소잃고 외양간 고치는 SGI서울보증… '최저가' 입찰에 보안업계 빈축

랜섬웨어 공격으로 전산망이 마비되는 초유의 사태를 겪었던 SGI서울보증(대표 이명순)이 뒤늦게 전산 인프라 교체에 나섰다. 보험권 최초의 랜섬웨어 피해기업이라는 오명을 씻고자 ‘재발 방지’ 카드를 꺼내든 셈이다. 하지만 보안업체 입찰 조건을 최저가로 부쳐 땜질식 처방에 나선 것 아니냐는 오해도 일고 있다. 

26일 보험업권에 따르면 SGI서울보증은 오는 27일 오후 3시까지 ‘종합 보안강화(정보기술통합) 계약’ 입찰공고 신청을 받는다. 28일 입찰을 통해 최종 정보보안 업체를 선정한다는 방침이다.

서울보증의 이번 입찰은 단순 장비 교체를 넘어 전산망 전반을 다시 짜는 수준이다. 사내 네트워크를 잇는 통신 장비부터 외부 침입을 막는 방화벽, 고객 정보를 다루는 데이터베이스 보안 프로그램(DBMS)까지 새로 도입한다. 핵심 전산 장비 대부분을 손보는 만큼 사실상 IT 인프라 대부분을 ‘재건축’하는 작업에 가깝다는 평가다.

서울보증은 기존보다 안전성이 높은 대용량 저장 장치를 들이고, 만약의 사태가 발생하더라도 빠르게 복구할 수 있도록 한다는 계획이다. 지난 랜섬웨어 사태 당시 전산 시스템이 제대로 작동하지 않아 복구에 큰 어려움을 겪었던 경험을 고려한 조치로 풀이된다.

아울러 시스템 보안정책, 방화벽 정책, 서버시스템 재설치 등에 따른 검증을 위해 보안관제 인력도 배치하기로 했다. 해당 인력들은 서울보증 내에 상주하며 각종 보안 설정과 정책이 제대로 작동하는지 모니터링하는 역할을 맡는다. 해킹·랜섬웨어 같은 외부 위협은 물론, 예기치 못한 시스템 장애에도 소비자 피해를 최소화하겠다는 방침이다. 계약이 체결되면 올해 말까지 약 4개월간 사업이 진행된다.

이번 입찰은 이명순 SGI서울보증 대표이사 의중이 반영된 조치로 해석된다. 앞서 이명순 대표는 “회사와 고객의 신뢰를 지키기 위해 가능한 모든 조치를 취하고 있다”며 “시스템 정상화는 물론 향후 재발 방지를 위한 보안 체계 강화를 병행하겠다”고 말한 바 있다. 

다만, 입찰 방식을 두고 우려가 나온다. 입찰 구조가 예정가격 이하에서 가장 낮은 가격을 제시한 업체가 낙찰을 받는 ‘최저가 낙찰제’이기 때문이다. 동일한 하드웨어와 소프트웨어를 낮은 가격으로 구매할 수 있는 것은 발주사 입장에선 합리적인 선택이지만, 입찰 업체들간 저가수주 출혈 경쟁을 부추길 수 있다.

사실상 입찰업체들이 가격을 낮출 수 있는 항목이 보안관제 등 인력비용에 그쳐 보안 전문성이 떨어질 수도 있다는 지적이 제기된다. 

업계에서는 이같은 최저입찰제로 인해 ‘보안은 결국 비용을 줄여 성과를 내는 영역’이라는 왜곡된 인식이 굳어졌다고 주장한다. 사후 지원도 최소화되는 경우가 많아 장비는 교체했지만 관리·운영이 부실해지는 구조가 되풀이된다는 것이다.

서울보증은 상법상 민간 기업이지만, 보증보험 시장에서 독점적 지위를 가진 사실상 준공공기관이다. 최저가 입찰은 공정성·투명성을 확보하기 위한 제도적 장치라는 게 회사 측 설명이다. 특정 업체 밀어주기 논란을 차단하고, 보험료·세금과 직결된 비용을 최소화해야 한다는 논리다.

그러나 업계에서는 최저가 낙찰제가 궁극적인 보안 안정성 강화로 이어질 수 있을지 의문을 제기한다. 저가 가격보다는 기술이나 이행 실적을 중점으로 낙찰자를 선정해야 한다는 지적이 나온다.

한 보안 전문가는 “보안은 단순 장비를 교체한다고 해결되는 게 아니다”라며 “기존 장비를 활용하더라도 정책 설계, 인력 숙련도, 지속적인 관리와 업데이트가 핵심인데, 최저가 경쟁에서는 이런 부분이 뒷전으로 밀릴 수 있다”고 말했다.

염흥열 순천향대 정보보호학과 명예교수는 “최저가 낙찰제는 과거부터 꾸준히 문제가 제기됐던 사안”이라며 “발주처 입장에서는 최소 비용으로 서비스와 장비를 조달할 수 있는 장점이 있지만, 공급자 입장에서는 역량을 넘어 무리하게 입찰에 나서는 사례가 나타날 수 있다”고 말했다. 

한편, 서울보증은 지난달 전산망을 마비시킨 랜섬웨어 공격과 관련해 해커 조직 ‘건라(Gunra)’의 해킹 주장을 부인했다. 건라는 13.2TB 규모의 핵심 데이터베이스를 탈취했다며 다크웹에 공개를 예고했지만, 회사는 “고객 정보를 포함한 대규모 자료 유출 정황은 없다”고 밝혔다. 또 해커 조직으로부터 직접 연락을 받은 사실도 없다고 강조했다. 

전대현 기자
jdh@chosunbiz.com