한수원은 19일 보도자료를 통해 2009년부터 2014년까지 5년간 직원들이 사용했던 업무용 보안 USB 3천391개가 회수되지 않은 것으로 드러났으며 특히 1천181명의 퇴사자 가운데 업무용 보안USB를 회사에 반납한 사람은 한 명도 없었다는 문화일보 기사에 대한 반박자료를 발표했다.
한수원은 반박자료에서 해당기간(2009~2014년)에 배포되었던 보안USB는 2015년 1월 시스템적으로 폐기 처리하여 회수되지 않더라도 사용이 불가능하다.
만일 보안USB를 분실하더라도 아이디와 비밀번호가 없으면 이를 사용할 수 없고, 비밀번호 5회 오류시에는 내용이 모두 삭제된다.
보안USB를 반납하지 않거나 관리가 부실했다고 징계를 받은 직원은 단 한명도 없었다.
한수원 측은 “퇴직 시 보안USB를 회수하는 절차가 명확하게 마련되지 않았고 정보보안 위규사항의 징계기준도 없었다”고 인정했다. …(중략)… 퇴직자들이 반납하지 않은 USB는 퇴직 이후에도 지급 때 부여받은 사용 잔여기간이 있을 경우 외부에서 본부 홈페이지에 접속해 비밀번호와 아이디를 넣으면 접속과 함께 인쇄도 가능한 것으로 확인됐다.
한수원 사이버보안 전담조직이 2012년 2월 조직되어 보안체계를 정립하는 과정에서 지침 및 절차 등이 일부 미흡하였다.
한수원의 보안USB는 사외에서 사용할 경우 정보보안 부서의 ‘반출승인’ 절차를 거쳐야 합니다.
승인을 받은 USB는 최대 3개월간 외부에서 사용이 가능하며 이후에는 사용이 불가능하다.
보안USB 관리 미흡에 대한 보완책으로 2015년 1월부터는 업무망 및 인터넷망에서 휴대용 저장매체 사용을 금지하고 있다. 부득이하게 USB가 필요한 경우 정보보안 부서에서 승인을 받아 일시적으로 사용하도록 함으로써 자료관리에 최선을 다하고 있다.
또한, 2017년 9월15일 이후부터는 정보보안 부서에서 대여한 보안USB를 사내업무망에서 사용할 수 없도록 보안 대책을 강화했다.
과거에 발생했던 관리 소홀 문제로 우려를 끼쳐드린 점에 대해 사과드리며, 한수원은 앞으로 정보보안 업무에 있어 더욱 철저한 관리를 통해 다시는 이러한 일이 발생하지 않도록 노력하겠다고 밝혔다.
