처럼 공무원들도 행정망 업무를 위해 최초 로그인할 때 GPKI 인증을 해야 합니다.

GPKI(Government Public Key Infrastructure)

그런데 어떤 이유로 로그인이 안 됐고 이로 인해 지방행정전산서비스(시도.새올시스템) 및 이와 연계된 대민서비스(정부24, 무인민원발급기 등)에 장애가 발생했던 것입니다. 정부는 사고 발생 후 뒤늦게 라우터 오류로 정상적인 신호가 전달되지 않았고, 이것이 GPKI 시스템 장애를 일으켰다고 발표했는데요. 해당 네트워크 라인에 문제가 생겼다 해도 만약 또 다른 GPKI 시스템이 다른 경로로 운영되고 있었거나 대기 상태로 있었다면 대체가 가능했을 겁니다.

'그렇다면 DR이 있기는 한 것일까?'라는 두 번째 의문점을 가졌습니다.

■ 재해복구시스템 이렇게 나뉩니다

자세히 한 번 들여다 보겠습니다. 정보보안기사 자격증을 준비하거나 일반적인 네트워크 시스템을 공부할 때 등장하는 '재해복구시스템'(백업사이트)은 미러 사이트, 핫 사이트, 웜 사이트, 콜드 사이트 등 크게 4가지로 구분합니다.

'미러(Mirror) 사이트'는 말 그대로 거울과 같다는 의미로 주 센터와 같은 시스템을 원격지에 구축하고 실시간으로 운영하는 것을 말합니다. '핫(Hot) 사이트'는 주 센터와 동일한 시스템을 구축하되, 다만 대기 상태로 있습니다. 주 센터에서 문제가 생기면 원격지 시스템을 '운영' 상태로 전환합니다. '웜(Warm) 사이트'는 재해복구 대상으로 지정된 주요 업무 데이터를 원격지 '서버'에 백업을 해두는 것입니다. '콜드(Cold) 사이트'는 재해복구 대상으로 지정된 일부 업무의 데이터를 일정 기간 간격으로 '스토리지'에 백업을 해두는 개념입니다.

4가지 사이트의 특징을 살펴보면, 미러와 핫 사이트는 원격지 센터에 주 센터와 동일한 시스템을 구축해놓고 있어 자동복구나 짧은 시간 내 복구가 가능한 장점이 있습니다. 이와 달리 웜과 콜드 사이트는 서버나 스토리지에 데이터를 저장해둔 상태입니다. 따라서 복구하기 위한 작업 시간이 오래 걸립니다. 이 4가지 사이트 가운데 무엇을 선택할지는 데이터센터를 운영하는 주체가 결정할 일입니다. 물론 같은 시스템을 원격지에 운영한다는 개념은 아무래도 비용이 많이 들어간다는 단점은 있습니다.

■ 재해복구 대상 업무, '이원화' 시스템 하나도 없어

취재를 해보니 정부 행정망은 '이중화'는 돼 있을지 모르지만(이마저도 작동 불능), '이원화'는 구축돼 있지 않았습니다.

재해복구시스템을 갖춰놓긴 했지만 '자동 복구'가 가능한 시스템이 아니었습니다. 한마디로, 만약 정부 관계자의 말대로 대전 센터가 '지진'이 일어나 물리적 손상이 발생했을 경우 광주나 대구 센터에서 즉시 대체할 수 있는 구조가 갖춰지지 않았다는 말입니다.

정부 행정망의 재해복구시스템 대상 업무는 대전과 광주 센터의 총 1,430개 업무 가운데 100개 업무에 불과했고, 이 가운데 미러와 핫 사이트로 운영되는 업무는 단 한 가지도 없었습니다.

주민등록, 국세, 금융 등 1등급(핵심)으로 구분된 재해복구 업무 39개는 '웜 사이트'였으며 2등급(주요) 32개는 '웜 사이트' 46.8%, '콜드 사이트' 53.2%로 구성돼 있습니다. 3·4등급(일반) 29개도 대부분 '콜드 사이트'로 구성돼 있습니다.

(자료: 국회 행정안전위원회 천준호 의원실)

또 이번 장애의 시작이었던 GPKI 인증시스템은 3, 4등급으로 구분돼 있었습니다. 공무원 로그인이 안 되면 전체 서비스에 장애가 이어지는 만큼 중요한 GPKI 시스템임이지만 단순 스토리지에 데이터를 저장만 해둔 상태라는 겁니다.

복구 목표 시간을 들여다 봐도 1등급 3시간 또는 대부분 7일로 설정돼 있었습니다. 그러나 복구목표 시간은 기준도 모호하고 실제로 그 시간 안에 복구할 수 있는지도 의문입니다. 즉, 국가정보자원관리원이 관리하는 정부 데이터센터 중 대전 본원에 문제가 생기면 언제 복구가 가능할지 명확하지 않다는 의미입니다.

■ 사고 터지자 종합대책 마련?…근본 대책 마련 시급

행정망 마비 사고가 터진 이후 정부는 종합대책을 마련하겠다고 발표했습니다. 행정안전부 차원이 아닌 국무조정실 주최로 관계부처가 다 참여한다고 합니다. 장애 원인을 찾는 과정에서도 장비 노후화, 예산 부족, 콘트롤 센터 부재 등 다양한 주장 등이 제기됐었습니다. 종합대책 마련을 위한 TF 내부에서도 여전히 의견 차가 많다는 이야기도 들려옵니다.

김승주 고려대 정보보호대학원 교수는 "카카오 사태 이후에 정부의 기준을 바꿔서 조금 더 중요한 것들은 핫 사이트로 빨리 바꾸고, GPKI 같은 경우에는 데이터 백업 방식이 아니라 어떤 적어도 웜 사이트 정도는 되게끔 해야 했는데 그런 후속 조치가 이루어지지 않았던 것 같다"고 지적했습니다. 그러면서 "전반적으로 DR 기준을 재검토할 필요가 있고, 거기에 맞춰서 GPKI 나 다른 시스템들을 전면적으로 업그레이드할 필요는 있어 보인다"고 말했습니다.

기계는 거짓말을 하지 않습니다. 이번에 문제가 됐다던 '라우터' 역시 오류가 생겼을 당시 '로그'를 남겼다고 했습니다. 이상 신호를 제때 보지 못한 건 관리의 영역입니다. 행정망 마비 사고가 그동안 없었다고 해서 '특이사항 없음'으로 인식하는 것도 관리의 영역입니다.

앞서 2022년 정부는 행정망 재해복구 기능을 수행하는 공주 데이터센터를 올해 운영하겠다고 발표했지만, 빨라야 올 연말에나 가능할 것으로 보입니다. 이번 장애 사고가 전산망의 안정성과 보안성을 바라보는 중요한 계기가 될 것으로 기대하는 시선도 있습니다. 고장이 난 적 없으니 예산을 줄여도 된다는 인식이었다면 현장의 목소리를 제대로 경청해서 무엇이 종합적인 대책이 될 것인지 심사숙고해야 할 것입니다.

주민등록등본이나 가족관계증명서와 같이 가장 기본적인 증명서는 언제 어디서든 모바일에서 쉽게 발급받을 수 있는 일상. 하지만 이 일상이 깨질 때 누군가 뜻하지 않은 '고통'을 받을 수 있습니다.

[단독] 정부 행정망 고장 나도 ‘즉시 복구’ 불가능…왜? [탐사K]
https://news.kbs.co.kr/news/pc/view/view.do?ncd=7865439