벼락치기식 전산망 개발… 비용 아끼려 하청·재하청… 서버관리도 구멍투성이…금융사들 IT인식 결여… 제2 농협사태 올 수도
농협의 전산장애가 4일 만에 정상화된 가운데 15일 국내 전산 기술자들이 주로 사용하는 게시판이나 커뮤니티에는 농협의 낙후된 IT관리실태를 비판하는 글들이 계속 올라오고 있다. "이런 일이 올 줄 알았다" "보통 사람들은 몰랐겠지만 전산 쪽에선 농협의 IT가 허술한지 다 알고 있었다" 등등.
국내 금융기관은 핵심 전산시스템을 직접 개발ㆍ관리하지 않고 외주를 줘 관리하고 있기 때문에 이 같은 일이 발생할 수 있는 가능성이 항상 열려 있다는 평가. 그 중에서도 농협은 전산 관리ㆍ운영 수준이 가장 열악하다는 것이다. 3,000만 고객과 1,150개 점포 등 국내 최대 은행의 전산시스템이 이처럼 허술하게 관리돼 왔다는 데 국민들은 충격을 받고 있다.
3대 막장?
전산업계의 소프트웨어 개발자들은 농협과 모 대형 통신회사, 모 보험사 등을 '3대 막장'이라고 부른다. 세 업체는 발주하는 차세대 시스템 업그레이드 등 각종 프로젝트를 촉박한 기간 동안에 무리한 수준의 요구사항을 다 만족시키며 완료할 것을 요구하기 때문. 프로젝트가 완료되는 때까지 1~2년 간 주말이나 휴일 없이 매일 야근을 해야 한다.
그 중에서도 농협은 지난해 전산 자회사 직원 양모씨가 "2년 동안 잦은 야근 때문에 몸이 약해져 폐를 절제하는 수술을 받았다"며 끔찍한 금융 전산업계의 현실을 고발해 악명이 더욱 높아졌다. 그러다 보니 프로젝트 도중 개발자가 그만두고 교체되는 일이 비일비재하다는 것. 한 개발자는 "건설공사도 일반적인 기간보다 빨리 완성하기 위해 다그치면 부실공사가 된다"며 "전산 역시 무리한 일정을 강요하면 프로그램이나 설계에 문제가 생길 수 있다"도 말했다.
하청 또 하청
금융기관의 IT 투자는 주로 값비싼 해외 하드웨어와 장비를 들여오는 데 쓰인다. 대신 프로그램 개발이나 운영은 모두 비용절감 차원에서 하도급으로 처리한다.
전산업계에 따르면 금융기관의 전산 프로젝트는 사실상 건설업과 비슷한데, 이는 갑-을-병-정 식으로 하청에 재하청으로 이어지기 때문이다. 보통 맨 처음 하청을 받는 곳은 금융회사의 전산 자회사다. 예를 들어 KB금융은 KB데이타시스템, 신한금융은 신한데이타시스템, 우리금융은 우리금융정보시스템, 하나금융은 하나INS 등 대부분 그룹 내 자회사에 전산 개발을 맡기고, 이들 자회사가 외부업체에 다시 하도급을 주는 방식이다. 농협에도 농협정보시스템이란 전산 자회사가 있다.
개발이 끝난 후 운영과 유지보수도 마찬가지다. 농협은 IBM이 운영ㆍ유지를 맡았는데 대부분 금융회사들도 같은 방식이다. 한 개발자는 "이번 농협 사건에서 협력업체 직원이 최고관리자 권한을 갖고 있다는 게 이상하게 느껴지겠지만 사실 한국에서는 흔한 일"이라며 "당연히 내부적으로 통제해야 할 일을 외부에 통째로 맡기다 보니 이런 일이 벌어진 것이고 이는 금융회사들의 IT인식이 얼마나 안이한지 보여주는 것"이라고 말했다. 이런 관행이 남아 있는 한 제2의 농협사태는 얼마든지 재발할 수 있다는 지적이다.
수백대 서버를 관리하는 한 대의 노트북
농협은 이번 사고가 협력업체 직원PC에서 나온 파일삭제명령이 수백대의 서버를 망가뜨리면서 일어난 것으로 보고 있다. 문제는 어떻게 일개 협력업체 직원의 노트북이 거대 농협 전산망을 마비시킬 수 있느냐는 것.
은행처럼 수백대 서버를 운용하는 경우, IBM의 '티볼리'처럼 전체를 관장하는 솔루션을 운용하는 경우가 많다. 모든 서버에 똑같은 프로그램을 업그레이드하거나 명령을 내릴 때 일일이 수백대의 서버에 하나씩 로그인해 처리한다면 너무 많은 시간이 걸리기 때문에, 일괄 처리하는 솔루션을 쓰는 것이다. 문제의 파일삭제명령도 전체 서버에서 '일괄적으로' 작동한 셈이다.
하지만 이러한 솔루션은 관리하는 최고관리자 권한과 이를 수행할 수 있는 장비가 엄격히 관리돼야 한다. 농협에 따르면 문제의 노트북 PC는 협력업체 직원의 것이었고, 농협 직원은 아무도 그러한 권한을 갖고 있지 않았다. 노트북 PC는 외부 반출도 가능했다. 한 전산 전문가는 "누군가 사내에 방치된 노트북PC에 아무도 몰래 특정 일시에 모든 서버의 파일을 삭제하는 명령을 수행하라는 일정을 심어 놓았을 가능성도 있다"며 "협력업체에 서버 운영을 100% 맡겨버리고 권한을 철저히 관리하지 않은 농협의 책임"이라고 말했다.
최진주기자 pariscom@hk.co.kr
기사 URL이 복사되었습니다.
댓글0