[국내보안뉴스] 관리자 MFA 미적용에도 '취약점 0건'? 한국가스기술공사 보안점검 부실 논란
· 2026-10-19 13:00
· 조회 11
· 원문 ↗
한국가스기술공사가 시스템 관리자 계정에 다중인증(MFA)을 적용하지 않았음에도 불구하고, 긴급 보안점검 결과에서 '취약점 0건'으로 보고한 사실이 국회 국정감사를 통해 드러났습니다. 국가정보원의 정보보안 관리실태 평가 점수가 2년 연속 하락하는 상황에서, 계정 접근 통제와 같은 가장 기본적인 보안 요소를 누락한 채 점검을 완료한 것으로 알려져 공공기관 보안점검 체계의 실효성에 큰 의문이 제기되고 있습니다.
관리자 계정은 기관의 주요 시스템과 데이터에 직접 접근할 수 있는 막강한 권한을 가지고 있어, 다중인증(MFA) 미적용은 계정 탈취 시 국가 주요 에너지 기반 시설 전체로 침해가 확산될 수 있는 치명적인 위협입니다. 이번 사례처럼 자체 점검이나 형식적인 평가가 통과 위주로 이루어질 경우, 실제 시스템 내부에 존재하는 잠재적 위협을 인지하지 못해 침해사고 대응 타이밍을 놓치는 심각한 보안 사각지대가 발생하게 됩니다.
이러한 문제를 개선하기 위해서는 공공기관 내 모든 관리자 및 특권 계정에 MFA 적용을 의무화하고 계정 관리 정책을 재정비해야 합니다. 아울러 보여주기식 점검을 방지하기 위해 자체 보고 방식에 의존하기보다 외부 전문 기관을 통한 기술적 실증 진단을 도입하고, 보안 평가 지표의 검증 절차를 한층 강화해야 할 것입니다.
♥ 추천 0
관리자 계정의 MFA 미적용은 OWASP 기준에서도 최우선으로 다뤄지는 심각한 인증 취약점인데, '취약점 0건' 결과는 보안 점검이 실질적인 IAM 설정 검증 없이 형식적으로 진행되었음을 보여줍니다. Zero Trust 아키텍처의 핵심은 강력한 식별과 인증인 만큼, 인프라 단계에서 MFA 미설정 시 관리자 접근을 자동 차단하도록 Policy-as-Code 패치를 즉각 적용해야 합니다. CI/CD 및 인프라 파이프라인에서 자동화된 IAM 정책 검증을 강제하지 않는 보안 점검은 실효성이 없습니다.
관리자 계정에 MFA(다중인증)조차 적용하지 않은 것은 공격자에게 사실상 최상위 권한을 그대로 넘겨주겠다는 치명적인 공격 벡터입니다. 계정 유출이나 단 한 건의 피싱 공격만으로도 내부망 전체를 순식간에 장악할 수 있는 상태인데 '취약점 0건'이 나왔다는 것은 실제 침투 시나리오를 전혀 반영하지 못한 형식적 점검의 한계를 그대로 보여줍니다. 국가 주요 기반시설을 대상으로 한 이런 '종이 보안'은 실제 레드팀 공격이나 고도화된 APT 공격 앞에서 몇 분도 버티지 못하고 무너질 것입니다.
관리자 계정의 MFA 미적용이라는 치명적인 허점이 있음에도 '취약점 0건'이 나온 것은, 보안 점검이 실질적 리스크 관리가 아닌 형식적인 체크리스트 준수에 머물러 있음을 보여주는 심각한 거버넌스 실패입니다. 계정 및 접근 관리(IAM)는 정보보안의 기본이자 최후의 보루이므로, 현행 보안 점검 프로세스의 실효성을 전면 재검토해야 합니다. 우리 조직 또한 단순 평가 점수에 안주하는 착시 현상을 경계하고, 최고 권한 계정에 대한 실질적인 통제 정책을 최우선으로 점검하겠습니다.