경기도 “지금 차단됐다” 답하자…윤도희 “다 접속된다”

중단 대상 8곳 재점검 요구…‘조치’ 198개 중 실제 해소 건수 즉답 못해

▲전수조사 자료현황 (경기도의회)

“지금 차단됐다.” 경기도 AI인프라과장이 공공서비스의 외부 접속 여부를 묻는 질의에 답했다.

이에 윤도희 경기도의원은 “제가 들어가보니 다 접속된다”고 맞받았다. 경기도가 중단 대상으로 분류한 공공서비스는 8곳.

9일 경기도의회 행정사무감사에서 윤 의원은 도에 서비스별 차단 시각과 재점검 결과를 제출하라고 요구했다.

△“차단됐다”던 과장, 8곳 선정 경위엔 “권고”

10일 도의회가 공개한 행감자료에 따르면, 경기도는 11월 7일 기준 보안 취약점이 파악된 시스템 중 198개를 ‘조치’로 집계했다. 임시 대응과 외부 접속 차단, 버전 업데이트를 한 항목에 넣었다. 윤 의원이 취약점을 해소하고 재점검까지 끝낸 시스템이 몇 개인지 묻자 AI인프라과장은 즉답하지 못했다.

윤 의원이 미조치 시스템 가운데 왜 8곳만 중단 대상으로 정했느냐고 묻자, 과장은 차단이나 중지를 권고했고 조치를 계속 진행 중이라고 설명했다. 윤 의원은 실제 외부 접속을 막았는지 서비스별로 다시 확인하고, 조치가 끝나지 않은 곳은 담당 기관과 완료 기한까지 명시하라고 요구했다.

집계에도 한 건의 차이가 남았다. 도의회 자료에 인용된 전체 취약 시스템은 396개다. 조치 198개와 미조치 197개를 합하면 395개다. 공개자료에는 나머지 1개가 어떻게 분류됐는지 나와 있지 않다. 도가 제시한 해소비용 약 29억3500만원도 한 시스템의 전환 비용을 미조치 197개에 일괄 적용한 추산이다. 과장은 “사례 하나를 가지고 산출한 것”이라고 답했다.

△유출 집계 2만1104건…같은 업체 쓰는 기관에 알렸나

위탁업체에서 사고가 났을 때 경기도가 어느 기관까지 파악하고 통보했는지도 도마에 올랐다. 경기도자원봉사센터는 온라인 교육 플랫폼 ‘자원봉사다움’에서 9월 20일 발생한 사고로 회원정보 일부가 외부로 반출됐다고 25일 공지했다.

윤 의원이 공개한 유출 현황에는 회원정보 2만1104건이 적혔다. 윤 의원은 이 숫자가 센터 이용자만 집계한 것인지, 운영사 전체 범위인지, 중복을 제외한 것인지 물었다. 과장은 “중복이 포함돼 있다”고 답했다. 중복을 뺀 피해 인원은 공개자료에 제시되지 않았다.

윤 의원은 AI국이 사고를 처음 알게 된 시각과 같은 업체에 운영을 맡긴 다른 기관에 위험을 알렸는지 확인할 수 있는 기록을 요구했다. 과장은 24시간 사이버관제센터와 비상연락망을 운영하고 있다면서도 “위탁까지 세부 명단은 확보가 안 돼 있다”고 답했다.

△‘보안대책 이행’ 99건…계약 끝난 뒤 확인한 기록은

경기도는 올해 업무보고에 용역업체 보안관리 등 정보화사업 보안대책 이행 실적 99건을 올렸다. 윤 의원은 계약이 끝난 업체가 보관하던 개인정보와 백업자료를 파기했는지, 시스템 접근권한을 회수했는지 실제로 확인한 기록이 있느냐고 물었다.

과장은 “부서에서 직접 확인한 자료가 있다”고 답했다. 그 확인 실적이 업무보고의 99건에 포함됐느냐는 질문에는 “확인해봐야 할 것 같다”고 했다.

윤 의원은 올해 행감일까지 종료된 개인정보처리 위탁계약 목록과 함께 파기 시점·방법·확인자, 접근권한 회수 시점·확인자가 남은 기록을 제출하라고 요구했다. 중단 대상 서비스 재점검 결과와 위탁업체 사고 대응 경과는 종합감사 전까지 제출하라고 했다.